La classificazione del rischio è il processo di inserimento di un caso d'uso dell'IA in una categoria legale che determina quali obblighi si applicano. In regimi come l'AI Act dell'UE, la classificazione può stabilire se un sistema è proibito, strettamente regolamentato o principalmente soggetto a obblighi di trasparenza. Il risultato non è solo un'etichetta legale: definisce la base per la documentazione, la supervisione umana, i test, la registrazione dei log e il monitoraggio post-deployment.
Nel campo della sicurezza informatica, la classificazione del rischio è importante perché trasforma la governance in un punto di controllo. Un sistema classificato in modo errato può saltare le protezioni richieste, lasciando lacune nelle tracce di audit, nella risposta agli incidenti o nelle comunicazioni agli utenti. Anche gli aggressori possono trarre vantaggio quando le organizzazioni distribuiscono strumenti di IA non esaminati o “shadow” al di fuori delle categorie approvate. I difensori usano la classificazione per censire i casi d'uso dell'IA, documentarne la finalità prevista e mappare i controlli al corretto livello legale. In pratica, una classificazione solida supporta una progettazione sicura, audit più semplici e una migliore responsabilità quando i sistemi di IA influenzano decisioni sensibili o flussi di lavoro regolamentati.