Är ett suveränt moln tillräckligt?

Flera leverantörer har mött frågan om amerikanska lagar och data som lagras i Europa med ett suveränt moln. För offentlig sektor hänger det nära ihop med de regler som beskrivs i molntjänster och sekretess i offentlig sektor.

Vad ett suveränt moln är

Begreppet används på flera sätt. Oftast avses en molntjänst där drift, personal och åtkomst finns inom EU, i ett europeiskt bolag med egen styrning. Amerikanska leverantörer erbjuder i dag sådana tjänster, och i januari 2026 öppnade en av de största ett europeiskt moln med drift i Tyskland. Det finns också europeiska leverantörer och gemensamma moln inom offentlig sektor.

Ett suveränt moln minskar flera risker. Uppgifterna stannar i EU i den löpande driften, supporten finns här och avtalen kan anpassas till europeiska krav. För många uppgifter är det ett bra val.

Den öppna frågan

CLOUD Act gäller uppgifter som en leverantör har i sin besittning, vård eller kontroll. Om ett amerikanskt moderbolag anses ha kontroll över uppgifter i ett europeiskt dotterbolag har ännu inte prövats i domstol, och i dag finns inget givet svar. Frågan är typisk för extraterritoriell lagstiftning, där ägande och kontroll kan väga lika tungt som plats.

Vid en utfrågning i franska senaten i juni 2025 fick en företrädare för en stor amerikansk leverantör frågan om han kunde garantera att uppgifter aldrig lämnas till amerikanska myndigheter utan franskt godkännande. Han svarade att det inte gick att garantera, men att det aldrig hade hänt. Han beskrev också hur bolaget granskar begäranden och bestrider dem som inte är väl grundade. Samma fråga kan ställas till varje leverantör, oavsett var den kommer ifrån.

Samma fråga gäller AI

Lagring och drift i Europa räcker inte om frågorna till en AI-assistent skickas vidare till en publik AI-tjänst någon annanstans, eftersom frågorna ofta bär med sig utdrag ur dokumenten. Var språkmodellen körs, och vem som driver den, väger därför lika tungt som var dokumenten lagras. Det gäller oavsett moln. En tjänst kan lagra allt i Sverige och ändå skicka frågorna vidare.

Underlag för valet

eSam skiljer mellan publika, gemensamma och privata moln och påpekar att andra länders lagstiftning kan inverka extraterritoriellt på publika moln. Regeringens molnpolicy från maj 2026 betonar kontroll över data och möjligheten att byta leverantör. Båda ger en bra utgångspunkt för valet.

För ett suveränt moln gäller frågorna framför allt ägarkedjan. Be leverantören redovisa vem som äger bolaget som driver tjänsten och vem som i sin tur äger det bolaget. Fråga sedan vem som bestämmer över styrning och åtkomst, var språkmodellen i AI-funktionerna körs och hur ni flyttar era data om förutsättningarna ändras.

Många uppgifter passar bra i ett suveränt moln. För det mest känsliga kan datasuveränitet i bredare mening, och en egen installation, ge ett bättre svar. Hela serien finns samlad i översikten amerikanska lagar och data i Europa.

Så fungerar det i iSearch

iSearch kan köras hos er, med hela kedjan i er egen miljö och utan publika AI-tjänster. Programvaran, dokumenten och språkmodellen finns då på samma ställe.

iSearch kan också köras hos oss. Driften sker i Sverige, av ett svenskt bolag utan amerikanska ägare och utan amerikanskägda underleverantörer för driften. Varje kund får en egen, avskild miljö. Hos oss kan iSearch köras helt utan publika AI-tjänster, med språkmodellen i den svenska driften. Då lämnar ingenting Sverige eller vår kontroll.

Om ni väljer att använda publika AI-tjänster gäller frågorna ovan för de uppgifter som skickas dit. Läs mer om egen installation eller molntjänst, checklistan för upphandling eller boka en genomgång.