La conformità di facciata è il rispetto superficiale delle regole che fa apparire un’organizzazione come se avesse adottato una politica o un controllo, senza assicurarsi che le persone li comprendano o li applichino in modo significativo. Nella cybersecurity, questo può accadere quando esiste una politica sull’uso dell’IA solo sulla carta, ma i dipendenti non hanno chiaro quali strumenti siano approvati, quali siano i limiti nella gestione dei dati o quando sia necessaria una revisione umana.
Questa lacuna è importante perché l’attività può sembrare un successo mentre i rischi restano senza controllo. I dipendenti che subiscono pressioni affinché usino l’IA potrebbero rispettare i requisiti visibili, improvvisando però nella pratica, per esempio usando strumenti senza sapere se sia consentito inserire informazioni sensibili o fidandosi dei risultati generati senza verificarli. Si tratta di potenziali modalità di errore, non della prova che si sia verificato un incidente. Difese più solide associano regole chiare e pratiche a una formazione adeguata ai ruoli, strumenti approvati e responsabilità di revisione. Le organizzazioni dovrebbero anche fare in modo che il personale possa porre domande o ammettere di avere dubbi senza timore, invece di misurare la conformità solo in base all’adozione o ai conteggi di utilizzo.