Många leverantörer lyfter fram att datan lagras i Europa. Det låter tryggt, och det är ofta bättre än alternativet. Men för amerikanska bolag finns en lag som gör att svaret på frågan “var ligger vår data?” inte räcker hela vägen: CLOUD Act.
Vad är CLOUD Act?
CLOUD Act är en amerikansk lag från 2018. Den gör det möjligt för amerikanska myndigheter att, med rätt rättsliga beslut, kräva ut data från amerikanska tjänsteleverantörer – även när datan lagras på servrar utanför USA. Det avgörande är alltså inte var servern står, utan vem som kontrollerar datan.
Varför spelar det roll?
För de flesta vardagliga uppgifter är risken liten. Men för företag som hanterar känsliga kunduppgifter, affärshemligheter eller uppgifter om hälsa är det en fråga värd att ställa. GDPR begränsar hur personuppgifter får lämnas ut till myndigheter i andra länder, och ett krav enligt amerikansk lag kan i teorin hamna i konflikt med det.
EU:s dataskyddsramverk med USA gör det lagligt att föra över personuppgifter till certifierade amerikanska bolag. Men ramverket tar inte bort CLOUD Act.
Det här kan ni göra
- Ställ rätt fråga. Fråga inte bara var datan lagras, utan vilket bolag som kontrollerar den och vilket lands lagar det bolaget lyder under.
- Minimera vad som skickas. Det som aldrig når AI-tjänsten kan heller aldrig lämnas ut. Att maskera uppgifter som namn och personnummer innan de skickas är ett enkelt sätt att minska risken.
- Välj europeiskt där det spelar roll. För de mest känsliga flödena kan det vara värt att välja AI-modeller och lagring från europeiska bolag.
- Väg risken mot nyttan. Alla uppgifter är inte lika känsliga. Ett utkast till ett blogginlägg och en patientjournal behöver inte samma skydd.
Så tänker vi
När vi byggde Valv valde vi europeiska AI-modeller från franska Mistral AI, lagring i Sverige och ett DLP-filter som maskerar definierade typer av uppgifter innan något når AI:n. Inte för att amerikanska tjänster är dåliga – utan för att vissa företag behöver kunna svara ja på frågan om datan stannar i Europa.
Den här texten är en allmän vägledning, inte juridisk rådgivning.