La deriva del ruolo è lo spostamento della responsabilità legale o operativa che può verificarsi quando un sistema di IA viene modificato, riadattato a un altro uso, integrato o consegnato a un'altra parte. Un modello può iniziare come prodotto di un'organizzazione e poi diventare componente, servizio o strumento operativo di un altro team. Quando ciò accade, i doveri previsti per sicurezza, conformità, supporto e risposta agli incidenti possono cambiare senza che la documentazione venga aggiornata.
Nella sicurezza informatica, la deriva del ruolo è importante perché una proprietà poco chiara crea lacune: nessuno sa chi applica le patch al sistema, rivede i log, approva le modifiche o risponde agli abusi. Gli attaccanti e gli usi impropri spesso traggono vantaggio da questa confusione, soprattutto nelle catene di fornitura condivise e nelle distribuzioni esternalizzate. I difensori riducono il rischio con una gestione rigorosa delle modifiche, inventari degli asset, responsabilità scritte, controllo degli accessi e contratti o runbook aggiornati che rispecchino l'architettura corrente. L'obiettivo è mantenere l'accountability allineata all'uso reale del sistema, non al suo progetto originale.