13-03-02 — NIST AI Risk Management Framework
TL;DR
O NIST AI RMF (AI Risk Management Framework, publicado em jan/2023) é o standard de facto para gestão de risco em IA nos EUA e referência global adotada por múltiplos países. Quatro funções: GOVERN, MAP, MEASURE, MANAGE. Voluntário por natureza, mas exigido por contratos com governo americano e progressivamente incorporado em regulações sectoriais. Relevante para quem tem clientes multinacionais.
Por que NIST RMF Importa para Empresas Brasileiras
Mesmo sem obrigação legal direta no Brasil, o NIST AI RMF importa porque:
- Clientes multinacionais (Vale, Michelin, TIM) seguem frameworks globais
- Contratação com empresas americanas frequentemente exige compliance
- LGPD regulamentações complementares tendem a referenciar frameworks internacionais
- É o framework mais maduro e bem documentado disponível gratuitamente
As Quatro Funções do AI RMF
GOVERN — A Base
Estabelece a cultura, políticas e processos para gestão de risco em IA na organização.
- Políticas de IA documentadas e aprovadas pela liderança
- Roles e responsabilidades definidas (quem é accountable por cada sistema?)
- Capacitação da equipe em riscos de IA
- Processos de feedback e melhoria contínua
- Engajamento de stakeholders externos (clientes, reguladores)
MAP — Contexto e Riscos
Identifica o contexto de cada sistema de IA e categoriza os riscos.
- Documentar propósito, usuários, contexto de uso
- Identificar stakeholders afetados (incluindo grupos vulneráveis)
- Catalogar riscos por categoria: técnicos, éticos, legais, operacionais
- Priorizar riscos por probabilidade e impacto
MEASURE — Quantificar
Mede e avalia os riscos identificados.
- Métricas de desempenho e equidade (bias, acurácia por grupo)
- Testes adversariais (red teaming)
- Avaliação de explicabilidade e interpretabilidade
- Benchmarks de segurança e robustez
MANAGE — Responder e Melhorar
Trata os riscos identificados e medidos.
- Planos de mitigação para cada risco priorizado
- Processos de incidente e resposta
- Monitoramento contínuo em produção
- Desativação responsável quando necessário
AI RMF para Sistemas Generativos (GenAI Profile)
Em 2024, o NIST publicou o "Generative AI Profile" — extensão do RMF especificamente para LLMs e sistemas generativos. Adiciona riscos específicos:
- CBRN risks (Chemical, Biological, Radiological, Nuclear) — capacidade de instruções perigosas
- Data privacy (memorização de dados de treinamento)
- Homogenization — convergência de perspectivas pelo uso massivo do mesmo modelo
- Human-AI configuration (usuários que confiam demais)
- Information integrity (desinformação em escala)
Alinhamento NIST ↔ Microsoft Responsible AI
| NIST RMF | Princípio Microsoft |
|---|---|
| GOVERN | Accountability |
| MAP (stakeholders) | Inclusiveness, Fairness |
| MEASURE (bias) | Fairness |
| MEASURE (safety) | Reliability & Safety |
| MANAGE | Accountability, Transparency |