چارچوب مدیریت ریسک هوش مصنوعی NIST؛ راهنمایی عملی برای سازمان‌ها

۱مقدمه

NIST در ژانویهٔ ۲۰۲۳ «چارچوب مدیریت ریسک هوش مصنوعی» (AI RMF 1.0) را منتشر کرد. این چارچوب داوطلبانه است و برای هر نوع سازمانی، از جمله بانک‌ها و شرکت‌های فین‌تک، قابل استفاده است.

۲بررسی موضوع

هستهٔ چارچوب چهار کارکرد دارد: «حاکمیت» (ایجاد فرهنگ و مسئولیت‌پذیری برای مدیریت ریسک)، «نگاشت» (شناخت زمینه و ریسک‌های هر سامانه)، «سنجش» (ارزیابی و پایش ریسک‌ها) و «مدیریت» (اولویت‌بندی و اقدام). NIST در ژوئیهٔ ۲۰۲۴ یک پروفایل ویژهٔ هوش مصنوعی مولد را هم به آن افزود.

ارزش این چارچوب برای شرکت‌های مالی آن است که زبان مشترکی میان تیم فنی، مدیریت ریسک و ناظران می‌سازد و کمک می‌کند ویژگی‌هایی مانند اعتبار، امنیت، شفافیت و انصاف مدل‌ها به‌صورت منظم بررسی شود.

چهار کارکرد اصلی چارچوب عبارت‌اند از: «حاکمیت» (Govern) که فرهنگ، سیاست‌ها و مسئولیت‌های مدیریت ریسک را در سازمان برقرار می‌کند؛ «نقشه‌برداری» (Map) که زمینهٔ استفاده و ریسک‌های بالقوهٔ هر سامانه را شناسایی می‌کند؛ «سنجش» (Measure) که ریسک‌ها را با روش‌های کمّی و کیفی ارزیابی می‌کند؛ و «مدیریت» (Manage) که بر پایهٔ نتایج، برای کاهش، پذیرش یا انتقال ریسک تصمیم می‌گیرد.

چارچوب، ویژگی‌های یک سامانهٔ هوش مصنوعی قابل اعتماد را نیز تعریف می‌کند: معتبر و قابل اتکا، ایمن، امن و تاب‌آور، پاسخ‌گو و شفاف، قابل توضیح و تفسیر، حافظ حریم خصوصی، و منصف با مدیریت سوگیری‌های زیان‌بار. این ویژگی‌ها معیار مشترکی برای ارزیابی سامانه‌ها در طول چرخهٔ عمر آن‌ها فراهم می‌کنند.

NIST در ژوئیهٔ ۲۰۲۴ «پروفایل هوش مصنوعی مولد» (NIST AI 600-1) را به‌عنوان مکمل این چارچوب منتشر کرد. این سند، ریسک‌های خاص مدل‌های زبانی بزرگ و سامانه‌های مولد، مانند تولید اطلاعات نادرست، نقض حقوق مالکیت فکری، نشت دادهٔ حساس و سوءاستفاده برای تولید محتوای زیان‌بار را برمی‌شمارد و اقدامات پیشنهادی برای هر یک ارائه می‌دهد.

برای یک بانک یا شرکت فین‌تک، به‌کارگیری عملی چارچوب می‌تواند با گام‌های ساده آغاز شود: تهیهٔ فهرست همهٔ سامانه‌های هوش مصنوعی در حال استفاده، تعیین مالک مشخص برای هر سامانه، ارزیابی ریسک پیش از استقرار، و تعریف شاخص‌های پایش پس از استقرار. هرچند این چارچوب داوطلبانه است، به مرجعی پذیرفته‌شده برای اثبات رویکرد مسئولانه به ناظران و مشتریان تبدیل شده است.

۳جمع‌بندی

یکی از نقاط قوت چارچوب NIST، انعطاف‌پذیری آن است: سازمان‌ها می‌توانند بر اساس اندازه، صنعت و سطح ریسک سامانه‌هایشان، عمق پیاده‌سازی هر کارکرد را تعیین کنند. NIST همچنین «کتابچهٔ راهنما» (Playbook) و منابع تکمیلی منتشر کرده که برای هر زیرشاخه، اقدامات پیشنهادی و مستندات مورد نیاز را شرح می‌دهد. در بخش مالی، این چارچوب با الزامات موجود مدیریت ریسک مدل، که سال‌ها برای مدل‌های اعتباری و ریسک بازار به کار رفته، هم‌پوشانی دارد و می‌تواند با آن یکپارچه شود. ترکیب این دو، رویکردی جامع فراهم می‌کند که هم مدل‌های آماری سنتی و هم سامانه‌های جدید هوش مصنوعی، از جمله دستیارهای مبتنی بر مدل‌های زبانی بزرگ، را تحت حاکمیت واحد قرار می‌دهد.