Values washing è l'uso di linguaggio etico, affermazioni di AI responsabile o slogan per creare fiducia senza i controlli operativi necessari a renderli reali. In termini di sicurezza, è un divario tra politica e pratica: un'organizzazione afferma di avere misure di salvaguardia, ma non può mostrare registrazione degli eventi, titolarità, flussi di revisione, percorsi di escalation o possibilità di override umano.
Questo conta perché la difesa informatica moderna dipende dalle evidenze. Se i sistemi di AI influenzano decisioni di accesso, controlli antifrode, assunzioni, instradamento o triage degli incidenti, i difensori hanno bisogno di tracce di audit, controlli dei permessi e responsabilità chiare. Il values washing può nascondere una governance debole, rendere più difficili da rilevare i rischi e lasciare senza prove quando una decisione automatizzata deve essere spiegata ad auditor, utenti o regolatori. Anche gli aggressori e gli insider traggono vantaggio quando i controlli sono solo cosmetici, perché la mancanza di log e la titolarità poco chiara riducono la tracciabilità e rendono più facile occultare un uso improprio. Una difesa reale richiede controlli che operino ogni giorno, non solo dichiarazioni di AI responsabile in una pagina di policy.