# NIST AI RMF: näin USA:han myyvä kasvuyritys vastaa amerikkalaisen asiakkaan tekoälyvaatimuksiin > NIST AI RMF -kehys nousee amerikkalaisten ostajien vaatimuksiin. Näin kasvuyritys vastaa siihen EU AI Actin rinnalla käytännössä, ei kalvoilla. - Julkaistu: 2026-09-21 - Kirjoittaja: Master Mind - Alkuperäinen: https://aimaster.fi/artikkelit/nist-ai-rmf-nain-usahan-myyva-kasvuyritys-vastaa-amerikkalaisen-asiakkaan-tekoal NIST julkaisi Yhdysvaltain kansallisen standardointilaitoksen (National Institute of Standards and Technology) tekoälyn riskienhallintakehyksen AI RMF 1.0 26.1.2023 (NIST, 2023). Kolme vuotta myöhemmin se on ilmestynyt yhä useamman amerikkalaisen ostajan tietoturva- ja hankintakyselyyn – myös suomalaisille SaaS- ja teknologiayrityksille, jotka myyvät Yhdysvaltoihin. Ongelma ei ole se, ettei kehystä tunnettaisi. Ongelma on, että se sekoitetaan usein EU AI Actiin, vaikka kyse on kahdesta erilaisesta järjestelmästä: yksi on lakisääteinen, toinen vapaaehtoinen viitekehys. Kasvuyritys, joka myy molemmille markkinoille, tarvitsee vastauksen molempiin – ei kahta erillistä projektia. ## Mikä NIST AI RMF on? NIST AI RMF (Artificial Intelligence Risk Management Framework) on Yhdysvaltain kauppaministeriön alaisen NIST-viraston julkaisema vapaaehtoinen viitekehys, joka auttaa organisaatioita hallitsemaan tekoälyjärjestelmiin liittyviä riskejä suunnittelusta käyttöön asti (NIST, tammikuu 2023). Se ei ole laki. Se on standardi, jota amerikkalaiset yritykset alkavat vaatia toimittajiltaan sopimusehtona – samalla tavalla kuin ISO 27001 -sertifikaatti tietoturvassa. NIST julkaisi heinäkuussa 2024 kehykseen generatiivisen tekoälyn erillisprofiilin NIST-AI-600-1, joka tarkentaa riskejä nimenomaan generatiivisille malleille (NIST, heinäkuu 2024). Tämä kertoo, että kehys elää: NIST päivittää sitä, kun tekoälyn riskit muuttuvat. ## Mistä neljästä funktiosta AI RMF koostuu? AI RMF jäsentää tekoälyn riskienhallinnan neljään toisiinsa kytkeytyvään funktioon: Govern (hallinnointi), Map (kartoitus), Measure (mittaus) ja Manage (hallinta). Govern kattaa organisaation vastuut ja politiikat. Map tunnistaa, missä kontekstissa järjestelmää käytetään ja mitä riskejä se tuo. Measure arvioi riskit mitattavasti. Manage priorisoi ja korjaa löydetyt riskit. Näistä neljästä Govern on kaikkien muiden pohja – se on ainoa funktio, joka NIST:n mukaan läpäisee ja tukee kolmea muuta. Käytännössä se tarkoittaa: ennen kuin yritys voi kartoittaa tai mitata tekoälyn riskejä, sillä on oltava selkeä omistajuus siitä, kuka vastaa mistä. ## Miksi amerikkalainen asiakas kysyy tästä juuri sinulta? Yhdysvalloissa ei ole EU AI Actin kaltaista kattavaa tekoälylakia. Sen tilalla ostajat rakentavat omat vaatimuksensa NIST AI RMF:n päälle, koska se on ainoa laajasti tunnustettu, ilmainen ja puolueeton kehys markkinalla. Kun amerikkalainen enterprise-asiakas ostaa ohjelmistoa, jossa on tekoälyominaisuus, sen oma turvallisuus- ja hankintatiimi kysyy toimittajalta yhä useammin: miten hallitsette tekoälyn riskit RMF:n mukaisesti? Tämä ei ole sääntely, jota voi ohittaa vetoamalla siihen, että yritys on suomalainen. Se on kaupallinen ehto, joka ratkaisee, pääseeko diili eteenpäin vai ei. Suurin osa AI-hankkeista ei kaadu teknologiaan – ne kaatuvat siihen, että kukaan ei ole tehnyt kotitehtäviä ennen kuin ostajan lakitiimi kysyy niitä. ## Miten NIST AI RMF suhteutuu EU AI Actiin? EU AI Act on sitova asetus, jonka rikkomisesta voi seurata sanktio. NIST AI RMF on vapaaehtoinen kehys, jota kukaan viranomainen ei valvo. Molemmat rakentuvat kuitenkin samalle logiikalle: tunnista riski, dokumentoi se, hallitse se, valvo jatkuvasti. Yritys, joka on jo tehnyt EU AI Actin vaatiman riskiluokittelun ja dokumentaation, on tehnyt suurimman osan NIST-työstä valmiiksi – rakenne on eri, sisältö on lähes sama. | Ominaisuus | EU AI Act | NIST AI RMF | | --- | --- | --- | | Luonne | Sitova asetus | Vapaaehtoinen kehys | | Valvoja | Kansalliset markkinavalvontaviranomaiset | Ei viranomaisvalvontaa | | Sovellusalue | EU-markkinalle tuotavat järjestelmät | Kaikki tekoälyä käyttävät organisaatiot | | Rakenne | Riskiluokat (kielletty, korkea, rajallinen, minimaalinen) | Neljä funktiota (Govern, Map, Measure, Manage) | | Seuraus laiminlyönnistä | Hallinnollinen sanktio | Kaupallisen sopimuksen menetys | ## Miten kasvuyritys rakentaa vastauksen käytännössä? Ensimmäinen askel ei ole dokumentin kirjoittaminen vaan kartoitus: missä tekoälyä oikeasti käytetään tuotteessa, ja mitä riskejä se tuo asiakkaalle. Tämä vastaa suoraan RMF:n Map-funktiota ja on sisällöltään sama työ, jonka teemme [Master Plan](https://aimaster.fi/tuotteet/master-plan) -sprintissä: kartoitamme, missä tekoäly tuottaa arvoa ja mitä se vaatii euroissa ja riskeissä mitattuna. Kartoituksen jälkeen data on saatava samaan paikkaan, jotta riskiä voi ylipäätään mitata jatkuvasti eikä vain kertaraportissa. Tämä on Measure- ja Manage-funktioiden tekninen edellytys, ja se on syy, miksi olemme kirjoittaneet aiemmin [dokumenttidatan esikäsittelystä AI-agentin RAG-järjestelmälle](https://aimaster.fi/artikkelit/dokumenttidata-ei-ole-viela-tietoa-nain-kasvuyritys-rakentaa-ocr-ja-pilkkomisput) – hajanaisesta datasta ei synny jatkuvaa riskiseurantaa. Govern-funktio vaatii nimetyn omistajan. Ilman sitä Map, Measure ja Manage jäävät kertaluonteisiksi harjoituksiksi, jotka unohtuvat seuraavaan asiakaskyselyyn asti. Kun tekoäly toimii tuotannossa agenttina, tarvitaan myös tekninen valvontakerros – se on [Master Mind](https://aimaster.fi/tuotteet/master-mind) -ratkaisun tehtävä: agentit toimivat Master Layerin datan päällä hallitusti, jäljitettävästi ja ihmisen valvomana. ## Mitä todistetta amerikkalaiselle ostajalle kannattaa antaa? Kirjallinen kuvaus riittää harvoin. Ostajan turvallisuustiimi haluaa nähdä konkreettisen mapin: mitkä tekoälykomponentit tuotteessa on, mihin dataan ne pääsevät käsiksi, kuka valvoo niitä ja miten poikkeamat havaitaan. Tämä on samaa työtä, joka meillä on tuotteistettu 3 päivän sprinttimalliin – ensimmäinen konkreettinen vastaus syntyy nopeasti, ei kuukausien selvitystyön jälkeen. ## Kannattaako kasvuyrityksen hakea NIST AI RMF -sertifikaatti? NIST AI RMF ei ole sertifiointikehys, eikä sitä voi hankkia sertifikaattina. NIST on nimenomaisesti todennut kehyksen olevan tarkoitettu vapaaehtoiseen käyttöön ohjaamaan riskienhallintaa, ei auditointiin. Sen sijaan yritys voi osoittaa yhdenmukaisuuden dokumentoimalla, miten se kattaa neljä funktiota – tämä dokumentti on se, jota amerikkalainen ostaja käytännössä pyytää. ## Onko NIST AI RMF pakollinen suomalaiselle kasvuyritykselle? Ei suoraan. NIST AI RMF ei ole Suomessa tai EU:ssa sovellettava laki, eikä se korvaa EU AI Actin velvoitteita. Se muuttuu käytännössä pakolliseksi silloin, kun amerikkalainen asiakas tai kumppani vaatii sitä sopimusehtona – ja tämä on yleistynyt nopeasti enterprise-ohjelmistokaupassa vuoden 2024 jälkeen. ## Riittääkö EU AI Actin dokumentaatio myös NIST-vastaukseksi? Suurin osa riittää, mutta ei kaikki. Molemmat kehykset vaativat riskien tunnistamista ja dokumentointia, mutta NIST AI RMF painottaa enemmän jatkuvaa mittausta ja organisaation hallintomallia (Govern), kun EU AI Act painottaa tuotteen riskiluokkaa. Kasvuyritys, jolla on EU AI Act -dokumentaatio valmiina, tarvitsee sen päälle vielä selkeän kuvauksen siitä, kuka organisaatiossa omistaa tekoälyn riskit jatkuvasti – ei vain julkaisuhetkellä. ## Mistä tietää, että vastaus riittää ostajalle? Vastaus riittää, kun se kattaa kaikki neljä funktiota konkreettisesti: kuka omistaa riskin (Govern), missä tekoälyä käytetään ja mitä se koskee (Map), miten riskiä mitataan jatkuvasti (Measure) ja miten poikkeama korjataan (Manage). Yleisluontoinen tietoturvaselvitys ei riitä, koska ostajan tiimi vertaa vastausta nimenomaan näihin neljään otsikkoon. Ensimmäinen askel ei ole dokumentin muotoilu vaan sen sisällön rakentaminen todelliselle datalle ja todellisille prosesseille. Varaa [ilmainen Master Mind -analyysi](https://aimaster.fi/analyysi), jossa käymme läpi, mitä tekoälyn riskienhallinta vaatii juuri sinun tuotteessasi ja missä järjestyksessä se kannattaa rakentaa. ## Usein kysytyt kysymykset ### Onko NIST AI RMF pakollinen suomalaiselle kasvuyritykselle? Ei suoraan. NIST AI RMF ei ole Suomessa tai EU:ssa sovellettava laki, eikä se korvaa EU AI Actin velvoitteita. Se muuttuu käytännössä pakolliseksi silloin, kun amerikkalainen asiakas tai kumppani vaatii sitä sopimusehtona – ja tämä on yleistynyt nopeasti enterprise-ohjelmistokaupassa vuoden 2024 jälkeen. ### Riittääkö EU AI Actin dokumentaatio myös NIST-vastaukseksi? Suurin osa riittää, mutta ei kaikki. Molemmat vaativat riskien tunnistamista ja dokumentointia, mutta NIST painottaa jatkuvaa mittausta ja hallintomallia (Govern), EU AI Act painottaa tuotteen riskiluokkaa. Valmis EU-dokumentaatio tarvitsee lisäksi selkeän kuvauksen siitä, kuka omistaa tekoälyn riskit jatkuvasti. ### Kannattaako NIST AI RMF -sertifikaatti hankkia? Sitä ei voi hankkia, koska kyseessä ei ole sertifiointikehys. NIST on todennut kehyksen olevan tarkoitettu vapaaehtoiseen riskienhallinnan ohjaamiseen, ei auditointiin. Yhdenmukaisuus osoitetaan dokumentoimalla, miten yritys kattaa neljä funktiota: Govern, Map, Measure, Manage. ### Mistä neljästä funktiosta NIST AI RMF koostuu? Govern (hallinnointi ja vastuut), Map (kontekstin ja riskien kartoitus), Measure (riskien mittaaminen) ja Manage (riskien priorisointi ja korjaus). Govern on pohjafunktio, jonka NIST kuvaa tukevan kaikkia muita. ### Mistä tietää, että vastaus riittää amerikkalaiselle ostajalle? Vastaus riittää, kun se kattaa kaikki neljä funktiota konkreettisesti: kuka omistaa riskin, missä tekoälyä käytetään, miten riskiä mitataan jatkuvasti ja miten poikkeama korjataan. Yleisluontoinen tietoturvaselvitys ei riitä, koska ostaja vertaa vastausta juuri näihin neljään otsikkoon.