Bezüglich der Kategorisierung von KI-Systemen nach ihrem Risiko gibt es eine Einteilung in Systeme mit minimalem, hohem oder unannehmbarem Risiko. Unter Systeme mit einem minimalen Risiko fallen beispielsweise KI-gestützte Empfehlungssysteme und Spamfilter. Für diese sieht die KI-Verordnung lediglich die Förderung der Aufstellung freiwilliger Verhaltenskodizes vor. Hinsichtlich KI-Systemen mit hohem Risiko, wie Systemen für die Personaleinstellung, zur Bewertung der Kreditwürdigkeit oder zum Betrieb autonomer Roboter, gelten hingegen striktere Regeln. Anwendungen, die eine Gefahr für die Grundrechte der Menschen darstellen, sind wiederum verboten. Dazu gehören beispielsweise KI-Systeme, die zur Manipulation von menschlichem Verhalten in der Lage sind oder Anwendungen der vorausschauenden polizeilichen Überwachung.
Darüber hinaus gelten bei gewissen KI-Systemen besondere Transparenzpflichten. Zum Beispiel sollen Anwendungen, die für die Interaktion mit natürlichen Personen ausgelegt sind, klar als KI erkennbar sein. Dies ist insbesondere für Kommunen relevant, die die Benutzerfreundlichkeit ihrer Websites durch Chatbots erhöhen wollen. Zudem müssen Inhalte von KI-Systemen mit allgemeinem Verwendungszweck, welche synthetische Audio-, Bild-, Video-, oder Textinhalte erzeugen, als solche kenntlich gemacht werden.
Der überwiegende Teil der KI-Verordnung gilt ab dem 2. August 2026, wobei es für einzelne Vorschriften gesonderte Termine für den Beginn der Gültigkeit gibt. So ist das Verbot von KI-Systemen mit unannehmbarem Risiko bereits ab dem 2. Februar 2025 gültig und die Bestimmungen zu Anwendungen mit allgemeinem Verwendungszweck gelten ab dem 2. August 2025. In Hinblick auf die Umsetzung sieht die Verordnung die Erarbeitung von Leitlinien durch die Europäische Kommission vor. Diese sollen unter anderem an den Bedürfnissen lokaler Behörden ausgerichtet sein und vor Beginn der jeweiligen Gültigkeit der einzelnen Vorschriften veröffentlicht werden.