Ansvaret lander først og fremmest hos den private virksomhed, der har udviklet og implementeret AI-agenten. Software har ingen retsevne, så man kan ikke sagsøge en algoritme. I stedet kigger loven på den dataansvarlige part under GDPR. Hvis en agent ulovligt trænger ind i offentlige systemer, udgør det et alvorligt brud på datasikkerheden, hvilket kan udløse massive administrative bøder.
Det bliver dog mere mudret, hvis den offentlige infrastruktur har haft kritiske sikkerhedshuller. Myndigheden kan blive holdt medansvarlig for ikke at have sikret borgernes data tilstrækkeligt mod udefrakommende angreb. Det handler om proportionalitet og rettidig omhu i it-sikkerheden.
Borgere, der får deres privatliv krænket, kan søge erstatning gennem civile søgsmål. Her vil domstolene vurdere, om virksomheden har udvist uagtsomhed i programmeringen eller kontrollen af agentens autonomi. Resultatet er ofte en økonomisk kompensation for det lidte tab.
