Una politica a semaforo è un semplice quadro di controllo che utilizza codici colore come rosso, giallo e verde per indicare quando uno strumento, un'azione o un tipo di dato sono vietati, soggetti a restrizioni o consentiti. Nella sicurezza informatica, questo tipo di politica trasforma regole astratte in indicazioni operative chiare, aiutando le persone a prendere decisioni rapide senza dover fare supposizioni. È comunemente usata nelle regole di uso accettabile, nella classificazione dei dati e nei flussi di lavoro di approvazione degli strumenti.
Il suo valore è pratico: etichette chiare riducono gli abusi, migliorano la responsabilità e limitano l'esposizione accidentale di informazioni sensibili. Ad esempio, una politica può vietare il caricamento di dati riservati su servizi di IA di terze parti, consentire un uso limitato con contenuti pubblici o permettere l'uso di uno strumento solo all'interno di sistemi gestiti. I difensori usano questo approccio per ridurre l'IT ombra e la condivisione non sicura, mentre gli attaccanti spesso traggono vantaggio quando le regole sono vaghe e gli utenti ignorano il rischio. Una politica a semaforo supporta la sicurezza rendendo visibili i permessi prima che venga intrapresa un'azione.