Riscos
Os riscos estão por toda parte. Por exemplo, o código mostrado está atribuindo 'sim'
para $campo
. E mandando imprimir algo que nunca será impresso. Pode parecer algo bobo para se observar, mas as falhas ocorrem por coisas bobas assim.
Então, como mostrado nessa pergunta a validação deve ocorrer com qualquer dado que venha de fonte que você não controla totalmente na aplicação.
Evidentemente que se vai usar a informação só em uma query desta forma a principal validação já é feita pela função usada.
Dados inválidos
Isso não impede que outros dados inválidos sejam usados. Como é inserção então é muito provável que se deseje verificar se os dados estão em estado adequado para entrar no banco de dados, mas em termos de segurança não haverá riscos diretos. Pode haver indiretos, como a pessoa colocar a senha que ela usa em um campo que pode ser acessado por qualquer pessoa publicamente, mas é claro que isto é mais difícil impedir se a pessoa quiser fazer mesmo.
Lembre-se que a informação poderá ser usada para outras coisas e há o risco da sua aplicação ficar vulnerável. Não existe só a injeção de SQL. Um dos erros mais comuns é deixar o usuário entrar com um caminho de arquivo de forma livre.
Injeção de conteúdo
Existe ainda a injeção de conteúdo que nada tem a ver com o SQL. Em aplicações web é comum tentarem colocar como um dado inocente um código HTML/JS. Quando este dado for acessado por alguém, este código será inserido na página normal da sua aplicação e executará algo no cliente que não era sua intenção. Isto cria um problema de segurança para seus usuários. Isto também é responsabilidade sua. Fica pior se esta informação for usada no servidor para gerar algo que executará.
DDoS
Existe o ataque de negação de serviço que pode ser obtido fazendo o banco de dados trabalhar mais do que está esperando. Isto pode ocorrer porque o dado não foi validado. E nem sempre é fácil achar um equilíbrio entre o dado ser válido ou não em situações assim. Validar um dado para evitar a robotização de requisições é importante também. Quase nenhuma aplicação web está preparada para isto. Quase todas são feitas de forma bastante amadora. Por sorte elas são tão irrelevantes que não costumam sofrer estes ataques.
Qualquer ataque é possível
Eu vou lembrando de outros ataques, mas se eu não parar por aqui a resposta vai continuar sendo editada e aumentada. Desenvolver para web é bem mais complicado do que as pessoas imaginam.
Conclusão
Conforme a resposta linkada na pergunta aqui, você deve restringir os valores aceitos o máximo possível. Não só por causa do SQL injection.
Não se esqueça que pode haver um bug na função que manipula o prepared statement. Pode ser raro, mas se você validou antes diminui as chances de um ataque ter sucesso. Não estou dizendo para ser tão paranoico de desconfiar que tudo poderá falhar, mas é algo para refletir sobre.
E o primeiro exemplo é uma validação, ruim, mas é. Não ajuda nem atrapalha SQL injection. E pra mim piora uma situação na maioria dos casos. Em geral é melhor ter um campo vazio do que nulo. Mas se souber o que está fazendo, se tiver certeza que sempre será verificado se a variável é nula antes de usar, ok. Não está errado, é só uma questão de estilo.
Teste positivo X teste negativo
Mas no geral um dos maiores erros que as pessoas comentem é testar a aplicação para saber se ela está funcionando. Os testes são feitos para saber se ela não está funcionando. E isto é o mais importante. Testar tudo o que pode dar errado é fundamental. A maioria não dá valor para isto e quando dá, não sabe tudo que precisa ser testado. E eu duvido que exista alguém que saiba tudo que precisa ser testado em aplicações complexas. Você apenas tenta minimizar ao máximo, não repetir os mesmos erros, consertar o que estava errado assim que acha um problema novo.