GDPR compliant chatbot Irland: det irske team bør tjekke først

Hvis du driver en lille virksomhed i Irland, har du sikkert allerede indsat noget arbejdsrelateret i en AI chat. Måske en kontraktklausul eller en supportmail. Så stopper GDPR med at være teori. De fleste der søger GDPR compliant chatbot Irland vil have et værktøj de kan bruge i dag, uden et halvårs juridisk projekt. Denne guide gennemgår hvad du skal tjekke først, og hvorfor en server i Dublin kun er én del af svaret.

To slags chatbot bliver blandet sammen

Søgeresultater blander to meget forskellige produkter. Det ene er en bot på virksomhedens website der svarer kunder. Det andet er et chatværktøj dit team åbner hver dag til kundefiler og interne noter. Det interne værktøj bærer mest GDPR risiko, fordi dit team selv skriver personoplysninger ind. Denne artikel handler om det værktøj. Website botten får et kort afsnit til sidst, fordi en ny EU regel gælder fra august 2026.

Irsk virksomhed er under EU GDPR

Din virksomhed i Irland er dækket af EU GDPR, samme regelsæt som i resten af blokken. Nogle søgeresultater taler om UK GDPR. Det er en separat lov siden Brexit, så tjek hvilken en leverandør mener før du stoler på løfter.

Dublin er hvor tilsynet sidder

Data Protection Commission (DPC) er lead tilsyn for mange store tech virksomheder med europæisk hovedkvarter i Irland. Hovedkvarter i Dublin betyder at DPC har leverandøren under opsyn.

DPCs AI Insights Report fra september 2026 dækker tilsyn med AI arbejde fra 2021 til 2025. Virksomheder der blev set på inkluderer Google, LinkedIn, Meta, Microsoft, OpenAI og TikTok. Rapporten vender tilbage til to spørgsmål. Hvilket retsgrundlag bruger en virksomhed til at træne på personoplysninger? Fik folk besked før det skete?

DPC viser også at den handler. I august 2024 bad den Irish High Court om at stoppe Xs behandling af brugerdata til Grok modellen, efter X nægtede pause. X accepterede derefter at stoppe og slette datasæt indsamlet uden sikkerhed.

En server i Dublin er den typiske fælde

Store amerikanske cloud firmaer som Amazon og Microsoft har datacentre i Dublin. En chatbot der siger dine data bliver i Irland kan bare gemme chats i en af de bygninger. Bygningen står i Irland, men firmaet der driver den er amerikansk. At holde data i Irland hjælper med GDPR reglen om overførsel til udlandet. Det andet spørgsmål er hvem der kan beordre firmaet til at udlevere data, og det afhænger af hvilket land det svarer til.

US CLOUD Act besvarer det andet spørgsmål. Det lader amerikanske myndigheder kræve data fra firmaer med nok forbindelse til USA. Forbindelsen er bredere end de fleste tror. Den dækker amerikanske firmaer og også firmaer fra andre lande med drift i USA, for eksempel et kontor der.

Microsofts egen transparensrapport for juli til december 2025 viser hvordan det fungerer i praksis. For forbrugerkonti søgte amerikansk retshåndhævelse indhold uden for USA i 115 warrants. For erhvervskunder udleverede Microsoft indhold fra 3 ikke amerikanske kunder hvis data lå uden for USA. En af de 3 var i EU eller EFTA. Data behøvede ikke at ligge i Amerika for at anmodningen nåede firmaet.

For hele det juridiske billede, læs vores CLOUD Act forklaring.

Hvad DPC forventer før personoplysninger kommer ind

DPC har en klar vejledning om AI produkter. Du skal vide hvilke personoplysninger værktøjet tager ind og om leverandøren gemmer eller genbruger dem. Du skal også kunne svare når nogen beder om indsigt eller sletning. Kan du ikke det, har du et GDPR problem selv om chatbotten virker perfekt.

DPCs årsrapport 2025 tilføjer en interessant detalje: flere bruger AI værktøjer til at skrive anmodninger om indsigt i data. En anmodning om indsigt er et brev hvor du spørger et firma hvilke personoplysninger det har om dig. DPC advarer om at være forsigtig med hvad du indsætter i sådanne værktøjer. Forestil dig at du indsætter din chefs mails i en chatbot så den skriver dit brev. Så ligger mails hos en tredjepart. Tilsynet ser daglig chatbot brug som privatlivsrisiko, dit team bør gøre det samme.

Træning er et andet formål

En leverandør der bruger dine chats til at træne sin model gør noget andet end at svare på dit spørgsmål. Træning betyder at leverandøren føder dine chats ind i AI modellen så den lærer. GDPR behandler det som et separat formål med eget retsgrundlag. EDPB Opinion 28/2024 fra december 2024 siger at legitim interesse kan være grundlag for AI træning. Den siger også at en model trænet på personoplysninger ikke automatisk kan behandles som anonym. For kundefiler er reglen enkel. Træning skal være slået fra, og kontrakten skal sige det.

DPC advarer også om at nogle modeller kan gentage passager fra træningsdata. Personoplysninger optaget i træning kan komme ud senere, selv om leverandøren aldrig mente at dele dem. For kontraktsprog, læs vores guide om AI uden træning på kundedata og vores indlæg om AI der ikke træner på dine data.

Tre tjek du bør køre

1. Hvem ejer firmaet og hvor er hovedkvarteret? En europæisk ejer uden amerikansk moderselskab er det reneste svar.
2. Hvor kører chatten og hvilke underbehandlere rører den? En underbehandler er et andet firma der håndterer dine data bag kulisserne, for eksempel en cloud host. Bed om hele listen skriftligt. En liste med europæiske firmaer er et godt tegn. Et amerikansk firma på listen er et advarselstegn, fordi CLOUD Act kan nå det. Tjek også ejeren, for et firma i Berlin kan stadig høre til en amerikansk moderselskab.
3. Er træning slået fra skriftligt i selve kontrakten?

Vil du have hjælp til at læse en lang policy, kan vores privacy policy analyzer gå teksten igennem for dig.

Hvor DentroChat passer ind

DentroChat er det interne værktøj denne artikel handler om. DentroChat er en EU AI chat der er nem at bruge og kraftfuld. Vores servere står i Tyskland og infrastrukturen kører på europæiske leverandører uden for amerikansk jurisdiktion. Vi træner ikke på kundedata. Du kan tjekke hver underbehandler på vores underbehandler side. Prøv DentroChat gratis og se om det passer til dit team.

Website botten og AI Act

En chatbot der taler med kunder på dit website har sin egen pligt. Siden 2. august 2026 kræver EU AI Act at folk får at vide at de taler med AI, medmindre det er åbenlyst. Europa Kommissionen nævner bøder op til 15 millioner euro eller 3 procent af global årsomsætning, med proportionalitet for små virksomheder.

Irland har udpeget Coimisiún na Meán som håndhæver for denne regel, men kun for visse virksomhedstyper: medier, broadcasting, online og hosting. En typisk virksomhedswebsite er ikke på listen. Vi kunne derfor ikke finde hvilken irsk myndighed der ville tjekke en almindelig business chatbot. Hold øje, Irland sætter stadig sine AI regler på plads.

Den korte version

En rigtig GDPR compliant chatbot bør bestå de tre tjek ovenfor. Kør dem før du indsætter noget med kundenavn. Bliver en leverandør vag på et punkt, har du allerede svaret.