Un mécanisme de policy-as-code dans lequel les valeurs d’entrée autorisées, les appels API, les opérations de modèle ou les points de terminaison externes sont spécifiés dans une liste blanche, et les éléments interdits (par exemple, les champs de données personnelles [PII], les fonctions non autorisées) sont recensés dans une liste noire. Lors de l’exécution, qu’elle soit en temps réel ou au sein d’un pipeline, des contrôles de politique bloquent toute action non approuvée. Les processus de gouvernance assurent la maintenance et la révision régulières de ces listes afin de s’adapter à l’évolution des risques et des exigences.