NIST AI RMF & de EU AI-wet

NIST AI RMF vs de EU AI-wet: Een praktische crosswalk

Het NIST AI Risk Management Framework is een vrijwillig Amerikaans kader gebouwd rond vier functies — GOVERN, MAP, MEASURE en MANAGE. De EU AI-wet is bindende, risicogeclassificeerde EU-wetgeving. De NIST-functies kaarten schoon op veel EU AI-wet-verplichtingen, waardoor het kader een excellent operatiemodel voor conformiteit is — maar het volgen ervan voldoet op zichzelf niet aan je EU-wettelijke plichten. Hier is de crosswalk.

Laatst bijgewerkt: 4 juli 2026

Officiële bronnen van de EU AI-wet

Raadpleeg deze officiële bronnen voor de juridisch bindende tekst van de verordening en de richtlijnen van de EU zelf. Wij werken onze pagina's bij wanneer het product van AIAgentree verandert; voor de verordening zelf voert de EU sneller updates uit dan welke derde partij dan ook.

Verordening (EU) 2024/1689 — volledige tekst op EUR-Lex

De juridisch bindende tekst van de verordening

EU AI-wet op artificialintelligenceact.eu

Referentiesite van het Future of Life Institute (~150.000 gebruikers per maand)

AI-wet Service Desk

Officiële Q&A en richtlijnen van de EU-commissie

EU AI-wet Naleving Checker

Officiële interactieve beoordelingstool van 10 minuten

Specifiek over dit onderwerp

Wat u op de AIAgentree-pagina's vindt: implementatierichtlijnen voor AI-engineeringteams die ons platform gebruiken. Voor de tekst van de verordening zelf, volg de bovenstaande links.

Wat elk ervan is

Een vrijwillig kader en een bindende wet, ontworpen voor verschillende doeleinden:

Het NIST AI RMF (AI 100-1, uitgegeven in januari 2023) is een vrijwillig kader van het Amerikaanse National Institute of Standards and Technology. Het helpt organisaties AI-risico's te beheren via vier functies en is ontworpen om flexibel, sectoragnostisch en niet-prescriptief te zijn. Er is geen certificering en geen wettelijke verplichting om het te gebruiken.
De EU AI-wet (Verordening (EU) 2024/1689) is rechtstreeks toepasselijke EU-wetgeving. Het sorteert AI-systemen in risicoklassen en legt concrete, afdwingbare verplichtingen op aanbieders en deployers, ondersteund door boetes.
Het NIST RMF vertelt je hoe je risicobeheer moet organiseren; de EU AI-wet vertelt je wat je moet doen en bewijzen voor specifieke systemen.

Vrijwillig kader vs bindende wet: De vier functies

De vier functies van het RMF vormen een continue cyclus. Het begrijpen van elk is de sleutel tot de crosswalk:

GOVERN — overkoepelende cultuur, beleid, rollen en verantwoordelijkheid voor AI-risico's. Het ondersteunt de andere drie functies.
MAP — stel context in en categoriseer het AI-systeem: zijn doel, zijn setting en de risico's die daaruit voortkomen.
MEASURE — analyseer, beoordeel, benchmark en monitor AI-risico's met behulp van kwantitatieve en kwalitatieve methoden.
MANAGE — prioriteer en handel risico's af: wijs middelen toe, reageer, herstel en documenteer beslissingen over de levenscyclus van het systeem.

Crosswalk: NIST-functies naar EU AI-wet-verplichtingen

Waar elke NIST-functie de werkzaamheden doet die de EU AI-wet vereist. Gebruik deze om bestaand RMF-bewijs te hergebruiken tegen EU-artikel-specifieke plichten:

GOVERN → Artikel 17 (kwaliteitsmanagementsysteem) en organisatorische verantwoordelijkheid — het governance-laag dat de EU AI-wet verwacht achter elk hoogrisicosysteem.
MAP → Artikel 9 (risicoidentificatie en beoogd doel) en Artikel 13 (transparantie over beoogd gebruik, capaciteiten en beperkingen voor deployers).
MEASURE → Artikel 9 (risicoanalyse en -evaluatie) en Artikel 15 (nauwkeurigheid, robustheid en cybersecuritytesten en -metrieken).
MANAGE → Artikel 9 (risicobeheer en -mitigatie), Artikel 12 (record-keeping/logging van operatie), en Artikel 14 (menselijke toezicht en interventie).
Documentatie over alle vier functies → Artikel 11 en Bijlage IV (technische documentatie) — de RMF-nadruk op documenteren van beslissingen kaart op de Act-documentatieplichten.

Dit is een directionele crosswalk om gap-analyse te ondersteunen, geen officiële equivalentietabel. NIST publiceert zijn eigen crosswalks tussen het AI RMF en andere kaders; behandel deze mapping als een startpunt, dan bevestig je elk EU-artikel-specifiek bewijs voor elk systeem in het kader.

Waar NIST RMF stopt en EU-wetgeving begint

Het RMF ondersteunt EU AI-wet-werk, maar vervult het nooit. Houd deze grenzen duidelijk:

Geen wettelijke werking. Het RMF is vrijwillige Amerikaanse richtlijnen; het creëert geen rechten of verplichtingen onder EU-wetgeving en kan niet worden aangehaald als conformiteit.
Geen conformiteitsroute. Het volgen van het RMF produceert geen CE-markering, conformiteitsbeoordeling, EU-databaseregistratie of een EU-geautoriseerde vertegenwoordiger — allemaal vereist door de EU AI-wet voor hoogrisicosystemen.
Systeemspecifiek bewijs is nog steeds nodig. Het RMF is bewust flexibel; de EU AI-wet is prescriptief. Je moet nog steeds artikel-specifiek bewijs produceren (Artikelen 9–15) voor elk specifiek hoogrisicosysteem, niet een algemeen risicopostuur.
Veronderstelling van conformiteit komt van EU-standaarden. Alleen geharmoniseerde Europese standaarden — niet het NIST RMF — kunnen een veronderstelling van conformiteit onder de wet geven.

Hoe AIAgentree helpt

AIAgentree produceert de traceerbare records die zowel de NIST MEASURE- en MANAGE-functies als de EU AI-wet logging- en toezichtsplichten ondersteunen — dezelfde onderliggende gegevens die beide modellen bedienen (AIAgentree is niet NIST- of EU-AI-wet-'gecertificeerd'; het genereert het bewijs):

Tamper-evidente beslissingsrecords vangen elke agentbeslissing en zijn uitkomst — het operationele bewijs dat MANAGE vereist en het record-keeping Artikel 12 vereist — met precedentzoek en uitkomstvolging zodat risicotrends meetbaar zijn (MEASURE).
Menselijke toezicht- en goedkeuringsworkflows loggen wie een beslissing heeft beoordeeld, overschreden of goedgekeurd en waarom — rechtstreeks bewijs van MANAGE's responsstap en Artikel 14 menselijke toezicht.
Python- en TypeScript-SDK's plus REST, MCP, A2A en OpenTelemetry-interfaces voeden dit bewijs in je bestaande RMF-programma, GRC of SIEM-hulpmiddelen. EU-gegevensresidencie in Duitsland, audit-fit retentie (minstens 6 maanden), sub-10ms asynchrone capture en een 25-trace gratis laag om te starten. (SOC 2 is in uitvoering.)

Start een gratis proefperiode

Veelgestelde vragen

Maakt het gebruik van de NIST AI RMF me EU AI Act-conform?

Nee. De NIST AI RMF is vrijwillige Amerikaanse richtlijn met geen juridische kracht in de EU. Het is een uitstekend operationeel model — de vier functies komen goed overeen met de verplichtingen van de EU AI Act — maar het levert geen conformiteitsbeoordeling, CE-markering, EU-databaseregistratie of artikel-niveau-bewijs dat de wet vereist. Het ondersteunt compliance-werk; het voldoet er niet aan.

Hoe komen de vier NIST-functies overeen met de EU AI Act?

GOVERN komt overeen met de verwachtingen van de wet met betrekking tot kwaliteitsbeheer en aansprakelijkheid (Artikel 17). MAP komt overeen met risicoidentificatie en transparantie over het beoogde gebruik (Artikelen 9 en 13). MEASURE komt overeen met risicoanalyse en de taken met betrekking tot nauwkeurigheid/robustheid/cyberbeveiliging (Artikelen 9 en 15). MANAGE komt overeen met risicobehandeling, logging en menselijke toezicht (Artikelen 9, 12 en 14). Documentatie over alle vier ondersteunt Artikel 11 en Bijlage IV.

Is de NIST AI RMF verplicht?

Nee. De RMF is vrijwillig voor organisaties. Sommige Amerikaanse federale agentschappen worden geïnstrueerd om NIST-richtlijnen te gebruiken, maar voor de meeste bedrijven is het een aangenomen beste praktijk in plaats van een wettelijke vereiste. De EU AI Act is daarentegen verplichte wet waar deze van toepassing is.

Kan ik mijn NIST AI RMF-werk hergebruiken voor de EU AI Act?

Ja — dat is de praktische waarde van de crosswalk. Risicobeoordelingen (MAP/MEASURE), governance-artefacten (GOVERN), mitigatie- en monitoringrecords (MANAGE) en de documentatie die de RMF aanmoedigt, kunnen allemaal worden hergebruikt als bewijs tegen EU AI Act-artikelen 9-15 en 17. U voegt dan de EU-specifieke, systeemniveau-verplichtingen toe die de RMF niet dekt.

Wat is beter, NIST AI RMF of de EU AI Act?

Ze zijn geen alternatieven. De NIST AI RMF is een vrijwillig kader voor het beheer van AI-risico; de EU AI Act is bindende wet die definieert wat u moet doen voor specifieke systemen. Als u in de EU opereert of deze bedient, is de wet niet optioneel — en de RMF is een van de meest effectieve manieren om de werkzaamheden te organiseren die nodig zijn om hieraan te voldoen.