GDPR usklađen chatbot Irska: što irski timovi prvo trebaju provjeriti

Ako vodiš mali biznis u Irskoj, vjerojatno si već zalijepio nešto poslovno u AI chat. Možda klauzulu ugovora ili support mail. Tada GDPR prestaje biti teorija. Većina onih koji traže GDPR usklađen chatbot Irska želi alat koji može koristiti danas, bez polugodišnjeg pravnog projekta. Ovaj vodič prolazi što prvo provjeriti i zašto je server u Dublinu samo jedan dio odgovora.

Dva tipa chatbota se miješaju

Rezultati pretrage miješaju dva vrlo različita proizvoda. Jedan je bot na web stranici tvrtke koji odgovara kupcima. Drugi je chat alat koji tvoj tim otvara svaki dan za klijentske datoteke i interne bilješke. Interni alat nosi najveći GDPR rizik, jer tvoj tim upisuje osobne podatke. Ovaj članak je o tom alatu. Web bot dobiva kratak odlomak na kraju, jer od kolovoza 2026. vrijedi novo EU pravilo.

Irski biznisi podliježu EU GDPR u

Tvoj biznis u Irskoj pokriven je EU GDPR om, istim pravilima kao u ostatku bloka. Neki rezultati govore o UK GDPR u. To je zaseban zakon od Brexita, pa provjeri na što dobavljač misli prije nego vjeruješ obećanjima.

Dublin je sjedište nadzora

Data Protection Commission (DPC) je glavni nadzor za mnoge velike tech tvrtke s europskim sjedištem u Irskoj. Sjedište u Dublinu znači da DPC drži dobavljača na oku.

DPC AI Insights izvještaj iz rujna 2026. pokriva nadzor AI rada od 2021. do 2025. Među tvrtkama su Google, LinkedIn, Meta, Microsoft, OpenAI i TikTok. Izvještaj se vraća na dva pitanja. Koju pravnu osnovu tvrtka koristi za treniranje na osobnim podacima? Jesu li ljudi obaviješteni prije?

DPC također pokazuje da djeluje. U kolovozu 2024. tražio je od Irish High Courta da zaustavi X obradu korisničkih podataka za Grok model, nakon što je X odbio pauzu. X je kasnije pristao prestati i obrisati skupove prikupljene bez zaštita.

Server u Dublinu je uobičajena zamka

Veliki američki cloudovi, poput Amazona i Microsofta, imaju centre podataka u Dublinu. Chatbot koji kaže da tvoji podaci ostaju u Irskoj može jednostavno držati chatove u jednoj od tih zgrada. Zgrada je u Irskoj, ali tvrtka koja je vodi američka je. Držati podatke u Irskoj pomaže kod GDPR pravila o prijenosu u inozemstvo. Drugo pitanje je tko može narediti tvrtki da preda podatke, i to ovisi o tome kojoj državi odgovara.

Američki CLOUD Act odgovara na to drugo pitanje. Omogućuje američkim vlastima tražiti podatke od tvrtki s dovoljno veze sa Sjedinjenim Državama. Veza je šira nego što većina misli. Pokriva američke tvrtke i tvrtke iz drugih zemalja s poslovanjem u SAD u, na primjer ured tamo.

Microsoftov vlastiti izvještaj o transparentnosti za srpanj do prosinca 2025. pokazuje kako to ide u praksi. Za potrošačke račune američke vlasti tražile su sadržaj izvan SAD a u 115 naloga. Za poslovne klijente Microsoft je predao sadržaj 3 ne američka klijenta čiji su podaci bili izvan SAD a. Jedan od ta 3 bio je u EU ili EFTA. Podaci nisu morali biti u Americi da bi zahtjev stigao do tvrtke.

Za cijelu pravnu sliku pročitaj naše objašnjenje CLOUD Acta.

Što DPC očekuje prije osobnih podataka

DPC ima jasnu smjernicu o AI proizvodima. Moraš znati koje osobne podatke alat prima i drži li ih dobavljač ili ih ponovno koristi. Treba ti i način da odgovoriš kad netko traži uvid ili brisanje. Ako ne možeš, imaš GDPR problem čak i kad chatbot savršeno radi.

DPC godišnje izvješće 2025. dodaje zanimljiv detalj: više ljudi koristi AI alate da napišu zahtjeve za pristup podacima. Zahtjev za pristup podacima je pismo u kojem pitaš tvrtku koje osobne podatke o tebi drži. DPC upozorava da paziš što lijepiš u te alate. Zamisli da lijepiš mailove šefa u chatbot da napiše tvoje pismo. Ti mailovi su kod treće strane. Regulator svakodnevnu upotrebu chatbota vidi kao rizik privatnosti, tvoj tim bi trebao isto.

Treniranje je druga svrha

Dobavljač koji koristi tvoje chatove za treniranje modela radi nešto drugo od odgovora na pitanje. Treniranje znači da dobavljač ubacuje chatove u AI model da uči. GDPR to tretira kao zasebnu svrhu s vlastitom pravnom osnovom. EDPB mišljenje 28/2024 iz prosinca 2024 kaže da legitimni interes može biti osnova za AI treniranje. Također kaže da model treniran na osobnim podacima ne može se automatski smatrati anonimnim. Za klijentske datoteke pravilo je jednostavno. Treniranje mora biti isključeno, a ugovor to mora reći.

DPC također upozorava da neki modeli mogu ponavljati odlomke iz podataka za treniranje. Osobni podaci upijeni u treniranju mogu izaći kasnije, čak i ako dobavljač nije htio dijeliti. Za ugovorni jezik pročitaj naš vodič o AI bez treniranja na klijentskim podacima i objavu o AI koja ne trenira na tvojim podacima.

Tri provjere

1. Tko je vlasnik tvrtke i gdje je sjedište? Europski vlasnik bez američke matice najčišći je odgovor.
2. Gdje chat radi i koji subprocessori ga diraju? Subprocessor je druga tvrtka koja u pozadini obrađuje tvoje podatke, na primjer cloud host. Traži cijeli popis pisano. Popis europskih tvrtki dobar je znak. Američka tvrtka na popisu znak je upozorenja, jer CLOUD Act može do nje. Provjeri i vlasnika, tvrtka u Berlinu može pripadati američkoj matici.
3. Je li treniranje isključeno pisano, u samom ugovoru?

Ako trebaš pomoć s dugom politikom, naš analizator politike privatnosti može proći tekst umjesto tebe.

Gdje DentroChat pristaje

DentroChat je interni alat o kojem je riječ u članku. DentroChat je EU AI chat jednostavan za korištenje i snažan. Naši serveri su u Njemačkoj, infrastruktura ide preko europskih dobavljača izvan američke jurisdikcije. Ne treniramo na klijentskim podacima. Svaki subprocessor možeš provjeriti na našoj stranici subprocessora. Isprobaj DentroChat besplatno i vidi paše li tvom timu.

Web bot i AI Act

Chatbot koji razgovara s kupcima na tvojoj stranici ima vlastitu obvezu. Od 2. kolovoza 2026. EU AI Act traži da ljudi znaju da razgovaraju s AI, osim ako je očito. Europska komisija spominje kazne do 15 milijuna eura ili 3 posto globalnog godišnjeg prometa, s proporcionalnošću za male tvrtke.

Irska je imenovala Coimisiún na Meán kao izvršitelja za ovo pravilo, ali samo za neke tipove tvrtki: mediji, emitiranje, online i hosting. Tipična poslovna web stranica nije na popisu. Nismo stoga našli koja irska vlast bi provjerila običan business chatbot. Prati temu, Irska još postavlja AI pravila.

Ukratko

Chatbot stvarno usklađen s GDPR om trebao bi proći tri provjere gore. Prođi ih prije nego zalijepiš nešto s imenom klijenta. Ako je dobavljač nejasan na bilo kojem koraku, već imaš odgovor.