Úvod do NIST AI RMF

Základy AI Risk Management Framework a jak začít s implementací

1. Co je NIST AI RMF

NIST AI Risk Management Framework je dobrovolný rámec vyvinutý americkým National Institute of Standards and Technology pro řízení rizik spojených s AI systémy.

Klíčové vlastnosti

Vlastnost	Popis
Dobrovolný	Není právně závazný, ale uznávaný jako best practice
Flexibilní	Adaptovatelný na různé velikosti organizací a odvětví
Iterativní	Kontinuální cyklus zlepšování
Komplementární	Doplňuje existující standardy (ISO, NIST CSF)

Verze a dokumenty

Dokument	Datum	Popis
AI RMF 1.0	Leden 2023	Základní framework
AI RMF Playbook	Leden 2023	Praktické akce
AI 600-1 (GAI Profile)	Červenec 2024	Specifika pro generativní AI

2. Proč NIST AI RMF

Pro české organizace

Důvod	Vysvětlení
EU AI Act kompatibilita	NIST metodologie je mapovatelná na požadavky EU AI Act
Mezinárodní uznání	Relevantní pro firmy s US mateřskou společností nebo klienty
Praktičnost	200+ konkrétních akcí s jasným návodem
Best Practice	Uznávaný standard v AI governance komunitě

Synergie s EU regulacemi

3. Čtyři základní funkce

3.1 GOVERN - Governance

Účel: Vytvořit kulturu a procesy pro řízení AI rizik

Klíčové oblasti:

Politiky a procedury
Role a odpovědnosti
Organizační kultura
Third-party management

Výstupy:

AI governance politika
Definované role (AI Risk Officer, AI Ethics Board)
Risk tolerance thresholds
Vendor management procesy

3.2 MAP - Mapování

Účel: Identifikovat kontext, účel a rizika AI systémů

Klíčové oblasti:

Inventura AI systémů
Definice intended use
Identifikace stakeholderů
Impact assessment

Výstupy:

AI System Inventory
Risk classification
Stakeholder mapping
DPIA/AIIA dokumentace

3.3 MEASURE - Měření

Účel: Analyzovat, testovat a validovat AI systémy

Klíčové oblasti:

Testování a validace (TEVV)
Metriky a KPIs
Bias assessment
Security testing

Výstupy:

Test results
Performance metrics
Fairness reports
Security assessment

3.4 MANAGE - Řízení

Účel: Prioritizovat rizika a implementovat mitigační opatření

Klíčové oblasti:

Risk prioritization
Mitigační akce
Incident management
Continuous improvement

Výstupy:

Risk treatment plans
Incident response procedures
Remediation actions
Improvement roadmap

4. Trustworthy AI charakteristiky

NIST definuje 7 klíčových charakteristik důvěryhodné AI:

4.1 Accountable & Transparent

Praktické kroky:

Definujte AI System Ownera pro každý systém
Implementujte logging a audit trail
Dokumentujte rozhodovací procesy
Komunikujte transparentně o použití AI

4.2 Fair with Harmful Bias Managed

Praktické kroky:

Testujte bias před nasazením
Monitorujte fairness metriky v produkci
Implementujte appeal/review proces
Diverzifikujte hodnotící týmy

4.3 Privacy Enhanced

Praktické kroky:

Proveďte DPIA pro AI zpracovávající PII
Implementujte privacy by design
Minimalizujte sběr dat
Zajistěte GDPR compliance

4.4 Safe

Praktické kroky:

Identifikujte potenciální harm scenarios
Implementujte safety guardrails
Testujte adversarial inputs
Zajistěte human override capability

4.5 Secure & Resilient

Praktické kroky:

Proveďte security assessment
Testujte adversarial robustness
Implementujte monitoring a alerting
Připravte incident response

4.6 Valid & Reliable

Praktické kroky:

Definujte performance metriky
Implementujte continuous monitoring
Proveďte pravidelnou revalidaci
Dokumentujte limitations

4.7 Explainable & Interpretable

Praktické kroky:

Dokumentujte model architecture
Implementujte explainability tools
Připravte user-friendly vysvětlení
Zajistěte právo na vysvětlení (GDPR Art. 22)

5. Jak začít - Quick Start

Krok 1: Vytvořte AI inventuru (Týden 1)

Pro každý AI systém zaznamenejte:
- [ ] Název a ID
- [ ] Účel použití
- [ ] Vlastník (Owner)
- [ ] Typ (Internal/Third-party/Embedded)
- [ ] Status (Development/Production/Retired)
- [ ] Risk level (Prohibited/High/Medium/Low)

Krok 2: Definujte odpovědnosti (Týden 2)

Role	Odpovědnost	Kdo ve vaší organizaci?
AI System Owner	Celková odpovědnost za systém
AI Risk Contact	Řízení rizik, compliance
Technical Lead	Technická implementace, testování
Data Steward	Kvalita dat, privacy

Krok 3: Klasifikujte rizika (Týden 3)

Pro každý AI systém:

Je zakázaný dle EU AI Act Art. 5?
- Ano → STOP, nepoužívat
- Ne → pokračujte
Spadá do Annex III (high-risk)?
- Ano → Full compliance program
- Ne → pokračujte
Vyžaduje transparentnost (Art. 50)?
- Chatbot, deepfake, emotion detection → Disclosure povinnosti
- Ne → Minimal requirements

Krok 4: Implementujte základní kontroly (Týden 4)

Minimální kontroly pro všechny AI systémy:

Dokumentace účelu a použití
Definovaný owner
Základní monitoring
User awareness

Dodatečné kontroly pro high-risk:

6. Maturity Assessment

Self-assessment otázky

Ohodnoťte svou organizaci (1-4):

Oblast	Otázka	Score
GOVERN	Máme definované AI politiky a role?	/4
GOVERN	Je AI governance součástí kultury?	/4
MAP	Máme inventuru všech AI systémů?	/4
MAP	Provádíme impact assessment?	/4
MEASURE	Testujeme AI před nasazením?	/4
MEASURE	Monitorujeme performance v produkci?	/4
MANAGE	Máme incident response pro AI?	/4
MANAGE	Provádíme kontinuální zlepšování?	/4

Interpretace

Průměrné skóre	Tier	Doporučení
1.0 - 1.5	Partial	Zaměřte se na základy GOVERN
1.6 - 2.5	Risk Informed	Rozšiřte MAP a MEASURE
2.6 - 3.5	Repeatable	Optimalizujte MANAGE
3.6 - 4.0	Adaptive	Pokračujte v inovaci

7. Časté chyby

Chyba	Důsledek	Jak se vyhnout
Žádná inventura	Neznámá rizika	Začněte s MAP
Nejasné odpovědnosti	Nikdo není zodpovědný	Definujte role v GOVERN
Chybějící testování	Nespolehlivé systémy	Implementujte TEVV
Reaktivní přístup	Pozdní reakce na incidenty	Proaktivní MANAGE
Izolované řešení	Nekonzistentní governance	Integrujte s existujícími procesy

8. Další kroky

Po přečtení tohoto úvodu pokračujte na:

02-govern.md - Detailní implementace governance
03-map.md - Jak vytvořit AI inventuru a risk assessment
04-measure.md - Testování a měření AI systémů
05-manage.md - Řízení rizik a incident management
06-gai-rizika.md - Specifika generativní AI

Reference

AI-Native Entry Framework | CC BY-NC-SA 4.0