Datasuveränitet och AI: var hamnar företagets data?

I våras dök samma fråga upp i tre olika kundsamtal på kort tid, ställd av tre olika roller: en vd, en IT-chef och en styrelseledamot. Om relationen mellan EU och USA fortsätter att skava, var står vi då med alla våra molntjänster och AI-verktyg?

För några år sedan hade frågan låtit teoretisk. Nu ställs den på riktigt, och den har ett namn: datasuveränitet.

Datasuveränitet innebär att en organisation vet var dess data lagras och behandlas, vilka länders lagstiftning den lyder under, och kan styra detta. Med AI-tjänster ställs frågan på sin spets, eftersom data ofta skickas till modelleverantörer med amerikanska moderbolag.

Datasuveränitet handlar inte om att flytta allt till EU, utan om att veta var varje datakategori hamnar, under vilka lagar, och att kunna byta väg om läget förändras.

Det här är en trendspaning snarare än en manual, för terrängen rör sig fortfarande. Men det senaste året har det hänt mer på området än på de fem föregående tillsammans, och det påverkar hur svenska företag bör tänka kring AI.

Vad har hänt det senaste året?

Tre utvecklingslinjer löper parallellt, och det är kombinationen som gör läget nytt.

Den juridiska. Dataöverföringar till USA vilar i dag på EU-US Data Privacy Framework. Ramverket överlevde sin första rättsliga prövning när Tribunalen avslog den så kallade Latombe-talan i september 2025, men målet är överklagat till EU-domstolen. I juni 2026 kom dessutom ett besked från oväntat håll: USA:s högsta domstol underkände i målet Trump v. Slaughter det avsättningsskydd som gällt för ledamöter i federala tillsynsmyndigheten FTC, en av de instanser som ska garantera ramverkets efterlevnad. Bland jurister talas det öppet om risken för ett Schrems III, alltså att även detta ramverk till slut ogiltigförklaras, som två föregångare före det.

Den politiska. EU-kommissionen lanserade under 2026 sitt Cloud Sovereignty Framework, som betygsätter molnleverantörer mot 48 kriterier på en suveränitetsskala från SEAL 0 till SEAL 4. I april 2026 tilldelade kommissionen ett ramavtal om 180 miljoner euro för suveräna molntjänster till EU-institutionerna, där konsortier med europeiska leverantörer som OVHcloud, STACKIT och Scaleway nådde den näst högsta nivån. Suveränitet har gått från debattord till upphandlingskriterium med prislapp.

Den svenska. I maj 2026 beslutade regeringen om Sveriges första nationella molnpolicy, med uttalat mål att stärka digital suveränitet i offentlig förvaltning: öppna standarder, exitplaner och minskad inlåsning, med PTS som stödmyndighet. Policyn gäller myndigheter, men signalen når längre. Säljer ni till offentlig sektor kommer kraven att sippra ner i era avtal, och EY:s nordiska teknikundersökning från i våras tyder på att ungefär vart femte nordiskt företag redan investerar i suveräna molnlösningar.

Vad betyder CLOUD Act i praktiken?

Kärnfrågan bakom alltihop är enklare än juridiken låter. Amerikansk lagstiftning, främst CLOUD Act från 2018, ger amerikanska myndigheter möjlighet att begära ut data från amerikanska bolag oavsett var datan fysiskt lagras. Att er data ligger i ett datacenter i Gävle eller Dublin hjälper alltså bara delvis, om leverantören är amerikansk.

Här är det lätt att slå över i panik, och det är fel slutsats. Sannolikheten att en amerikansk myndighet intresserar sig för ett svenskt SME:s ärendedata är försvinnande liten, och de stora leverantörerna redovisar öppet hur få sådana förfrågningar som gäller europeiska företagskunder. Risken är inte akut. Den är strukturell: ni bygger verksamhet på en rättslig grund som kan ändras genom beslut ni inte påverkar, i en tid när tekniken blivit en handelspolitisk spelpjäs.

Det rimliga svaret på en strukturell risk är medvetenhet. Vet var datan finns, vad som är känsligt och vad ett byte skulle kosta. Sedan kan ni fatta lugna beslut i stället för panikbeslut.

Var behandlas AI-datan i praktiken?

För AI-tjänster specifikt finns en distinktion som ofta missas i debatten: var data lagras och var den behandlas är två olika frågor. Ett dokument kan ligga lagrat i ett svenskt datacenter och ändå skickas till en modell i USA i samma sekund som någon ber en assistent sammanfatta det. Det är behandlingen som är AI-frågans kärna, och det är där ni ska rikta blicken när leverantörer visar upp sina EU-kartor.

Läget har samtidigt förbättrats snabbt. Microsoft har byggt ut sin EU Data Boundary så att europeiska företagskunders data både lagras och behandlas inom EU, OpenAI erbjuder numera EU-datalagring för företagskunder, och fler leverantörer rör sig åt samma håll, samtidigt som europeiska och svenska modellalternativ växer fram för de mest krävande fallen. Två saker förblir dock sanna. EU-behandling är ofta ett aktivt val som någon måste göra i administrationen, inte ett standardläge. Och en EU-region hos en amerikansk leverantör flyttar datan, men inte jurisdiktionen: CLOUD Act följer bolaget, inte serverhallen. Det är därför kartläggningen per verktyg, inte leverantörens broschyr, är det som ger er verklig kontroll.

Vad bör ett svenskt SME göra nu?

Vi rekommenderar samma trappa oavsett bransch, och den börjar långt före några systembyten. Kartlägg först dataflödena per AI-verktyg: vilken data skickas in, var behandlas den, vilka underleverantörer ingår, och finns personuppgifter eller affärshemligheter i flödet? Kartan tar en arbetsdag att rita för de flesta SME och är samma övning som ändå krävs för GDPR-arbetet, mer om det i vår genomgång av EU AI Act och GDPR. Aktivera sedan EU-behandling där den redan erbjuds: Microsoft, Google och de stora AI-leverantörerna har numera EU-alternativ som många kunder aldrig slagit på. Klassa därefter er data, för det är skillnad på ett kundavtal och en lunchmeny, och först för de känsligaste kategorierna är det motiverat att titta på europeiska leverantörer eller AI i egen miljö. Skriv till sist in en exitplan i nya avtal, precis som den svenska molnpolicyn kräver av myndigheter: vad kostar det att ta ut datan och byta, och hur snabbt går det? Den som vet svaret förhandlar bättre, även om flytten aldrig blir av.

Notera vad som inte står på listan: att överge amerikanska tjänster. För de flesta svenska SME vore det att betala ett högt pris för ett skydd man inte behöver, med sämre verktyg som följd. Skugg-IT-mönstret känner vi igen från AI-användning utan kontroll: blir de sanktionerade vägarna för krångliga hittar medarbetarna osanktionerade.

Vart är det här på väg?

Rakt svar: det vet ingen, och var skeptisk mot den som låter tvärsäker. Faller Data Privacy Framework i EU-domstolen får tusentals företag återigen växla överföringsmekanism, och trycket mot europeiska alternativ ökar språngartat. Består ramverket fortsätter förmodligen dagens tudelning: bekvämlighet hos de stora amerikanska plattformarna, suveränitet som växande nisch och upphandlingskrav.

Vår bedömning, och det är en bedömning snarare än en prognos, är att suveränitetsfrågan om några år är en standardrad i varje upphandling, ungefär som GDPR-frågorna blev efter 2018. De företag som redan vet var deras data finns kommer att svara på den raden med en bilaga. De andra får börja kartlägga under tidspress. Att rita kartan i lugn och ro nu är billigt jämfört med att tvingas göra det under tidspress efter ett domslut.

Var hamnar er data i dag?

En dataflödeskartläggning ingår som naturlig del i vår AI-strategi, där vi går igenom era verktyg, er data och era risker innan vi prioriterar automatiseringar. Vi är AI-konsulter i Stockholm och hjälper företag i hela Sverige att bygga AI-lösningar med compliance från start. Boka ett samtal om ni vill veta var ni står innan frågan ställs av en kund, en revisor eller en styrelse.