NIST人工智能风险管理框架（RMF）：企业人工智能治理完整指南

人工智能不再是企业边缘的实验性技术。到2026年，人工智能将融入客户服务、软件开发、网络安全、人力资源、财务、运营和战略决策等领域。

这既能创造价值，也会带来风险。

NIST AI 风险管理框架（通常称为 NIST AI RMF）为组织提供了一种实用的方法来识别、评估、管理和控制整个 AI 系统生命周期中的 AI 风险。

对于企业架构师、安全负责人、首席信息官来说， CISO对于数据治理团队和企业高管而言，该框架正成为负责任地采用人工智能的重要基础。

 

什么是NIST人工智能风险管理框架？

NIST人工智能风险管理框架是由美国国家标准与技术研究院（NIST）制定的自愿性框架。 美国国家标准与技术研究院 帮助组织管理与人工智能相关的风险。

它的目的很简单：帮助组织设计、开发、部署和监控值得信赖、负责任、安全、公平且符合业务目标的 AI 系统。

该框架尤其有用，因为它不仅将人工智能风险视为技术问题，还将人工智能风险与治理、问责制、业务影响、网络安全、数据质量、隐私、透明度和人工监督联系起来。

到2026年，这一点比以往任何时候都更加重要。各组织面临着巨大的压力，需要证明人工智能系统不仅功能强大，而且可靠、可解释、合规，并且可以大规模安全地使用。

 

NIST人工智能风险管理框架核心功能

NIST AI RMF 围绕四个核心功能构建：

1. 治理：建立人工智能政策、角色、职责、监督和问责机制。
2. 地图了解人工智能系统的背景、目的、利益相关者、数据和潜在影响。
3. 测量评估、测试、监控和量化人工智能的风险和可信度特征。
4. 物业管理优先考虑、缓解、应对并持续改进人工智能风险控制。

这些功能共同帮助组织从非正式的人工智能实验过渡到规范的人工智能治理。

该框架支持人工智能系统的整个生命周期，包括规划、设计、数据采集、模型开发、部署、监控、事件响应和退役。

 

为什么 NIST AI RMF 在 2026 年仍然重要

人工智能治理已从最佳实践讨论转变为董事会层面的要求。

到 2026 年，许多组织将管理一个更加复杂的 AI 环境，其中包括：

• 员工使用的生成式人工智能工具
• 嵌入企业软件的人工智能副驾驶
• 机器学习模型在决策中的应用
• 人工智能网络安全工具
• 面向客户的人工智能助手
• 自动化招聘、评分和推荐系统
• 技术组合中使用的第三方人工智能服务

与此同时，监管和标准方面的压力也在不断增加。欧盟人工智能法案、ISO/IEC 42001标准、隐私法、网络安全要求以及特定行业的人工智能指南都在促使各组织机构记录其如何管理和控制人工智能系统。

NIST AI RMF 帮助组织构建这种结构。

它为团队提供了一种共同的语言来回答关键问题：

• 人工智能系统目前在哪些领域得到应用？
• 它们会影响哪些业务流程？
• 他们依据哪些数据？
• 风险由谁承担？
• 有哪些管控措施？
• 如何衡量和监控风险？
• 如果人工智能系统出现故障、行为不可预测或产生有害后果，会发生什么？

这才是真正的价值所在，不仅仅是合规，更是运营信心。

 

是什么让人工智能系统值得信赖？

NIST AI RMF 通过几个核心特征定义了可信赖的 AI。这些特征有助于组织评估 AI 系统在实际业务环境中是否可靠。

有效且可靠

人工智能系统应产生准确、一致且符合用途的输出。它应在既定条件下按预期运行，并定期在实际场景中进行测试。

安全

人工智能系统不应造成不可接受的物理、经济、运营、声誉或社会损害。安全包括人工智能决策的直接和间接后果。

安全可靠

人工智能系统应受到保护，免受网络攻击、数据投毒、提示注入、模型篡改、未经授权的访问和其他安全威胁。它们还应具备从中断中恢复的能力。

负责任且透明

组织应明确人工智能系统性能、治理、监控和风险应对的责任人。透明度意味着利益相关者能够了解系统的使用方式和原因。

可解释和可理解

人工智能的输出结果应该能够被依赖它们的人理解。这一点对于招聘、贷款、医疗保健、安全和公共服务等领域的高影响力决策尤为重要。

隐私增强

人工智能系统应保护个人数据、敏感数据和受监管数据。隐私控制措施应贯穿数据收集、训练、处理、存储、共享和监控的各个环节。

公平管理有害偏见

应评估人工智能系统是否存在不公平的偏见、歧视和不成比例的伤害。偏见管理并非一劳永逸，它需要持续的测试、监控、记录和治理。

 

组织内部的人工智能治理角色

有效的AI治理是一门跨职能的学科。NIST框架明确指出，没有任何一个团队能够单独管理AI风险。

行政领导： 提供资金、制定战略目标并建立全组织范围的人工智能治理标准。到2026年，董事会预计将越来越需要证明人工智能风险状况。

企业架构师： 将人工智能与业务战略相结合，分析系统交互，记录模型沿袭，并监控人工智能生命周期中的性能和风险状况。

人工智能与数据治理团队： 制定人工智能开发和部署政策，确保训练数据的准确性，并监督整个人工智能流程中的隐私合规性。

安全经理： 管理人工智能特有的安全风险，包括对抗性威胁、机器学习端点安全和事件响应——这些风险越来越多地受到新的网络安全人工智能概况的指导。

法律、合规和隐私团队： 这些团队评估监管风险、隐私义务、合同要求、知识产权问题以及特定行业的 AI 合规风险。

企业主： 企业主有责任确保人工智能系统在日常运营中得到恰当使用。他们了解人工智能决策对运营的影响，并应参与风险评估和缓解措施。

 

哪些风险管理技术可以降低人工智能风险？

NIST AI RMF 鼓励组织采用治理、技术、运营和合同控制相结合的方式。

NIST AI RMF概述了一系列可用于有效管理AI风险的风险管理方法。这些方法包括：

• 数据管理策略
• 退役程序，例如“紧急停止开关”
• 事件响应计划
• 保险、担保和其他风险转移机制
• 机器学习和终端安全对策
• 模型工件编辑和修改

 

企业架构师如何管理人工智能风险

企业架构师拥有独特的优势，能够让整个组织内的人工智能风险显而易见。

为什么？因为人工智能风险很少会局限于一个应用程序。

人工智能系统可能依赖于多个数据源， 业务流程API、基础设施组件、​​供应商、团队以及下游决策都可能受到影响。如果该系统出现故障，其影响可能会蔓延至整个企业。

企业架构帮助组织了解这些依赖关系。

在企业架构平台中使用 NIST AI RMF 可以让团队：

• 将人工智能系统映射到 业务能力
• 确定哪些应用程序使用了人工智能或生成式人工智能
• 从人员、流程、技术和数据层面评估人工智能风险
• 将人工智能风险与业务成果和运营依赖性联系起来
• 针对 NIST AI RMF 函数的评分系统
• 跟踪缓解计划和责任人
• 监控各投资组合和业务部门的合规情况
• 了解人工智能风险的上游和下游影响。

这使得人工智能治理从静态的政策实践转变为实时的企业管理能力。

 

如何开始使用 NIST AI RMF

各组织可以按照以下步骤开始应用 NIST AI RMF：

1.     创建人工智能系统清单： 确定人工智能和生成式人工智能目前在组织内的哪些方面得到应用。

2.     指定所有权： 明确业务、技术、安全和治理方面的负责人。

3.     按风险对人工智能系统进行分类： 根据业务影响、利益相关者损害、数据敏感性、自主性和监管风险对系统进行优先级排序。

4.     将系统与业务能力对应起来： 了解人工智能对企业价值、运营和转型重点的影响。

5.     评估依据：治理、规划、衡量和管理： 使用 NIST AI RMF 函数评估当前控制措施和差距。

6.     制定缓解计划： 指定行动项、负责人、时间表和可衡量的控制措施。

7.     持续监测： 跟踪人工智能性能、风险、事件、合规性和不断变化的业务环境。

企业架构在此显得至关重要。它为组织提供了必要的连接纽带，使其能够从整体上理解人工智能风险。

 

应用 NIST AI RMF ABACUS

NIST人工智能风险管理框架是每个产品的一部分。 ABACUS 安装简便，可直接使用，也可根据每个组织的治理模式进行定制。

团队可以使用 ABACUS 评估业务能力、应用程序、系统和人工智能计划是否符合 NIST AI RMF 的功能：治理、映射、衡量和管理。

ABACUS 还可以帮助团队构建单个系统或整个企业组合的 AI 风险概况。

这使组织能够：

• 评估人工智能治理成熟度
• 识别高风险人工智能系统
• 比较各业务部门的风险
• 将人工智能风险与受影响的流程和技术联系起来
• 明确缓解措施的责任主体
• 跟踪合规指标随时间的变化
• 以业务人员易于理解的方式报告人工智能风险

对于企业架构师而言，这一点尤其有价值。它将人工智能风险引入到同一个环境中， 应用组合业务能力、数据流、技术依赖性和转型 路线图 已经安排妥当。

 

NIST人工智能风险管理框架示例：人工智能招聘工具

设想一个使用人工智能招聘工具的组织。

该系统可以筛选简历、对申请人进行排名、总结候选人资料，或向招聘人员提出后续步骤建议。这提高了效率，但也带来了风险。

潜在的风险包括：

• 有偏见的候选人推荐
• 排名决策缺乏透明度
• 历史招聘记录的数据质量较差
• 候选人信息的隐私问题
• 招聘经理的过度依赖
• 如果工具由第三方提供，则存在供应商模式风险。
• 如果决策无法解释或记录，则可能面临监管风险。

使用 NIST AI RMF ABACUS团队可以为招聘工具创建 AI 风险概况。

他们可以针对每项功能对系统进行评估：

ABACUS 还可以显示招聘工具的上游和下游依赖关系。

这有助于架构师和治理团队了解哪些团队负责，哪些流程受到影响，哪些技术相互连接，以及如果 AI 系统行为不当可能会造成哪些业务影响。

 

结语

NIST人工智能风险管理框架为组织负责任地管理人工智能提供了切实可行的基础。

到2026年，对于那些认真对待人工智能应用的企业而言，构建这样的基础架构已不再是可选项。人工智能系统正变得越来越强大、越来越普及，也越来越重要。企业需要一种结构化的方法来管理这种规模带来的风险。

通过将 NIST AI RMF 与企业架构实践相结合，团队可以超越政策文件，创建跨业务能力、系统、数据、流程和技术组合的 AI 风险的动态视图。

那就是 ABACUS 可以提供帮助。

与 ABACUS组织可以直接在企业架构环境中应用 NIST AI RMF，评估 AI 系统，跟踪风险概况，了解依赖关系，并更加清晰、自信地管理 AI 治理。

人工智能风险就是企业风险，理应在企业层面得到重视。

 

常見問題解答

什么是 NIST AI 风险管理框架？

NIST AI 风险管理框架是美国国家标准与技术研究院推出的一个自愿性框架，旨在帮助组织识别、评估、管理和控制与人工智能系统相关的风险。

NIST AI RMF 的四个功能是什么？

NIST AI RMF 的四项功能是治理、映射、衡量和管理。这些功能帮助组织建立问责制、了解 AI 系统环境、评估风险并实施缓解措施。

NIST AI RMF 是强制性的吗？

NIST AI RMF 是自愿性的。然而，许多组织将其作为人工智能治理、风险管理和负责任的人工智能应用的实用基础。

NIST AI RMF 是否适用于生成式 AI？

是的。NIST AI RMF 广泛适用于人工智能系统，包括生成式人工智能。NIST 还发布了针对生成式人工智能风险的补充指南，包括与幻觉、安全、滥用、隐私和有害内容相关的风险。

谁应该使用 NIST AI RMF？

该框架对高管、企业架构师、人工智能治理团队、数据治理团队、网络安全负责人、合规团队、产品负责人以及负责人工智能系统的业务负责人都很有用。

企业架构师如何支持人工智能风险管理？

企业架构师可以将人工智能系统映射到业务能力、应用程序、数据流、技术、流程、所有者和依赖关系。这有助于组织了解人工智能风险对业务的全面影响。

如何 ABACUS 支持NIST人工智能风险管理框架（RMF）吗？

ABACUS 帮助组织根据 NIST AI RMF 评估 AI 系统，创建 AI 风险概况，映射依赖关系，评估合规性，分配所有权，并了解 AI 风险对整个企业架构的业务影响。