Den 28 maj 2026 hände något som borde ha fått fler att lyfta på ögonbrynen. Regeringen antog Sveriges första nationella molnpolicy för offentlig förvaltning. Det är inte en teknisk detalj för IT avdelningen. Det är staten som för första gången skriver ner, svart på vitt, att Sverige är starkt beroende av leverantörer utanför EU. När regeringen erkänner ett beroende offentligt, då har frågan flyttat från konsultrapporter till politik.

För er som hanterar känslig information, oavsett om ni är en myndighet, en region eller ett privat bolag med patientdata, personuppgifter eller affärshemligheter, är detta värt att förstå ordentligt. Vi går igenom vad policyn faktiskt säger, hur den hänger ihop med amerikansk lag och offentlighetsprincipen, och varför just den kombinationen gör on premise till ett rakt svar snarare än en nostalgisk reflex.

Vad molnpolicyn faktiskt säger

Civilminister Erik Slottner presenterade policyn som ett steg mot ökad digital suveränitet. Det viktiga är att den inte förbjuder amerikanska moln. Den gör något mer nyanserat. Den kräver att offentliga verksamheter gör riskbedömningar, använder öppna standarder, skriver tydliga avtal och tar fram exitplaner så att de kan byta leverantör om de behöver. Post och telestyrelsen, PTS, ska stödja arbetet med att införa den.

Läs det där en gång till. Kravet på exitplaner finns där av en anledning. Det är själva erkännandet av problemet. Om ni behöver en plan för att kunna lämna en leverantör, då har ni redan konstaterat att ni sitter fast. Inlåsning är inte en teoretisk risk längre. Den är förutsättningen som policyn utgår ifrån. Och den som någon gång försökt migrera flera petabyte data och hundratals integrationer bort från en molnplattform vet att en exitplan på papper och en genomförd flytt är två väldigt olika saker.

Offentlighetsprincipen och den amerikanska räckvidden

Här blir det juridiskt intressant, och för svensk offentlig sektor helt centralt. Offentlighetsprincipen möter molnet genom sekretesslagstiftningen, offentlighets och sekretesslagen. Den 1 juli 2023 trädde en sekretessbrytande bestämmelse i kraft, OSL 10 kap. 2 a paragrafen, som infördes delvis just för att göra utkontraktering möjlig. Att en sådan bestämmelse behövdes säger något om hur känslig frågan är.

Myndighetssamverkan eSam har gått längre i sin analys. Deras hållning är att en sekretessbelagd uppgift som görs tekniskt tillgänglig för en leverantör kan betraktas som röjd, alltså som ett avslöjande i lagens mening, även om ingen människa faktiskt har läst den. I samma analys lyfter eSam den amerikanska CLOUD Act från 2018 och övervakningslagen FISA 702. Poängen är att ett amerikanskt bolag kan tvingas lämna ut data oavsett var i världen servrarna står, vilket krockar med svensk sekretess.

Det ska sägas rakt ut att eSam inte stiftar lag. Deras vägledning är inflytelserik men inte bindande, och tolkningen är omtvistad. Vissa jurister menar att den är för strikt. Andra menar att den är rimlig försiktighet. Men oavsett var man landar juridiskt kvarstår själva spänningen. Så länge en extern leverantör har teknisk åtkomst till den känsliga uppgiften, så länge finns frågan där, och den behöver hanteras, dokumenteras och försvaras.

Kärnan i hela debatten är teknisk åtkomst, inte serverns fysiska adress. Ett datacenter i Stockholm som drivs av ett bolag under amerikansk jurisdiktion löser inte CLOUD Act frågan. Det som avgör är vem som juridiskt kan tvingas öppna dörren till era data.

Bryssel drar åt samma håll

Sverige är inte ensamt om att göra den här bedömningen. Bara några dagar senare, den 3 juni 2026, föreslog EU kommissionen en Cloud and AI Development Act som en del av ett större paket för teknisk suveränitet. Kommissionen konstaterar att ett överdrivet beroende av molnleverantörer utanför EU är en risk för Europas digitala autonomi.

Förslaget skisserar fyra nivåer av molnsuveränitet, från L1 till L4. På den högsta nivån, L4, utesluts kontroll från bolag i tredjeland helt. Det är en tydlig signal om vart lagstiftaren är på väg. När både den svenska regeringen och EU kommissionen inom loppet av en vecka pekar på samma beroende och samma risk, då är det inte en tillfällig politisk stämning. Det är en riktning, och riktningen håller i sig oavsett vilken regering som sitter.

Varför on premise gör frågan enkel

Nu till det praktiska. Allt ovanstående, riskbedömningarna, exitplanerna, den sekretessbrytande bestämmelsen, eSams röjandeanalys, de fyra suveränitetsnivåerna, allt handlar i grunden om samma sak. Vad händer när er känsliga information passerar genom, eller görs tillgänglig för, en extern leverantör.

Ta bort den leverantören ur den känsliga kedjan, och de flesta av frågorna faller bort av sig själva. Det är det som on premise gör. När er AI och er data körs på hårdvara ni själva kontrollerar, i era egna lokaler eller i ett datacenter under er egen rättsliga kontroll, då finns det ingen extern part i den känsliga vägen. CLOUD Act biter inte, eftersom det inte finns något amerikanskt bolag som kan föreläggas att lämna ut något. Exitproblemet försvinner, eftersom ni inte behöver planera en flytt från en leverantör ni aldrig blev beroende av. Röjandefrågan förenklas dramatiskt, eftersom uppgiften aldrig gjordes tekniskt tillgänglig för någon utanför er kontroll.

Det är värt att vara ärlig med att on premise inte är gratis och inte passar allt. Det ställer krav på egen kompetens, på drift och på investeringar i hårdvara. För en del arbetsbelastningar är molnet fortsatt rätt val, och policyn förbjuder det inte. Men för det som verkligen är känsligt, patientjournaler, förundersökningar, personuppgifter under stark sekretess, affärskritiska modeller, där byter on premise ut en lång rad juridiska och avtalsmässiga risker mot en fråga om teknik och drift. Många upplever att den bytesaffären är enkel att stå för.

Det är precis den positionen Kaldryn är byggt kring. Vi levererar AI som körs där ni bestämmer, på er egen infrastruktur, utan att era data behöver lämna er kontroll. När staten nu ber offentlig sektor att fundera på beroenden, exitplaner och suveränitet, är vårt svar okomplicerat. Den bästa exitplanen är att aldrig ha checkat in.

Detta är en översiktlig genomgång och inte juridisk rådgivning. Regelverken är nya, tolkningarna utvecklas och det egna ansvaret för bedömning kvarstår. Rådgör alltid med egen jurist för er specifika situation.