La supervisione basata sul rischio è un approccio di controllo che adatta la revisione umana alla sensibilità e al potenziale impatto di un'attività. Invece di richiedere lo stesso processo di approvazione per ogni azione, assegna un monitoraggio più leggero agli usi a basso rischio e una revisione più rigorosa a quelli ad alto rischio. In pratica, ciò significa che l'automazione di routine può funzionare con registrazione dei log e controlli periodici, mentre le azioni più rilevanti richiedono che una persona verifichi, metta in discussione o approvi il risultato.
Nella sicurezza informatica, questo è importante perché gli aggressori spesso prendono di mira i flussi di lavoro più affidabili o di maggiore impatto. Un output del modello difettoso, un dataset avvelenato, un prompt injection o un'automazione eccessivamente permissiva possono portare a decisioni di accesso errate, transazioni fraudolente o modifiche non sicure ai controlli di sicurezza. La supervisione basata sul rischio riduce questa esposizione adeguando la forza del controllo alle conseguenze: ad esempio, consentendo all'IA di smistare gli avvisi, ma richiedendo l'approvazione umana prima di una risposta a un account takeover, di modifiche alle policy o di un'escalation dei privilegi. L'obiettivo non è rallentare tutto, ma mantenere l'automazione veloce dove il fallimento è tollerabile e attentamente supervisionata dove il fallimento è costoso.