NIST AI RMF für Modelle und KI-Agenten, mit Schritten zur Umsetzung

Das NIST AI Risk Management Framework ist still und leise zur gemeinsamen Sprache für das Risiko von KI geworden. Es ist freiwillig, von der Technik unabhängig und weit über die Vereinigten Staaten hinaus im Einsatz, zitiert in Beschaffung, Aufsicht durch Vorstände und Programmen zur regulatorischen Bereitschaft, weil es Teams einen strukturierten Weg gibt, das Risiko von KI zu steuern, ohne eine starre Checkliste vorzuschreiben. Im Januar 2023 als AI RMF 1.0 veröffentlicht, ist es gerade deshalb gut gealtert, weil es Ergebnisse beschreibt statt bestimmter Technik.

Dieser Ansatz wird nun auf die Probe gestellt. 2024 hat NIST ein Generative AI Profile (NIST-AI-600-1) ergänzt, um den Rahmen auf generative KI-Modelle zuzuschneiden. Am 17. Februar 2026 hat NIST dann über sein Center for AI Standards and Innovation eine eigene AI Agent Standards Initiative gestartet, die genau auf die nächste Welle zielt: Agenten, die eigenständig im Namen ihrer Nutzer handeln können. Die Botschaft ist klar. Das Gespräch über Risiko hat sich von „was wird das Modell sagen?“ zu „was wird der Agent tun?“ verschoben, und das AI RMF ist der Rahmen, den die meisten Unternehmen über beides spannen werden.

Wenn Sie die vollständige Definition wollen, behandelt unser Glossar die Grundlagen des NIST AI RMF. Hier die Fassung für die Praxis. Der Rahmen hat vier Funktionen, und der Kniff ist, dass drei davon als wiederkehrender Kreislauf laufen, während die vierte sie umgibt:

• Govern ist die übergreifende Funktion: die Kultur, die Richtlinien, die verantwortlichen Rollen und die Aufsicht, die die anderen drei dauerhaft statt zufällig machen.
• Map schafft Kontext und erkennt Risiko: was das System ist, wen es betrifft, welche Daten es nutzt und was schiefgehen kann.
• Measure analysiert, vergleicht und beobachtet diese Risiken mit Kennzahlen, Prüfungen und Red-Teaming.
• Manage priorisiert und handelt: jedes Risiko behandeln, übertragen, vermeiden oder annehmen, und für Reaktion und Wiederherstellung planen.

Nichts davon ist dem Geist nach neu; es ist klassisches Risikomanagement, auf KI gerichtet. Neu ist, wie viel schwerer jede Funktion wird, wenn das, was Sie regeln, von sich aus handeln kann.

Ein Modell ist begrenzt. Sie schicken ihm eine Eingabe, es liefert eine Ausgabe, und Sie steuern beide Enden. Das Generative AI Profile von NIST (NIST AI 600-1) führt zwölf Risiken auf, die für generative KI eigen sind, von Verzerrung und dem Abfluss personenbezogener Daten bis zur Preisgabe geistigen Eigentums, und zwei davon sind klar Probleme der Data Governance. Confabulation, also das selbstbewusste Erzeugen falscher Inhalte, ist nach der eigenen Darstellung von NIST eine natürliche Folge davon, wie generative Modelle Text vorhersagen, und am schlimmsten bei offenen Aufgaben für Fachleute, also genau dort, wo die Verankerung in vertrauenswürdigem Kontext am meisten hilft. Value chain and component integration deckt nicht nachvollziehbare vorgelagerte Bausteine und Daten ab, die unsauber beschafft oder nie bereinigt wurden, was ein Problem von Lineage und Herkunft unter anderem Namen ist. Ein Modell können Sie weiterhin prüfen, indem Sie seine Ausgaben abklopfen.

Ein Agent ist nicht auf dieselbe Weise begrenzt. Er plant, ruft Werkzeuge auf, handelt in laufenden Systemen und trägt ein Gedächtnis über Schritte hinweg. Das weitet die Risikofläche erheblich: Ein Agent kann Daten erreichen, die er nicht dürfte, eine Handlung ausführen, die niemand freigegeben hat, einen kleinen Fehler zu einem großen verketten oder über genau die Werkzeuge manipuliert werden, die er nutzt. NIST hat diese Lücke offen benannt; neben der Initiative zu Agenten laufen Arbeiten an Control Overlays zu SP 800-53 für Systeme mit einem und mit mehreren Agenten, und ein Konzeptpapier des NCCoE von 2026 behandelt eigens, wie Agenten zu authentifizieren und zu autorisieren sind, die eigenständig im Namen eines Nutzers handeln.

Der Rahmen ändert sich nicht. Die vier Funktionen gelten weiterhin. Aber jede Funktion muss nun Werkzeuge, Handlungen und Zugriffe abdecken, nicht nur Ausgaben.

So bringen Sie die vier Funktionen in die Praxis, wobei die Ergänzungen für Agenten eigens hervorgehoben sind. Nehmen Sie das als Anfangsreihenfolge, nicht als starre Ordnung; in der Praxis kehren Sie fortlaufend dorthin zurück.

Govern, das Fundament. Stellen Sie zuerst die Grundlagen auf: ein einziges Verzeichnis jedes KI-Systems, das Sie betreiben (Modelle wie Agenten), eine KI-Richtlinie, die zulässige Nutzung und Risikotoleranz benennt, und eine verantwortliche Person je System. Hier verbinden Sie das Risiko von KI auch mit den Pflichten, die Sie ohnehin tragen, vom EU AI Act bis zur internen Datenrichtlinie. Ohne Govern werden die anderen drei Funktionen zu einmaligen Heldentaten, die verfallen, sobald die Aufmerksamkeit weiterzieht.

Map, Kontext schaffen. Halten Sie für ein Modell seinen Zweck, seine Beteiligten und die Daten fest, auf denen es trainiert wurde und die es nutzt. Gehen Sie für einen Agenten weiter: Erfassen Sie die Werkzeuge, die er aufrufen kann, und die Daten, die er erreicht, und stufen Sie ein, wie sensibel jedes davon ist. Sie können nicht erkennen, was schiefgehen kann, bevor Sie wissen, was das System berühren kann, und bei Agenten ist diese Liste die Risikokarte.

Measure, Risiko sichtbar machen. Prüfen Sie Modelle auf Genauigkeit, Verzerrung, Robustheit und die Risiken generativer KI aus NIST-AI-600-1 und lassen Sie vor der Freigabe ein Red Team darauf los. Ergänzen Sie bei Agenten die Beobachtung zur Laufzeit: Protokollieren und prüfen Sie die Handlungen eines Agenten, führen Sie jede Entscheidung auf die Daten und Werkzeuge dahinter zurück und achten Sie auf Verhalten, das von der vorgesehenen Nutzung abdriftet. Ein Modell wird geprüft; ein Agent muss beobachtet werden.

Manage, auf Erkanntes reagieren. Priorisieren Sie die Risiken, die zählen, und handeln Sie. Bei Agenten heißt das konkrete Kontrollen: eng gefasster Zugriff, sodass ein Agent nur erreicht, was seine Aufgabe braucht, Leitplanken für folgenreiche Handlungen, menschliche Freigabe für unumkehrbare Schritte und ein verlässlicher Weg, einen Agenten zu stoppen, der sich danebenbenimmt, dazu ein Meldeweg für den Fall, dass doch etwas durchrutscht. Ein Risiko anzunehmen ist bei geringer Tragweite eine gültige Wahl, solange es eine dokumentierte Entscheidung ist und kein Versehen.

Lesen Sie diese Schritte noch einmal und achten Sie darauf, was sie stillschweigend voraussetzen. Map setzt voraus, dass Sie wissen, welche Daten und Werkzeuge es gibt und wie sensibel jedes ist. Measure setzt voraus, dass Sie ein Ergebnis auf seine Quelle zurückführen können. Manage setzt voraus, dass es eine verantwortliche Person gibt, die handeln kann. Das AI RMF beschreibt, wie gutes Risikomanagement aussieht; zu dem Untergrund, auf dem jede Funktion läuft, schweigt es weitgehend. Dieser Untergrund sind geregelte Daten und ein klares, geteiltes Verständnis dessen, was sie bedeuten.

NIST ist dazu in der Praxis deutlich. Im Generative AI Profile sind die vorgeschlagenen Maßnahmen jeder Funktion zugeordnet (Govern, Map, Measure, Manage), und mehrere verlangen unmittelbar, Herkunft und Geschichte der Trainingsdaten zu verfolgen und Dritte über den Lebenszyklus der KI hinweg zu prüfen. Von der Sprache des Rahmens befreit, sind das Aufgaben für Katalog, Lineage und Klassifizierung. Der Rahmen zeigt auf geregelte Daten; er reicht sie Ihnen nicht.

Hier bleiben die meisten Programme zum Risiko von KI stecken, und mit Agenten wird es schlimmer. Sie können den Zugriff eines Agenten nicht eng fassen, wenn Sie nicht wissen, was sensibel ist. Sie können seine Handlungen nicht sinnvoll beobachten, wenn Sie sie nicht auf geregelte Daten zurückführen können. Sie können einer Aufsicht nicht „das Modell hat entschieden“ als Antwort geben. Der Rahmen benennt die Disziplin; sie praktisch umsetzbar zu machen ist ein Problem von Daten und Kontext.

Ein Context Layer ist der Weg, diesen Untergrund einmal zu liefern statt je Werkzeug. Er fügt einen Katalog dessen zusammen, was existiert, ein Glossar dessen, was jeder Begriff bedeutet, die Lineage, woher Daten kamen, und die Klassifizierung dessen, was sensibel ist, jeweils mit einer verantwortlichen Person, und stellt all das KI-Werkzeugen über das offene Model Context Protocol (MCP) bereit. Regeln Sie den Kontext einmal, und jedes Modell und jeder Agent liest dieselben vertrauenswürdigen Definitionen und dieselben Richtlinien, statt dass jedes für sich rät.

Genau diesen Weg geht Dawiso. Sein Fundament für Governance (Katalog, Glossar, Lineage, Klassifizierung) entsteht als Nebenprodukt der normalen Arbeit, und über den Context Layer und seinen MCP Server wird daraus genau der geregelte Kontext, den Map, Measure und Manage des AI RMF brauchen, um wirklich zu greifen. Der Rahmen gibt Ihnen die Disziplin. Geregelter Kontext ist das, was Sie sie tatsächlich ausführen lässt, für Modelle und für die Agenten, die nun auf Ihren Daten handeln.