Powołanie administratora bezpieczeństwa informacji nie jest obowiązkowe. Jednak jeśli administrator danych zdecyduje się na to, ma dwie opcje do wyboru. Może powołać ABI i powierzyć mu wykonywanie zadań wynikających z ustawy o ochronie danych osobowych. Może też utworzyć odrębne stanowisko ABI i zatrudnić na nim powołaną osobę.