Zuletzt aktualisiert am:
NIST AI RMF-Profile sind maßgeschneiderte Implementierungen des NIST AI Risk Management Frameworks. NIST definiert drei Typen: Use-Case-Profile für spezifische Anwendungen, branchenübergreifende Profile, die industrieübergreifend Anwendung finden, sowie zeitliche Profile, die den aktuellen (Current) und angestrebten (Target) Zustand einer Organisation beschreiben. Das erste branchenübergreifende Profil, das Generative AI Profile (NIST AI 600-1), wurde im Juli 2024 veröffentlicht.
Welche Arten von AI-RMF-Profilen gibt es?
Anwendungsfallspezifische Profile (Use-Case Profiles). Zielgerichtete Implementierungen der AI-RMF-Funktionen für einen bestimmten Anwendungsfall oder ein bestimmtes Szenario, wie beispielsweise Personaleinstellungen oder faire Kreditvergabe.
Sektorübergreifende Profile (Cross-Sectoral Profiles). Branchen- und anwendungsübergreifend anwendbar, ohne an einen bestimmten Sektor oder eine bestimmte Technologie gebunden zu sein.
Temporäre Profile (Temporal Profiles). Ein Ist-Profil (Current Profile) beschreibt, wie das KI-Risiko heute verwaltet wird. Ein Soll-Profil (Target Profile) beschreibt die Ergebnisse, die erforderlich sind, um den gewünschten Zustand zu erreichen. Die Lücke zwischen beiden bildet die Roadmap.
Ein einzelnes Profil kann mehr als einem Typ angehören. Das Generative AI Profile ist sowohl ein anwendungsfallspezifisches als auch ein sektorübergreifendes Profil.
Was ist das Generative AI Profile?
NIST AI 600-1, veröffentlicht im Juli 2024, war die erste sektorübergreifende Ergänzung zu AI RMF 1.0. Es identifiziert 12 Risikokategorien, die entweder spezifisch für generative KI sind oder durch diese verstärkt werden, und schlägt Maßnahmen vor, die den vier Kernfunktionen des Frameworks zugeordnet sind: GOVERN, MAP, MEASURE und MANAGE. Da diese Maßnahmen dem bestehenden Kern zugeordnet sind, kann eine Organisation, die das AI RMF bereits nutzt, dieses als Erweiterung anstelle eines separaten Programms implementieren.
Wie funktionieren Ist- und Soll-Profile in der Praxis?
Temporäre Profile sind der Mechanismus, den die meisten Organisationen überspringen. Ein Ist-Profil ist eine ehrliche Einschätzung der aktuellen Situation und bringt in der Regel KI-Systeme zum Vorschein, die zuvor niemand erfasst hatte. Ein Soll-Profil legt die angestrebten Ergebnisse fest, basierend auf der Risikobereitschaft, den Branchenerwartungen und den regulatorischen Verpflichtungen. Die Governance-Arbeit wird so zu einer nachverfolgbaren Reihe von Lücken mit klaren Verantwortlichkeiten, anstatt zu einer unbefristeten Compliance-Übung zu werden. Die größte Einschränkung ist fast immer das Ist-Profil, da Sie kein Profil für ein Inventar erstellen können, das Sie nicht besitzen.
Gibt es Profile für Finanzdienstleistungen und agentische KI?
Ja. In diesen Bereichen haben sich die Profile am schnellsten weiterentwickelt. Das FS AI RMF, das im Februar 2026 vom US-Finanzministerium zusammen mit dem Cyber Risk Institute veröffentlicht wurde, orientiert sich am NIST AI RMF und fungiert als Finanzdienstleistungs-Overlay mit 230 Kontrollzielen. Die Cloud Security Alliance hat ein Profil für agentische KI (Agentic AI) veröffentlicht, das spezifische Risiken für autonome, werkzeugnutzende Systeme abdeckt. Beide zeigen das beabsichtigte Muster: NIST liefert den Kern, und die jeweiligen Communities bauen die Branchen- und Technologieschichten darauf auf.
Praxisbeispiel:
Ein Gesundheitsdienstleister, der LLMs für die klinische Berichterstattung einführt, erstellt ein Ist-Profil („Current Profile“) und entdeckt drei separate LLM-Bereitstellungen in zwei Abteilungen, von denen keine offiziell registriert ist. Die Organisation wendet das Profil für generative KI („Generative AI Profile“) an, um diese anhand der 12 GenAI-Risikokategorien zu bewerten, und stellt fest, dass die Risiken für Datenabfluss und Konfabulation für den Anwendungsfall der Berichterstattung nicht gemindert sind. Das Soll-Profil („Target Profile“) definiert die erforderlichen Ergebnisse: Es dürfen keine Patientenidentifikatoren an Drittanbieter-Endpunkte gesendet werden, und vor dem Eintrag eines Berichts in die Akte muss eine ärztliche Überprüfung stattfinden. Die Lücke zwischen den beiden Profilen wird in einen nachverfolgbaren Abhilfeplan mit benannten Verantwortlichen und Fristen überführt.
