Regelverk
CLOUD Act förklarad: därför räcker inte "servrar i EU"
Den amerikanska lagen som gör att "EU-datalagring" inte alltid betyder vad du tror. Fem minuters läsning som förklarar grunden för hela vår härkomstmärkning.
När vi märker verktyg som svenska, europeiska eller globala är det den här lagen som ligger bakom. CLOUD Act är den viktigaste pusselbiten för att förstå var din data faktiskt finns.
Vad lagen säger
CLOUD Act står för Clarifying Lawful Overseas Use of Data Act och kom 2018. Lagen ger amerikanska myndigheter rätt att begära ut data från amerikanska företag. Det krävs ett amerikanskt domstolsbeslut. Det spelar ingen roll var i världen datan lagras. Det viktiga är företaget, inte servern.
Det betyder i praktiken: en amerikansk molnleverantör med datacenter i Stockholm kan ändå tvingas lämna ut data därifrån. “Vi lagrar i EU” skyddar alltså mindre än det låter. Det ger bättre hastighet och enklare GDPR-arbete. Men det gör inte datan otillgänglig för amerikansk rätt.
Vem träffas?
- Amerikanska bolag och deras dotterbolag. Det gäller även EU-registrerade dotterbolag till amerikanska koncerner.
- I praktiken gäller det också tjänster där ett amerikanskt moderbolag har kontroll över datan. Det räcker att bolaget äger, förvarar eller styr över informationen.
Därför bedömer vi verktyg efter var koncernen hör hemma, inte bara var servern står. Ett verktyg som marknadsförs som svenskt men ägs av ett amerikanskt bolag får därför märkningen global hos oss.
Vad det INTE betyder
Nyanseringen: CLOUD Act är inte en öppen dörr där amerikanska myndigheter läser allas mejl. Det krävs domstolsbeslut i en brottsutredning. För de flesta småföretags vanliga data är risken låg i praktiken. Frågan är viktigast för känsliga personuppgifter, affärshemligheter och offentlig sektor. Där kan även en teoretisk möjlighet till åtkomst vara oacceptabel.
Så resonerar du praktiskt
- Okänslig data (marknadsföringstexter, publikt material): välj valfri leverantör. CLOUD Act spelar sällan roll.
- Kunddata och personuppgifter: tänk på var leverantören hör hemma. Europeiska alternativ som Mistral eller Nextcloud tar bort frågan helt.
- Känslig eller sekretessbelagd data (vård, juridik, offentlig sektor): välj svensk eller europeisk leverantör med drift i EU, till exempel Berget. Läs också vår checklista för upphandling.
Läget för varje enskilt verktyg går att filtrera fram i vår CLOUD Act-status för alla granskade verktyg, eller filtrera direkt på härkomst i utforska-vyn.
Källor
Verktyg som nämns
Mistral (Le Chat)
Mistral AI
Frankrikes svar på ChatGPT: AI-chatten Le Chat från Mistral AI i Paris, en av få europeiska modeller i toppklass. Datalagringen sker inom EU, med biträdesavtal enligt GDPR och certifieringar för SOC 2 Type II samt ISO 27001 och 27701. Gratisnivå finns att börja på.
- Europeisk modell i toppklass, utvecklad av Mistral AI i Paris.
- Datalagring inom EU, med GDPR-biträdesavtal och certifieringar för SOC 2 Type II samt ISO 27001/27701.
- Når inte riktigt samma nivå som de största amerikanska modellerna.
Bäst för: En svensk konsult eller byrå som vill använda en kraftfull AI-chatt för offerter och mejl utan att lämna data till en amerikansk leverantör.
Berget AI
Berget AI
Svensk AI-plattform som kör språkmodeller på servrar i Sverige, för dig som måste ha full kontroll över var datan hamnar.
- AI-modeller på svenska servrar
- Full datakontroll, ingen CLOUD Act-risk
- Mer tekniskt, riktar sig till utvecklare
Bäst för: Företag och offentlig sektor som kräver AI på svenska eller EU-servrar.
Nextcloud
Nextcloud
Tysk plattform för filer, samarbete, chatt och kalender, Europas stora alternativ till Google Workspace och Microsoft 365.
- Samlar filer, chatt, kalender och dokument i samma plattform
- Tyskt, kan köras på egna EU-servrar
- Någon måste driftha och underhålla den egna servern
Bäst för: Företag som vill ha kontroll över filer och samarbete inom EU.
Liknande artiklar
Detta är allmän information, inte juridisk rådgivning. Se Så bedömer vi.