Il NIST AI RMF è un framework volontario per gestire i rischi dei sistemi AI lungo tutto il ciclo di vita – l'equivalente, per l'AI, di ciò che ISO 27001 è per la sicurezza delle informazioni. Non è una legge (a differenza dell'AI Act) ma un metodo, organizzato in quattro funzioni: Govern (cultura, ruoli, policy sull'AI), Map (contesto e rischi del sistema), Measure (valutare e misurare i rischi – bias, robustezza, sicurezza), Manage (prioritizzare e trattare).
Si affianca ad altri riferimenti dell'ecosistema che vale la pena conoscere:
- OWASP Top 10 for LLM – i dieci rischi principali delle applicazioni LLM (prompt injection, data leakage, supply chain dei modelli...): la OWASP Top 10 dell'era AI
- MITRE ATLAS – la matrice ATT&CK applicata agli attacchi ai sistemi AI
Perché ti riguarda: mentre l'AI Act impone cosa fare per legge, questi framework danno il come operativo – e adottarli è il modo pratico di prepararsi alla conformità e di gestire davvero il rischio invece di firmare documenti. Per una PMI che introduce l'AI, sono la traccia da cui partire, insieme a una AI policy e a controlli concreti come guardrail e DLP.