AI风险管理是对识别、评估、处理和监控在开发、采购、部署或使用人工智能系统时所产生的风险的协同工作。它将有关AI系统的决策与能够防止伤害或在条件变化时做出响应的人员、流程和控制措施联系起来。

它是对企业风险管理（ERM）的延伸，而非替代。法律、安全、隐私、运营韧性和内部审计等现有学科依然适用。AI增加了一些可能无法完全契入现有技术控制的问题：该系统是否适合此用途？其在不断变化条件下的行为有多可靠？谁对其输出负责，如果人工审核失败会发生什么？

工作层级

一个实用的计划会在多个层面运作。战略工作设定方向、评估是否需要人工智能、建立风险承受能力并分配决策权。运营工作评估每个用例及其完整系统，包括模型、数据、供应商、接口和人工任务。韧性工作为不符合现有分类的中断或高影响事件做准备。这些层级将董事会级别的选择与测试和日常控制连接起来。

风险管理是持续的。当模型、数据、预期用户或周边流程发生变化时，部署前做出的评估可能会过时。组织需要为重新评估设定明确的触发条件、决策记录、事件处理途径以及暂停或撤回系统的能力。工作量应反映每次使用的潜在影响、风险敞口和不确定性。

主要框架的不同之处

EW-AiRM™ 是一个开放的企业级框架，它将战略、运营和韧性层结合在一起，旨在增强现有的企业风险管理（ERM）。NIST 人工智能风险管理框架是一项自愿性指导方针，重点在于管理整个人工智能系统生命周期中的风险，包含治理、映射、测量和管理等功能。ISO/IEC 42001 规定了组织可以实施并通过认证的人工智能管理系统要求。欧盟《人工智能法案》是一项立法：它为特定的人工智能实践和风险类别设定了法律义务和限制。这些工具有着不同的目的，因此组织可能会同时使用几种，而不是将它们视为替代品。

一个实用的起点是盘点人工智能的使用情况，为每个部署的系统指定一名负责人，记录其用途和影响，并将每个重大风险与控制措施及升级路线联系起来。框架语言有助于构建这项工作，但不能代表组织做出决策。问责制仍然取决于具有权力和证据以及行动时间的个人。