La regolamentazione basata sulle capacità è un modello di policy in cui i doveri legali crescono man mano che un sistema diventa più potente, più ampiamente distribuito o più pericoloso se usato in modo improprio. Invece di applicare le stesse regole a ogni prodotto, i regolatori stabiliscono obblighi più rigorosi per i sistemi a rischio più elevato.
Nel campo della sicurezza informatica, questo è importante perché l'IA avanzata può cambiare il panorama delle minacce. Un modello molto capace può aiutare gli aggressori a scrivere esche di phishing, automatizzare la ricognizione o generare malware, mentre i difensori possono aver bisogno di controlli più forti per l'accesso, i test, la registrazione dei log e la segnalazione degli incidenti. In base alla regolamentazione basata sulle capacità, i sistemi più avanzati potrebbero essere soggetti a requisiti come pratiche di distribuzione sicura, supervisione umana, valutazione prima del rilascio e processi di sicurezza documentati.