Существенным недостатком проекта является отсутствие реальной реализации заявленного риск-ориентированного подхода. Несмотря на то, что в проекте декларируется необходимость учитывать степень риска, автономности, масштабы возможного вреда и характер обрабатываемой информации, законопроект не содержит юридически оформленной классификации систем по уровням риска и не связывает различные категории риска с различными правовыми последствиями. В нем отсутствуют перечень запрещенных практик, отдельный режим для высокорисковых систем, специальные правила для ограниченно рисковых систем и иная дифференциация, без которой риск-ориентированный подход остается исключительно декларативным.