Die KI-VO teilt KI-Systeme in verschiedene Risikokategorien ein. Je höher das Risiko, desto gravierender fallen die Verpflichtungen bei Verwendung oder Entwicklung eines KI-Systems aus. Grund: Die KI-VO beruht auf einem risikobasierten Ansatz. 

KI-Systeme mit geringem Risiko unterliegen nur wenigen Auflagen. 

Betreiber von KI-Systemen mit geringem Risiko müssen dafür sorgen, dass die Beschäftigten, die nötige KI-Kompetenz im Umgang mit dem KI-System haben (Art. 4 KI-VO). Sie können zudem einen freiwilligen KI-Verhaltenskodex beachten.

Die KI-VO definiert allerdings nicht, was ein „geringes“ oder „minimales“ Risiko ist. Dies wird vielmehr in einem Ausschlussverfahren bestimmt. Wenn ein KI-System keine Hochrisiko-System ist und wenn keine verbotenen Praktiken nach Art. 9 KI-VO eingesetzt werden, dann weist das KI-System ein minimales, vielleicht noch ein „begrenztes“ Risiko auf. 

Die Zuordnung zu der Kategorie der Hochrisiko-Systeme erfolgt durch Listen. Beispielsweise, wenn ein KI-System in einem der in Anhang III der KI-VO aufgelisteten Bereiche eingesetzt wird, ist es ein Hochrisiko-KI-System. Das gleiche gilt wenn es oder ein Produkt, dessen Bestandteil das KI-System ist, unter die in Anhang I aufgelisteten EU-Harmonisierungsrechtsvorschriften fällt.

KI-Systeme mit geringem Risiko sind z. B. KI-gestützte Rechtschreibprüfung, Spam-Filter, einfache KI-gestützte Sortierung von Dokumenten ohne personenbezogene Auswertung.