Le règlement organise les usages d'IA selon quatre niveaux de risque : inacceptable, haut, limité et minimal. Savoir dans quelle catégorie se situe un usage est le point de départ de toute démarche de conformité, car c'est ce qui détermine l'intensité des obligations.