Ordlista · entitetsdefinitioner
Begreppen som avgör valet av svensk AI-infrastruktur
Klara, citerbara definitioner av de termer som styr om en AI-leverantör duger för svensk offentlig sektor, finans och vård. Skrivna för att förstås av både jurist och utvecklare.
Suverän AI (Sovereign AI)
AI-infrastruktur där data, beräkning och modellvikter garanterat stannar inom en bestämd jurisdiktion, utan att en utländsk aktör eller utländsk lag kan kräva åtkomst. För svensk del innebär det i praktiken svenskt eller oberoende europeiskt ägande, fysisk drift i Sverige/EES och inget beroende av amerikanska moderbolag.
Datasuveränitet
Principen att data lyder under lagarna i det land där den fysiskt och juridiskt hanteras. Att en server står i EU räcker inte om leverantörens moderbolag omfattas av utländsk lag — då kan datan begäras ut ändå.
CLOUD Act
Amerikansk federal lag (2018) som klargör att leverantörer av kommunikations- och molntjänster under amerikansk jurisdiktion måste lämna ut lagrade kunddata till amerikansk brottsbekämpning efter domstolsbeslut, oavsett var i världen datan lagras. Skyldigheten följer bolaget, inte servern: den omfattar amerikanska bolags utländska dotterbolag och kan nå utländska bolag med tillräcklig USA-verksamhet. Ett riktat straffprocessuellt verktyg — inte massövervakning — men skälet till att en 'EU-region' hos en USA-kontrollerad leverantör inte i sig ger jurisdiktionsskydd. EDPB och EDPS har bedömt att direkt utlämning till USA utan stöd i internationellt avtal i regel saknar rättslig grund enligt GDPR.
FISA 702
Avsnitt 702 i USA:s Foreign Intelligence Surveillance Act ger amerikanska myndigheter rätt att förplikta leverantörer av elektroniska kommunikationstjänster under amerikansk jurisdiktion att bistå riktad signalspaning mot icke-amerikanska personer utanför USA — utan individuellt domstolsbeslut; en specialdomstol godkänner endast årliga program och procedurer. Leverantörskretsen är bred (telekom, e-post, molnlagring, och sedan 2024 även vissa aktörer med åtkomst till utrustning där kommunikation överförs eller lagras) och leverantören får inte informera kunden. I europeiska bedömningar väger 702 ofta tyngre än Cloud Act: det var främst 702 och EO 12333 som fällde Privacy Shield i Schrems II. Precis som för Cloud Act följer exponeringen leverantörens jurisdiktion, inte serverns placering. Läge 2026: lagstödet löpte ut den 12 juni 2026 utan omauktorisering, men insamlingen fortsätter under domstolsgodkända certifieringar från mars 2026 (giltiga till ca mars 2027) medan kongressen förhandlar.
EO 12333
Amerikansk presidentorder (1981) som styr underrättelseinhämtning utanför USA:s territorium. Till skillnad från Cloud Act och FISA 702 innehåller den ingen mekanism för att tvinga leverantörer: inhämtningen sker mot trafik och infrastruktur utomlands — till exempel data i transit — utan domstolskontroll och i princip utan rättsmedel för utländska registrerade. Risken följer därmed datavägarna och krypteringen, inte leverantörens ägande, och kan inte läsas av i en ägarskapskolumn. Stark transportkryptering minskar exponeringen, men skyddar inte om mottagaren själv kan föreläggas lämna ut nycklar eller klartext.
Schrems II
EU-domstolens dom (2020) som ogiltigförklarade Privacy Shield och skärpte kraven för överföring av personuppgifter till tredje land — främst med hänvisning till FISA 702 och EO 12333, vars proportionalitet och rättsmedel för EU-personer underkändes. Gör att leverantörer med tredjelandsexponering måste kunna visa kompletterande skyddsåtgärder — eller undvika överföringen helt.
Adekvansbeslut / EU–US Data Privacy Framework (DPF)
Ett adekvansbeslut är EU-kommissionens beslut att ett land utanför EES ger ett i allt väsentligt likvärdigt skydd för personuppgifter, så att överföring dit inte kräver ytterligare skyddsåtgärder. För USA gäller sedan den 10 juli 2023 beslutet om EU–US Data Privacy Framework, som vilar på amerikanska åtaganden i presidentorder (EO 14086) om proportionalitet och en särskild prövningsdomstol. Beslutet är formellt i kraft men dess hållbarhet är omstridd: tillsynsorganet PCLOB saknar beslutsförhet sedan januari 2025, EU-domstolen prövar ett överklagande (C-703/25 P) efter att Tribunalen ogillat den första ogiltighetstalan (september 2025), och USA:s Högsta domstol underkände i juni 2026 skyddet mot godtyckligt entledigande i oberoende tillsynsmyndigheter. Faller adekvansen krävs andra överföringsverktyg, till exempel standardavtalsklausuler med kompletterande skyddsåtgärder.
NIL — Kinas nationella underrättelselag
Kinas National Intelligence Law (2017). Artikel 7 ålägger alla kinesiska organisationer och medborgare att stödja, bistå och samarbeta med det nationella underrättelsearbetet — och att hemlighålla det. Skyldigheten omfattar kinesiskt registrerade bolag och kinesiska medborgare; om även utländska dotterbolag i kinesiska koncerner träffas är omtvistat men kan inte uteslutas. Principen är densamma som för de amerikanska åtkomstlagarna: exponeringen följer leverantörens ägar- och kontrollkedja, inte var servern står. Kinas datasäkerhetslag (2021) förbjuder dessutom utlämning till utländska myndigheter utan kinesiskt tillstånd. Motsvarande inhämtningslagar finns i fler länder (t.ex. Rysslands SORM/Yarovaja, Sveriges FRA-lag, Storbritanniens IPA) — den relevanta skillnaden är vilka rättsmedel utländska registrerade har.
Tredjelandsöverföring
All behandling eller överföring av data utanför EES, inklusive för telemetri, support eller loggning. Ett 'okänt' eller 'ja' här är ofta en deal-breaker för reglerade verksamheter.
Model Context Protocol (MCP)
Ett öppet protokoll (donerat till Linux Foundation) för hur agentiska AI-system säkert ansluter till verktyg och datakällor. För infrastrukturleverantörer handlar frågan om nätverket stödjer MCP över Streamable HTTP och stateful sessioner — kritiskt för fjärranropande AI-agenter.
Zero-retention
Att leverantören inte sparar promptar, indata eller svar efter att anropet behandlats. Ett påstående om zero-retention bör verifieras mot personuppgiftsbiträdesavtalet (DPA), inte bara mot marknadsföringssidan.
Personuppgiftsbiträdesavtal (DPA)
Det juridiska avtal som reglerar hur leverantören får behandla kundens personuppgifter. Det är här garantier om zero-retention, ingen modellträning på kunddata och dataresidens blir bindande — därför skiljer vi 'påstått' från 'bekräftat mot DPA'.
EU AI Act
EU:s AI-förordning som ställer krav på transparens, teknisk dokumentation och loggning beroende på systemets riskklass. För infrastrukturleverantörer handlar det om att kunna stödja kundens efterlevnad, inte bara den egna.