Chatbot conforme GDPR Irlanda: lo que los equipos irlandeses deben comprobar primero

Si diriges una pequeña empresa en Irlanda, probablemente ya pegaste algo laboral en un chat de IA. Tal vez una cláusula de contrato o un email de soporte. Ahí la GDPR deja de ser teoría. La mayoría de quienes buscan chatbot conforme GDPR Irlanda quieren una herramienta usable hoy, sin un proyecto legal de seis meses. Esta guía repasa qué comprobar primero y por qué un servidor en Dublín es solo una parte de la respuesta.

Dos tipos de chatbot se confunden

Los resultados mezclan dos productos muy distintos. Uno es un bot en la web de la empresa que responde a clientes. El otro es una herramienta de chat que tu equipo abre cada día para trabajar con archivos de clientes y notas internas. La herramienta interna concentra el mayor riesgo GDPR, porque tu equipo es quien escribe datos personales. Este artículo trata de esa herramienta. El bot web tiene una sección breve al final, porque una nueva norma de la UE aplica desde agosto de 2026.

Tu negocio en Irlanda queda bajo la GDPR de la UE, el mismo marco que en el resto del bloque. Algunos resultados hablan de GDPR del Reino Unido. Es una ley aparte desde el Brexit, así que comprueba a cuál se refiere un proveedor antes de confiar en sus promesas.

Dublín es sede de la autoridad

La Data Protection Commission (DPC) es la autoridad principal para muchas grandes tech con sede europea en Irlanda. Tener sede en Dublín sitúa al proveedor bajo la mirada de la DPC.

El informe AI Insights de la DPC, publicado en septiembre de 2026, cubre su supervisión del trabajo con IA de 2021 a 2025. Entre las empresas revisadas están Google, LinkedIn, Meta, Microsoft, OpenAI y TikTok. El informe vuelve una y otra vez a dos preguntas. ¿Qué base legal usa una empresa para entrenar con datos personales? ¿Se informó a las personas antes?

La DPC también demuestra que actúa. En agosto de 2024 pidió al High Court irlandés frenar el tratamiento por X de datos de usuario para entrenar su modelo Grok, tras negarse X a una pausa. X acordó después parar y borrar los conjuntos recogidos sin salvaguardas.

Un servidor en Dublín es la trampa habitual

Grandes nubes estadounidenses, como Amazon y Microsoft, tienen centros de datos en Dublín. Un chatbot que dice que tus datos se quedan en Irlanda puede simplemente guardar tus chats en uno de esos edificios. El edificio está en Irlanda, pero la empresa que lo opera es estadounidense. Mantener los datos en Irlanda ayuda con la norma GDPR sobre envíos al extranjero. La segunda pregunta es quién puede ordenar a la empresa entregar los datos, y eso depende del país al que responde.

El CLOUD Act estadounidense responde a esa segunda pregunta. Permite a las autoridades de EE. UU. exigir datos a empresas con suficiente vínculo con Estados Unidos. Ese vínculo es más amplio de lo que muchos creen. Cubre empresas estadounidenses y también empresas de otros países con operaciones en EE. UU., por ejemplo una oficina allí.

El informe de transparencia de Microsoft de julio a diciembre de 2025 muestra cómo funciona en la práctica. En cuentas de consumo, la ley estadounidense buscó contenido almacenado fuera de EE. UU. en 115 órdenes. En clientes empresariales, Microsoft entregó contenido de 3 clientes no estadounidenses cuyos datos estaban fuera de EE. UU. Uno de esos 3 estaba en la UE o el EEE. Los datos no tenían que estar en América para que la petición llegara a la empresa.

Para el panorama legal completo, lee nuestra explicación del CLOUD Act.

Qué espera la DPC antes de meter datos personales

La DPC tiene una guía clara sobre productos de IA. Debes saber qué datos personales toma la herramienta y si el proveedor los guarda o reutiliza. También necesitas forma de responder a quien pida ver o borrar sus datos. Si no puedes, tienes un problema GDPR aunque el chatbot funcione perfecto.

El informe anual 2025 de la DPC añade un detalle muy interesante: más gente usa herramientas de IA para redactar solicitudes de acceso a datos. Una solicitud de acceso es una carta que pide a una empresa qué datos personales tiene sobre ti. La DPC advierte cuidado con lo que pegas en esas herramientas. Imagina que pegas emails de tu jefe en un chatbot para que redacte tu carta. Esos emails quedan en manos de un tercero. El regulador trata el uso cotidiano del chatbot como riesgo de privacidad, tu equipo debería hacer lo mismo.

El entrenamiento es un segundo fin

Un proveedor que usa tus chats para entrenar su modelo hace algo distinto de responder tu pregunta. Entrenar significa que el proveedor mete tus chats en su modelo de IA para que aprenda. La GDPR trata eso como un fin separado, con su propia base legal. La Opinión 28/2024 del EDPB de diciembre de 2024 dice que el interés legítimo puede ser base para entrenar IA. También dice que un modelo entrenado con datos personales no puede tratarse automáticamente como anónimo. En archivos de clientes, la regla es simple. El entrenamiento debe estar apagado, y el contrato debe decirlo.

La DPC también advierte que algunos modelos pueden repetir pasajes de sus datos de entrenamiento. Datos personales absorbidos en el entrenamiento pueden salir después, aunque el proveedor no quisiera compartirlos. Para redacción contractual, lee nuestra guía sobre IA sin entrenamiento con datos de clientes y nuestro post sobre IA que no entrena con tus datos.

Tres comprobaciones que debes hacer

¿Quién es dueño de la empresa y dónde tiene sede? Un propietario europeo sin matriz estadounidense es la respuesta más limpia.
¿Dónde corre el chat y qué subprocesadores lo tocan? Un subprocesador es otra empresa que maneja tus datos entre bastidores, por ejemplo un host en la nube. Pide la lista completa por escrito. Una lista con empresas europeas es buena señal. Una empresa de EE. UU. en la lista es señal de alerta, porque el CLOUD Act puede alcanzarla. Revisa también al dueño, porque una empresa con base en Berlín puede pertenecer a una matriz estadounidense.
¿Está el entrenamiento apagado por escrito, dentro del propio contrato?

Si quieres ayuda leyendo una política larga, nuestro analizador de política de privacidad puede repasar el texto por ti.

Dónde encaja DentroChat

DentroChat es la herramienta interna de la que habla este artículo. DentroChat es un chat de IA de la UE fácil de usar y potente. Nuestros servidores están en Alemania y la infraestructura usa proveedores europeos fuera de jurisdicción estadounidense. No entrenamos con datos de clientes. Puedes revisar cada subprocesador en nuestra página de subprocesadores. Prueba DentroChat gratis y mira cómo encaja con tu equipo.

El bot web y la Ley de IA

Un chatbot que habla con clientes en tu web tiene su propia obligación. Desde el 2 de agosto de 2026, la Ley de IA de la UE exige decir a las personas que hablan con IA, salvo que sea obvio. La Comisión Europea cita multas de hasta 15 millones de euros o el 3 por ciento de la facturación anual global, con proporcionalidad para pequeñas empresas.

Irlanda nombró a Coimisiún na Meán como autoridad para esta norma, pero solo para ciertos tipos de empresa: medios, radiodifusión, online y hosting. Una web empresarial típica no está en esa lista. No pudimos aclarar qué autoridad irlandesa revisaría un chatbot business normal. Vigila esto, Irlanda sigue montando sus normas de IA.

En resumen

Un chatbot de verdad conforme al GDPR debería pasar las tres comprobaciones de arriba. Hazlas antes de pegar algo con nombre de cliente. Si un proveedor se pone evasivo en cualquiera, ya tienes la respuesta.