Politikker for risiko ved kunstig intelligens lyder ofte overbevisende, indtil et team skal afgøre, om et system er klar til virkelige mennesker. Det amerikanske National Institute of Standards and Technology, NIST, har udviklet den frivillige AI Risk Management Framework, eller AI RMF, for at hjælpe organisationer med at indarbejde hensyn til troværdighed i design, udvikling, anvendelse og evaluering af AI-systemer. Den praktiske kerne er organiseret omkring fire funktioner: Govern, Map, Measure og Manage.
Funktionerne er ikke en engangssekvens, og de er ikke et certificeringsmærke. De er forbundne former for arbejde. Styring former alle beslutninger; kortlægning giver målinger en sammenhæng; måling leverer dokumentation; og håndtering omsætter denne dokumentation til prioriteter og handling.
Govern: gør ansvaret synligt
Govern er fundamentet. Et team har brug for navngivne ejere, eskalationsveje, politikker, krav til dokumentation og en metode til at inddrage berørte perspektiver. Det skal være klart, hvem der kan godkende en idriftsættelse, hvem der kan standse den, hvem der undersøger en hændelse, og hvilken dokumentation der skal opbevares.
En nyttig registrering af styringen er konkret. I stedet for at sige, at »mennesker bevarer kontrollen«, skal man angive, hvilken beslutning et menneske gennemgår, hvilke oplysninger den pågældende har adgang til, hvor meget tid der er til rådighed, og hvad der sker ved lav sikkerhed. Styring omfatter også leverandører: et indkøbt modelprodukt flytter ikke ansvaret væk fra den organisation, der bruger det.
Map: forstå systemet i dets sammenhæng
Map spørger, hvad AI-systemet skal bruges til, hvor det skal fungere, og hvem der kan opleve dets fordele eller skadevirkninger. Den samme model kan indebære vidt forskellig risiko i et privat skriveværktøj, et screeningssystem til rekruttering eller et klinisk arbejdsforløb. Teams bør beskrive den tilsigtede brug, forudsigeligt misbrug, berørte grupper, afhængigheder, dataenes oprindelse og konsekvenserne af en fejl.
God kortlægning registrerer også antagelser. Understøttes inputsproget? Ved brugeren, at outputtet er maskingenereret? Kan en person anfægte et resultat? Hvilket miljø blev anvendt under testen, og hvordan adskiller produktionen sig? En udtrykkelig antagelse kan testes; en skjult antagelse bliver til en overraskelse.
Measure: indsamling af dokumentation, der besvarer de kortlagte spørgsmål
Measure er bredere end rapportering af én nøjagtighedsscore. Afhængigt af sammenhængen kan dokumentationen omfatte driftssikkerhed ved skiftende input, resultater for undergrupper, test af privatliv og sikkerhed, forekomst af skadeligt indhold, kalibrering, tilgængelighed, undersøgelser af menneskelige faktorer og observationer efter idriftsættelsen. Målemetoden skal være knyttet til den risiko, der blev beskrevet under kortlægningen.
Teams bør fastsætte tærskler, før resultaterne foreligger, dokumentere begrænsninger og gemme mislykkede test i stedet for kun at udvælge gunstige tal. Nogle skadevirkninger er vanskelige at reducere til ét enkelt mål, så kvalitativ gennemgang og feedback fra berørte mennesker kan supplere kvantitative test. Måling reducerer usikkerhed; den fjerner den ikke.
Manage: prioritér, reagér og fortsæt overvågningen
Manage omsætter risikobilledet til beslutninger. Et team kan afbøde en risiko, begrænse anvendelsen, tilføje menneskelig gennemgang, overvåge en ledende indikator, forberede en tilbagerulning eller beslutte ikke at sætte systemet i drift. Prioriteterne bør afspejle sandsynlighed, alvor og organisationens risikotolerance, ikke blot hvilken rettelse der er lettest.
Risikohåndteringen fortsætter efter lanceringen. Modeller, data, brugeradfærd og ydre forhold kan ændre sig. En praktisk plan omfatter derfor overvågning, håndtering af hændelser, ændringsstyring og en udløser for en ny vurdering. Hvis en modelopdatering ændrer adfærden, er en tidligere testrapport historisk dokumentation, ikke en automatisk godkendelse af den nye version.
Brug profiler til at tilpasse rammen til den konkrete sammenhæng
NIST beskriver profiler som anvendelser af rammens funktioner, kategorier og underkategorier i en bestemt sammenhæng. En nuværende profil kan beskrive, hvordan en organisation håndterer et anvendelsestilfælde i dag; en målprofil kan beskrive den ønskede tilstand. Forskellen mellem dem skaber en konkret liste over forbedringer.
Denne tilpasning er vigtig, fordi Playbook ikke er en tjekliste, som enhver organisation skal følge i sin helhed. NIST præsenterer foreslåede handlinger, som brugerne kan vælge mellem efter deres anvendelsestilfælde, ressourcer og interesser. Hvis alle forslag kopieres uden forbindelse til en reel beslutning, kan resultatet blive papirarbejde uden sikrere resultater.
Et startmønster for små teams
- Govern: navngiv ejeren, den ansvarlige for gennemgang, retten til at standse og placeringen af dokumentationen.
- Map: beskriv den tilsigtede brug, de berørte mennesker, de vigtigste fejlmåder og antagelserne.
- Measure: vælg test og tærskler, der adresserer disse fejlmåder.
- Manage: afgør, hvad der skal ændres før lancering, og hvad der senere skal udløse tilbagerulning eller en ny gennemgang.
Gennemfør de fire funktioner igen, når anvendelsestilfældet, modellen, dataene eller driftsmiljøet ændrer sig. Værdien ligger ikke i antallet af producerede dokumenter. Den ligger i, om organisationen kan forklare, hvad den vidste, hvad den testede, hvad den besluttede, og hvem der fortsat er ansvarlig.
Hvad rammen kan og ikke kan bevise
Brug af AI RMF kan forbedre disciplinen og det fælles sprog, men den beviser ikke i sig selv, at et system er sikkert, lovligt eller egnet. NIST beskriver rammen som frivillig og den tilhørende Playbook som en fleksibel ressource. Juridiske forpligtelser, branchespecifikke regler og uafhængig kontrol kan stadig være gældende.
Den ansvarlige påstand er derfor beskeden: de fire funktioner hjælper teams med at stille bedre spørgsmål og forbinde principper med beslutninger, der bygger på dokumentation. De er en struktur for løbende risikostyring, ikke et mærke, der afslutter samtalen.
Primære kilder
NIST AI Risk Management Framework og NIST AI RMF Playbook. Tilgået 11. september 2026.