Vad är CLOUD Act?

Många tror att frågan om amerikansk dataåtkomst är löst så snart en tjänst lagrar data i EU. CLOUD Act är anledningen till att det inte stämmer. Lagen kopplar åtkomst till bolagets jurisdiktion, inte till var servrarna står – och det förändrar hur du måste tänka kring AI-leverantörer.

Vad lagen gör

CLOUD Act (Clarifying Lawful Overseas Use of Data Act) är en amerikansk lag som ger USA:s myndigheter rätt att med rättslig grund begära ut data från amerikanska bolag – oavsett var datan fysiskt lagras. Ligger datan i ett europeiskt datacenter men kontrolleras av ett amerikanskt bolag, når begäran den ändå.

Det här är kärnan i problemet för AI-köpare: alla fyra stora AI-leverantörer i det vanliga urvalet lyder ytterst under amerikansk jurisdiktion. Att en tjänst driftas i EU eller faktureras via ett europeiskt dotterbolag ändrar inte moderbolagets hemvist. Jurisdiktionen följer bolaget.

Det är också värt att skilja CLOUD Act från själva överföringsfrågan i GDPR. En överföring till tredjeland kräver en laglig mekanism – standardavtalsklausuler eller ett adekvansbeslut. CLOUD Act är ett annat problem: även när mekanismen är på plats och datan ligger i EU kan bolaget som kontrollerar den tvingas lämna ut den till amerikanska myndigheter. Mekanismen löser lagligheten i att skicka data; CLOUD Act handlar om vem som därefter kan komma åt den. Det är därför de två frågorna måste hanteras var för sig i en granskning.

Det dokumenterade vittnesmålet

Frågan är inte hypotetisk. Under 2025 bekräftade Microsoft Frankrike under ed i franska senaten att bolaget inte kan garantera skydd mot en amerikansk begäran om data. Det är en ovanligt tydlig bekräftelse från en av de största leverantörerna själva.

Samtidigt, enligt de uppgifter som finns, har det aldrig hänt att en europeisk kunds data faktiskt hämtats ut den vägen. Det gör risken till en rättslig möjlighet snarare än en inträffad händelse – men en möjlighet en tillsynsmyndighet eller granskare mycket väl kan kräva att du hanterar.

Varför EU-lagring inte räcker

Slutsatsen är obekväm men viktig: EU-lagring minskar exponeringen men neutraliserar inte CLOUD Act. Lagring och jurisdiktion är två skilda frågor. Du kan ha all data i Frankfurt och ändå ha en leverantör som lagligen kan tvingas lämna ut den.

Ett konkret scenario: ett bolag väljer EU-region för sin AI-tjänst, bockar av “data i EU” och betraktar tredjelandsfrågan som löst. Vid granskningen påpekas att leverantörens amerikanska moderbolag kan omfattas av en CLOUD Act-begäran – och att EU-regionen inte adresserar det. Då återstår att visa vilka tilläggsåtgärder som finns.

Mitigeringen enligt EDPB

Det europeiska dataskyddsrådets rekommendationer 01/2020 pekar ut vägen: tekniska och organisatoriska tilläggsåtgärder ovanpå överföringsmekanismen. I AI-sammanhang handlar det i regel om tre saker:

• Kundkontrollerad kryptering (KMS/CMEK) där leverantören inte har nyckeln, så att utlämnad data är oläsbar.
• Dataminimering – skicka så lite personuppgifter som möjligt till tjänsten.
• EU-inferens och andra åtgärder som begränsar var och hur behandlingen sker.

Restrisken som ändå kvarstår redovisas öppet i en konsekvensbedömning (DPIA), i stället för att önskas bort. Poängen med EDPB:s modell är just att risken ska hanteras och dokumenteras, inte förnekas.

Av de tre är kundkontrollerad kryptering ofta den tyngsta åtgärden. Tanken är enkel: håller ni själva nycklarna, i en nyckelhanteringstjänst som leverantören inte når, så är den data som eventuellt lämnas ut oläsbar utan er medverkan. En begäran som landar hos leverantören ger då krypterade block, inte läsbara personuppgifter. Det eliminerar sällan risken helt – nycklar måste ju användas någonstans för att data ska kunna behandlas – men det flyttar kontrollen till er och är en central byggsten i en försvarbar arkitektur. För en svensk verksamhet som ska kunna stå för sitt val inför Integritetsskyddsmyndigheten är det skillnaden mellan att ha en genomtänkt åtgärd att peka på och att stå med enbart ett löfte om EU-lagring.

Vill du se hur CLOUD Act hänger ihop med residens, överföringsmekanismer och retention i ett helt AI-projekt finns mer på vår AI-sida. Behöver du hjälp att bygga en arkitektur som håller för en granskning? Hör av dig så tittar vi på ert upplägg.