NIST veröffentlichte am 7. April 2026 ein Konzeptpapier für ein AI RMF-Profil zu Trustworthy AI in kritischer Infrastruktur. Das freiwillige Framework gliedert sich in vier Kernfunktionen: Govern, Map, Measure und Manage. Das NIST AI RMF ist zwar ein US-amerikanisches, nicht regulatorisches Dokument, wird aber in der US-Bundespolitik und internationalen Standards breit referenziert. Für europäische Unternehmen mit US-Geschäft oder globalen Lieferketten gewinnt das Framework an Relevanz, da es einen strukturierten Governance-Ansatz bietet, der mit bestehenden EU-Anforderungen kombinierbar ist. NIST überarbeitet das Framework derzeit im Rahmen des amerikanischen KI-Aktionsplans.

NIST AI Risk Management Framework: Anforderungen, Governance-Struktur und Umsetzung in europäischen Unternehmen

Das NIST AI Risk Management Framework (AI RMF) ist ein freiwilliges, technologieneutrales Instrument, das Organisationen aller Größen dabei unterstützen soll, Vertrauenswürdigkeit in den gesamten Lebenszyklus von KI-Systemen einzubetten. Seit seiner Veröffentlichung am 26. Januar 2023 gilt es als zentrale Referenz in der US-amerikanischen Bundespolitik und wird zunehmend auch in internationalen Standardprozessen herangezogen.

Aufbau: Vier Kernfunktionen strukturieren das Framework

Das AI RMF gliedert sich in vier aufeinander aufbauende Funktionen:

• Govern legt die kulturellen und organisatorischen Voraussetzungen für verantwortungsvolle KI-Nutzung fest, einschließlich Rollen, Verantwortlichkeiten und interner Rechenschaftspflichten.
• Map dient der Kontextualisierung: Unternehmen identifizieren, welche Risiken durch ihre KI-Systeme für Einzelpersonen, Organisationen und die Gesellschaft entstehen können.
• Measure beschreibt die Analyse und Bewertung dieser Risiken durch geeignete Methoden und Metriken.
• Manage umfasst die Reaktion auf identifizierte Risiken sowie deren kontinuierliches Monitoring.

Das Framework wurde in einem konsensbasierten, offenen Prozess erarbeitet, der mehrere öffentliche Kommentarrunden, Workshops und eine formelle Informationsanfrage einschloss. Es richtet sich an KI-Entwickler, Betreiber, Evaluatoren und Governance-Verantwortliche in allen Sektoren.

Aktuelle Revision: Inhaltliche Anpassungen auf politischen Impuls

NIST überarbeitet das AI RMF 1.0 derzeit im Rahmen des amerikanischen AI Action Plans. Laut NIST werden dabei Verweise auf Fehlinformation, Diversity-, Equity- und Inclusion-Konzepte sowie Klimawandel aus dem Dokument entfernt. Ziel ist es auch, das Framework an das Tempo der technologischen Entwicklung im KI-Bereich anzupassen. Die inhaltliche Verschiebung ist politisch motiviert und dürfte für europäische Unternehmen, die das Framework als Orientierung nutzen, eine selektive Anwendung einzelner Module nahelegen.

Am 7. April 2026 veröffentlichte NIST zudem ein Konzeptpapier für ein AI RMF-Profil speziell für vertrauenswürdige KI in kritischen Infrastrukturen. Dieses Profil soll Betreibern kritischer Infrastrukturen konkrete Risikomanagementpraktiken für den Einsatz KI-gestützter Systeme aufzeigen.

Praktische Implikationen für Unternehmen

1. Governance vor Technologie Das Framework setzt bewusst bei der organisatorischen Ebene an. Wer das AI RMF implementieren möchte, muss zunächst interne Zuständigkeiten klären: Wer trägt Verantwortung für KI-Entscheidungen, und wie ist dies dokumentiert? Für europäische Unternehmen, die gleichzeitig den Anforderungen des EU AI Acts genügen müssen, bietet die Govern-Funktion einen sinnvollen Ausgangspunkt, da beide Regelwerke auf klare Verantwortungsstrukturen abzielen.

2. Selektive Nutzung des Frameworks ist zulässig Da das AI RMF ausdrücklich freiwillig und nicht regulatorisch ist, können Unternehmen einzelne Funktionen oder das begleitende Playbook situativ einsetzen, ohne das gesamte Framework zu adoptieren. Kleine und mittelständische Unternehmen können etwa mit der Map-Funktion beginnen, um zunächst ein Risikoinventar ihrer bestehenden KI-Anwendungen zu erstellen.

3. Schnittstelle zum EU AI Act beachten Das AI RMF erhebt keinen Anspruch auf Rechtskonformität im europäischen Sinne. Europäische Unternehmen sollten es als ergänzendes Steuerungsinstrument verstehen, nicht als Erfüllungssurrogat für den EU AI Act. Eine Doppelnutzung ist sinnvoll, erfordert jedoch eine systematische Lückenanalyse zwischen den beiden Anforderungssystemen.

4. Kritische Infrastrukturen: Neues Profil im Blick behalten Das im April 2026 angekündigte Infrastrukturprofil richtet sich primär an US-amerikanische Betreiber, enthält jedoch technisch übertragbare Orientierungspunkte. Energieversorger, Gesundheitseinrichtungen oder Finanzdienstleister in Europa, die KI-Systeme in sicherheitskritischen Prozessen einsetzen, können das Konzeptpapier als Frühindikator für kommende Anforderungen nutzen.

Weiterführende Artikel

Quellen

• NIST AI Risk Management Framework – OECD AI Policy Observatory
• NIST AI Risk Management Framework – nist.gov (ITL)
• GitHub: Repositories zum Thema nist-ai-risk-management-framework

Häufige Fragen

Was ist das NIST AI Risk Management Framework und für wen gilt es?

Das NIST AI Risk Management Framework (AI RMF, auch NIST AI 100) ist ein freiwilliges, nicht regulatorisches Dokument des US-amerikanischen National Institute of Standards and Technology. Es richtet sich an Organisationen aller Größen und Branchen, die KI-Systeme entwickeln, einsetzen, bewerten oder in ihrer Governance verantworten. Es ist technologieneutral gestaltet und damit grundsätzlich auch für europäische Unternehmen anwendbar, die US-Märkte bedienen oder internationale KI-Standards als Orientierung nutzen.

Welche vier Kernfunktionen strukturieren das NIST AI RMF?

Das Framework gliedert sich in vier Kernfunktionen: Govern (Aufbau einer Verantwortungskultur und organisatorischer Strukturen), Map (Kontexterfassung und Identifikation von KI-Risiken), Measure (Analyse und Bewertung dieser Risiken) sowie Manage (Reaktion auf Risiken und fortlaufendes Monitoring). Diese vier Funktionen bilden einen iterativen Prozess, der Unternehmen dabei unterstützt, Vertrauenswürdigkeit systematisch in den gesamten KI-Lebenszyklus zu integrieren.

Wie wurde das NIST AI RMF entwickelt und wann wurde es veröffentlicht?

Das Framework wurde in einem konsensbasierten, offenen und transparenten Prozess erarbeitet. Dieser umfasste eine öffentliche Informationsanfrage, mehrere Entwurfsversionen mit Kommentierungsmöglichkeiten sowie diverse Workshops mit Vertretern aus Privatwirtschaft und öffentlichem Sektor. Die finale Version AI RMF 1.0 wurde am 26. Januar 2023 veröffentlicht. Derzeit arbeitet NIST an einer Revision des Frameworks, unter anderem im Rahmen des US-amerikanischen AI Action Plan.

Welche aktuellen Entwicklungen gibt es beim NIST AI RMF?

Am 7. April 2026 veröffentlichte NIST ein Konzeptpapier für ein AI RMF-Profil speziell für vertrauenswürdige KI in kritischen Infrastrukturen. Dieses Profil soll Betreiber kritischer Infrastrukturen dabei anleiten, konkrete Risikomanagementpraktiken beim Einsatz KI-gestützter Systeme zu berücksichtigen. Parallel dazu wird die AI RMF 1.0 überarbeitet, um sie an aktuelle technologische Entwicklungen anzupassen.

Wie können europäische Unternehmen das NIST AI RMF neben dem EU AI Act nutzen?

Das NIST AI RMF ist freiwillig und ergänzt verbindliche Regelwerke wie den EU AI Act. Europäische Unternehmen können es als praxisorientiertes Steuerungsinstrument nutzen, da es technologieneutral und auf Organisationen jeder Größe ausgelegt ist. Die vier Kernfunktionen Govern, Map, Measure und Manage lassen sich mit internen Compliance-Prozessen verzahnen. Zudem existieren öffentlich verfügbare Umsetzungshilfen, etwa ein AI RMF Playbook sowie Community-Ressourcen, die Governance-Teams bei der praktischen Anwendung unterstützen.