美国国家标准与技术研究院（NIST）于2023年1月26日发布了其人工智能风险管理框架（AI RMF）的1.0版，这是一个为组织设计和管理值得信赖和负责任的人工智能（AI）的多工具。随着美国和其他领导人制定政策来解决人工智能的可能性和问题，这一框架为美国不断发展的人工智能政策增加了一致性，并有助于正在进行的关于人工智能政策和发展的国际辩论。
首先，一句关于NIST的话，以及个人的认可。NIST是商务部的一部分，作为商务部的前领导人，我对其工作充满热情。该机构的起源于宪法赋予联邦政府“制定度量衡标准”的权力，以及1836年设立的联邦度量衡监督机构，1901年，NIST的前身标准局紧随其后。随着科学技术在经济和社会中的作用越来越大，NIST在政府、科学技术和商业领域的作用也越来越大。它从事测量科学，制定标准，并运营先进的实验室。该机构的科学家包括五位诺贝尔奖得主，他们都是量子物理学和激光冷却等基础学科的科学家。NIST AI RMF植根于该机构的精确测量文化，可在实际应用中复制。
在我任职商务部期间，我发现它对广泛的问题做出了有价值的贡献，它的文化和科学产生了健全的、基于研究的和有用的公共产品。我认为NIST是一个光辉的例子，说明了政府可以尽其所能。
NIST AI RMF的作用
《国家人工智能倡议法案》呼吁开发人工智能RMF，这是2020年国防授权的一部分。AI RMF遵循了NIST以前的信息风险管理和治理框架、2014年发布的网络安全框架和2020年发布的隐私框架的模板。像这样，它是一个高度协商和迭代过程的产物，发布了两个草案供公众评论、多个研讨会和其他形式的公众参与。与它们一样，最终产品旨在成为“一份活的文件”，它是“自愿的、保护权利的、非特定部门的、不受用例限制的”，并适用于所有类型和规模的组织。AI RMF还遵循这些早期的框架，将实施组织为“核心功能”、子类别和实施概要。
人工智能作为一种通用技术，涵盖了广泛的技术、数据源和应用。人工智能的广度使其对信息技术风险管理具有“独特的挑战性”。因此，人工智能RMF在其风险管理方法中引入了“社会技术”层面，产生了一个大范围的视角，涵盖了广泛的结果、参与者、利益相关者和参与者的“社会动态和人类行为”，以考虑“人与地球”（第9页）。
人工智能引发了对人工智能风险和收益的广泛讨论，对人工智能训练数据和输出中的偏见的担忧，以及关于什么是可靠和值得信赖的人工智能的问题，以及如何解决这些问题的想法。AI RMF提供了两个视角来考虑这些问题。首先，它提供了一个在人工智能背景下识别风险的概念路线图——概述了与人工智能相关的一般风险类型和来源，并列举了值得信赖的人工智能的七个关键特征（安全、可靠和有弹性、可解释和可解释、增强隐私、公平——有害偏见得到管理、负责和透明、有效和可靠）。
其次，它提供了一套组织流程和活动，以评估和管理将人工智能的社会技术层面与人工智能系统生命周期的各个阶段以及相关参与者联系起来的风险。这些过程和活动的关键步骤是“测试、评估、验证和确认（TEVV）”。这些过程和行动被分解为核心功能——管理、映射、测量和管理——进一步将其中的每一个细分为子类别，并提供执行这些功能的方法。AI RMF并没有像以前的框架那样，通过参考文献、实施层和概要文件来更具体地指导实施，从而进一步细分这些内容。
相反，随着AI RMF的发布，NIST还推出了一个“剧本”，这是一个GitHub托管的工具，将为“治理、绘制、测量和管理”功能和子类别的行动、参考和文档提供额外建议。将核心职能与国际标准相结合一直是以往风险管理框架的一个关键特征，但反映出人工智能标准的早期阶段，人工智能RMF仅包括对ISO/IEC国际标准机构标准以及经济发展组织（OECD）指导方针的少量参考。资源材料中的“人行横道”中还提到了ISO/IEC标准以及拟议的欧盟人工智能法案和美国关于可信人工智能的行政命令以及OSTP人工智能权利法案。随着人工智能标准的发展，这种情况可能会发生变化。
正如标题“1.0版”所暗示的那样，1月26日发布的文件并不是NIST关于人工智能风险管理的最后决定。该机构预计到2028年进行全面、正式的审查，可能会产生2.0版本。但与此同时，与其作为“活文件”的计费一致，NIST将继续对行动手册进行评论，并将每半年审查和整合一次，可能会发布1.1-n版本（就像2018年对网络安全框架所做的那样，2.0版本正在进行中）
这种迭代方法可以帮助人工智能RMF适应人工智能技术的变化和对其所提出问题的理解。关于框架文件中确定的值得信赖的人工智能的特征，还有很多需要了解。实际上，核心功能及其更具体的子类别就像寻宝的线索一样运作：它们描述了通往值得信赖的人工智能的道路上的步骤，但这取决于应用人工智能RMF的组织从这些线索中拼凑出他们的道路。随着时间的推移，剧本可能会提供一个更明确的目的地地图。
AI RMF的潜在影响
NIST先前的网络安全框架方法可能建立在成功部署和采用经验证的风险管理模型的基础上。网络安全框架的一个关键目标是促进和塑造网络安全领域标准和实践的发展。它的广泛采用有助于推动实现这一目标。网络安全框架已被绝大多数美国公司应用，并在美国以外得到显著采用，包括英国银行、日本电话电报公司、西门子、沙特阿美和安永。联邦政府要求联邦机构使用它，20个州也这样做了。各联邦机构（最著名的是美国证券交易委员会）将网络安全框架作为受监管行业健全网络安全实践的基准。
网络安全框架的影响不仅限于美国。它已被翻译成15种语言，几个国家已经实施或将其作为类似框架的模式：意大利将其纳入其网络安全战略，英国的网络安全框架包含相同的核心功能，乌拉圭以NIST的网络安全框架为基础，并将其应用于整个政府机构，瑞士联邦国家经济供应办公室利用该框架与关键供应部门的私营部门组织合作，实施国家网络安全战略。加拿大投资行业监管组织将其列为经销商最佳实践的“基础参考”。美国国家组织建议NIST网络安全框架“完美地适应不同的部门和国家”，全球IT专业协会ISACA将其纳入其企业管理和治理框架。
事实上，在制定NIST网络安全框架之前，我认为授权网络安全的广泛联邦立法为时过早。这也是国会和行政部门的主流政策，但自那时以来，许多网络安全标准和最佳实践的广泛采用为立法提供了共识基础——事实上，拟议的《美国数据隐私和保护法》将需要某些基本的网络安全管理实践。NIST网络安全框架有助于为此类措施建立必要的共识。
另一方面，2020年NIST隐私框架没有产生与网络安全框架相同的影响。当它发布时，欧盟的《通用数据保护条例》和《加州消费者隐私法》已经生效，在许多美国公司中引发了广泛的隐私设计和合规计划。这种发达的环境限制了隐私框架影响隐私和数据保护标准、实践和流程的空间。
与网络安全的前身一样，与隐私领域的前身不同，人工智能RMF在仍在发展的环境中具有先行者的优势。人工智能RMF可以在理解如何在实践中确保值得信赖的人工智能方面实现类似的理解和影响。欧盟和加拿大都在对人工智能进行立法，但尚未通过并生效。欧洲委员会通过阿兰·图灵研究所为人工智能对人权的影响制定了类似的风险管理框架，新加坡为值得信赖的人工智能制定了自愿测试框架，经合组织有一个工作组建立了一个值得信赖的AI工具包。所有这些努力都与NIST的框架产生了共鸣，反之亦然，这有助于人工智能RMF不仅与希望管理美国人工智能系统的组织相关，而且与世界各地的其他组织相关。
人工智能RMF的发布是在2022年10月发布《人工智能权利法案蓝图》（AIBOR）之后发布的，这是一套保护个人免受伤害、歧视或失去隐私和代理权的原则，其中有一个“技术伙伴”，确定了人工智能系统影响这些原则的具体方式和防止不利影响的一般步骤。AIBOR附带的白宫情况说明书列出了各种联邦机构的活动，以制定算法歧视和监控指南，并为潜在的执法行动奠定基础。其中包括司法部、劳工部、教育部、卫生与公众服务部、退伍军人事务部、住房与城市发展部，以及平等就业机会委员会、联邦贸易委员会、消费者金融保护委员会。NIST人工智能RMF为在各种组织内实施AIBOR原则提供了一种工具，包括联邦机构正在审查人工智能使用情况的行业。
AI RMF和AIBOR都没有法律约束力，就像欧盟正在考虑的人工智能立法一样。但这可以被视为一个特点，而不是缺点。它是允许“各种规模、所有部门和整个社会的组织”应用AI RMF的一部分，而不会有过度包容的风险，从而促进其采用。同样，该框架比具有约束力的法律更容易在其版本和组织应用中迭代开发。它可以扩展到组织、用例和风险。最终，人工智能RMF依靠软实力来实现采用和影响力。
虽然灵活的方法不能确保通过，但它避免了更雄心勃勃的《欧盟人工智能法案》在欧盟立法过程中面临的一些挑战。事实上，随着冯德莱恩总统在开幕式上宣布欧盟委员会应在其成立的头100天内提出道德立法，这项规定开始时甚至更加雄心勃勃。随着委员会着手制定立法并收集意见，其重点缩小到特定的用例，导致其“基于风险”的建议，即监管因其对个人权利或安全的影响而被视为“高风险”的人工智能系统。虽然这有时被描述为“水平”（horizontal），但它不如NIST的AI RMF或AIBOR。事实上，委员会在其提案中估计，只有5-15%的人工智能系统会受到该法规的约束。
根据拟议的欧盟法规，属于高风险类别的人工智能系统将接受完整的合格评定菜单。因此，影响这一类别范围的问题——人工智能的定义范围和通用人工智能的处理——已经成为欧盟立法辩论的症结所在，其中风险取决于人工智能的应用方式。具有法律约束力的框架提供了艰难的选择——语言的准确性、过度包容或包容性不足的风险，以及可能的意外后果——而且不容易提供定制的解决方案。
社会和政府才刚刚开始理解人工智能。我们有很多东西要学，我们正在进行一个关于人工智能政策和发展的设计-建设项目，在建设的同时设计这座大厦。人工智能RMF和它的前代框架一样，是以过程为中心的。但AI RMF中概述的绘图、测量、管理和治理至少将为组织、社会和政府的大厦设计提供信息。
- 登录 发表评论