La classificazione del rischio è la pratica di classificare i casi d'uso dell'IA in base al loro impatto potenziale, alla sensibilità e alla criticità per il business, in modo che i controlli di sicurezza e governance siano proporzionati al livello di rischio. Uno strumento interno a basso rischio per il riassunto può richiedere solo una registrazione di base e una revisione, mentre un sistema ad alto rischio usato per decisioni sui clienti, per l'accesso o per azioni automatizzate può richiedere approvazioni più rigorose, supervisione umana, test e controlli di accesso.
Nella sicurezza informatica, la classificazione del rischio aiuta le organizzazioni a concentrare l'attenzione dove un uso improprio o un guasto causerebbero i danni maggiori. È utile durante l'inventario, l'approvvigionamento, la registrazione del modello e la revisione del rilascio, perché impedisce che ogni progetto di IA venga trattato allo stesso modo. Gli aggressori traggono vantaggio quando i sistemi ad alto rischio vengono lanciati con controlli deboli o quando l'IA ombra aggira del tutto la classificazione. I difensori usano la classificazione per decidere dove collocare il monitoraggio, i collegamenti alla risposta agli incidenti e i checkpoint manuali prima che un sistema di IA diventi una dipendenza di produzione non gestita.