Die KI-VO folgt -ebenso wie die Datenschutz-Grundverordnung- einem risikobasierten Ansatz. Je höher das Risiko, desto mehr Anforderungen müssen erfüllt werden.
Unterschieden wird zwischen:
Das Risiko ist inakzeptabel = Die Verwendung von KI ist ausdrücklich verboten (sog. verbotene Praktiken, Art. 5 KI-VO)
Es besteht ein hohes Risiko = Die Verwendung von KI ist reguliert. Die Anforderungen aus Art. 6 bis 49 KI-VO greifen.
Es besteht ein begrenztes, aber spezifisches Risiko = Es gelten besondere Pflichten (Transparenzpflichten gemäß Art. 50 KI-VO).
Es besteht ein minimales oder kein Risiko = KI-Kompetenz muss gewährleistet werden; ggfs. bestehen je nach Art der KI Transparenzpflicht im Sinne von Art. 50 KI-VO)
Der Einsatz von KI-Systemen erfordert insoweit zumindest eine erste Risikoanalyse, um zu prüfen, ob bestimmte Anforderungen aus der KI-VO umgesetzt werden müssen.