L'assegnazione delle responsabilità è la ripartizione contrattuale di doveri, rischi e responsabilità tra le parti. In ambito di cybersecurity, definisce chi configura i controlli, chi approva l'uso dei dati, chi monitora il sistema e chi deve intervenire se qualcosa va storto. Questo aspetto è importante perché spesso le falle di sicurezza si verificano nelle aree di sovrapposizione tra organizzazioni: una parte presume che l'altra stia filtrando i dati, revisionando l'output dell'IA, registrando le attività o gestendo gli incidenti, mentre il contratto non lo chiarisce in alcun modo.
Una ripartizione chiara aiuta a prevenire gli attacchi e a limitare i danni. Ad esempio, se un servizio di IA elabora dati sensibili, il contratto dovrebbe stabilire chi può caricarli, dove possono essere archiviati, chi può usarli per il riaddestramento e chi è responsabile per eventuali fughe di dati, usi impropri o output automatici errati. I difensori usano questa struttura per assegnare il controllo degli accessi, i diritti di audit, le tempistiche di notifica e i doveri di rimedio. Senza di essa, le lacune di sicurezza diventano lacune legali e le lacune legali diventano rischio operativo.