Chatbot conforme GDPR Irlanda: cosa devono controllare per prime le squadre irlandesi

Se gestisci una piccola azienda in Irlanda, probabilmente hai già incollato qualcosa di lavoro in una chat IA. Forse una clausola di contratto o un email di supporto. È il momento in cui il GDPR smette di essere teoria. Chi cerca chatbot conforme GDPR Irlanda vuole di solito uno strumento usabile oggi, senza un progetto legale di sei mesi. Questa guida spiega cosa controllare per primo e perché un server a Dublino è solo un pezzo della risposta.

Due tipi di chatbot si confondono

I risultati di ricerca mescolano due prodotti molto diversi. Uno è un bot sul sito aziendale che risponde ai clienti. L’altro è uno strumento chat che il tuo team apre ogni giorno per lavorare su file clienti e note interne. Lo strumento interno porta il maggior rischio GDPR, perché è il team a digitare dati personali. Questo articolo parla di quello. Il bot del sito ha una sezione breve verso la fine, perché da agosto 2026 vale una nuova regola UE.

La tua attività in Irlanda è coperta dal GDPR UE, lo stesso quadro del resto del blocco. Alcuni risultati parlano di GDPR UK. È una legge separata dal Brexit, quindi controlla a quale si riferisce un fornitore prima di fidarti delle sue promesse.

Dublino è sede del garante

La Data Protection Commission (DPC) è autorità principale per molte grandi tech con sede europea in Irlanda. Avere sede a Dublino mette un fornitore sotto lo sguardo della DPC.

Il rapporto AI Insights della DPC, pubblicato a settembre 2026, copre la supervisione sul lavoro IA dal 2021 al 2025. Tra le aziende esaminate ci sono Google, LinkedIn, Meta, Microsoft, OpenAI e TikTok. Il rapporto torna sempre su due domande. Quale base legale usa un’azienda per addestrare su dati personali? Le persone sono state informate prima?

La DPC mostra anche che agisce. Ad agosto 2024 ha chiesto all’High Court irlandese di fermare il trattamento da parte di X dei dati utente per addestrare il modello Grok, dopo che X ha rifiutato una pausa. X ha poi accettato di smettere e cancellare i dataset raccolti senza garanzie.

Un server a Dublino è la trappola comune

Grandi cloud USA, come Amazon e Microsoft, hanno data center a Dublino. Un chatbot che dice che i tuoi dati restano in Irlanda può semplicemente tenere le chat in uno di quei edifici. L’edificio è in Irlanda, ma l’azienda che lo gestisce è americana. Tenere i dati in Irlanda aiuta con la regola GDPR sui trasferimenti all’estero. La seconda domanda è chi può ordinare all’azienda di consegnare i dati, e dipende da quale paese risponde.

Il CLOUD Act USA risponde a quella seconda domanda. Permette alle autorità USA di chiedere dati ad aziende con abbastanza legami con gli Stati Uniti. Il legame è più ampio di quanto molti pensino. Copre aziende americane e anche aziende di altri paesi con operazioni negli USA, per esempio un ufficio lì.

Il proprio rapporto di trasparenza di Microsoft da luglio a dicembre 2025 mostra come funziona in pratica. Per account consumer, le forze USA hanno cercato contenuti fuori dagli USA in 115 ordini. Per clienti business, Microsoft ha consegnato contenuti di 3 clienti non USA i cui dati erano fuori dagli USA. Uno di questi 3 era in UE o EFTA. I dati non dovevano essere in America perché la richiesta arrivasse all’azienda.

Per il quadro legale completo, leggi la nostra spiegazione del CLOUD Act.

Cosa si aspetta la DPC prima dei dati personali

La DPC ha una guida chiara sui prodotti IA. Devi sapere quali dati personali prende lo strumento e se il fornitore li conserva o riusa. Serve anche un modo per rispondere a chi chiede di vedere o cancellare i propri dati. Se non puoi, hai un problema GDPR anche se il chatbot funziona benissimo.

Il rapporto annuale 2025 della DPC aggiunge un dettaglio interessante: più persone usano strumenti IA per scrivere richieste di accesso ai dati. Una richiesta di accesso è una lettera che chiede a un’azienda quali dati personali ha su di te. La DPC avverte di fare attenzione a cosa incolli in quegli strumenti. Immagina di incollare email del capo in un chatbot per fargli scrivere la lettera. Quelle email finiscono presso un terzo. Il regolatore tratta l’uso quotidiano del chatbot come rischio privacy, il tuo team dovrebbe fare lo stesso.

L’addestramento è un secondo scopo

Un fornitore che usa le tue chat per addestrare il modello fa qualcosa di diverso dal rispondere. Addestrare significa che il fornitore mette le tue chat nel modello IA perché impari. Il GDPR tratta questo come scopo separato, con base legale propria. L’Opinione 28/2024 dell’EDPB di dicembre 2024 dice che l’interesse legittimo può essere base per addestramento IA. Dice anche che un modello addestrato su dati personali non può essere trattato automaticamente come anonimo. Per file clienti, la regola è semplice. L’addestramento deve essere spento, e il contratto deve dirlo.

La DPC avverte anche che alcuni modelli possono ripetere passaggi dei dati di addestramento. Dati personali assorbiti in addestramento possono uscire dopo, anche se il fornitore non voleva condividerli. Per clausole contrattuali, leggi la nostra guida su IA senza addestramento sui dati clienti e il post su IA che non addestra sui tuoi dati.

Tre controlli da fare

Chi possiede l’azienda e dove ha sede? Un proprietario europeo senza casa madre USA è la risposta più pulita.
Dove gira la chat e quali subprocessori la toccano? Un subprocessor è un’altra azienda che gestisce i tuoi dati dietro le quinte, per esempio un host cloud. Chiedi l’elenco completo per iscritto. Un elenco di aziende europee è buon segno. Un’azienda USA in lista è segnale d’allarme, perché il CLOUD Act può raggiungerla. Controlla anche il proprietario, perché un’azienda con base a Berlino può appartenere a una madre americana.
L’addestramento è spento per iscritto, nel contratto stesso?

Se vuoi aiuto a leggere una policy lunga, il nostro analizzatore di privacy policy può scorrere il testo per te.

Dove entra DentroChat

DentroChat è lo strumento interno di cui parla questo articolo. DentroChat è una chat IA UE facile da usare e potente. I nostri server sono in Germania e l’infrastruttura usa fornitori europei fuori giurisdizione USA. Non addestriamo su dati clienti. Puoi controllare ogni subprocessor sulla nostra pagina subprocessori. Prova DentroChat gratis e vedi se calza con il tuo team.

Il bot del sito e l’AI Act

Un chatbot che parla con clienti sul tuo sito ha un dovere proprio. Dal 2 agosto 2026, l’AI Act UE dice che le persone devono sapere che parlano con IA, salvo che sia ovvio. La Commissione europea cita multe fino a 15 milioni di euro o il 3 per cento del fatturato annuo globale, con proporzionalità per le piccole imprese.

L’Irlanda ha nominato Coimisiún na Meán come autorità per questa regola, ma solo per certi tipi di azienda: media, broadcasting, online e hosting. Un sito business tipico non è in quell’elenco. Non abbiamo quindi trovato quale autorità irlandese controllerebbe un chatbot business normale. Tieni d’occhio il tema, l’Irlanda sta ancora definendo le regole IA.

In breve

Un chatbot davvero conforme al GDPR dovrebbe superare i tre controlli sopra. Falli prima di incollare qualcosa con un nome cliente. Se un fornitore è vago su uno di essi, hai già la risposta.