FISA 702 och vad underrättelselagar betyder för molnet

CLOUD Act används i brottsutredningar och kräver ett beslut i varje enskilt fall. Underrättelseinhämtning följer andra regler och har en annan tillsyn, och den är en lika viktig del av frågan om amerikanska lagar och data som lagras i Europa.

Vad FISA 702 är

FISA 702 är en bestämmelse i den amerikanska lagen om underrättelseövervakning, Foreign Intelligence Surveillance Act. Den ger amerikanska underrättelsemyndigheter rätt att samla in kommunikation från personer som inte är amerikaner och som antas befinna sig utanför USA. Insamlingen sker med hjälp av amerikanska leverantörer av kommunikationstjänster, som kan åläggas att medverka.

Skillnaden mot ett vanligt domstolsbeslut ligger i formen. En särskild domstol, FISA-domstolen, godkänner varje år ramarna för verksamheten och de regler som ska följas. Något eget beslut för varje person som inhämtningen riktas mot krävs inte. Det är den ordningen som EU har granskat.

I april 2024 förlängdes bestämmelsen genom en ny lag. Samtidigt breddades kretsen av leverantörer som kan åläggas att medverka. Den omfattar nu även andra tjänsteleverantörer som har tillgång till utrustning där kommunikation överförs eller lagras.

Läget hösten 2026

Bestämmelsen har förlängts i omgångar under året. Den 18 april 2026 förlängde kongressen den till den 30 april, och den 30 april förlängdes den till den 12 juni 2026. Kongressen enades sedan inte om en ny förlängning, och bestämmelsen upphörde den 12 juni 2026.

Enligt kongressens utredningstjänst gäller beslut och direktiv som redan har utfärdats tills de löper ut. FISA-domstolen godkände verksamheten för ett år i mars 2026, och den kan alltså fortsätta till mars 2027. Förnyar kongressen inte bestämmelsen innan dess krävs därefter i regel ett eget domstolsbeslut för varje mål, enligt en annan del av lagen. Uppgifterna avser läget den 18 oktober 2026.

EO 12333 och EU:s bedömning

Vid sidan av FISA finns presidentordern Executive Order 12333 från 1981. Den styr annan amerikansk underrättelseverksamhet, bland annat inhämtning utanför USA, och prövas inte av någon domstol.

I domen Schrems II 2020 fann EU-domstolen att övervakningen enligt 702 och EO 12333 inte var begränsad till vad som är strikt nödvändigt och att människor i EU saknade effektiva rättsmedel. USA svarade 2022 med Executive Order 14086. Ordern kräver att inhämtning ska vara nödvändig och proportionerlig och inrättar en domstol dit människor i EU kan vända sig med klagomål. Den är grunden för det nuvarande ramverket, som beskrivs i Räcker ramverket för dataskydd mellan EU och USA?

Vad det betyder för er

FISA 702 förutsätter inte att någon misstänks för något. Frågan är vilka leverantörer som kan åläggas att medverka, och det beror mer på vem leverantören är än på var servrarna står. Väg in det när ni väljer var de känsligaste uppgifterna ska finnas.

Ta därför reda på om leverantören, eller något bolag bland dess underleverantörer, är en amerikansk leverantör av kommunikations- eller molntjänster. Eftersom läget ändras är det också rimligt att fråga hur leverantören följer utvecklingen kring 702 och vad den betyder för ert avtal. Kontrollera även vilka uppgifter som skickas vidare till andra tjänster, till exempel publika AI-tjänster.

För det mest känsliga är lokal AI ett sätt att hålla både dokument och frågor inom den egna miljön, oavsett hur bestämmelsen utvecklas.

Så fungerar det i iSearch

iSearch kan köras hos er, med hela kedjan i er egen miljö och utan publika AI-tjänster. Då stannar uppgifterna hos er.

iSearch kan också köras hos oss. Driften sker i Sverige, av ett svenskt bolag utan amerikanska ägare och utan amerikanskägda underleverantörer för driften. Varje kund får en egen, avskild miljö. Hos oss kan iSearch köras helt utan publika AI-tjänster, med språkmodellen i den svenska driften.

Om ni väljer att använda publika AI-tjänster kan resonemanget ovan gälla för de uppgifter som skickas dit. Läs mer om offline-AI i er egen miljö eller boka en genomgång.