L'art. 3 del regolamento definisce sistema di IA un sistema automatizzato progettato per funzionare con livelli di autonomia variabili, che può presentare adattabilità dopo la diffusione e che, per obiettivi espliciti o impliciti, deduce dall'input che riceve come generare output quali previsioni, contenuti, raccomandazioni o decisioni che possono influenzare ambienti fisici o virtuali. Il punto chiave è la capacità di inferenza: un semplice programma con regole fisse scritte dal programmatore non è un sistema di IA ai sensi del regolamento.
Le due figure principali sono il fornitore, che sviluppa il sistema o lo fa sviluppare e lo immette sul mercato con il proprio nome, e il deployer, che utilizza il sistema sotto la propria autorità nell'ambito di un'attività professionale. Nel contesto aziendale il datore di lavoro che installa un software di visione per controllare l'uso dei DPI, o una piattaforma che assegna i turni in base ai dati di produttività, è tipicamente un deployer.
Il ruolo può cambiare. Un deployer che modifica in modo sostanziale un sistema ad alto rischio, o che ne cambia la finalità prevista rendendolo ad alto rischio, o che vi appone il proprio marchio, viene considerato fornitore con i relativi obblighi. È il parallelo, nel mondo dell'IA, della modifica sostanziale delle macchine. Un'azienda logistica che riaddestra un modello acquistato con i propri dati per usarlo nella valutazione delle prestazioni dei magazzinieri deve verificare con attenzione se sta superando questa soglia.