Personuppgiftsansvarig (data controller) är enligt GDPR den fysiska eller juridiska person, myndighet eller annat organ som ensam eller tillsammans med andra bestämmer ändamålen och medlen för en behandling av personuppgifter. Det är den ansvariga som bär huvudansvaret för att behandlingen är laglig, att de registrerades rättigheter tillgodoses och att principerna i artikel 5 följs. Ansvaret följer av det faktiska bestämmandet, inte av vem som rent tekniskt utför behandlingen — man kan alltså vara ansvarig även när en leverantör sköter driften.

Två eller flera aktörer som gemensamt avgör ändamål och medel blir gemensamt personuppgiftsansvariga med särskilda krav på ansvarsfördelning. Rollen är motparten till personuppgiftsbiträdet, som behandlar för den ansvariges räkning. För en AI som resonerar om dataskydd är det avgörande att först identifiera vem som är personuppgiftsansvarig, eftersom nästan alla skyldigheter och sanktioner utgår från den rollen.