La legge sulla protezione dei dati è l'insieme di norme che disciplina il modo in cui i dati personali vengono raccolti, archiviati, trasferiti e trattati. Nel campo della cybersecurity, definisce ciò che le organizzazioni devono fare per gestire le informazioni di utenti, dipendenti o clienti in modo lecito e sicuro, inclusi i limiti sulla conservazione, il controllo degli accessi, i trasferimenti transfrontalieri, la segnalazione delle violazioni e il consenso o altre basi giuridiche per il trattamento.
È importante perché gli attacchi prendono spesso di mira i dati personali e una gestione debole può trasformare un incidente di sicurezza in un problema legale. Chi difende i sistemi usa la legge sulla protezione dei dati per giustificare la cifratura, la minimizzazione dei dati, la registrazione degli eventi, i controlli sui fornitori e le procedure di risposta agli incidenti. Per i sistemi di IA, queste norme diventano particolarmente importanti quando i dati di addestramento, i prompt, la telemetria o gli output del modello contengono dati personali. Un prodotto sviluppato in un Paese può comunque dover soddisfare gli obblighi sulla privacy di un altro Paese una volta che i dati attraversano i confini, ed è per questo che la conformità deve essere progettata nel sistema e non aggiunta in un secondo momento.