Dele constam a identificação biométrica remota incluindo a categorização e a identificação de emoções; gestão e segurança de infra-estruturas críticas; educação e formação vocacional (incluindo a selecção, avaliação e detecção de fraudes); emprego, gestão de trabalhadores e acesso ao trabalho independente (recrutamento e selecção, distribuição de trabalho, avaliação de desempenho); acesso a serviços essenciais, prestados por entidades privadas ou públicas e a benefícios outorgados pelo Estado (incluindo a atribuição, redução ou cancelamento de benefícios,  o risco de crédito, o prémio de seguros, a classificação de pedidos de auxílio e a triagem das respostas);  actividades policiais (incluindo o profiling de indivíduos passíveis de praticar actos  criminosos ou de reincidirem nessa prática); migração, asilo e controlo de fronteiras (incluindo o uso de polígrafos e de ferramentas similares, nomeadamente para avaliação de risco para a segurança e para o tratamento de pedidos de visto, residência ou asilo); administração da justiça  (pesquisa e interpretação de factos e do direito, aplicação do direito aos factos concretos quer no âmbito judicial quer no âmbito da solução alternativa de litígios) e processo democrático (sistemas de IA empregues para influenciar o resultado de uma eleição ou referendo ou o comportamento dos eleitores).

            A vastidão do risco (definido no nº 2 do artº 3º como a combinação entre a probabilidade de ocorrência de dano e a severidade do mesmo) leva o RIA a prometer, pela mão da Comissão Europeia, futuras linhas de orientação, incluindo listagens positivas e negativas de actividades de risco (nº 5 do artº 6º e artº 96º) e uma regulamentação (que se adivinha densa e inovadora face à parcimónia do RIA) por via de actos delegados a provar pela Comissão (nº 6 a 8 do artº 6º e artº 7º). O RIA obriga ao estabelecimento de sistemas de gestão de risco para as aplicações de IA de alto risco, e, para certas categorias, a realização de avaliações de impacte previstas no artigo 35º do RGPD. Cada Estado-membro terá de designar a autoridade competente para gerir as notificações a fazer pelos operadores de sistemas de IA e para densificar e procedimentalizar os mecanismos de gestão de riscos (incluindo pelo menos uma regulatory sandbox a nível nacional). O resultado da gestão de risco e da certificação é conducente à outorga de uma declaração UE de conformidade (artº 47º, com o conteúdo previsto no anexo V) que permitirá a utilização da marca CE (nº 12 do artº 3º e artº 48º) aquando da introdução no mercado interno, independentemente da localização do responsável pela introdução.

            A UE espera conseguir, por via da cenoura da certificação dos sistemas de IA e que garante o acesso ao mercado interno, um controlo do risco da utilização da IA, controlo que implica o fornecimento de informação comercialmente sensível, desde logo as características e resultados proporcionados pelos algoritmos empregues. De fora da regulação UE ficarão todos os sistemas de IA, como os operados pela China, não sujeitos a um normativo conhecido e verificável por terceiros. Esta diferença leva alguns, em particular nos EUA, a defenderem uma abordagem “no-rules” como forma de manter a IA ocidental ao nível da chinesa. O level playing field baseado na desregulação é um sonho distópico. Não obstante, o RIA privilegia os sistemas de IA em código aberto (nº 12 do artigo 2º). Zuckerberg aposta no código aberto não por questões de transparência mas para poupar recursos de programação e se não lançar no mercado sistemas de IA de alto risco poderá beneficiar da não sujeição ao RIA e ao seu quadro sancionatório (coimas no valor máximo de 1, 3 ou 7% do volume anual de negócios de acordo com a tipologia das infracções).