Le regole decisionali sono le politiche e la logica di controllo che determinano ciò che un sistema di IA è autorizzato a fare. Si collocano tra il modello e il processo aziendale, trasformando l'output grezzo del modello in azioni come approvare una richiesta, rifiutare un prompt, escalare a un umano o richiamare uno strumento. In ambito di sicurezza informatica, queste regole sono importanti perché definiscono la reale autorità del sistema: un modello può essere in grado di fare molte cose, ma il livello decisionale stabilisce quali risultati sono consentiti.
Gli aggressori prendono di mira le regole decisionali cercando di aggirare le misure di sicurezza, alterare le condizioni di utilizzo degli strumenti o influenzare le policy tramite prompt injection e feedback avvelenati. Se le regole non sono documentate o sono hardcoded in più punti, le modifiche possono indebolire silenziosamente la sicurezza o creare comportamenti incoerenti dopo un aggiornamento del modello o una migrazione della piattaforma. I difensori riducono questo rischio versionando le regole, separando l'input dell'utente dalla policy di sistema, testando le modifiche alle regole e registrando le decisioni in modo che possano essere revisionate e ripristinate. Buone regole decisionali aiutano a mantenere l'IA prevedibile, verificabile e sicura.