Il controllo interno è un percorso di conformità in cui il fornitore valuta, verifica e documenta autonomamente la conformità, senza una revisione obbligatoria di terze parti. Nel contesto dell'AI Act dell'UE, viene utilizzato solo per determinati sistemi e categorie di rischio, e dipende dal percorso giuridico e dagli standard applicabili.
Questo è importante nella sicurezza informatica perché l'autovalutazione trasferisce una maggiore responsabilità sui controlli interni del fornitore. I team devono proteggere i dati di addestramento, i set di convalida, le versioni del modello, i fascicoli tecnici e i registri delle modifiche, poiché tali elementi dimostrano l'integrità e la tracciabilità. Gli aggressori possono tentare di alterare la documentazione, nascondere modifiche non autorizzate al modello o sfruttare una governance debole per far apparire conforme un sistema non conforme. Dal punto di vista difensivo, il controllo interno funziona meglio se affiancato da una gestione rigorosa delle modifiche, controllo degli accessi, registri di audit e raccolta ripetibile delle evidenze.