Auf GitHub zählt das Thema “EU AI Act” bereits über 1.097 öffentliche Repositories, darunter Microsofts quelloffenes “Agent Governance Toolkit” (AGT), das seinen NIST AI RMF 1.0-Abgleich zuletzt am 2. Juli 2026 dokumentierte. Europäische Unternehmen stehen vor der Herausforderung, zwei unterschiedliche Governance-Rahmenwerke gleichzeitig zu erfüllen: den rechtsverbindlichen EU AI Act und den freiwilligen NIST AI RMF. Die wachsende Zahl praxisorientierter Open-Source-Tools zeigt, dass Compliance-Teams aktiv nach strukturierten Mapping-Lösungen suchen. Microsofts AGT-Dokument stellt dabei ausdrücklich klar, dass Selbstbewertungen keine validierten Zertifizierungen ersetzen und qualifizierte externe Audits zwingend notwendig bleiben.

NIST AI RMF und EU AI Act im Vergleich: Was europäische Unternehmen jetzt wissen müssen

Auf GitHub sind derzeit mehr als 1.000 öffentliche Repositorys zum Thema EU AI Act und knapp 300 zum Thema NIST AI RMF gelistet. Dieses Wachstum zeigt, wie stark die Nachfrage nach praxistauglichen Governance-Werkzeugen gestiegen ist. Microsofts öffentlich zugängliches Agent Governance Toolkit (AGT) enthält seit Juli 2026 eine interne Selbstbewertung zur Ausrichtung am NIST AI Risk Management Framework 1.0 und verdeutlicht, wie Unternehmen beide Standards in der Praxis zusammenführen können.

NIST AI RMF und EU AI Act: Zwei Frameworks, zwei Logiken

Der NIST AI RMF 1.0 (AI 100-1) ist ein freiwilliges, prinzipienbasiertes Rahmenwerk der US-amerikanischen Normungsbehörde NIST. Es gliedert sich in vier Kernfunktionen: GOVERN, MAP, MEASURE und MANAGE. Es beschreibt, wie Organisationen KI-Risiken identifizieren, bewerten, verfolgen und steuern sollen. Eine Zertifizierungspflicht existiert nicht. Das Framework richtet sich primär an Organisationen, die ein strukturiertes internes Risikomanagement aufbauen oder dokumentieren möchten.

Der EU AI Act ist dagegen verbindliches EU-Recht. Er klassifiziert KI-Systeme nach Risikoklassen und knüpft an Hochrisiko-Systeme umfangreiche Konformitätspflichten: technische Dokumentation, Transparenzanforderungen, Konformitätsbewertungen und Registrierungspflichten. Verstöße können mit erheblichen Bußgeldern geahndet werden. Für europäische Unternehmen gilt das Gesetz unabhängig davon, ob sie Systeme selbst entwickeln oder einsetzen.

Microsofts AGT-Selbstbewertung (Stand: 14. Juli 2026, zuletzt geprüft: 2. Juli 2026) illustriert, wie ein Open-Source-Toolkit die vier NIST-Funktionen adressiert. Das Dokument hält ausdrücklich fest, dass es sich um eine interne Selbstbewertung handelt und keine validierte Zertifizierung oder externe Prüfung darstellt.

Vier praktische Implikationen für Unternehmen

1. Compliance-Pflichten sind nicht optional, Governance-Qualität schon

Während der EU AI Act Mindestanforderungen rechtlich vorschreibt, lässt der NIST AI RMF Unternehmen erheblichen Spielraum bei der Ausgestaltung. Europäische Unternehmen müssen die EU-Anforderungen erfüllen, können aber das NIST-Framework nutzen, um ihre interne Governance-Reife gezielt weiterzuentwickeln. Wer beide Frameworks kennt, kann Redundanzen in der Dokumentationsarbeit vermeiden und Synergien nutzen. Einen Einstieg in die konkrete Umsetzung bieten die Artikel zur NIST AI RMF Implementierung für europäische Unternehmen sowie zur EU AI Act Compliance Roadmap.

2. Hochrisiko-Klassifizierung entscheidet über den Aufwand

Wer KI-Systeme in sensiblen Bereichen wie Personalentscheidungen, Kreditvergabe oder kritischer Infrastruktur einsetzt, fällt unter die Hochrisiko-Kategorie des EU AI Act. Die dort vorgeschriebene Konformitätsbewertung geht deutlich über eine interne Selbstbewertung im Sinne des NIST AI RMF hinaus. Unternehmen sollten frühzeitig prüfen, in welche Kategorie ihre Systeme fallen. Details zu den Konformitätspflichten finden sich in den Artikeln zur Konformitätsbewertung von Foundation Models und zu Hochrisiko-KI im Personalmanagement.

3. Open-Source-Toolkits ersetzen keine externe Prüfung

Das wachsende Ökosystem öffentlicher Repositorys zu EU AI Act und NIST AI RMF auf GitHub zeigt, dass Unternehmen zunehmend auf Open-Source-Lösungen setzen. Microsofts AGT-Dokumentation macht jedoch deutlich, was auch für andere Toolkits gilt: Selbstbewertungen ersetzen keine externe Prüfung durch qualifizierte Auditoren. Für regulierte Hochrisiko-Systeme im Sinne des EU AI Act ist eine interne Selbsteinschätzung als alleiniger Nachweis nicht ausreichend. Wie KI-Sicherheitsaudits in der Praxis bei größeren Unternehmen gestaltet werden, zeigt der Artikel zu KI-Sicherheitsaudits bei DAX-Konzernen.

4. Governance-Dokumentation früh aufbauen

Sowohl NIST AI RMF als auch EU AI Act verlangen umfangreiche Dokumentation: zu Risikobewertungen, Testmethoden, Kontrollmechanismen und organisatorischen Verantwortlichkeiten. Unternehmen, die jetzt mit dem Aufbau strukturierter Dokumentationsprozesse beginnen, vermeiden später kostspieligen Nachholbedarf. Der NIST-Ansatz, Risiken in den Dimensionen GOVERN, MAP, MEASURE und MANAGE zu erfassen, lässt sich dabei gut als Grundstruktur für die nach EU AI Act erforderliche technische Dokumentation nutzen. Weiterführende Informationen zu den Dokumentationspflichten bietet der Artikel zu EU AI Act Dokumentations- und Transparenzpflichten.

Einordnung

Beide Frameworks verfolgen das gemeinsame Ziel, KI-Risiken beherrschbar zu machen, unterscheiden sich aber grundlegend in ihrer Verbindlichkeit und Detailtiefe. Für europäische Unternehmen ist der EU AI Act die primäre rechtliche Referenz. Das NIST AI RMF kann als ergänzendes Governance-Instrument dienen, ersetzt aber keine EU-rechtliche Konformitätsbewertung. Die wachsende Zahl an Open-Source-Projekten auf GitHub zeigt, dass das Interesse an praxistauglichen Werkzeugen groß ist. Gleichzeitig macht die Selbstbewertungs-Dokumentation von Microsoft deutlich, dass solche Werkzeuge transparent mit ihren Grenzen umgehen müssen.

Quellen

• GitHub Topics: NIST AI RMF (github.com)
• GitHub Topics: EU AI Act (github.com)
• Microsoft Agent Governance Toolkit: NIST AI RMF Alignment Assessment (github.com)

Häufige Fragen

Was ist der Unterschied zwischen dem NIST AI RMF und dem EU AI Act?

Das NIST AI RMF (Referenz: NIST AI 100-1) ist ein freiwilliges Rahmenwerk zur Risikoverwaltung von KI-Systemen, das in vier Kernfunktionen gegliedert ist: GOVERN, MAP, MEASURE und MANAGE. Der EU AI Act ist hingegen verbindliches EU-Recht mit Pflichten je nach Risikoklasse des KI-Systems. Beide Rahmenwerke ergänzen sich inhaltlich, unterscheiden sich aber grundlegend in ihrer Rechtsverbindlichkeit.

Müssen europäische Unternehmen das NIST AI RMF zusätzlich zum EU AI Act umsetzen?

Nein, eine gesetzliche Pflicht zur Umsetzung des NIST AI RMF besteht in der EU nicht. Das Framework ist freiwillig. Allerdings dokumentieren Open-Source-Projekte wie Microsofts Agent Governance Toolkit (AGT) eine Ausrichtung an NIST AI RMF 1.0, um strukturierte Governance nachzuweisen. Unternehmen nutzen es oft ergänzend, da es konkrete operative Methoden bietet, die der EU AI Act nicht vorschreibt.

Wie viele Open-Source-Projekte befassen sich bereits mit NIST AI RMF und EU AI Act?

Auf GitHub sind zum Thema NIST AI RMF rund 299 öffentliche Repositories gelistet, zum Thema EU AI Act über 1.097. Darunter finden sich Plattformen, die beide Rahmenwerke kombinieren, etwa Compliance-Lösungen, die den EU AI Act, ISO 42001, das NIST AI RMF und mehr als 20 weitere Regulierungsrahmen abdecken.

Was bedeutet eine Selbstbewertung nach NIST AI RMF für die Compliance-Praxis?

Eine Selbstbewertung wie die des AGT-Projekts (zuletzt geprüft: Juli 2026) ist ausdrücklich kein validiertes Zertifikat und kein Drittparteien-Audit. Sie dokumentiert lediglich, wie die eigenen Fähigkeiten auf die Anforderungen des Rahmenwerks einzahlen. Für eine belastbare Compliance müssen Unternehmen eigene Bewertungen durch qualifizierte Prüfer durchführen lassen.

Können KI-Agenten ihre eigene Governance-Konformität selbst prüfen?

Ja, dieser Ansatz wird bereits in der Praxis erprobt. Projekte wie iFixAi verfolgen das Konzept des unabhängigen Audits von KI-Agenten, das sowohl durch Menschen als auch durch den Agenten selbst durchgeführt werden kann. Die zentrale Frage lautet dabei: Handelt der Agent wie vorgesehen? Solche Prüfungen sollen laut Projektbeschreibung in unter 120 Sekunden Ergebnisse liefern.

Dieser Artikel wurde von einem KI-System automatisiert erstellt. Kennzeichnung gemäß Art. 50 der EU-KI-Verordnung.