EU:s dataförordning i klartext: vad den förändrar för moln och AI

De flesta som ansvarar för IT i Europa känner till GDPR och vid det här laget även AI-förordningen. Betydligt färre har läst EU:s dataförordning, vilket är synd, för den skriver i tysthet om två saker som spelar stor roll när ni köper AI: hur enkelt ni kan lämna en molnleverantör, och vad som händer med era data när en utländsk myndighet kommer och frågar.

Dataförordningen, formellt förordning (EU) 2023/2854, gäller i hela unionen sedan den 12 september 2025. Europeiska kommissionens egen sammanfattning beskriver den som en lag om "rättvisa i dataekonomin". Det stämmer, men är lite abstrakt. Låt oss lyfta fram de delar som berör var och en som driver programvara.

Att lämna en molnleverantör ska bli enklare, och billigare

Om ni någon gång har försökt flytta ut några terabyte från en hyperskalig leverantör känner ni igen mönstret. Datan är lätt att lägga in och märkligt dyr att ta ut. Dessa utträdesavgifter handlade aldrig egentligen om vad bandbredden kostade. De var ett stängsel.

Kapitel VI i dataförordningen (artiklarna 23 till 31) går direkt på det stängslet. Leverantörer måste ta bort de kommersiella, tekniska och avtalsmässiga hinder som hindrar er från att byta till en annan leverantör, flytta till er egen infrastruktur på plats, eller använda flera leverantörer samtidigt. Och artikel 29 sätter en klocka på själva avgifterna: bytesavgifterna sänks under en övergångsperiod och måste vara helt borta från och med den 12 januari 2027, precis som juridiska analyser från byråer som Greenberg Traurig beskriver i detalj. Efter det datumet ska det inte kosta er någonting att flytta ut era data.

Läs det en gång till med inköpsglasögonen på. EU har bestämt att inlåsning genom utträdesavgifter är ett problem värt att lagstifta bort. Om en tillsynsmyndighet anser att byteskostnaden är problemet, är det renaste svaret den lösning där det inte finns någon leverantör att byta bort från från första början.

Delen om utländska myndigheter

Artikel 32 är den som inte får tillräckligt med uppmärksamhet. Den kräver att leverantörer av moln- och edge-tjänster inför tekniska, rättsliga och organisatoriska åtgärder för att förhindra olaglig åtkomst från tredjeländers myndigheter till icke-personuppgifter som lagras i EU, där sådan åtkomst skulle strida mot unionsrätten eller en medlemsstats rätt.

Notera den noggranna formuleringen: icke-personuppgifter. Överföringar av personuppgifter styrs fortfarande av kapitel V i GDPR, vilket är en annan diskussion. Men det faktum att EU ansåg sig behöva en särskild artikel om utländsk statlig åtkomst till vanliga affärsdata visar hur reell oron har blivit. Oron har ett namn i de flestas medvetande, den amerikanska CLOUD Act, och dataförordningen är unionens sätt att skriva in ett partiellt svar på den i lag.

Vad det betyder om ni inför AI

Här blir det konkret för var och en som rullar ut en assistent eller ett dokumentsökverktyg. Varje prompt, varje uppladdad fil, varje hämtad textpassage är data som lämnar er kontroll i det ögonblick den träffar en molnmodells API. Dataförordningen förbjuder inte det. Den fortsätter bara att nöta bort antagandet att era data naturligt bor i någon annans datacenter.

Om ni kör modellen lokalt slutar hela frågan om byteskostnader, utträdesavgifter och tredjelands åtkomst att gälla för er AI-arbetsbelastning. Inte för att ni hittade en smart avtalsmässig kringgång, utan för att datan aldrig blev någon annans problem till att börja med.

Inget av detta är juridisk rådgivning, och dataförordningen samverkar med GDPR, dataförvaltningsförordningen och sektorsregler på sätt som er juridiska rådgivare bör kartlägga för just er situation. Men färdriktningen är inte subtil. Europa lagstiftar för en värld där ni kan plocka upp era data och gå. Att köra AI på er egen hårdvara är helt enkelt den kortaste versionen av den promenaden.