EU’s AI-lovgivning kontra NIST’s AI RMF: En guide til sammenligning på tværs af rammeværker

Compliance-teams, der arbejder med AI-styring, har sjældent mulighed for at vælge kun én ramme. Globale virksomheder skal typisk opfylde EU's AI-forordning (bindende lov) og NIST’s rammeværk for risikostyring inden for kunstig intelligens (AI RMF 1.0) (frivilligt, men noget, der i stigende grad kræves af amerikanske føderale kunder og erhvervskunder).

Den gode nyhed er, at med den rette tilpasning kan de fleste kontrolmekanismer, man udvikler til det ene rammeværk, også anvendes i det andet. Denne vejledning sammenligner de to rammeværker på de områder, der er afgørende for at være klar til EU’s AI-lovgivning — risikoklassificering, dokumentation, styring og forpligtelser i hele livscyklussen — og viser, hvor de stemmer overens, og hvor de adskiller sig.

I korte træk

Dimension	EU's AI-forordning	NIST AI RMF 1.0
Juridisk status	En bindende EU-forordning	Frivillige retningslinjer
Anvendelsesområde	AI-systemer, der markedsføres i EU, eller som berører personer i EU	Ethvert AI-system, enhver jurisdiktion
Tilgang	Regelbaseret, risikobaseret	Resultatbaseret, principstyret
Håndhævelse	Bøder på op til 35 mio. euro eller 7 % af den globale omsætning	Ingen direkte håndhævelse (kontraktmæssigt pres/pres i forbindelse med indkøb)
Vigtig frist	2. august 2026 (gennemsigtighed); 2. december 2027 (bilag III, høj risiko)	I gang; henvist til i den amerikanske præsidentforordning nr. 14110 og myndighedernes retningslinjer

1. Risikoklassificering

EU's AI-forordning anvender fire faste niveauer:

• Uacceptabel risiko — forbudt (social scoring, manipulerende teknikker, biometrisk identifikation i realtid i det offentlige rum med få undtagelser).
• Hoejrisiko — Bilag I (AI i regulerede produkter) og bilag III (menneskerettigheder, kredit, uddannelse, retshåndhævelse, biometri, væsentlige tjenester).
• Begrænset risiko — krav om gennemsigtighed (chatbots, deepfakes, følelsesgenkendelse, syntetisk indhold).
• Minimal risiko — ingen forpligtelser ud over frivillige retningslinjer.

NIST AI RMF fastlægger ikke risikoniveauer. I stedet opfordrer den organisationerne til at karakterisere risikoen ud fra gyldig og pålidelig, sikker, robust og modstandsdygtig, ansvarlig og gennemsigtig, forklarbar og fortolkelig, med forbedret beskyttelse af privatlivets fred samt retfærdig og med styring af skadelig partiskhed egenskaber og at vurdere, hvilken risiko der er acceptabel i den konkrete sammenhæng.

Tip til kortlægning: Brug niveauerne i EU’s AI-lov som den overordnede klassificering og indsæt NIST-karakteristikaene som det Forordningen behandler ikke alle virksomheder ens. Dine forpligtelser afhænger af I har kontrolforanstaltninger. Et system, der i henhold til AI-loven er klassificeret som et højrisikosystem i henhold til bilag III, betragtes automatisk som et system med store konsekvenser i henhold til NIST — I kan derfor genbruge det samme risikoregister.

2. Krav til dokumentation

EU’s AI-lov (bilag IV) kræver, at udbydere af højrisikosystemer fører et detaljeret teknisk dossier, der omfatter: systembeskrivelse, designvalg, datastyring, metodik for uddannelse, validering og test, foranstaltninger til menneskelig overvågning, nøjagtigheds- og robusthedsmålinger, cybersikkerhedsforanstaltninger samt en plan for overvågning efter markedsføring.

NIST AI RMF bruger Styre – Kortlægge – Måle – Forvalte funktioner. Der forventes dokumentation, men den behøver ikke at være detaljeret — rammen henviser til modelkort, dataerklæringer, systemkort og konsekvensanalyser.

Krav i bilag IV til EU’s AI-lov	NIST AI RMF-ækvivalent
Systembeskrivelse og anvendelsesformål	KORT 1.1, 2.3 — kontekst og anvendelsesformål
Datastyring og anvendte datasæt	KORT 2.3, FORANSTALTNING 2.10 — dataherkomst
Designvalg og arkitektur	KORT 3.1 — dokumentation af systemdesign
Foranstaltninger til menneskelig overvågning	GOVERN 3, MANAGE 4 — konfiguration af mennesker og AI
Målinger af nøjagtighed og robusthed	FORANSTALTNING 2.5, 2.7 — TEVV-nøgletal
Cybersikkerhed	FORANSTALTNING 2.7, FORVALTNING 3.2 — modstandsdygtighed
Overvågning efter markedsføring	MANAGE 4.1 — løbende overvågning

Tip til kortlægning: Byg en Bilag IV – Teknisk dokumentation og angive krydshenvisninger til NIST-funktions-ID’erne i et bilag med »tilknyttede kontrolelementer«. Revisorerne på begge sider accepterer dette.

3. Ledelse og ansvarlighed

EU's AI-forordning kræver en kvalitetsstyringssystem, udpegning af ansvarlige personer, en overensstemmelsesvurdering inden markedsføring, CE-mærkning, registrering i EU-databasen samt indberetning af hændelser til de nationale myndigheder inden for 15 dage (2 dage for alvorlige hændelser).

NIST AI RMF kræver (i Regeringen funktion) dokumenterede retningslinjer, roller og ansvarsområder, ansvarsstrukturer, mangfoldighed blandt medarbejderne i AI-teams samt risikostyring i forbindelse med tredjeparter — men ingen ekstern registrering eller anmeldelse.

Tip til kortlægning: NIST GOVERN-funktionen udgør dit grundlag. Tilføj derudover EU-specifikke elementer: overensstemmelsesvurderingsproceduren, registreringsprocessen i EU-databasen og arbejdsgangen for indberetning af hændelser.

4. Livscyklus: TEVV kontra overvågning efter markedsføring

NIST AI RMF lægger stor vægt på Test, evaluering, verifikation og validering (TEVV) gennem hele livscyklussen — herunder red-teaming før implementering og løbende overvågning.

EU's AI-forordning kræver samme grundighed, men formulerer det som overensstemmelsesvurdering før markedsføring mere overvågning efter markedsføring med obligatoriske logfiler, korrigerende foranstaltninger og rapportering.

Tip til kortlægning: Indfør NIST TEVV-praksis som jeres driftsmodel; brug dokumenterne fra EU’s AI-lov (teknisk dossier, overvågningsplan, hændelseslog) som dokumentation for overholdelse af lovgivningen.

5. Gennemsigtighed og oplysninger til brugerne

Artikel 50 i EU’s AI-lov (træder i kraft den 2. august 2026) kræver udtrykkelig oplysning om chatbots, deepfakes, følelsesgenkendelse og syntetisk indhold — med maskinlæsbare vandmærker for AI-genererede medier.

NIST AI RMF betragter gennemsigtighed som et resultat („ansvarlig og gennemsigtig“) uden at foreskrive mønstre for brugergrænsefladen.

Tip til kortlægning: Gennemføre EU’s oplysningskrav som minimum globalt set — I opfylder artikel 50 i AI-loven og overgår samtidig NIST’s forventninger.

Hvor de to rammer adskiller sig fra hinanden

• Forbud: EU’s AI-lov forbyder helt bestemte fremgangsmåder (artikel 5). NIST forbyder ikke noget.
• Juridisk risiko: EU-bøder er strenge og kan håndhæves; manglende overholdelse af NIST-standarderne medfører risici i forbindelse med indkøb og omdømme.
• Certificering: EU’s AI-lov kræver, at visse produkter i bilag I skal underkastes en overensstemmelsesvurdering foretaget af en tredjepart. NIST udsteder ingen certificeringer.
• Vurdering af indvirkningen på de grundlæggende rettigheder: Krævet for offentlige implementeringsansvarlige i henhold til AI-loven; anbefalet, men ikke påkrævet i henhold til NIST.

En pragmatisk vejledning

1. Start med klassificeringen i AI-loven — det er den afgørende begrænsning.
2. Indfør NIST GOVERN og MAP som jeres driftsmodel — de kan lettere skaleres på tværs af jurisdiktioner.
3. Opret én teknisk fil pr. system opbygget i henhold til bilag IV, med krydshenvisninger til NIST-funktions-ID’er.
4. Standardisering af TEVV-måleparametre ved hjælp af NIST-terminologi; disse skal indberettes i overvågningsplanen efter markedsføring i henhold til AI-loven.
5. Gennemføre gennemsigtighed i henhold til artikel 50 på globalt plan — det er billigt og fremtidssikret.
6. Hold styr på fristerne: 2. august 2026 (gennemsigtighed), 2. december 2027 (bilag III, høj risiko), 2. august 2028 (bilag I, høj risiko).

Næste trin

Er du ikke helt sikker på, hvilke kontrolforanstaltninger du allerede har indført? Tag vores Gratis 15-minutters vurdering af jeres parathed i forhold til EU’s AI-lovgivning og modtag en skræddersyet rapport, der sammenligner din praksis med både EU’s AI-lov og NIST AI RMF.