Chatbot conforme GDPR Irlanda: o que as equipas irlandesas devem verificar primeiro

Se geres uma pequena empresa na Irlanda, provavelmente já colaste algo de trabalho num chat de IA. Talvez uma cláusula de contrato ou um email de suporte. Aí a GDPR deixa de ser teoria. Quem procura chatbot conforme GDPR Irlanda quer em geral uma ferramenta usável hoje, sem um projeto jurídico de seis meses. Este guia passa o que verificar primeiro e por que um servidor em Dublin é só uma parte da resposta.

Dois tipos de chatbot se confundem

Os resultados misturam dois produtos muito diferentes. Um é um bot no site da empresa que responde a clientes. O outro é uma ferramenta de chat que a tua equipa abre todos os dias para ficheiros de clientes e notas internas. A ferramenta interna traz o maior risco GDPR, porque a tua equipa é quem escreve dados pessoais. Este artigo fala dessa ferramenta. O bot do site tem uma secção curta no fim, porque uma nova regra da UE aplica se a partir de agosto de 2026.

Empresas irlandesas estão sob a GDPR da UE

O teu negócio na Irlanda está coberto pela GDPR da UE, o mesmo quadro que no resto do bloco. Alguns resultados falam de GDPR do Reino Unido. É uma lei separada desde o Brexit, por isso confirma a qual se refere um fornecedor antes de confiares nas promessas.

Dublin é sede da autoridade

A Data Protection Commission (DPC) é autoridade principal para muitas grandes tech com sede europeia na Irlanda. Sede em Dublin coloca o fornecedor sob o olhar da DPC.

O relatório AI Insights da DPC, publicado em setembro de 2026, cobre a supervisão de trabalho de IA de 2021 a 2025. Entre as empresas estão Google, LinkedIn, Meta, Microsoft, OpenAI e TikTok. O relatório volta sempre a duas perguntas. Que base legal usa uma empresa para treinar com dados pessoais? As pessoas foram informadas antes?

A DPC também mostra que age. Em agosto de 2024 pediu ao Irish High Court para parar o tratamento pela X de dados de utilizador para o modelo Grok, depois de X recusar uma pausa. X concordou depois em parar e apagar conjuntos recolhidos sem salvaguardas.

Um servidor em Dublin é a armadilha comum

Grandes clouds americanas, como Amazon e Microsoft, têm centros de dados em Dublin. Um chatbot que diz que os teus dados ficam na Irlanda pode simplesmente guardar chats num daqueles edifícios. O edifício está na Irlanda, mas a empresa que o gere é americana. Manter dados na Irlanda ajuda na regra GDPR sobre envio para o estrangeiro. A segunda pergunta é quem pode ordenar à empresa que entregue dados, e isso depende de a que país responde.

O CLOUD Act americano responde a essa segunda pergunta. Permite que autoridades dos EUA exijam dados a empresas com ligação suficiente aos Estados Unidos. A ligação é mais ampla do que muitos pensam. Cobre empresas americanas e empresas de outros países com operações nos EUA, por exemplo um escritório lá.

O próprio relatório de transparência da Microsoft de julho a dezembro de 2025 mostra como funciona na prática. Em contas de consumo, autoridades americanas procuraram conteúdo armazenado fora dos EUA em 115 mandados. Em clientes empresariais, a Microsoft entregou conteúdo de 3 clientes não americanos cujos dados estavam fora dos EUA. Um desses 3 estava na UE ou EFTA. Os dados não tinham de estar na América para o pedido chegar à empresa.

Para o quadro legal completo, lê a nossa explicação do CLOUD Act.

O que a DPC espera antes de dados pessoais entrarem

A DPC tem uma nota clara sobre produtos de IA. Deves saber que dados pessoais a ferramenta recebe e se o fornecedor os guarda ou reutiliza. Precisas também de forma de responder quando alguém pede acesso ou eliminação. Se não podes, tens um problema GDPR mesmo que o chatbot funcione na perfeição.

O relatório anual 2025 da DPC acrescenta um detalhe interessante: mais gente usa ferramentas de IA para escrever pedidos de acesso a dados. Um pedido de acesso é uma carta em que perguntas a uma empresa que dados pessoais tem sobre ti. A DPC avisa para ter cuidado com o que colas nessas ferramentas. Imagina colar emails do chefe num chatbot para ele escrever a tua carta. Esses emails ficam num terceiro. O regulador trata o uso diário de chatbot como risco de privacidade, a tua equipa devia fazer o mesmo.

Treino é um segundo fim

Um fornecedor que usa os teus chats para treinar o modelo faz algo diferente de responder à pergunta. Treinar significa que o fornecedor mete os chats no modelo de IA para aprender. A GDPR trata isso como fim separado, com base legal própria. A Opinião 28/2024 da EDPB de dezembro de 2024 diz que interesse legítimo pode ser base para treino de IA. Diz também que um modelo treinado com dados pessoais não pode ser tratado automaticamente como anónimo. Em ficheiros de clientes, a regra é simples. O treino tem de estar desligado, e o contrato tem de o dizer.

A DPC avisa também que alguns modelos podem repetir passagens dos dados de treino. Dados pessoais absorvidos no treino podem sair depois, mesmo que o fornecedor não quisesse partilhar. Para redação contratual, lê o nosso guia sobre IA sem treino em dados de clientes e o artigo sobre IA que não treina com os teus dados.

Três verificações a fazer

1. Quem é dono da empresa e onde fica a sede? Um proprietário europeu sem matriz americana é a resposta mais limpa.
2. Onde corre o chat e que subprocessadores o tocam? Um subprocessor é outra empresa que trata os teus dados nos bastidores, por exemplo um host na cloud. Pede a lista completa por escrito. Uma lista com empresas europeias é bom sinal. Uma empresa dos EUA na lista é aviso, porque o CLOUD Act a pode alcançar. Verifica também o dono, uma empresa com base em Berlim pode pertencer a uma matriz americana.
3. O treino está desligado por escrito, no próprio contrato?

Se quiseres ajuda a ler uma política longa, o nosso analisador de política de privacidade pode rever o texto por ti.

Onde o DentroChat encaixa

O DentroChat é a ferramenta interna de que fala este artigo. O DentroChat é um chat de IA da UE fácil de usar e potente. Os nossos servidores estão na Alemanha e a infraestrutura corre em fornecedores europeus fora da jurisdição americana. Não treinamos com dados de clientes. Podes verificar cada subprocessor na nossa página de subprocessadores. Experimenta o DentroChat grátis e vê se encaixa na tua equipa.

O bot do site e o AI Act

Um chatbot que fala com clientes no teu site tem obrigação própria. Desde 2 de agosto de 2026, o AI Act da UE exige que as pessoas saibam que falam com IA, salvo se for óbvio. A Comissão Europeia cita coimas até 15 milhões de euros ou 3 por cento do volume de negócios anual global, com proporcionalidade para pequenas empresas.

A Irlanda nomeou Coimisiún na Meán como autoridade para esta regra, mas só para certos tipos de empresa: media, radiodifusão, online e hosting. Um site empresarial típico não está nessa lista. Não encontrámos por isso que autoridade irlandesa verificaria um chatbot business normal. Mantém atenção, a Irlanda ainda está a montar regras de IA.

Em resumo

Um chatbot verdadeiramente conforme ao GDPR devia passar as três verificações acima. Faz as antes de colares algo com nome de cliente. Se um fornecedor for vago em qualquer ponto, já tens a resposta.