NIST AI RMF: Govern, Map, Measure, Manage

NIST AI RMF, riski dört fonksiyonla ele alır: Govern, Map, Measure, Manage. Govern, yani yönet, diğer üçünün üstünde durur ve sürekli çalışır. Risk yönetimi kültürünü, politikaları ve hesap verebilirlik yapılarını kurar. Bir kurumda kim hangi riski onaylar, kim durdurma yetkisine sahip, bu sorular Govern fonksiyonunun alanıdır. Rol tanımı belirsizse, bir olay anında herkes birbirinin karar vereceğini sanır ve hiç kimse durdurmaz. a12-1 dersindeki istisna kaydı da aynı sorunu çözer: bir hayır cevabı, sahibi belli olmayan bir riske dönüşmesin diye yazılı bir isim ister. Govern olmadan diğer üç fonksiyon dağınık kalır, çünkü kimin karar vereceği belli değildir. a12-1 dersinde gördüğün yayın kapısı ve istisna kaydı mekanizması, aslında Govern fonksiyonunun somut bir uygulamasıdır. Politika yazılı değilse, her ekip kendi kuralını uydurur ve kurum genelinde tutarlılık kaybolur. İki farklı ekip aynı riski farklı eşikle değerlendirir, biri durdurur öteki geçer, ve kurum dışarıya tutarsız bir görüntü verir.

Map, yani haritala, bir sistemin bağlamını çıkarır: amacını, paydaşlarını, olası fayda ve zararlarını. Bir sistemi Map etmeden riskini ölçemezsin, çünkü neyi ölçeceğini bilmezsin. Measure, yani ölç, Map'te çıkardığın riskleri nicel ya da nitel yöntemle analiz eder, karşılaştırır ve izler. Kırmızı takım sonuçları, doğruluk metrikleri, adalet testleri burada durur. Bir metrik sayı üretir, ama sayının kendisi bir karar değildir; kararı Manage verir. Manage, yani yönet, Measure'daki bulgulara göre kaynak ayırır. Hangi riske öncelik verilir, hangi risk azaltılır, hangi risk üstlenilir, bu kararlar burada verilir. Her kurumun kaynağı sınırlıdır, bu yüzden Manage aslında bir öncelik listesi çıkarma işidir. Üç fonksiyon çoğu zaman döngü halinde tekrarlanır. Yeni bir sürüm çıktığında sistem yeniden haritalanır, yeniden ölçülür, yeniden yönetilir.