Il rischio di conformità è la possibilità che una pratica violi obblighi legali, normativi o interni. Nella sicurezza informatica, si presenta spesso quando le persone trattano i dati in modi che non corrispondono alla politica aziendale, alle norme sulla privacy, ai requisiti di conservazione o alle normative di settore. Un controllo può funzionare tecnicamente e comunque creare un rischio di conformità se invia informazioni sensibili a un sistema non approvato o le archivia più a lungo di quanto consentito.
L'IA ombra è un esempio comune: un dipendente incolla dati riservati, personali o regolamentati in un chatbot esterno senza approvazione. Questo può esporre l'organizzazione a violazioni delle policy, rilievi di audit, violazioni contrattuali e sanzioni normative, anche se non è coinvolto alcun attaccante. I difensori riducono questo rischio con regole chiare sull'uso dell'IA, classificazione dei dati, strumenti approvati, registrazione dei log, controlli di conservazione e formazione che indichi al personale cosa non deve mai essere condiviso.