GDPR compliant chatbot Irland: det irske teamet bør sjekke først

Hvis du driver en liten bedrift på Irland, har du sannsynligvis allerede limt inn noe jobbrelatert i en AI chat. Kanskje en kontraktsklausul eller en supportmail. Da slutter GDPR å være teori. De fleste som søker GDPR compliant chatbot Irland vil ha et verktøy de kan bruke i dag, uten et halvårs juridisk prosjekt. Denne guiden går gjennom hva du bør sjekke først, og hvorfor en server i Dublin bare er én del av svaret.

To typer chatbot blir blandet sammen

Søkeresultater blander to veldig ulike produkter. Den ene er en bot på bedriftens nettside som svarer kunder. Den andre er et chatverktøy teamet ditt åpner hver dag for kundefiler og interne notater. Det interne verktøyet bærer mest GDPR risiko, fordi teamet ditt skriver inn personopplysninger. Denne artikkelen handler om det verktøyet. Nettboten får et kort avsnitt på slutten, fordi en ny EU regel gjelder fra august 2026.

Irsk bedrift faller under EU GDPR

Bedriften din på Irland er dekket av EU GDPR, samme regelverk som i resten av blokken. Noen søkeresultater snakker om UK GDPR. Det er en egen lov siden Brexit, så sjekk hvilken en leverandør mener før du stoler på løfter.

Dublin er der tilsynet sitter

Data Protection Commission (DPC) er lead tilsyn for mange store tech selskaper med europeisk hovedkontor på Irland. Hovedkontor i Dublin betyr at DPC har leverandøren under oppsyn.

DPCs AI Insights Report fra september 2026 dekker tilsyn med AI arbeid fra 2021 til 2025. Selskaper som ble sett på inkluderer Google, LinkedIn, Meta, Microsoft, OpenAI og TikTok. Rapporten går tilbake til to spørsmål. Hvilket rettslig grunnlag bruker et selskap for å trene på personopplysninger? Fikk folk beskjed før det skjedde?

DPC viser også at den handler. I august 2024 ba den Irish High Court om å stoppe Xs behandling av brukerdata for Grok modellen, etter at X nektet pause. X gikk senere med på å stoppe og slette datasett samlet inn uten sikkerhet.

En server i Dublin er den vanlige fellen

Store amerikanske skyleverandører som Amazon og Microsoft har datasentre i Dublin. En chatbot som sier at dataene dine blir på Irland kan bare lagre chattene i en av de bygningene. Bygningen står på Irland, men selskapet som driver den er amerikansk. Å holde data på Irland hjelper med GDPR regelen om overføring utenlands. Det andre spørsmålet er hvem som kan beordre selskapet til å utlevere data, og det avhenger av hvilket land det svarer til.

US CLOUD Act svarer på det andre spørsmålet. Det lar amerikanske myndigheter kreve data fra selskaper med nok tilknytning til USA. Tilknytningen er bredere enn de fleste tror. Den dekker amerikanske selskaper og også selskaper fra andre land med drift i USA, for eksempel et kontor der.

Microsofts egen transparensrapport for juli til desember 2025 viser hvordan det fungerer i praksis. For forbrukerkontoer søkte amerikansk rettshåndhevelse innhold utenfor USA i 115 warrants. For bedriftskunder utleverte Microsoft innhold fra 3 ikke amerikanske kunder hvis data lå utenfor USA. En av de 3 var i EU eller EFTA. Dataene trengte ikke å ligge i Amerika for at forespørselen skulle nå selskapet.

For hele det juridiske bildet, les vår CLOUD Act forklaring.

Hva DPC forventer før personopplysninger kommer inn

DPC har en tydelig veiledning om AI produkter. Du må vite hvilke personopplysninger verktøyet tar inn og om leverandøren lagrer eller gjenbruker dem. Du trenger også en måte å svare når noen ber om innsyn eller sletting. Kan du ikke det, har du et GDPR problem selv om chatboten fungerer perfekt.

DPCs årsrapport 2025 legger til en interessant detalje: flere bruker AI verktøy til å skrive innsynsbegjæringer. En innsynsbegjæring er et brev der du spør et selskap hvilke personopplysninger det har om deg. DPC advarer om å være forsiktig med hva du limer inn i slike verktøy. Tenk deg at du limer inn sjefens e poster i en chatbot så den skriver brevet ditt. Da ligger e postene hos en tredjepart. Tilsynet ser daglig chatbot bruk som personvernrisiko, teamet ditt bør gjøre det samme.

Trening er et annet formål

En leverandør som bruker chattene dine til å trene modellen gjør noe annet enn å svare på spørsmålet ditt. Trening betyr at leverandøren mater chattene inn i AI modellen så den lærer. GDPR behandler det som et separat formål med eget rettslig grunnlag. EDPB Opinion 28/2024 fra desember 2024 sier at legitim interesse kan være grunnlag for AI trening. Den sier også at en modell trent på personopplysninger ikke automatisk kan behandles som anonym. For kundefiler er regelen enkel. Trening må være avslått, og kontrakten må si det.

DPC advarer også om at noen modeller kan gjenta passasjer fra treningsdata. Personopplysninger tatt opp i trening kan komme ut senere, selv om leverandøren aldri mente å dele dem. For kontraktspråk, les vår guide om AI uten trening på kundedata og innlegget vårt om AI som ikke trener på dataene dine.

Tre sjekker du bør kjøre

1. Hvem eier selskapet og hvor er hovedkontoret? En europeisk eier uten amerikansk morselskap er det reneste svaret.
2. Hvor kjører chatten og hvilke underleverandører berører den? En underleverandør er et annet selskap som håndterer dataene dine bak kulissene, for eksempel en cloud host. Be om hele listen skriftlig. En liste med europeiske selskaper er et godt tegn. Et amerikansk selskap på listen er et varsel, fordi CLOUD Act kan nå det. Sjekk også eieren, for et selskap i Berlin kan fortsatt tilhøre en amerikansk mor.
3. Er trening slått av skriftlig i selve kontrakten?

Vil du ha hjelp til å lese en lang policy, kan vår personvernerklæring analyzer gå gjennom teksten for deg.

Hvor DentroChat passer inn

DentroChat er det interne verktøyet denne artikkelen handler om. DentroChat er en EU AI chat som er enkel å bruke og kraftig. Serverne våre står i Tyskland og infrastrukturen kjører på europeiske leverandører utenfor amerikansk jurisdiksjon. Vi trener ikke på kundedata. Du kan sjekke hver underleverandør på vår underleverandør side. Prøv DentroChat gratis og se om det passer teamet ditt.

Nettboten og AI Act

En chatbot som snakker med kunder på nettsiden din har sin egen plikt. Siden 2. august 2026 krever EU AI Act at folk får vite at de snakker med AI, med mindre det er åpenbart. Europa Kommisjonen nevner bøter opp til 15 millioner euro eller 3 prosent av global årsomsetning, med proporsjonalitet for små bedrifter.

Irland har utpekt Coimisiún na Meán som håndhever for denne regelen, men bare for visse bedriftstyper: media, kringkasting, online og hosting. En typisk bedriftsnettside står ikke på listen. Vi fant derfor ikke hvilken irsk myndighet som ville sjekke en vanlig business chatbot. Følg med, Irland setter fortsatt AI reglene på plass.

Kort versjon

En skikkelig GDPR compliant chatbot bør bestå de tre sjekkene over. Kjør dem før du limer inn noe med kundenavn. Blir en leverandør vag på ett punkt, har du allerede svaret.