AI compliance from idea to exit

Comhlíonadh agus intleacht shaorga, ón smaoineamh go dtí an díol nó an dúnadh

Use the stage that matches your next decision. A funding round is a planning milestone. Duties can start earlier, including when the first real record enters a pilot.

Tosaigh leis an gcéad chinneadh eile. D’fhéadfadh dualgais teacht chun cinn sula mbailítear airgead nó nuair a úsáidtear an chéad fhíorthaifead.

Fanann an Béarla le feiceáil. Roghnaigh an dara teanga léitheoireachta.

Which records need extra care?

Cé na sonraí a dteastaíonn cosaint bhreise uathu?

A photograph and a face template used to identify someone are different. Record the Article 6 basis and, for special-category processing, the Article 9 condition. Consider health inferences, children, dependence on a carer, an unsafe address and client secrets separately. Restrict input and access, offer a human alternative and complete a required DPIA before using live records.

Déan idirdhealú idir grianghraf agus teimpléad aghaidhe a úsáidtear chun duine a shainaithint go huathúil. Taifead an bunús faoi Airteagal 6 agus, do chatagóirí speisialta, an coinníoll faoi Airteagal 9. Scrúdaigh tátail sláinte, leanaí, spleáchas ar chúramóir, seoladh a chuirfeadh duine i mbaol agus rúin cliant ar leithligh. Teorannaigh rochtain, tabhair rogha dhaonna agus déan aon mheasúnú tionchair riachtanach roimh fhíorshonraí a úsáid.

12 detailed data decisions (EN) · ICO-SPECIAL · EU-GDPR

If a breach happens

Má sháraítear slándáil sonraí pearsanta

Stop the disclosure, preserve restricted evidence and record awareness time. A processor tells the controller without undue delay. A controller notifies the competent authority without undue delay and, where feasible, within 72 hours of awareness unless risk to people’s rights and freedoms is unlikely. If high risk is likely, tell people without undue delay, subject to Article 34 exceptions. Record every personal data breach and the reasons for each decision.

Cuir srian leis an dochar, coinnigh fianaise agus taifead cathain a tháinig tú ar an eolas. Cuireann an próiseálaí an rialaitheoir ar an eolas gan moill mhíchuí. Tugann an rialaitheoir fógra don údarás inniúil gan moill mhíchuí agus, más indéanta, laistigh de 72 uair an chloig, ach amháin mura dócha go mbeidh riosca ann do chearta agus saoirsí daoine. Más dócha go mbeidh ardriosca ann, cuir na daoine ar an eolas gan moill mhíchuí, faoi réir eisceachtaí Airteagal 34. Taifead gach sárú agus cúis gach cinnidh.

Full incident playbook and messages (EN) · ICO-REPORT · EDPB-DOORS

01 · Pre-seed · Define the use

Roimh an gcéad infheistíocht

A useful idea can hide an unacceptable use. The founder names the decision, affected people and forbidden uses. Hold a live trial until a possible prohibition has been resolved.

Ainmnigh an cinneadh, na daoine a mbeidh tionchar orthu agus na húsáidí toirmiscthe. Cuir triail le daoine ar fionraí má tá amhras faoi thoirmeasc.

Fianaise nó freagra

One-page use case and manual alternative

Cur síos agus rogha gan IS

Nótaí ar na foinsí / practical checks

Walk through a single item from input to output. Which person can be affected, what could they lose, and who can change the outcome?

Lean mír amháin ón ionchur go dtí an t-aschur. Cé air a bhféadfadh sé dul i bhfeidhm, cad a d’fhéadfadh siad a chailleadh agus cé atá in ann an toradh a athrú?

EU AI Act: do we build or market the system under our name, deploy it for work, or change its purpose? Check territorial scope, including where an output is used. Keep the reason for each role.

Faoi Ghníomh an AE um an Intleacht Shaorga, an dtógaimid nó an margaímid an córas faoinár n-ainm féin, an mbainimid úsáid as san obair, nó an athraímid a chuspóir? Seiceáil an raon feidhme críochach, lena n-áirítear an áit a n-úsáidtear aschur. Coinnigh an fáth le gach ról.

Screen prohibited practices before testing with people. For example, workplace emotion inference has a narrow medical or safety exception. Escalate any possible prohibition before further use.

Scag cleachtais thoirmiscthe sula ndéantar tástáil le daoine. Mar shampla, tá eisceacht chúng leighis nó sábháilteachta ann maidir le mothúcháin a bhaint de thátal sa láthair oibre. Cuir aon toirmeasc féideartha faoi bhráid an té atá freagrach sula leantar den úsáid.

EU-SCOPE · EU-PROHIB

02 · Formation and seed funding

An chuideachta a bhunú

The company may not control code, data or designs made before incorporation. Trace each contribution and secure suitable rights before promising ownership to investors.

Aimsigh cé a chruthaigh an cód, na sonraí agus na dearaí. Faigh na cearta cuí sula ngeallann tú úinéireacht d’infheisteoirí.

Fianaise nó freagra

Contributor and rights schedule with signed evidence

Clár ranníocaíochtaí agus comhaontuithe

Nótaí ar na foinsí / practical checks

Working alone? Wear several hats and record which one you used. Get a qualified second view for unfamiliar or serious decisions. With 2–10 people, separate the maker from the checker. With 11–50, name leads and deputies. These are suggested working arrangements.

Ag obair leat féin? Glac róil éagsúla agus taifead cén ról a bhí agat ag gach céim. Faigh an dara tuairim ó dhuine cáilithe faoi chinntí neamhchoitianta nó tromchúiseacha. Le 2–10 duine, scar an té a dhéanann an obair ón té a sheiceálann í. Le 11–50, ainmnigh ceannairí agus ionadaithe. Socruithe oibre molta iad seo.

Compare doing nothing, a manual process and an AI-assisted process. Estimate time saved after checking, cost of errors, supplier fees and exit costs.

Déan comparáid idir gan aon athrú a dhéanamh, próiseas de láimh agus próiseas le cúnamh IS. Meas an t-am a shábhálfar tar éis seiceálacha, costas botún, táillí an tsoláthraí agus costais imeachta.

UK-IP · UK-NSI

03 · Source data and suppliers

Sonraí agus soláthraithe

Permission to view material may not cover training, retrieval or customer resale. Match each use to a right and check vendor reuse, subcontractors, costs and exit before uploading real records.

Seiceáil cead le haghaidh oiliúna, cuardaigh agus comhroinnte ar leithligh. Deimhnigh athúsáid ag an soláthraí agus téarmaí imeachta.

Fianaise nó freagra

Permission matrix and signed supplier decision

Clár ceadanna agus cinneadh soláthair

Nótaí ar na foinsí / practical checks

Trace one data item through collection, prompts, retrieval, model, output, logs, support and deletion. Name source, people, country, recipients, retention, backups and someone who can test deletion.

Rianaigh mír sonraí amháin trí bhailiú, leideanna don tsamhail, aisghabháil, an tsamhail, aschur, logaí, tacaíocht agus scriosadh. Ainmnigh foinse, daoine, tír, faighteoirí, tréimhse choinneála, cóipeanna cúltaca agus duine atá in ann scriosadh a thástáil.

Supplier check: identify processors and subprocessors, training or reuse terms, support access, contract, incidents, return or deletion, change notice and exit. Save the dated terms and unresolved questions.

Seiceáil an soláthraí. Sainaithin próiseálaithe agus fophróiseálaithe, téarmaí oiliúna nó athúsáide, rochtain foirne tacaíochta, conradh, teagmhais, sonraí a thabhairt ar ais nó a scriosadh, fógra athraithe agus imeacht. Sábháil na téarmaí dátaithe agus na ceisteanna atá fós gan réiteach.

Locate each restricted transfer. Record the applicable adequacy decision or safeguard, assessment and extra protections. Check EU SCCs and UK IDTA or Addendum separately. Revisit overseas support and onward transfers.

Sainaithin gach aistriú srianta. Taifead an cinneadh leordhóthanachta nó an choimirce is infheidhme, an measúnú agus na cosaintí breise. Seiceáil SCCanna an AE agus IDTA nó Aguisín na RA ar leithligh. Athscrúdaigh tacaíocht ó thíortha eile agus aistrithe ar aghaidh.

ICO-CONTRACT · EU-TRANSFER · ICO-TRANSFER · EDPB-MODEL

04 · Build and prototype

Fréamhshamhail a thógáil

A model can leak another customer’s records or turn a document instruction into an action. Use synthetic test cases, separate tenants, limit permissions and test a manual override before connecting live systems.

Úsáid sonraí bréige. Déan triail shábháilte ar na teorainneacha rochtana. Deimhnigh gur féidir gníomh a stopadh.

Fianaise nó freagra

Versioned test results, access map and rollback test

Torthaí tástála agus plean fillte

Nótaí ar na foinsí / practical checks

Engineering and data: freeze model, prompt, dataset and settings. Test typical, unusual and misleading inputs against an agreed baseline. Keep reproducible results and known limits.

Innealtóireacht agus sonraí: coinnigh an tsamhail, an leid, an tacar sonraí agus na socruithe seasta. Tástáil ionchuir choitianta, neamhghnácha agus mhíthreoracha i gcomparáid le bunlíne chomhaontaithe. Coinnigh torthaí in-atáirgthe agus teorainneacha aitheanta.

Predeclare the test: purpose, dataset origin, expected answers, baseline, sample size, thresholds, critical failures, reviewer and retest date. Include language, disability and real operating conditions where relevant.

Sonraigh an tástáil roimh ré: cuspóir, bunús an tacair sonraí, freagraí ionchais, bunlíne, méid an tsampla, tairseacha, teipeanna criticiúla, athbhreithneoir agus dáta atástála. Cuir teanga, míchumas agus fíordhálaí oibriúcháin san áireamh nuair is ábhartha.

Security drill: send a harmless hostile instruction in a fictional attachment. Test a blocked export, denied permission, wrong recipient and unavailable supplier. Record what happened at each boundary.

Cleachtadh slándála: seol treoir naimhdeach neamhdhíobhálach i gceangaltán ficseanúil. Tástáil easpórtáil bhlocáilte, cead diúltaithe, faighteoir mícheart agus soláthraí nach bhfuil ar fáil. Taifead cad a tharla ag gach teorainn.

NCSC · EU-GDPR

05 · Pilot with real users

Triail le fíordhaoine

A free or closed pilot can still harm a person. Screen before real data, set limits and enable meaningful review. Hold high-risk processing if a required impact assessment or prior consultation is incomplete.

Seiceáil an riosca roimh fhíorshonraí a úsáid. Déan aon mheasúnú tionchair atá riachtanach agus cuir athbhreithniú daonna ar fáil.

Fianaise nó freagra

Pilot protocol, DPIA decision and stop criteria

Plean trialach agus coinníollacha stoptha

Nótaí ar na foinsí / practical checks

A DPIA examines how processing personal data could harm people and how to reduce that harm. The controller must do it before likely high-risk processing begins, including a pilot using real personal data.

Scrúdaíonn DPIA conas a d’fhéadfadh próiseáil sonraí pearsanta dochar a dhéanamh do dhaoine agus conas an dochar sin a laghdú. Ní mór don rialaitheoir é a dhéanamh sula dtosaíonn próiseáil ar dócha go mbeidh ardriosca ag gabháil léi, lena n-áirítear treoirthionscadal le fíorshonraí pearsanta.

Seek the data protection officer’s advice where designated. Where appropriate seek affected people’s views. Record objections, accessibility needs, decisions and reasons for any justified departure.

Iarr comhairle ón oifigeach cosanta sonraí má tá oifigeach ainmnithe. Nuair is cuí, iarr tuairimí na ndaoine a ndéantar difear dóibh. Taifead agóidí, riachtanais inrochtaineachta, cinntí agus cúiseanna le haon imeacht a bhfuil údar leis.

Decide whether high risk remains despite practical measures. If so, consult the competent authority before starting the processing under Article 36. Record correspondence and response. A founder’s signature cannot replace consultation.

Cinn an bhfuil ardriosca fós ann in ainneoin beart praiticiúil. Má tá, téigh i gcomhairle leis an údarás inniúil faoi Airteagal 36 sula dtosaíonn an phróiseáil. Taifead an comhfhreagras agus an freagra. Ní ghlacann síniú bunaitheora áit an chomhairliúcháin.

Check human oversight: can the reviewer see the evidence, disagree, correct the result and stop the next action in time? Save one override trace. A second click alone proves little.

Seiceáil maoirseacht dhaonna: an féidir leis an athbhreithneoir an fhianaise a fheiceáil, easaontú, an toradh a cheartú agus an chéad ghníomh eile a stopadh in am? Sábháil taifead amháin de thoradh aisiompaithe. Ní chruthaíonn an dara cliceáil mórán ann féin.

ICO-DPIA · EU-GDPR · UK-GDPR

06 · Pre-launch · Decide whether to ship

Roimh an seoladh

A polished demo can outrun the evidence. Test the exact public claim, check applicable disclosures and sector approvals, and name the person who can withhold release.

Ceangail gach maíomh díolacháin le fianaise. Seiceáil fógraí agus ceadanna earnála.

Fianaise nó freagra

Claims-to-evidence table and dated release decision

Cinneadh seolta dátaithe

Nótaí ar na foinsí / practical checks

Check Article 50 by actor and output. Telling people they interact with AI, machine-readable marking and disclosing a deepfake are different duties with exceptions. Record which applies and the release-date evidence.

Seiceáil Airteagal 50 de réir an róil agus an aschuir. Is dualgais éagsúla a bhfuil eisceachtaí ag gabháil leo iad a rá le daoine go bhfuil siad ag idirghníomhú le IS, marcáil atá inléite ag meaisín, agus a nochtadh gur domhainbhrionnú atá in ábhar. Taifead an dualgas ábhartha agus an fhianaise ar dháta an tseolta.

Marketing, design and sales: substantiate claims, clear assets and check required disclosures. Save approved wording and versions. Escalate promises of exclusivity, ownership or guaranteed accuracy.

Margaíocht, dearadh agus díolacháin: cuir fianaise ar fáil le tacú le héilimh, faigh ceadanna do na hábhair agus seiceáil na nochtaí is gá. Sábháil foclaíocht agus leaganacha faofa. Cuir gealltanais faoi eisiachas, úinéireacht nó cruinneas ráthaithe faoi bhráid duine le hathbhreithniú.

Release options: approve within stated limits, approve with controls already in force, hold pending evidence, or stop. Name unresolved issues, lawful scope, approver, effective date, expiry and rollback owner.

Roghanna seolta: faomhadh laistigh de theorainneacha sonraithe, faomhadh le rialuithe atá i bhfeidhm cheana, fanacht le fianaise nó stopadh. Ainmnigh ceisteanna gan réiteach, raon dleathach, faomhóir, dáta éifeachtach, dáta éaga agus an té atá freagrach as filleadh ar an leagan roimhe sin.

UK-ADS · EU-MARK · EU-AIA

07 · Launch and operate

Seoladh agus oibriú

Complaints and changes in performance can reveal harm missed in testing. Give users a human route, test it, monitor errors by type and contain incidents promptly.

Déan monatóireacht ar ghearáin agus earráidí. Tabhair bealach chuig duine agus ainmnigh freagróir do theagmhais.

Fianaise nó freagra

Monitoring log, incident owner and response record

Clár monatóireachta agus freagartha

Nótaí ar na foinsí / practical checks

After release: name an owner for errors, complaints, overrides, drift, security and costs. Specify sample, frequency, stop threshold and who can disable the workflow. Log changes and reapprove material ones.

I ndiaidh an tseolta: ainmnigh úinéir freagrach as earráidí, gearáin, aisiompuithe, imeacht ón mbunlíne, slándáil agus costais. Sonraigh an sampla, minicíocht, tairseach stoptha agus cé atá in ann an sreabhadh oibre a dhíchumasú. Taifead athruithe agus faigh faomhadh úr do chinn shuntasacha.

Incident: stop unsafe actions, preserve restricted evidence, assess people affected, activate the manual route and record notification decisions. Test a clean restore and correction before reopening.

Teagmhas: stop gníomhartha neamhshábháilte, cosain an fhianaise faoi rochtain theoranta, meas an tionchar ar dhaoine, gníomhachtaigh an bealach de láimh agus taifead cinntí faoin bhfógra. Tástáil athchóiriú glan agus ceartú sula n-athosclaítear an tseirbhís.

For UK/EU personal-data breaches, controllers notify the regulator unless risk to people’s rights is unlikely. Notify without undue delay and where feasible within 72 hours of awareness. If high risk is likely, tell people without undue delay, subject to Article 34 exceptions. Processors notify controllers without undue delay.

I gcás sáruithe ar shonraí pearsanta sa RA nó san AE, tugann rialaitheoirí fógra don rialtóir ach amháin i gcás nach dócha go mbeidh riosca ann do chearta daoine. Tabhair fógra gan moill mhíchuí agus, nuair is indéanta, laistigh de 72 uair ón uair a thagann an sárú chun feasa duit. Más dócha go mbeidh ardriosca ann, cuir na daoine ar an eolas gan moill mhíchuí, faoi réir eisceachtaí Airteagal 34. Tugann próiseálaithe fógra do rialaitheoirí gan moill mhíchuí.

Intake: keep a secure reference to the original words. Record first receipt, controller, jurisdiction, each right, owner, safe reply channel and accessibility or representative needs.

Nuair a fhaightear an t-iarratas, coinnigh tagairt shlán don fhoclaíocht bhunaidh. Taifead an chéad fháil, an rialaitheoir, an dlínse, gach ceart, an duine freagrach, bealach sábháilte don fhreagra agus aon riachtanais inrochtaineachta nó ionadaíochta.

ICO-BGUIDE · EDPB-BREACH

08 · Scale or change the product

Fás agus athrú

A new market, model, customer group or automated action can change the risk and legal role. Reassess the changed scope before switching it on.

Déan athmheasúnú ar shamhail, margadh, grúpa nó gníomh nua. Tástáil an t-athrú sula gceadaítear é.

Fianaise nó freagra

Market and change register with fresh approval

Clár athruithe

Nótaí ar na foinsí / practical checks

Check the intended purpose against Annexes I and III. Recruitment screening is a listed example. Document any claimed Article 6(3) exception and its conditions. Profiling people rules out that exception.

Seiceáil an chríoch bheartaithe in aghaidh Iarscríbhinní I agus III. Is sampla liostaithe é scagadh le haghaidh earcaíochta. Taifead aon eisceacht a agraítear faoi Airteagal 6(3) agus na coinníollacha a ghabhann léi. Ní féidir an eisceacht sin a agairt má dhéantar próifíliú ar dhaoine.

The revised dates for Chapter III sections 1–3, except Article 6(5), are 2 December 2027 for Annex III systems and 2 August 2028 for Annex I systems. Other provisions have their own dates.

Is iad na dátaí athbhreithnithe do ranna 1–3 de Chaibidil III, seachas Airteagal 6(5), ná 2 Nollaig 2027 do chórais Iarscríbhinn III agus 2 Lúnasa 2028 do chórais Iarscríbhinn I. Tá dátaí ar leith ag forálacha eile.

UK significant solely automated decisions require an Articles 22A–22D review, including restrictions on special-category data and the recognised legitimate interests basis. In the EU start with Article 22 and its specific exceptions. Test real human power to reconsider.

Maidir le cinntí suntasacha sa RA a dhéantar trí phróiseáil uathoibrithe amháin, scrúdaigh Airteagail 22A–22D, lena n-áirítear srianta ar shonraí de chatagóirí speisialta agus ar bhunús na leasanna dlisteanacha aitheanta. San AE, tosaigh le hAirteagal 22 agus a eisceachtaí sonracha. Tástáil an bhfuil fíorchumhacht ag duine athmhachnamh a dhéanamh.

EU-ROLE · EU-HIGH · UK-RIGHTS · EU-AIA

09 · Fundraise again, sell or merge

Infheistíocht nó díol

A buyer may acquire fewer rights than the pitch suggests. Separate deal-room disclosure, change of control and asset transfer. Resolve material consents and any required clearance before completion.

Scrúdaigh nochtadh sa seomra sonraí, athrú rialaithe agus aistriú sócmhainní ar leithligh.

Fianaise nó freagra

Diligence index, exceptions, consents and closing conditions

Clár ceart agus coinníollacha críochnaithe

Nótaí ar na foinsí / practical checks

List the accountable organisation for each purpose. Who chooses why and how personal data are used? Who acts on instructions? Map each supplier’s own uses separately.

Liostaigh an eagraíocht atá cuntasach as gach cuspóir. Cé a shocraíonn cén fáth agus cén chaoi a n-úsáidtear sonraí pearsanta? Cé a ghníomhaíonn de réir treoracha? Mapáil ar leithligh na húsáidí a dhéanann gach soláthraí dá chuid féin.

For each risk write cause → event → harm to a person. Record likelihood, impact, affected group and evidence before controls. Name the control, tester, due date and risk remaining afterwards.

I gcás gach riosca, scríobh cúis → teagmhas → díobháil do dhuine. Taifead dóchúlacht, tionchar, grúpa lena mbaineann agus fianaise sula gcuirtear rialuithe i bhfeidhm. Ainmnigh an rialú, an tástálaí, an spriocdháta agus an riosca a fhanann ina dhiaidh.

Your decision record: workflow and version, permitted and excluded uses, evidence IDs, decision and reasons, dissent, restrictions, owner, reviewer, review date, signature and time. Keep the previous version.

Do thaifead cinnidh: sreabhadh oibre agus leagan, úsáidí ceadaithe agus eisiata, aitheantóirí na fianaise, cinneadh agus cúiseanna, easaontas, srianta, duine freagrach, athbhreithneoir, dáta athbhreithnithe, síniú agus am. Coinnigh an leagan roimhe seo.

ICO-DEAL · UK-IP · UK-NSI

10 · Retire or close the business

Deireadh seirbhíse

Data, keys and obligations outlive a website. Assign a custodian, return or erase data as applicable, document lawful holds, revoke access and test that restored backups do not reactivate deleted records.

Cealaigh eochracha rochtana. Tabhair sonraí ar ais nó scrios iad de réir mar is gá. Deimhnigh nach dtiocfaidh taifid scriosta ar ais le cúltaca.

Fianaise nó freagra

Decommissioning record, supplier evidence and remaining contact

Taifead dúnta agus teagmhálaí

Nótaí ar na foinsí / practical checks

Trace one data item through collection, prompts, retrieval, model, output, logs, support and deletion. Name source, people, country, recipients, retention, backups and someone who can test deletion.

Other rights: examine correction, erasure, restriction, portability, objection and human review separately. Record applicable conditions, exceptions, recipients to notify, and any lawful retention or dispute hold.

Cearta eile: scrúdaigh ceartú, léirscriosadh, srianadh, iniomparthacht, agóid agus athbhreithniú daonna ar leithligh. Taifead coinníollacha, eisceachtaí, faighteoirí le cur ar an eolas, agus aon choinneáil dhleathach nó riachtanas taifid a chaomhnú i ndíospóid.

Private filing: store completed forms, evidence and signatures with restricted access. Keep the public folder blank. Back up a versioned copy, keep an independently protected copy and test a restore. Set a retention period for each record.

Comhdú príobháideach: stóráil foirmeacha comhlánaithe, fianaise agus sínithe faoi rochtain theoranta. Fág an fillteán poiblí bán. Cúltacaigh cóip le haitheantas leagain, coinnigh cóip faoi chosaint neamhspleách agus tástáil athchóiriú. Socraigh tréimhse choinneála do gach taifead.

ICO-ERASE · ICO-CONTRACT

Read the full UK and EU founder’s guide (EN)

Leabhar oibre is féidir a chur in eagar · Full English handbook (Word)

Toto-Rex can make mistakes. Everything here is general information, not legal advice: check the primary source, and take advice from a qualified professional before you act.