NIST AI RMF · AI 위험관리 프레임워크
NIST AI RMF
법이 아니라 AI 위험을 같은 말로 점검하게 해 주는 공통 언어 — 미국 NIST가 만든 자율 적용 프레임워크를 기업 실무 관점으로 정리했습니다
✅ 신뢰할 수 있는 AI 7가지
유효성·안전·보안·책임성·설명 가능성·프라이버시·공정성
🔄 4개 기능 · 19개 카테고리
GOVERN이 감싸고, MAP → MEASURE → MANAGE를 반복
✨ 생성형 AI 프로필
Copilot·에이전트 도입 때 살펴볼 12가지 위험
WHAT · 📘 무엇인가
법도 인증도 아닌, 위험을 보는 틀
1부는 AI 위험과 신뢰할 수 있는 AI의 특성을, 2부는 실제로 쓰는 Core(기능)와 Profile(상황별 적용)을 다룹니다
| 구분 | 국내 AI 기본법 | NIST AI RMF | ISO/IEC 42001 |
|---|---|---|---|
| 성격 | 법률 | 자율 적용 프레임워크 | 국제 표준 (인증 가능) |
| 묻는 것 | 무엇을 해야 하는가 | 어떤 위험을 어떻게 볼 것인가 | 어떤 체계로 관리하는가 |
| 안 지키면 | 시정명령·과태료 | 제재 없음 | 인증을 받지 못함 |
TRUSTWORTHY AI · ✅ 7가지 특성
신뢰할 수 있는 AI의 7가지 특성
AI를 도입할 때 "이 AI는 믿을 만한가"를 나눠서 묻는 기준입니다
| 특성 | Copilot·에이전트에 던질 질문 |
|---|---|
| 유효성·신뢰성 Valid and reliable | 답이 맞는가, 같은 질문에 일관되게 답하는가 |
| 안전 Safe | 잘못된 답이 사람이나 업무에 해를 끼칠 수 있는가 |
| 보안·복원력 Secure and resilient | 프롬프트 주입 같은 공격에 버티는가, 장애 때 어떻게 되는가 |
| 책임성·투명성 Accountable and transparent | 누가 책임지는가, 이용자가 AI라는 사실과 작동 방식을 알 수 있는가 |
| 설명·해석 가능성 Explainable and interpretable | 왜 그런 답이 나왔는지 설명할 수 있는가 |
| 프라이버시 강화 Privacy-enhanced | 개인정보가 필요 이상으로 노출되지 않는가 |
| 공정성 Fair, with harmful bias managed | 특정 집단에 불리한 결과를 내지 않는가 |
CORE · 🔄 4개 기능 · 19개 카테고리
GOVERN · MAP · MEASURE · MANAGE
GOVERN은 순서상 첫 단계가 아니라 나머지 셋을 감싸는 조직의 바탕입니다. AI 시스템마다 MAP → MEASURE → MANAGE를 반복합니다
| 기능 | 카테고리 (요지) | 한 줄로 |
|---|---|---|
| GOVERN 6개 | 1 위험관리 정책·관행 · 2 책임 체계·교육 · 3 다양성·형평·포용·접근성 · 4 위험을 말할 수 있는 문화 · 5 외부 이해관계자 참여 · 6 제3자·공급망 위험 | 정책과 책임자, 문화를 갖춘다 |
| MAP 5개 | 1 맥락 정하기 · 2 AI 시스템 분류 · 3 역량·목표·편익·비용 · 4 제3자 구성요소를 포함한 위험·편익 · 5 개인·집단·사회 영향 | 어디에 어떻게 쓰는지 정한다 |
| MEASURE 4개 | 1 방법·지표 정하기 · 2 신뢰성 특성 평가 · 3 위험을 시간에 따라 추적 · 4 측정이 효과 있는지 피드백 | 측정하고 기록한다 |
| MANAGE 4개 | 1 위험 우선순위와 대응 · 2 편익은 키우고 부정적 영향은 줄이기 · 3 제3자 위험 관리 · 4 대응·복구·소통 계획과 모니터링 | 순서를 정해 대응한다 |
카테고리별 권장 실행 예시는 별도 문서인 AI RMF Playbook에 있습니다.
GENERATIVE AI PROFILE · ✨ NIST AI 600-1
생성형 AI의 12가지 위험
2024년 7월 공개된 생성형 AI 프로필 — Copilot·에이전트 도입 위험 목록의 뼈대로 쓰기 좋습니다
MAPPING · 🔗 국내법·ISO와 연결
다른 기준과 함께 쓰는 법
법의 의무를 기준으로 두고, NIST로 위험을 보고, ISO/IEC 42001로 관리체계를 만든다
| 국내 AI 기본법 의무 | 함께 보는 NIST 카테고리 (예) |
|---|---|
| 생성형·고영향 AI 사전 고지 (제31조 제1항) | GOVERN 4 · MAP 3 |
| 고영향 AI 사전 검토 (제33조) | MAP 1 · MAP 2 |
| 위험관리방안 (제34조 제1항 제1호) | GOVERN 1 · MAP 4 · MANAGE 1 |
| 사람의 관리·감독 (제34조 제1항 제4호) | GOVERN 2 · MAP 3 |
| 영향평가 (제35조, 노력 의무) | MAP 5 |
위 대응은 이해를 돕기 위한 CanRobot 정리입니다. 공식 대응표는 NIST AIRC Crosswalks에서 확인하세요 — ISO/IEC 42001 대응표(Microsoft 제공), ISO/IEC 23894·42005 대응표, 한국 TTA 가이드북 대응표가 게시돼 있습니다.
TREND · 📈 최근 동향
개정이 진행 중입니다
인용할 때는 확인 기준일을 함께 적는 습관이 필요합니다
- NIST는 AI RMF 1.0을 미국 정부의 AI 행동계획에 따라 개정 중이라고 안내하고 있습니다. 개정판 발표일은 아직 공개되지 않았습니다
- 2026년 4월, 핵심 인프라의 신뢰할 수 있는 AI 프로필 개념 문서가 공개됐습니다
- 사이버보안 프레임워크(CSF) 기반의 Cyber AI Profile(NIST IR 8596) 예비 초안이 2025년 12월 공개됐습니다 AI RMF가 아니라 CSF 쪽 문서입니다
MICROSOFT · 🛠️ 도구로 점검하기
Purview Compliance Manager의 AI 규정 템플릿
NIST AI RMF 1.0, ISO/IEC 42001, ISO/IEC 23894, EU AI Act 평가 템플릿이 있습니다
- AI 규정 템플릿은 프리미엄 템플릿으로 라이선스가 필요합니다. E5·A5·G5 고객은 프리미엄 규정 3개를 무료로 고를 수 있고, 체험판도 있습니다 라이선스 조건은 Microsoft Learn에서 확인
- 국내 AI 기본법 템플릿은 확인되지 않았습니다 — 사용자 지정 평가로 대응표를 올려 관리할 수 있습니다
REFERENCES · 🔗 출처
출처
2026년 11월 2일 확인 기준
| NIST | AI Risk Management Framework · NIST AI 100-1 (PDF) · NIST AI 600-1 생성형 AI 프로필 (PDF) |
| NIST AIRC | AI RMF Playbook · Crosswalks |
| Cyber AI Profile | NIST CSRC — Cyber AI Profile 예비 초안 |
| Microsoft | Compliance Manager — AI 규정 평가 · 규정 목록·라이선스 |