Politike o rizicima umjetne inteligencije često zvuče uvjerljivo sve dok tim ne mora odlučiti je li sustav spreman za stvarne ljude. Američki Nacionalni institut za standarde i tehnologiju, NIST, osmislio je dobrovoljni AI Risk Management Framework, odnosno AI RMF, kako bi organizacijama pomogao uključiti pitanja pouzdanosti u projektiranje, razvoj, uporabu i vrednovanje sustava umjetne inteligencije. Njegova praktična jezgra organizirana je oko četiri funkcije: Govern, Map, Measure i Manage.
Te funkcije nisu jednokratni slijed koraka niti oznaka certifikacije. One su međusobno povezane vrste rada. Upravljanje oblikuje svaku odluku; mapiranje mjerenjima daje kontekst; mjerenje pruža dokaze; a postupanje s rizicima pretvara te dokaze u prioritete i aktivnosti.
Govern: učinite odgovornost vidljivom
Govern je temelj. Tim treba imenovane odgovorne osobe, putove eskalacije, politike, zahtjeve za dokumentiranje i način uključivanja perspektiva pogođenih osoba. Mora znati tko može odobriti uvođenje sustava, tko ga može zaustaviti, tko istražuje incident i koje dokaze treba sačuvati.
Koristan zapis o upravljanju mora biti konkretan. Umjesto tvrdnje da „ljudi zadržavaju kontrolu“, potrebno je navesti koju odluku čovjek pregledava, koje su mu informacije dostupne, koliko vremena ima i što se događa kada je razina pouzdanosti niska. Upravljanje obuhvaća i dobavljače: kupljeni model ne prebacuje odgovornost s organizacije koja ga koristi.
Map: razumijte sustav u njegovu kontekstu
Map postavlja pitanja čemu sustav umjetne inteligencije služi, gdje će raditi i tko može osjetiti njegove koristi ili štetu. Isti model može nositi vrlo različit rizik u privatnom alatu za pisanje, sustavu za odabir kandidata ili kliničkom radnom procesu. Timovi trebaju opisati namjeravanu uporabu, predvidivu zlouporabu, pogođene skupine, ovisnosti, podrijetlo podataka i posljedice neuspjeha.
Dobro mapiranje bilježi i pretpostavke. Je li podržan jezik ulaznih podataka? Hoće li korisnik znati da je rezultat strojno generiran? Može li osoba osporiti rezultat? Koje je okruženje korišteno tijekom testiranja i po čemu se produkcijsko okruženje razlikuje? Izričita pretpostavka može se ispitati; skrivena pretpostavka postaje iznenađenje.
Measure: prikupite dokaze koji odgovaraju na mapirana pitanja
Measure obuhvaća više od izvještavanja o jednoj ocjeni točnosti. Ovisno o kontekstu, dokazi mogu uključivati pouzdanost pri promjenjivim ulazima, rezultate za podskupine, testove privatnosti i sigurnosti, učestalost štetnog sadržaja, kalibraciju, pristupačnost, istraživanja ljudskih čimbenika i opažanja nakon uvođenja. Mjerilo mora biti povezano s rizikom opisanim tijekom mapiranja.
Timovi trebaju definirati pragove prije nego što dobiju rezultate, dokumentirati ograničenja i sačuvati neuspjele testove umjesto da odabiru samo povoljne brojke. Neke je štete teško svesti na jedno mjerilo, pa kvalitativni pregled i povratne informacije pogođenih ljudi mogu nadopuniti kvantitativno testiranje. Mjerenje smanjuje neizvjesnost; ne uklanja je.
Manage: odredite prioritete, reagirajte i nastavite pratiti
Manage pretvara sliku rizika u odluke. Tim može ublažiti rizik, ograničiti slučaj uporabe, dodati ljudski pregled, pratiti vodeći pokazatelj, pripremiti povratak na prethodno stanje ili odlučiti ne uvesti sustav. Prioriteti trebaju odražavati vjerojatnost, ozbiljnost i toleranciju organizacije na rizik, a ne samo to koji je popravak najlakši.
Upravljanje se nastavlja i nakon pokretanja. Modeli, podaci, ponašanje korisnika i vanjski uvjeti mogu se promijeniti. Praktičan plan zato uključuje praćenje, postupanje s incidentima, kontrolu promjena i okidač za ponovnu procjenu. Ako ažuriranje modela promijeni njegovo ponašanje, ranije izvješće o testiranju povijesni je dokaz, a ne automatsko odobrenje nove verzije.
Prilagodite okvir lokalnim okolnostima pomoću profila
NIST opisuje profile kao primjene funkcija, kategorija i potkategorija okvira za određeno okruženje. Trenutačni profil može opisati kako organizacija danas upravlja nekim slučajem uporabe; ciljni profil može opisati željeno stanje. Razlika između njih stvara konkretan popis potrebnih poboljšanja.
Ta je prilagodba važna jer Playbook nije kontrolni popis koji svaka organizacija mora u cijelosti slijediti. NIST navodi predložene aktivnosti koje korisnici mogu odabrati prema svojem slučaju uporabe, resursima i interesima. Prepisivanje svakog prijedloga bez povezivanja sa stvarnom odlukom može stvoriti administraciju bez sigurnijih rezultata.
Početni obrazac za mali tim
- Govern: imenujte odgovornu osobu, osobu koja pregledava, ovlast za zaustavljanje i mjesto čuvanja dokaza.
- Map: zapišite namjeravanu uporabu, pogođene ljude, glavne načine neuspjeha i pretpostavke.
- Measure: odaberite testove i pragove koji se odnose na te načine neuspjeha.
- Manage: odlučite što se mora promijeniti prije pokretanja i što će poslije aktivirati povratak ili ponovni pregled.
Ponovno provedite četiri funkcije kada se promijene slučaj uporabe, model, podaci ili operativno okruženje. Vrijednost nije u broju proizvedenih dokumenata. Ona je u tome može li organizacija objasniti što je znala, što je testirala, što je odlučila i tko i dalje snosi odgovornost.
Što okvir može dokazati — a što ne može
Primjena AI RMF-a može poboljšati disciplinu i zajednički jezik, ali sama po sebi ne dokazuje da je sustav siguran, zakonit ili prikladan. NIST okvir opisuje kao dobrovoljan, a prateći Playbook kao prilagodljiv izvor. Pravne obveze, sektorska pravila i neovisna provjera i dalje se mogu primjenjivati.
Odgovorna je tvrdnja stoga odmjerena: četiri funkcije pomažu timovima postavljati bolja pitanja i povezati načela s odlukama potkrijepljenima dokazima. One su struktura za kontinuirano upravljanje rizicima, a ne oznaka koja završava raspravu.
Primarni izvori
NIST AI Risk Management Framework i NIST AI RMF Playbook. Pristupljeno 11. rujna 2026.