NIST AI RMF vs unia europejska ustawa o sztucznej inteligencji: Praktyczne mapowanie

Co to jest każdy z nich

Dobrowolny ramowy system i obligatoryjne prawo, zaprojektowane do różnych celów:

• NIST AI RMF (AI 100-1, wydany w styczniu 2023) to dobrowolny ramowy system z US National Institute of Standards and Technology. Pomaga organizacjom zarządzać ryzykiem sztucznej inteligencji za pomocą czterech funkcji i jest zaprojektowany, aby być elastycznym, agnostycznym sektorowo i niepreskryptywnym. Nie ma certyfikacji i nie ma prawnego obowiązku korzystania z niego.
• Unia europejska ustawa o sztucznej inteligencji (Rozporządzenie (UE) 2024/1689) to bezpośrednio stosowane prawo unii europejskiej. Klasyfikuje systemy sztucznej inteligencji według poziomów ryzyka i nakłada konkretnych, egzekwowalnych obowiązków na dostawców i wdrożeniowców, wspieranych przez kary.
• NIST RMF mówi Ci, jak zorganizować zarządzanie ryzykiem; unia europejska ustawa o sztucznej inteligencji mówi Ci, co musisz zrobić i udowodnić dla konkretnych systemów.

Dobrowolny ramowy system vs obligatoryjne prawo: Cztery funkcje

Cztery funkcje RMF tworzą ciągły cykl. Zrozumienie każdej z nich jest kluczem do mapowania:

• GOVERN — przekrojowa kultura, polityki, role i odpowiedzialność za ryzyko sztucznej inteligencji. Wspiera inne trzy funkcje.
• MAP — ustanowienie kontekstu i klasyfikacja systemu sztucznej inteligencji: jego cel, jego ustawienie i ryzyko, które wynika z niego.
• MEASURE — analiza, ocena, benchmarking i monitorowanie ryzyka sztucznej inteligencji za pomocą ilościowych i jakościowych metod.
• MANAGE — priorytetyzacja i działanie na ryzyko: alokacja zasobów, reakcja, odzyskiwanie i dokumentowanie decyzji w całym cyklu życia systemu.

Mapowanie: Funkcje NIST do obowiązków unii europejskiej ustawy o sztucznej inteligencji

Gdzie każda funkcja NIST wykonuje pracę, którą wymaga unia europejska ustawa o sztucznej inteligencji. Użyj tego, aby ponownie wykorzystać istniejące dowody RMF przeciwko artykułowym obowiązkom unii europejskiej ustawy o sztucznej inteligencji:

• GOVERN → Artykuł 17 (system zarządzania jakością) i organizacyjna odpowiedzialność — warstwa zarządzania, której oczekuje unia europejska ustawa o sztucznej inteligencji za każdym systemem wysokiego ryzyka.
• MAP → Artykuł 9 (identyfikacja ryzyka i zamierzony cel) i Artykuł 13 (przejrzystość o zamierzonym użyciu, zdolnościach i ograniczeniach dla wdrożeniowców).
• MEASURE → Artykuł 9 (analiza i ocena ryzyka) i Artykuł 15 (dokładność, wzrost i cyberbezpieczeństwo testowania i metryk).
• MANAGE → Artykuł 9 (leczenie i mitigacja ryzyka), Artykuł 12 (rejestracja/logowanie operacji), i Artykuł 14 (nadzór ludzki i interwencja).
• Dokumentacja we wszystkich czterech funkcjach → Artykuł 11 i Załącznik IV (dokumentacja techniczna) — nacisk RMF na dokumentowanie decyzji mapuje się na obowiązki dokumentacji unii europejskiej ustawy o sztucznej inteligencji.

To jest kierunkowe mapowanie, aby prowadzić analizę luk, a nie oficjalna tabela równoważności. NIST publikuje własne mapowania między ramowym systemem sztucznej inteligencji a innymi ramowymi systemami; traktuj to mapowanie jako punkt wyjścia, a następnie potwierdź każdy artykułowy dowód dla każdego systemu objętego zakresem.

Gdzie NIST RMF kończy się, a prawo unii europejskiej zaczyna

RMF wspiera pracę unii europejskiej ustawy o sztucznej inteligencji, ale nigdy jej nie rozwiązuje. Zachowaj te granice wyraźnie:

• Brak skutku prawnego. RMF to dobrowolne amerykańskie wytyczne; nie tworzy praw ani obowiązków na mocy prawa unii europejskiej i nie może być cytowane jako zgodność.
• Brak trasy zgodności. Przestrzeganie RMF nie produkuje oznaczenia CE, oceny zgodności, rejestracji w bazie danych unii europejskiej ani autoryzowanego przedstawiciela unii europejskiej — wszystko, czego wymaga unia europejska ustawa o sztucznej inteligencji dla systemów wysokiego ryzyka.
• Nadal potrzebne są dowody systemowe. RMF jest celowo elastyczny; unia europejska ustawa o sztucznej inteligencji jest preskryptywna. Nadal musisz wytworzyć artykułowe dowody (Artykuły 9–15) dla każdego konkretnego systemu wysokiego ryzyka, a nie ogólny stan ryzyka.
• Domniemana zgodność pochodzi z unijnych standardów. Tylko zharmonizowane standardy europejskie — a nie NIST RMF — mogą udzielić domniemanej zgodności na mocy ustawy.