GDPR conforme chatbot Ierland: wat Ierse teams eerst moeten checken

Als je een klein bedrijf in Ierland runt, heb je waarschijnlijk al iets werkgerelateerds in een AI chat geplakt. Misschien een contractclausule of een supportmail. Dan stopt GDPR met theorie zijn. Wie zoekt naar GDPR conforme chatbot Ierland wil meestal een tool die vandaag werkt, zonder een half jaar juridisch project. Deze gids loopt door wat je eerst moet checken, en waarom een server in Dublin maar een stukje van het antwoord is.

Twee soorten chatbot worden door elkaar gehaald

Zoekresultaten mixen twee heel verschillende producten. De ene is een bot op de bedrijfswebsite die klanten antwoordt. De andere is een chattool die je team elke dag opent voor klantbestanden en interne notities. Die interne tool draagt het meeste GDPR risico, omdat je team zelf persoonsgegevens intypt. Dit artikel gaat over die tool. De websitebot krijgt kort aan het eind aandacht, want vanaf augustus 2026 geldt een nieuwe EU regel.

Ierse bedrijven vallen onder EU GDPR

Je bedrijf in Ierland valt onder EU GDPR, hetzelfde regelwerk als in de rest van de bloc. Sommige resultaten praten over UK GDPR. Dat is sinds Brexit een aparte wet, dus check welke een leverancier bedoelt voordat je zijn beloftes vertrouwt.

Dublin is waar de toezichthouder zit

De Data Protection Commission (DPC) is lead toezichthouder voor veel grote techbedrijven met Europees hoofdkantoor in Ierland. Hoofdkantoor in Dublin betekent dat de DPC de leverancier in de gaten houdt.

Het AI Insights Report van de DPC, uit september 2026, behandelt toezicht op AI werk van 2021 tot 2025. Bedrijven die bekeken werden zijn onder meer Google, LinkedIn, Meta, Microsoft, OpenAI en TikTok. Het rapport blijft terugkomen op twee vragen. Welke rechtsgrond gebruikt een bedrijf om te trainen op persoonsgegevens? Wisten mensen het van tevoren?

De DPC laat ook zien dat ze optreedt. In augustus 2024 vroeg ze de Irish High Court X te stoppen met het verwerken van gebruikersdata voor het Grok model, nadat X een pauze weigerde. X stemde daarna in met stoppen en het wissen van datasets die zonder waarborgen waren verzameld.

Een server in Dublin is de gebruikelijke valkuil

Grote US cloudbedrijven zoals Amazon en Microsoft hebben datacenters in Dublin. Een chatbot die zegt dat je data in Ierland blijft, kan je chats gewoon in een van die gebouwen bewaren. Het gebouw staat in Ierland, maar het bedrijf erachter is Amerikaans. Data in Ierland houden helpt bij de GDPR regel over doorgifte naar het buitenland. De tweede vraag is wie het bedrijf kan dwingen data af te geven, en dat hangt af van welk land het bedient.

De US CLOUD Act beantwoordt die tweede vraag. Het laat US autoriteiten data eisen van bedrijven met genoeg band met de Verenigde Staten. Die band is breder dan de meeste mensen denken. Het geldt voor Amerikaanse bedrijven en ook voor bedrijven uit andere landen met activiteit in de VS, bijvoorbeeld een kantoor daar.

Microsofts eigen transparantierapport voor juli tot december 2025 laat zien hoe dit in de praktijk werkt. Voor consumentaccounts zocht US handhaving inhoud buiten de VS in 115 bevelen. Voor zakelijke klanten gaf Microsoft inhoud van 3 niet US klanten wiens data buiten de VS stond. Een van die 3 zat in de EU of EFTA. De data hoefde niet in Amerika te staan om het verzoek bij het bedrijf te landen.

Voor het volledige juridische plaatje, lees onze CLOUD Act uitleg.

Wat de DPC verwacht voordat persoonsgegevens erin gaan

De DPC heeft een heldere guidance over AI producten. Je moet weten welke persoonsgegevens de tool binnenkrijgt en of de leverancier ze bewaart of hergebruikt. Je hebt ook een manier nodig om iemand te antwoorden die vraagt om inzage of verwijdering. Lukt dat niet, dan heb je een GDPR probleem, ook als de chatbot perfect werkt.

Het jaarverslag 2025 van de DPC voegt een interessant detail toe: meer mensen gebruiken AI tools om datverzoeken te schrijven. Een datverzoek is een brief waarin je een bedrijf vraagt welke persoonsgegevens het over je heeft. De DPC waarschuwt om voorzichtig te zijn met wat je in die tools plakt. Stel je plakt mails van je baas in een chatbot zodat die je brief schrijft. Die mails liggen dan bij een derde. De toezichthouder ziet dagelijks chatbotgebruik als privacyrisico, je team moet het zo behandelen.

Training is een tweede doel

Een leverancier die je chats gebruikt om zijn model te trainen doet iets anders dan je vraag beantwoorden. Trainen betekent dat de leverancier je chats in het AI model stopt zodat het ervan leert. GDPR ziet dat als apart doel met eigen rechtsgrond. EDPB Opinion 28/2024 uit december 2024 zegt dat gerechtvaardigd belang rechtsgrond kan zijn voor AI training. Het zegt ook dat een model getraind op persoonsgegevens niet automatisch anoniem is. Voor klantbestanden is de regel simpel. Training moet uit staan, en dat moet in het contract staan.

De DPC waarschuwt ook dat sommige modellen stukken trainingsdata kunnen herhalen. Persoonsgegevens uit training kunnen later terugkomen, ook als de leverancier dat nooit wilde delen. Voor contracttekst, lees onze gids over AI zonder training op klantdata en ons stuk over AI die niet op jouw data traint.

Drie checks om te doen

1. Wie bezit het bedrijf en waar is het hoofdkantoor? Een Europese eigenaar zonder US moeder is het schoonste antwoord.
2. Waar draait de chat en welke subprocessors raken het? Een subprocessor is een ander bedrijf dat achter de schermen met je data werkt, bijvoorbeeld een cloudhost. Vraag de volledige lijst schriftelijk. Een lijst met Europese bedrijven is een goed teken. Een US bedrijf op de lijst is een waarschuwing, want de CLOUD Act kan het bereiken. Check ook de eigenaar, want een bedrijf in Berlijn kan nog steeds bij een Amerikaanse moeder horen.
3. Staat training uitgeschreven uit, in het contract zelf?

Wil je hulp bij een lang beleid, onze privacy policy analyzer kan de tekst voor je doornemen.

Waar DentroChat past

DentroChat is de interne tool waar dit artikel over gaat. DentroChat is een EU AI chat die makkelijk en krachtig is. Onze servers staan in Duitsland en onze infrastructuur draait op Europese leveranciers buiten US jurisdictie. We trainen niet op klantdata. Je kunt elke subprocessor checken op onze subprocessors pagina. Probeer DentroChat gratis en kijk of het bij je team past.

De websitebot en de AI Act

Een chatbot die met klanten op je site praat heeft een eigen plicht. Sinds 2 augustus 2026 zegt de EU AI Act dat mensen moeten weten dat ze met AI praten, tenzij dat obvious is. De Europese Commissie noemt boetes tot 15 miljoen euro of 3 procent van de wereldwijde jaaromzet, met evenredigheid voor kleine bedrijven.

Ierland heeft Coimisiún na Meán aangewezen als handhaver voor deze regel, maar alleen voor enkele soorten bedrijven: media, omroep, online en hosting. Een typische bedrijfswebsite staat niet op die lijst. We konden dus niet vinden welke Ierse autoriteit een gewone business chatbot zou checken. Houd dit in de gaten, Ierland zet zijn AI regels nog op.

Kort samengevat

Een echt GDPR conforme chatbot zou de drie checks hierboven moeten halen. Loop ze door voordat je iets plakt met een klantnaam. Wordt een leverancier vaag bij een punt, dan heb je je antwoord al.