O 286 foi o primeiro da família de CPUs x86 a suportar o modo de endereço virtual protegido, comumente chamado de "modo protegido". Além disso, foi o primeiro microprocessador disponível comercialmente com capacidades de unidade de gerenciamento de memória (MMU) no chip (sistemas usando o contemporâneo Motorola 68010 e o NS320xx podiam ser equipados com um controlador MMU opcional). Isso permitiria que os compatíveis com IBM tivessem sistemas operacionais multitarefa avançados pela primeira vez e competissem no mercado de servidores/workstations dominado pelo Unix.^[20]

Várias instruções adicionais foram introduzidas no modo protegido do 80286, as quais são úteis para sistemas operacionais multitarefa.

Outra característica importante do 80286 é a prevenção de acesso não autorizado. Isso é alcançado através da:

• Formação de diferentes segmentos para dados, código e pilha (stack), e a prevenção da sua sobreposição.
• Atribuição de níveis de privilégio a cada segmento. Segmentos com níveis de privilégio menores não podem acessar segmentos com níveis de privilégio maiores.

No 80286 (e em seu coprocessador Intel 80287), as operações aritméticas podem ser executadas nos seguintes tipos diferentes de números:

• decimal compactado sem sinal,
• binário sem sinal,
• decimal descompactado sem sinal,
• binário com sinal,
• números de ponto flutuante (apenas com um 80287).

Por design, o 286 não podia reverter do modo protegido para o modo de endereço real básico compatível com 8086 ("modo real") sem uma reinicialização iniciada por hardware. No PC/AT introduzido em 1984, a IBM adicionou circuitos externos, bem como código especializado na BIOS em ROM e no microcontrolador de teclado 8042 para permitir que o software causasse a reinicialização (reset), permitindo a reentrada no modo real enquanto retinha a memória ativa e retornava o controle ao programa que iniciou a reinicialização. (A BIOS está necessariamente envolvida porque obtém controle direto sempre que a CPU é reiniciada). Embora funcionasse corretamente, o método impunha uma enorme penalidade de desempenho.

Em teoria, aplicativos de modo real poderiam ser diretamente executados no modo protegido de 16 bits se certas regras (recém-propostas com a introdução do 80286) fossem seguidas; no entanto, como muitos programas do DOS não estavam em conformidade com essas regras, o modo protegido não foi amplamente utilizado até o surgimento de seu sucessor, o Intel 80386 de 32 bits, que foi projetado para alternar facilmente entre os modos e fornecer uma emulação do modo real dentro do modo protegido. Quando a Intel projetou o 286, ele não foi projetado para ser capaz de executar aplicativos de modo real em multitarefa; o modo real pretendia ser uma maneira simples para um carregador de inicialização (bootstrap) preparar o sistema e então alternar para o modo protegido; essencialmente, no modo protegido, o 80286 foi projetado para ser um novo processador com muitas semelhanças aos seus predecessores, enquanto o modo real no 80286 era oferecido para sistemas de menor escala que poderiam se beneficiar de uma versão mais avançada do núcleo da CPU 80186, com vantagens como taxas de clock mais altas, execução de instruções mais rápida (medida em ciclos de clock) e barramentos não multiplexados, mas não o espaço de memória de 24 bits (16 MB).

Para suportar o modo protegido, novas instruções foram adicionadas: ARPL, VERR, VERW, LAR, LSL, SMSW, SGDT, SIDT, SLDT, STR, LMSW, LGDT, LIDT, LLDT, LTR, CLTS. Também existem novas exceções (interrupções internas): opcode inválido, coprocessador não disponível, falha dupla (double fault), superação do segmento do coprocessador, falha de pilha, superação de segmento/falha de proteção geral, e outras destinadas exclusivamente ao modo protegido.

O modo protegido do 80286 não foi utilizado rotineiramente em aplicativos de PC até muitos anos após seu lançamento, em parte devido ao alto custo de adicionar memória estendida a um PC, mas também devido à necessidade de os softwares suportarem a grande base de usuários de PCs 8086. Por exemplo, em 1986, o único programa que fazia uso dele era o VDISK, um driver de disco RAM incluído no PC DOS 3.0 e 3.1. O DOS podia utilizar a RAM adicional disponível no modo protegido (memória estendida) por meio de uma chamada de BIOS (INT 15h, AH=87h), como um disco RAM, ou como emulação de memória expandida.^[18]

A dificuldade residia na incompatibilidade dos programas DOS mais antigos de modo real com o modo protegido. Eles não podiam rodar nativamente neste novo modo sem modificações significativas. No modo protegido, o gerenciamento de memória e o tratamento de interrupções eram feitos de forma diferente do modo real. Além disso, os programas DOS geralmente acessavam diretamente segmentos de dados e código que não lhes pertenciam, pois o modo real permitia que fizessem isso sem restrições; em contraste, a intenção do design do modo protegido era impedir que os programas acessassem quaisquer segmentos além dos seus próprios, a menos que um acesso especial fosse explicitamente permitido. Embora fosse possível configurar um ambiente de modo protegido que permitisse a todos os programas acessar todos os segmentos (colocando todos os descritores de segmento na Tabela de Descritores Globais (GDT) e atribuindo a todos o mesmo nível de privilégio), isso minava quase todas as vantagens do modo protegido, exceto o espaço de endereço estendido (24 bits). A escolha que os desenvolvedores de SO enfrentavam era começar do zero e criar um SO que não rodaria a grande maioria dos programas antigos, ou criar uma versão do DOS que fosse lenta e feia (ou seja, feia de um ponto de vista técnico interno), mas que ainda rodasse a maioria dos programas antigos. O modo protegido também não fornecia uma vantagem de desempenho significativa o suficiente sobre o modo real compatível com o 8086 para justificar o suporte aos seus recursos; na verdade, exceto pelas trocas de tarefas (task switches) durante a multitarefa, ele gerava uma desvantagem de desempenho, retardando muitas instruções por meio de uma longa lista de verificações de privilégio adicionais. No modo protegido, os registradores ainda eram de 16 bits, e o programador ainda era forçado a usar um mapa de memória composto por segmentos de 64 kB, exatamente como no modo real.^[21]

A Intel não esperava que a falta de suporte de máquina virtual para software 8086 fosse um problema, porque achava que novos softwares usando todas as capacidades do 80286 apareceriam rapidamente. Bill Gates se referiu ao 80286 como um chip "com morte cerebral", porque ele não pode usar máquinas virtuais para executar em multitarefa vários aplicativos MS-DOS com um sistema operacional como o Microsoft Windows.^[22] Ele foi possivelmente o responsável pela divisão entre a Microsoft e a IBM, já que a IBM insistiu que o OS/2, originalmente uma joint venture entre a IBM e a Microsoft, rodasse em um 286 (e em modo de texto).

Em janeiro de 1985, a Digital Research fez uma prévia do sistema operacional Concurrent DOS 286 1.0, desenvolvido em cooperação com a Intel. O produto funcionaria estritamente como um sistema operacional de modo nativo do 80286 (ou seja, modo protegido), permitindo aos usuários tirar o máximo proveito do modo protegido para realizar operações multiusuário e multitarefa enquanto executavam a emulação do 8086.^[23][24][25] Isso funcionou na etapa de protótipo B-1 do chip, mas a Digital Research descobriu problemas com a emulação na etapa C-1 em nível de produção, em maio, o que não permitiria que o Concurrent DOS 286 executasse software 8086 no modo protegido. O lançamento do Concurrent DOS 286 foi adiado até que a Intel desenvolvesse uma nova versão do chip.^[23] Em agosto, após testes extensivos em amostras da etapa E-1 do 80286, a Digital Research reconheceu que a Intel havia corrigido todas as erratas documentadas do 286, mas disse que ainda havia problemas não documentados de desempenho do chip com a versão de pré-lançamento do Concurrent DOS 286 rodando na etapa E-1. A Intel disse que a abordagem que a Digital Research desejava adotar para emular o software 8086 no modo protegido diferia das especificações originais. No entanto, na etapa E-2, eles implementaram pequenas alterações no microcódigo que permitiriam à Digital Research executar o modo de emulação de forma muito mais rápida.^[11] Nomeado IBM 4680 OS, a IBM originalmente escolheu o DR Concurrent DOS 286 como base de seu computador IBM 4680 para produtos do IBM Plant System e terminais de ponto de venda em 1986.^[26] O FlexOS 286 versão 1.3 da Digital Research, uma derivação do Concurrent DOS 286, foi desenvolvido em 1986, introduzido em janeiro de 1987 e posteriormente adotado pela IBM para seu IBM 4690 OS, mas as mesmas limitações o afetaram.

Outros sistemas operacionais que usavam o modo protegido do 286 foram o Xenix da Microsoft (por volta de 1984),^[27] o Coherent,^[28] e o Minix.^[29] Estes foram menos prejudicados pelas limitações do modo protegido do 80286 porque não tinham o objetivo de rodar aplicativos MS-DOS ou outros programas de modo real.

Ao projetar o 80386, os engenheiros da Intel estavam cientes e concordavam com a má reputação do 80286.^[30] Eles aprimoraram o modo protegido do 80386 para endereçar mais memória e também adicionaram o modo virtual 8086 separado, um modo dentro do modo protegido com compatibilidade muito melhor com o MS-DOS.^[31]