Nařízení vyžaduje řízení rizik po celý životní cyklus systému – od návrhu a trénování přes nasazení až po sledování po uvedení na trh (články 9–15 a 72). Součástí je iterativní testování (robustnost, férovost), reálné pilotní ověření i následné sledování ukazatelů výkonu a revize po podstatných změnách.
Poskytovatelé vysoce rizikových systémů musí hlásit závažné incidenty příslušnému orgánu dozoru nad trhem (článek 73). Po zjištění příčinné souvislosti (nebo její vysoké pravděpodobnosti) je nutné podat hlášení bezodkladně, nejpozději do 15 dnů od okamžiku, kdy se o incidentu dozvěděli. Ve zvláštních případech platí kratší lhůty: 2 dny při rozsáhlém porušení nebo závažném narušení kritické infrastruktury a 10 dnů v případě úmrtí osoby.