AI behöver inte alltid köras i Sverige. Valet beror på era data, avtal och vem som faktiskt får åtkomst. Börja med ett konkret arbetsflöde: för offentliga produkttexter kan en godkänd molntjänst räcka. Kunduppgifter kräver granskning av behandling och avtal; avtalsskyddade konstruktionsfiler kan kräva infrastruktur som ni själva kontrollerar.
En server i Stockholm besvarar bara en del av frågan. Prompter kan behandlas där medan loggar, supportåtkomst eller anslutna tjänster tar andra vägar. Jämför därför hela dataflödet innan ni väljer driftplats.
Vad ”var AI:n körs” betyder tekniskt
Om ert företag använder en språkmodell finns det i huvudsak fyra driftmodeller, och de skiljer sig avsevärt i var era data hamnar.
Modell-API med behandling i USA. I detta upplägg behandlas indata på amerikansk infrastruktur. Om det gäller en viss tjänst beror på produkt, vald region och avtalsvillkor. Modellleverantörens huvudkontor säger inte ensamt var behandlingen sker.
EU-region hos en internationell molnleverantör. En EU-region kan möjliggöra europeisk behandling. Granska löftena för modellanrop, lagring, säkerhetskopior och support var för sig. En vald region garanterar inte att varje ansluten tjänst och åtkomstväg stannar inom samma jurisdiktion.
Europeisk leverantör. Huvudkontor och infrastruktur i Europa kan passa era avtalskrav och behov av kontroll. Granska ändå underbiträden och anslutna tjänster. Testa om modellen räcker till med era egna arbetsuppgifter och tydliga kvalitetskriterier.
Egen infrastruktur och lokala modeller. En modell i egen drift kan hålla känslig behandling inom ert nätverk. Även loggar, säkerhetskopior, telemetri och integrationer måste vara rätt inställda. Hårdvara, uppdateringar, behörigheter och drift är ert eller er driftpartners ansvar.
Den juridiska nivån: vad som faktiskt krävs
GDPR ställer inget generellt krav på servrar i Sverige. Förordningen kräver att den konkreta behandlingen är laglig och skyddad.
Personuppgifter kräver bland annat ett bestämt ändamål, en lämplig rättslig grund och skyddsåtgärder. När en leverantör behandlar uppgifter för er räkning kräver artikel 28 ett personuppgiftsbiträdesavtal. Överföringar utanför EES måste även uppfylla kraven i kapitel V. Överföringsmekanismen ersätter inte den rättsliga grunden för behandlingen. Se GDPR.
EU-US Data Privacy Framework möjliggör överföringar till deltagande amerikanska företag inom ramen för deras certifiering. Kontrollera mottagaren och vilka uppgifter som omfattas. Andra överföringsmekanismer, som standardavtalsklausuler, har egna villkor. En extra underskrift ger inget generellt skydd.
Vid sidan av GDPR finns en andra, ofta förbisedd källa till skyldigheter: era egna avtal. Många mindre företag har kundavtal med sekretessklausuler, krav på underleverantörer eller uttryckliga bestämmelser om behandlingsplats. Den som arbetar åt fordonskoncerner, myndigheter eller vårdsektorn känner igen det. Dessa avtalsförpliktelser kan vara strängare än GDPR, och de omfattar även konstruktionsdata, kostnadskalkyler eller källkod, alltså data helt utan personanknytning.
Den viktigaste sorteringsfrågan är inte ”Är amerikanskt moln tillåtet?” utan: vilka datatyper flyter in i vilket system? Personuppgifter, avtalsskyddade data och okritiska data har olika krav. Att dra alla över en kam gör platsfrågan olöslig. Att skilja dem åt gör den besvarbar.
Den strategiska nivån: inget lagkrav, utan klok riskhantering
Även om allt är juridiskt rent kvarstår en andra fråga: hur beroende vill ni vara? Det är ingen dataskyddsfråga, utan en företagsfråga.
Tre risker behöver bedömas. För det första prissättningsmakten: ett dyrt leverantörsbyte försvagar ert förhandlingsläge. För det andra förändringsrisken: modeller, priser och funktioner kan ändras. Testa därför hur arbetsflödet skulle fungera med ett alternativ. För det tredje beroendet av överföringsvillkor: dokumentera vilka dataflöden som skulle behöva omprövas om de rättsliga förutsättningarna ändrades.
Vilken nivå för vem: en ärlig bedömning
Alla företag behöver inte egna GPU-servrar. De här tre driftalternativen hjälper er att avgränsa valet utifrån era faktiska krav.
Nivå 1: EU-behandling med dokumenterade villkor. Pröva detta alternativ när en förvaltad molntjänst täcker ert arbetsflöde. Dokumentera dataflöden, lagringstider, träningsanvändning och åtkomst. EU-drift och biträdesavtal uppfyller inte ensamma alla GDPR-krav.
Nivå 2: europeiska leverantörer för ökad kontroll. När avtal eller inköpsregler kräver det, granska även huvudkontor och jurisdiktion. Ni behöver fortfarande kontrollera tredjelandsöverföringar, exempelvis genom underbiträden eller supportåtkomst.
Nivå 3: lokala modeller för kärndata. En lokalt driven modell kan passa känsliga konstruktionsunderlag, formler eller klient- och patientuppgifter. Om arbetsuppgifter går att skilja åt efter datatyp kan även en hybridarkitektur passa: godkända uppgifter utan känsligt innehåll använder molnmodeller, medan skyddade data behandlas lokalt. Kontrollera att integrationerna upprätthåller den gränsen.
Platsen är ett arkitekturbeslut, ingen trosfråga
Bedöm varje arbetsflöde utifrån dess data, lag- och avtalskrav samt hur stort leverantörsberoende ni kan acceptera. Testa sedan lämpliga driftformer avseende kvalitet, arbetsinsats och kostnad. Två arbetsflöden i samma företag kan behöva olika lösningar.
Beskriv för ett arbetsflöde vilka uppgifter som används, vem som får åtkomst och vilka platskrav era avtal innehåller. Använd det som underlag för att granska leverantörer. Om det är oklart vilken driftform som tekniskt uppfyller kraven kan vi hjälpa er att bedöma och genomföra den. Börja med att beskriva arbetsflödet och systemen, utan att skicka konfidentiella dokument. Diskutera er AI-drift.
