GDPR er personvernregelverket som beskytter opplysninger om mennesker. Det gjelder også når opplysningene brukes i KI. Virksomheten må blant annet avklare formål, rettslig grunnlag, nødvendige data og leverandørens rolle. En bedriftslisens eller påstand om at data ikke brukes til trening, avgjør ikke alene om bruken er lovlig.