Två amerikanska lagar avgör om amerikanska myndigheter kan nå era uppgifter, och ingen av dem bryr sig om var servern står. De bryr sig om vem som kontrollerar leverantören. En EU-region hos ett amerikanskt molnbolag ändrar därför mindre än den låter.
CLOUD Act
CLOUD Act från 2018 lade till 18 U.S.C. § 2713 i amerikansk lag. Den kräver att leverantörer under amerikansk jurisdiktion lämnar ut uppgifter som de har i sin besittning eller kontroll, oavsett om uppgifterna ligger i USA eller utomlands. Leverantören kan beordras att lämna ut det den har, även krypterat innehåll.
FISA 702
Section 702 i FISA tillåter övervakning av personer som inte är amerikaner och befinner sig utanför USA, med tvingande hjälp från amerikanska leverantörer och utan domstolsbeslut för varje enskild person. Lagrummet löpte ut vid midnatt 12 juni 2026, första gången sedan det infördes 2008, efter att representanthuset röstat nej till en kort förlängning med 198 mot 218 röster. Men de certifieringar som FISA-domstolen godkände i mars 2026 gäller till mars 2027. I praktiken pågår övervakningen alltså åtminstone till dess, och kongressen har till mars 2027 på sig att förnya lagen.
EU-regionen
Microsoft blev klart med sin EU Data Boundary 26 februari 2025: lagring och behandling av kunddata inom EU. Den 10 juni 2025 frågades Anton Carniaux från Microsoft Frankrike under ed i franska senaten om han kunde garantera att franska medborgares data aldrig lämnas till amerikanska myndigheter utan franskt godkännande. Hans svar: "Non, je ne peux pas le garantir." Microsoft säger att bolaget avtalsmässigt åtar sig att bestrida ogrundade krav. Det är ett löfte att försöka, inte en mur.
Vad det betyder för en svensk byrå
GDPR gäller fortfarande, och ett amerikanskt molnbolag kan vara ett lagligt val. Men i en leverantörsbedömning är frågan inte bara var datan ligger. Ställ tre frågor om varje tjänst som hanterar klientmaterial:
- Är leverantören, eller dess moderbolag, amerikansk, eller har den verksamhet i USA?
- Var körs AI-modellen, och vilket bolag driver den?
- Vilka underbiträden behandlar uppgifterna, och vem äger dem?
Lagarna binder leverantörer under amerikansk jurisdiktion. Ett svenskt bolag utan amerikansk ägare och utan verksamhet i USA omfattas i regel inte. Det är den skillnaden som betyder något, inte adressen till datacentret.
Quince AI bygger Egen, en AI-arbetsyta på svenska servrar utan amerikanskt bolag i kedjan. Läget för FISA 702 gäller 24 september 2026 och ändras när kongressen agerar; vi uppdaterar anteckningen då.