Cloud Act och GDPR: därför räcker det inte att vara värd i Europa

Du frågar en leverantör var dina uppgifter tar vägen. Svaret kommer polerat: "våra servrar finns i Europa". Det låter som ett fullständigt svar. Det är bara hälften av ett. Serverplaceringen talar om var uppgifterna finns. Den säger ingenting om vem som juridiskt kan kräva att få ut dem. Sedan 2018 har en amerikansk lag gjort just den andra frågan till den som verkligen avgör din exponering, och det är precis den fråga nästan ingen leverantör besvarar av egen kraft.

Den här guiden förklarar vad Cloud Act säger, vem den egentligen omfattar, varför Data Privacy Framework inte neutraliserar den, och hur man i praktiken kontrollerar om ett SaaS- eller AI-verktyg verkligen står utanför amerikansk jurisdiktion.

Vad Cloud Act faktiskt säger

Cloud Act (Clarifying Lawful Overseas Use of Data Act) antogs den 23 mars 2018, som en del av den amerikanska budgetlagen. Den kom inte ur tomma intet: den avgjorde ett fall som USA:s högsta domstol höll på att pröva.

Det fallet inleddes i december 2013, när Microsoft mottog ett domstolsbeslut baserat på Stored Communications Act om att lämna ut e-post lagrad i ett datacenter i Dublin. Microsoft vägrade och hävdade att ett amerikanskt beslut inte kunde nå uppgifter lagrade på Irland. Tvisten gick hela vägen till högsta domstolen, som höll muntlig förhandling i februari 2018. Innan domstolen hann avgöra målet antog kongressen Cloud Act, och fallet förklarades moot (utan föremål).

Det Cloud Act ändrade ryms i en enda klausul. Lagen ändrar Stored Communications Act så att en leverantör måste bevara, säkerhetskopiera eller lämna ut innehåll och register som denne har i sin besittning, vård eller kontroll, "oavsett om kommunikationen, registret eller annan information finns inom eller utanför USA".

Vem den faktiskt omfattar

Cloud Act riktar sig inte mot "amerikanska företag" som etikett. Den omfattar varje leverantör som lyder under USA:s jurisdiktion, en kategori betydligt bredare än de flesta europeiska köpare tror. Tre situationer hamnar vanligtvis inom räckhåll:

• Ett amerikanskt företag, oavsett var dess infrastruktur finns. Det uppenbara fallet.
• Ett europeiskt dotterbolag till ett amerikanskt moderbolag. Det här är fallet som förvånar. Kriteriet är kontroll: när ett amerikanskt moderbolag kontrollerar sin europeiska enhet anses de uppgifter enheten lagrar i regel ligga inom moderbolagets kontroll, och ett amerikanskt beslut kan då nå dem. Ingen domstol har prövat frågan direkt, och vissa leverantörer bestrider poängen. Det praktiska svaret gav Microsoft själva, se nedan. Att bilda ett AB eller ett GmbH reser i sig ingen mur.
• Ett icke-amerikanskt företag med tillräcklig närvaro i USA för att anses lyda under dess jurisdiktion.

Den praktiska konsekvensen är obekväm men enkel: det som avgör din exponering är den juridiska nationaliteten hos företaget som driver tjänsten, och hos koncernen som kontrollerar det. Serverplaceringen är en detalj i jämförelse.

Det här är ingen abstrakt fråga om molnavtal. Det påverkar varje verktyg i din verktygslåda: CRM:et som lagrar din pipeline, anteckningsappen som lagrar dina möten, AI-assistenten du klistrar in dokument i, dikteringsverktyget du dikterar dina ärenden i. Det sistnämnda är fallet nästan ingen förutser, för det dikterade ljudet är ofta det mest konfidentiella en yrkesperson producerar under sin arbetsdag.

En risk som inte är teoretisk: Microsoft inför franska senaten

Om det här fortfarande låter akademiskt avgjordes saken vid ett vittnesmål. I juni 2025 erkände Microsoft Frankrikes chefsjurist, under ed inför en undersökningskommission i franska senaten, att han inte kunde garantera att uppgifter om franska medborgare som lagrades av företaget aldrig skulle lämnas ut till amerikanska myndigheter utan Frankrikes samtycke.

Det erkännandet kommer från en jätteleverantör med betydande europeiska datacenter och ett eget, omfattande suveränitetserbjudande. Det är inte ett konkurrentpåstående, det är svaret från leverantören själv, under ed. För varje organisation som hanterar konfidentiella ärenden är den enda utväxlingen värd mer än hundra sidor marknadsföring om europeisk hosting.

Data Privacy Framework besvarar en annan fråga

När man pressar en amerikansk leverantör om överföringsfrågan är svaret ofta Data Privacy Framework (DPF), det adekvansbeslut som EU-kommissionen antog den 10 juli 2023. Ett amerikanskt företag självcertifierar sig och kan därefter ta emot personuppgifter från EU utan ytterligare formaliteter. På pappret är överföringen laglig. Två saker är värda att känna till innan man litar på det.

Först: det är det tredje ramverket i sitt slag, och de två föregående ogiltigförklarades. Safe Harbor ogiltigförklarades av EU-domstolen i oktober 2015 (Schrems I), och Privacy Shield i juli 2020 (Schrems II), i båda fallen för att den amerikanska övervakningen inte gav européer ett skydd väsentligen likvärdigt med EU-rättens. DPF överlevde sin första prövning: den 3 september 2025 avvisade EU:s tribunal överklagandet från Philippe Latombe, ledamot av franska nationalförsamlingen och medlem av CNIL (mål T-553/23). Men den domen överklagades den 31 oktober 2025 och är under prövning hos EU-domstolen under målnummer C-703/25 P. I augusti 2026 är överklagandet fortfarande inte avgjort, och bedömare räknar inte med ett beslut förrän tidigast i slutet av 2026. Att bygga sin konfidentialitet på en mekanism som redan ogiltigförklarats två gånger är ett vad, inte en garanti.

För det andra, och mer grundläggande: DPF neutraliserar inte Cloud Act. De två instrumenten besvarar olika frågor. DPF gör den kommersiella överföringen av uppgifter till USA laglig. Cloud Act reglerar amerikanska myndigheters tillgång till uppgifter som en leverantör redan lagrar. En leverantör kan vara oklanderligt certifierad enligt DPF och ändå få ett giltigt amerikanskt beslut som tvingar denne att lämna ut uppgifterna. Att överföringen är laglig skyddar dig inte mot tillgången.

Den andra grunden: avsnitt 702 i FISA

Cloud Act är inte den enda vägen. Avsnitt 702 i Foreign Intelligence Surveillance Act tillåter amerikanska underrättelsemyndigheter att tvinga leverantörer av elektroniska kommunikationstjänster att lämna ut kommunikation från icke-amerikanska personer utanför USA. Det vill säga européer. Det var just otillräckligheten i skyddsåtgärderna kring den övervakningen som fick EU-domstolen att ogiltigförklara Privacy Shield i Schrems II.

Avsnitt 702 går igenom en period av lagstiftningsturbulens 2026. Den förnyades senast i april 2024 genom Reforming Intelligence and Securing America Act, med en ovanligt kort tvåårig solnedgångsklausul, och kongressen har därefter inte antagit någon varaktig förlängning. Den instabiliteten förändrar ingenting i praktiken för en europeisk kund: som Brennan Center har dokumenterat fortsätter insamlingen med stöd av certifieringar som FISA-domstolen redan utfärdat, giltiga till mars 2027 oavsett det lagstadgade utgångsdatumet. Att satsa på att den grunden faller bort är ingen strategi.

Vad "suveränt" verkligen betyder, i fyra kontroller

"Suverän" har blivit ett marknadsföringsord. Så testar man det, i den ordning det spelar roll.

1. Vem som äger leverantören. Sök upp företaget i handelsregistret: bolagsform, säte, aktiekapital och framför allt om det finns ett amerikanskt moderbolag eller en koncern som kontrolleras från USA ovanför. Ett europeiskt varumärke kan vara ett helägt dotterbolag. Den kontrollen tar fem minuter och besvarar det viktigaste.
2. Vilka underbiträdena är och var de verkar. Leverantörens egen hosting är sällan hela historien. Be om listan över underbiträden och läs den: modell-leverantören, databasen, autentiseringslagret, betalningslösningen. Ett enda amerikanskt led räcker för att föra tillbaka de uppgifter det rör in i tillämpningsområdet.
3. Innehåll kontra kontouppgifter. De behandlas nästan alltid olika. En leverantör kan i praktiken behandla dina dokument i Frankrike och ändå låta kontouppgifter, e-post, autentisering, fakturering, passera genom amerikanska SaaS-leverantörer. Det kanske är fullt acceptabelt för dig, men det är något du bör veta, inte upptäcka i efterhand. Be leverantören dra den gränsen uttryckligen.
4. Vad avtalet faktiskt förbinder sig till. Ett personuppgiftsbiträdesavtal enligt artikel 28 i GDPR ska namnge underbiträdena, ange var var och en behandlar uppgifterna, och förplikta leverantören att meddela dig innan något av dem byts ut. En leverantör som inte vill namnge sin kedja säger dig något.

Fällan som är specifik för AI-verktyg

Det finns ett sätt att missa målet som europeiska köpare av AI-verktyg gång på gång fastnar i, och det förtjänar att nämnas separat.

En leverantör kan vara ett äkta europeiskt företag, hosta sin app på äkta europeisk infrastruktur, och ändå skicka vart och ett av dina dokument till USA. Det sker vid modellanropet. Om produktens intelligens kommer från ett API som drivs av OpenAI, Anthropic, Google eller ett moln kontrollerat från USA, lämnar ditt innehåll det europeiska området i exakt det ögonblick produkten blir användbar. Den europeiska hostingen är verklig, och den är också irrelevant: den bär upp gränssnittet, inte nyttolasten.

Inom röstdiktering är detta nästan norm. De flesta verktyg på marknaden, inklusive flera som marknadsför sig som integritetsvänliga, transkriberar genom att anropa ett amerikanskt taligenkännings-API. Det dikterade ljudet, ofta det mest konfidentiella en yrkesperson producerar under sin arbetsdag, hamnar direkt inom tillämpningsområdet.

Sex frågor att ställa skriftligt till vilken leverantör som helst

1. Vilken juridisk enhet ger ut tjänsten, och kontrolleras den av ett icke-europeiskt moderbolag?
2. Var behandlas mitt innehåll, och av vilka företag? Inte "i Europa", utan listan med namn.
3. Vilka AI-modeller använder ni, och vem driver dem? Den svaga punkten som är specifik för AI-produkter.
4. Vilka av mina uppgifter är innehåll och vilka är kontouppgifter, och behandlas de olika?
5. Omfattas ni, eller något av era underbiträden, av Cloud Act eller annan extraterritoriell lag? En europeisk leverantör utan amerikanskt moderbolag kan svara nej, utan omsvep.
6. Tillhandahåller ni ett personuppgiftsbiträdesavtal enligt artikel 28 som namnger era underbiträden och förpliktar er att meddela förändringar?

Svaren ska komma skriftligt och utan undanflykter. Där de uteblir har du redan ditt svar. Vill du ha GDPR-sidan av samma analys täcker vår guide om röstdiktering och GDPR de skyldigheter som vilar på själva verktyget, och vår artikel om AI-akten förklarar varför AI-regleringen inte säger något om allt det här.

Fast Dictates ståndpunkt

Fast Dictate är utformat för att besvara dessa sex frågor på en sida, inte i ett säljmöte.

• Leverantören är ett franskt företag. Synapse Crew SAS, registrerat i handelsregistret i Paris, utan amerikanskt moderbolag. Omfattas inte av Cloud Act.
• Pro-planen: det dikterade innehållet stannar i Frankrike. Ljud och transkriberingar behandlas uteslutande på servrar i Frankrike, på ISO/IEC 27001:2022-certifierad infrastruktur.
• Modellerna körs också i Frankrike. Transkriberingen och den språkliga efterbearbetningen körs på fransk infrastruktur, utan ett enda anrop till ett AI-API utanför Frankrike för att behandla det innehållet. Det är just där de flesta verktyg brister, så vi säger det uttryckligen.
• Ingen datalagring i någon plan. Ljudet transkriberas och raderas sedan omedelbart, och återanvänds aldrig för att träna modeller.
• Den ärliga nyansen om metadata. Kontots tekniska uppgifter, e-post, autentisering, prenumerationsstatus, passerar genom internationella underbiträden som omfattas av EU-kommissionens standardavtalsklausuler. Inget dikterat innehåll passerar genom dem. Hela genomgången finns på vår sida Säkerhet, och DPA:t tillhandahålls till kunder på Pro-planen.

Vanliga frågor