NIST AI RMF（AIリスク管理フレームワーク）
NIST AI RMFとは、米国の国立標準技術研究所（NIST）が公表した、組織がAIのリスクを管理するための枠組みのことです。 AI Risk Management Frameworkの略で、2023年1月に最初の版が公表されました。
別表記：NIST AI RMF／AI RMF／AIリスク管理フレームワーク／AI Risk Management Framework／NIST AI 100-1
どういうものか
法律でも規格でもなく、任意で参照する枠組みです。組織がAIのリスクをどう考え、どう管理すればよいかを、体系的に整理しています。認証制度はありません。
AIのリスクを、技術的な欠陥だけでなく、人や社会への影響まで含めて広く捉えているのが特徴です。信頼できるAIの性質として、有効で信頼性があること、安全であること、セキュリティと回復力があること、説明可能であること、プライバシーが守られていること、公平であること、透明性と説明責任があること、を挙げています。
四つの機能
枠組みは、四つの機能で構成されています。
統治（Govern）は、組織としてAIのリスク管理の文化と体制を作ることです。方針、役割、責任を定めます。他の三つの機能の土台になります。
特定（Map）は、AIがどんな文脈で使われ、どんなリスクがあるかを把握することです。
測定（Measure）は、特定したリスクを分析し、評価することです。
管理（Manage）は、評価に基づいて対策の優先順位をつけ、実行することです。
それぞれの機能に、具体的な実践項目が示されています。
なぜ日本の企業が参照するのか
米国の枠組みですが、国際的に広く参照されています。日本の「AI事業者ガイドライン」も、こうした国際的な枠組みと整合する形で作られています。海外の取引先や親会社から、AIのリスク管理についての説明を求められたとき、共通の言葉として使えます。
ISO/IEC 42001と重なる部分が多く、42001の認証を目指す組織が、リスク評価の方法としてAI RMFを参照することもあります。
AIエージェントとの関係
AIエージェントの導入は、「特定」の機能で扱うべき新しいリスクを持ち込みます。AIが業務を実行し、その結果が人の確認なしに発生する、という文脈です。「管理」の機能では、そのリスクに対する対策として、権限の限定、記録、人の介在の設計が位置づけられます。
VC（Verifiable Credentials）は、「管理」の機能における対策の一つで、「統治」の機能で定めた方針を技術的に実現する手段として位置づけられます。
よくある誤解
NIST AI RMFに準拠すれば認証が取れるのか。 認証制度はありません。自己評価と説明のための枠組みです。
米国の企業向けのものか。 米国政府が作ったものですが、国や業種を問わず使える汎用的な内容です。
