De flesta organisationer bestämmer sig aldrig för att placera sin AI på det nedersta steget av Suveränitetstrappan. De ackumulerar sig dit: en pilot på ett API, ett proof of concept på ett annat, en teamprenumeration som i tysthet blev infrastruktur. Den här anteckningen är checklistan vi använder för att ta reda på hur exponerad en stack faktiskt är. Ni kan köra den själva.

Vad "Exponerad" betyder

Vi kallar ett system Exponerat när både modellerna och datan körs i en tredjeparts moln under utländsk jurisdiktion. Ni hyr kapaciteten; leverantören håller nycklarna, loggarna och strömbrytaren. Inget av det är i sig oansvarigt. För en engångsprototyp är det ofta rätt val. Det blir ett problem när prototypen förvandlas till ett beroende och ingen omprövar villkoren den står på.

Det som definierar en exponerad stack är inte vilken leverantör den använder. Det är att organisationen inte skriftligt kan svara på vad som skulle hända om leverantören ändrade sina villkor, sina priser eller sig själv.

De fem kontrollerna vi kör

När vi granskar exponering under en Feasibility Sprint gör fem frågor det mesta av jobbet. Varje fråga har ett konkret test, inte en åsikt.

  • 1. Var bor vikterna? Om er leverantör raderade ert konto i natt, vad skulle ni fortfarande ha imorgon? Om svaret är "våra promptmallar och en faktura" är modellagret hyrt, inte ägt. Test: kan någon i er organisation ta fram modellartefakterna och köra inferens utan leverantören?
  • 2. Vem håller loggarna? Promptar, telemetri och användningsdata finns ofta bara på leverantörens sida. Det är er driftshistorik, och i reglerade branscher kan det vara underlag ni är skyldiga att behålla. Test: begär en fullständig export av era egna loggar och se vad som faktiskt kommer tillbaka.
  • 3. Vems lag gäller? EU-hosting är inte samma sak som EU-jurisdiktion. Det som avgör är vem som äger leverantören och vilka domstolar som kan tvinga fram åtkomst till er data genom det ägandet. Test: följ ägarkedjan för varje underbiträde i ert biträdesavtal och notera den första länken utanför EU.
  • 4. Hur mycket har villkoren driftat? Priser, begränsningar, utfasade modeller och förändrat modellbeteende är hyran som höjs. Test: lista vad som ändrats i leverantörens villkor och modeller de senaste tolv månaderna, och vilket varsel ni fick.
  • 5. Vad skulle en exit kosta? Inte i teorin. I ingenjörstid, mätt mot er faktiska integrationsyta. Test: har en exit någonsin övats, ens på papper? Om svaret är nej är den ärliga exitkalkylen "okänd", och okänd är den dyraste siffran i en upphandling.

Vad checklistan ger

Ärligt genomförd ger de fem kontrollerna två saker: en försvarbar position på Suveränitetstrappan och en kortlista över beroenden rangordnade efter sprängradie. Enligt vår erfarenhet är överraskningen sällan det stora modell-API:et. Det är de tysta beroendena runt omkring: embeddingtjänsten, OCR-steget, övervakningsverktyget, vart och ett en ogranskad hyresgäst mitt i pipelinen.

Vi publicerar ännu inga aggregerade siffror om detta. När vi har genomfört tillräckligt många granskningar för att rapportera siffror som betyder något kommer de att finnas här, med metoden bifogad.

Att klättra från det nedersta steget

Två åtgärder betyder mer än resten. Först: strama åt datavägen. Vet exakt vad som lämnar er perimeter och stoppa det som inte behöver göra det. Sedan: flytta vikterna. Open-weight-modeller på infrastruktur ni kontrollerar förvandlar leverantörsrelationen från ett beroende till ett val. EU-hosting och ett bättre biträdesavtal är värda att ha, men de flyttar er ett steg, inte fyra. Ordningen vi rekommenderar är inventera, strama åt, sedan replattformera, med exiten designad innan den behövs.

Exponering är sällan ett beslut. Det är en ackumulering. Lösningen börjar med en inventering, inte en migrering.

Vill ni ha en snabb uppskattning av var ni står? Självtestet på två minuter placerar er på trappan. En två veckors sprint ersätter uppskattningen med ett granskat besked.