Personuppgiftsbiträde (data processor) är enligt GDPR den som behandlar personuppgifter för den personuppgiftsansvariges räkning, exempelvis en moln-, IT- eller lönehanteringsleverantör. Biträdet får bara behandla uppgifterna enligt den ansvariges dokumenterade instruktioner och relationen ska regleras i ett personuppgiftsbiträdesavtal enligt artikel 28, som bland annat styr säkerhet, sekretess, underbiträden och radering. Biträdet har egna direkta skyldigheter under GDPR — till exempel säkerhetsåtgärder och att föra register — men bestämmer inte ändamålen; om det börjar göra det blir det i praktiken självt personuppgiftsansvarigt.

Anlitande av underbiträden kräver den ansvariges godkännande. För en AI som resonerar om leverantörskedjor är biträdesrollen central: den avgör vem som får göra vad med uppgifterna och vilket avtal som måste finnas på plats.