OpenAI og ChatGPT Enterprise i EU: hva residensen dekker

OpenAI har bygget ut EU-tilbudet sitt kraftig de siste årene, men residensen er ujevnt fordelt over produktkatalogen, og den dekker mindre enn mange tror. Her er det som gjelder i 2026, og fellene som er dyrest å oppdage sent.

Produktnivåene: hvem kan få EU-residens

Residens er ikke en innstilling som slås på i etterkant. Det er en egenskap ved visse produktnivåer, og bare for nye miljøer:

Mønsteret er tydelig: Forbruker- og mellomnivåene mangler residensalternativ helt. For organisasjoner med GDPR-krav er det en Enterprise-tenant eller API-plattformens Europe-region som gjelder. Alt annet innebærer behandling i USA. Kontroller samtidig hvilken lisensform dere faktisk har. Mange organisasjoner tror de har Enterprise, men sitter på Business.

Hva residensen dekker, og hva den ikke dekker

På nye EU-tenants dekker residensen datalagring, og siden januar 2026 også GPU-inferensen: Selve modellkjøringen skjer da i regionen. Det var et viktig steg. Lagring uten inferens er et halvt løfte.

Men alt rundt følger ikke automatisk med. Autentisering, ruting, indeksering og analyse kan ligge utenfor regionen, og enkelte endepunkter er unntatt fra residensen. «Vi har EU-residens hos OpenAI» er derfor en for grov oppsummering for en vurdering av personvernkonsekvenser (DPIA). Verifiser per endepunkt hvilke deler av flyten deres som omfattes, og få det skriftlig for nøyaktig de funksjonene dere bruker.

En praktisk arbeidsmåte er å liste opp alle kallene i flyten, som chat, filopplasting, søk og embeddinger, og markere per rad hva leverandøren har bekreftet skriftlig. Radene uten bekreftelse er den faktiske risikoflaten deres, og listen er dessuten nøyaktig det en kontrollør vil se.

Migreringsfellen: ingenting følger med

Den vanligste feilvurderingen i praksis: Eksisterende kontoer, prosjekter og API-nøkler kan ikke konverteres til EU-residens. Residensen bestemmes når miljøet opprettes.

Et eksempel: En bedrift har kjørt ChatGPT Business siden 2024 og bygget to API-integrasjoner mot de interne systemene sine. Når compliance-funksjonen krever EU-residens, holder det ikke å oppgradere: Det kreves en ny Enterprise-tenant og nye EU-prosjekter med nye API-nøkler. Historikken følger ikke med, men blir liggende i USA, og integrasjonene må pekes om til de nye prosjektene. Riktig måte å håndtere det på er som en migrering med egen tidsplan, testfase og kommunikasjon, ikke som et kryss i en bestilling. Benytt samtidig anledningen til å rydde: En flytting er riktig tidspunkt for å kartlegge hvilke integrasjoner som faktisk brukes, og hvilke prompter som inneholder personopplysninger uten grunn.

Overvåkingsnivået er en del av pakken

EU-residens på API-plattformen forutsetter dessuten at organisasjonen deres blir godkjent for ett av to overvåkingsnivåer: Modified Abuse Monitoring, der misbruksdeteksjonen skjer uten at promptene deres lagres for gjennomgang, eller zero data retention (ZDR), der prompter og svar ikke lagres i det hele tatt etter kjøring.

Begge krever godkjenning via OpenAIs salgsorganisasjon. Regn inn søknadsprosessen i prosjektets tidsplan, og dokumenter utfallet (hvilket nivå dere har fått, for hvilke endepunkter og per hvilken dato) i dokumentasjonen av underleverandører og behandlingsaktiviteter.

Merk at overvåkingsnivået påvirker mer enn det juridiske: Med zero data retention forsvinner leverandørens logger som støtte ved feilsøking, så egen logging må stå for hele sporbarheten.

Rettssituasjonen og prisene endrer seg

To bevegelige deler til. EU-regionen har hatt pristillegg sammenlignet med global drift, og nivåene justeres, så regn alltid på gjeldende prisliste før dere bestemmer dere. Og den omtalte amerikanske rettsavgjørelsen som påla OpenAI å bevare brukerlogger, har fått en viktig avgrensning: EØS-data er unntatt fra bevaringspålegget. Rettssituasjonen utvikler seg likevel fortløpende, så gjør oppfølgingen til et fast punkt heller enn en engangskontroll.

Oppsummert: OpenAI i EU er fullt mulig i 2026, men bare på riktig produktnivå, i et nytt miljø og med verifisering per endepunkt. Bygger dere en løsning der veivalget har betydning, hjelper vi i Weapp gjerne til med å vurdere alternativene, fra AI-strategi til ferdig integrasjon. Ta kontakt hvis dere vil ta spørsmålet videre.