La mitigazione commisurata al rischio significa scegliere controlli di sicurezza che corrispondano all'impatto probabile e alla probabilità di danno derivante da un sistema. Uno strumento a basso rischio può richiedere solo un controllo di accesso di base e la registrazione degli eventi, mentre un sistema di IA ad alto rischio che influenza decisioni, elabora dati sensibili o può essere abusato su larga scala può richiedere misure di protezione più forti, come revisione umana, permessi più rigorosi, test, monitoraggio e pianificazione della risposta agli incidenti.
Nel campo della sicurezza informatica, questo principio è importante perché le difese sono più efficaci quando sono proporzionate. Controlli troppo deboli lasciano falle che gli aggressori possono sfruttare; controlli troppo rigidi possono essere poco pratici e venire ignorati. Negli attacchi reali, una mitigazione inadeguata si manifesta come privilegi eccessivi, aggiornamenti del modello non revisionati, convalida degli input debole o assenza di tracce di audit. In difesa, i team usano valutazioni del rischio per giustificare perché determinati sistemi ricevono monitoraggio avanzato, segmentazione, controlli sui fornitori o flussi di approvazione. L'obiettivo non è eliminare ogni rischio, ma ridurlo a un livello adatto al profilo di minaccia effettivo del sistema.