Un'attività a basso impatto è un'elaborazione di routine che un framework di policy può trattare con maggiore leggerezza perché si prevede che comporti un rischio limitato per la privacy, la sicurezza o l'operatività. In pratica, può includere la gestione di base delle sessioni, le funzioni essenziali della pagina o la telemetria minima necessaria a mantenere operativo un servizio. L'etichetta non significa “sicura” per default; significa che l'azione può giustificare un onere di controllo ridotto quando i dati coinvolti, la frequenza e lo scopo sono circoscritti.
In ambito di cybersecurity, questo è importante perché esenzioni ed eccezioni possono influenzare il livello di protezione che un sistema applica realmente. I difensori usano classificazioni a basso impatto per evitare di sommergere gli utenti di prompt o bloccare operazioni innocue, ma anche gli attaccanti possono cercare di nascondere comportamenti rischiosi all'interno di traffico che sembra di routine. Una buona policy, quindi, collega l'esenzione a limiti chiari, logging e revisione, così che le funzioni essenziali restino utilizzabili senza creare punti ciechi.