GDPR anpassad chatbot Irland: det irländska teamet bör kolla först

Om du driver ett litet företag på Irland har du förmodligen redan klistrat in något jobbrelaterat i en AI chatt. Kanske en avtalsklausul eller ett supportmejl. Då slutar GDPR vara teori. De flesta som söker GDPR anpassad chatbot Irland vill ha ett verktyg de kan börja använda idag, utan ett halvårs juridiskt projekt. Den här guiden går igenom vad du ska kolla först, och varför en server i Dublin bara är en del av svaret.

Två sorters chatbot blandas ihop

Sökresultat blandar två väldigt olika produkter. Den ena är en bot på företagets webbplats som svarar kunder. Den andra är ett chattverktyg som ditt team öppnar varje dag för kundfiler och interna anteckningar. Internt verktyg bär mest GDPR risk, eftersom ditt team skriver in personuppgifter. Den här artikeln handlar om det verktyget. Webbboten får ett kort avsnitt i slutet, eftersom en ny EU regel gäller från augusti 2026.

Irländska företag omfattas av EU GDPR

Ditt företag på Irland omfattas av EU GDPR, samma regelverk som i resten av blocket. Vissa sökresultat pratar om UK GDPR. Det är en separat lag sedan Brexit, så kolla vilket en leverantör menar innan du litar på dess löften.

Dublin är där tillsynsmyndigheten sitter

Data Protection Commission (DPC) är lead tillsyn för många stora techbolag med europeiskt huvudkontor på Irland. Huvudkontor i Dublin innebär att DPC har leverantören under uppsikt.

DPC:s AI Insights Report från september 2026 täcker tillsyn av AI arbete 2021 till 2025. Bland företagen finns Google, LinkedIn, Meta, Microsoft, OpenAI och TikTok. Rapporten återkommer till två frågor. Vilken rättslig grund använder ett företag för att träna på personuppgifter? Fick personer veta innan?

DPC visar också att den agerar. I augusti 2024 bad den Irish High Court stoppa X:s behandling av användardata för att träna Grok modellen, efter att X vägrade pausa. X gick sedan med på att sluta och radera dataset som samlats utan skydd.

En server i Dublin är den vanliga fällan

Stora amerikanska molnleverantörer som Amazon och Microsoft har datacenter i Dublin. En chatbot som säger att dina data stannar på Irland kan helt enkelt spara dina chattar i en av de byggnaderna. Byggnaden står på Irland, men företaget som driver den är amerikanskt. Att hålla data på Irland hjälper med GDPR regeln om överföring utomlands. Den andra frågan är vem som kan beordra företaget lämna ut data, och det beror på vilket land det svarar inför.

US CLOUD Act svarar på den andra frågan. Det låter amerikanska myndigheter kräva data från företag med tillräcklig koppling till USA. Kopplingen är bredare än de flesta tror. Den täcker amerikanska företag och även företag från andra länder med verksamhet i USA, till exempel ett kontor där.

Microsofts egen transparensrapport för juli till december 2025 visar hur det fungerar i praktiken. För konsumentkonton sökte amerikansk brottsbekämpning innehåll utanför USA i 115 hämtningsorder. För företagskunder lämnade Microsoft ut innehåll från 3 icke amerikanska kunder vars data låg utanför USA. En av de 3 var i EU eller EFTA. Data behövde inte ligga i Amerika för att begäran skulle nå företaget.

För hela den juridiska bilden, läs vår CLOUD Act förklaring.

Vad DPC förväntar sig innan personuppgifter hamnar där

DPC har en tydlig vägledning om AI produkter. Du ska veta vilka personuppgifter verktyget tar in och om leverantören sparar eller återanvänder dem. Du behöver också ett sätt att svara när någon ber om att se eller radera sina data. Om du inte kan det har du ett GDPR problem även om chatboten fungerar perfekt.

DPC:s årsrapport 2025 tillför en intressant detalj: fler använder AI verktyg för att skriva dataskyddsbegäranden. En dataskyddsbegäran är ett brev där du frågar ett företag vilka personuppgifter det har om dig. DPC varnar att vara försiktig med vad du klistrar in i sådana verktyg. Tänk dig att du klistrar in chefens mejl i en chatbot så den skriver ditt brev. Då ligger mejlen hos en tredje part. Tillsynsmyndigheten ser vardaglig chatbot användning som integritetsrisk, ditt team bör göra detsamma.

Träning är ett andra syfte

En leverantör som använder dina chattar för att träna sin modell gör något annat än att svara på din fråga. Träning betyder att leverantören matar dina chattar in i AI modellen så den lär sig. GDPR behandlar det som ett separat syfte med egen rättslig grund. EDPB Opinion 28/2024 från december 2024 säger att berättigat intresse kan vara grund för AI träning. Den säger också att en modell tränad på personuppgifter inte automatiskt kan behandlas som anonym. För kundfiler är regeln enkel. Träning måste vara avstängd, och kontraktet måste säga det.

DPC varnar också att vissa modeller kan upprepa passager från träningsdata. Personuppgifter som tagits upp i träning kan komma ut senare, även om leverantören aldrig menade att dela dem. För avtalstext, läs vår guide om AI utan träning på kunddata och vårt inlägg om AI som inte tränar på dina data.

Tre kontroller att köra

1. Vem äger företaget och var ligger huvudkontoret? En europeisk ägare utan amerikansk moder är det renaste svaret.
2. Var körs chatten och vilka underleverantörer rör den? En underleverantör är ett annat företag som hanterar dina data bakom kulisserna, till exempel en molnhost. Be om hela listan skriftligt. En lista med europeiska företag är ett gott tecken. Ett amerikanskt företag på listan är en varning, eftersom CLOUD Act kan nå det. Kolla även ägaren, eftersom ett företag i Berlin fortfarande kan tillhöra en amerikansk moder.
3. Är träning avstängd skriftligt, i själva kontraktet?

Vill du ha hjälp att läsa en lång policy kan vår integritetspolicy analysator gå igenom texten åt dig.

Var DentroChat passar in

DentroChat är det interna verktyg den här artikeln handlar om. DentroChat är en EU AI chatt som är enkel att använda och kraftfull. Våra servrar står i Tyskland och vår infrastruktur körs på europeiska leverantörer utanför amerikansk jurisdiktion. Vi tränar inte på kunddata. Du kan kontrollera varje underleverantör på vår sida för underleverantörer. Prova DentroChat gratis och se om det passar ditt team.

Webbboten och AI Act

En chatbot som pratar med kunder på din webbplats har en egen skyldighet. Sedan 2 augusti 2026 kräver EU AI Act att människor får veta att de pratar med AI, om det inte är uppenbart. Europeiska kommissionen nämner böter upp till 15 miljoner euro eller 3 procent av global årsomsättning, med proportionalitet för små företag.

Irland har utsett Coimisiún na Meán som tillsyn för den här regeln, men bara för vissa företagstyper: media, sändning, online och hosting. En typisk företagswebbplats finns inte på listan. Vi kunde alltså inte hitta vilken irländsk myndighet som skulle granska en vanlig business chatbot. Håll koll, Irland sätter fortfarande sina AI regler på plats.

Kort version

En riktigt GDPR anpassad chatbot bör klara de tre kontrollerna ovan. Gå igenom dem innan du klistrar in något med kundnamn. Blir en leverantör vag på någon punkt har du redan svaret.