Hvad udkastet faktisk foreslår
Den 3. juni 2026 vedtog Europa-Kommissionen et forslag til Cloud and AI Development Act, kendt som CADA. Det er et forslag, ikke en gældende lov. Det skal stadig igennem forhandling mellem Europa-Parlamentet og Rådet, og ordlyden kan ændre sig, før nogen del af det bliver bindende. Så dette er et signal om retning, ikke en regel, du skal overholde i dag. Retningen er dog klar nok til at planlægge efter.
Den del, der betyder noget for købere, er en enkelt EU-dækkende ramme, der klassificerer sky- og AI-udbydere på tværs af fire EU-sikkerhedsniveauer. Det laveste niveau er tænkt som minimumsgrundlaget for at betjene den offentlige sektor, med snævre undtagelser. Højere niveauer gælder, hvor en udbyder understøtter funktioner knyttet til den offentlige orden, efter en risikovurdering foretaget af medlemsstaterne og EU-organer, på tværs af sektorer som energi, sundhed, transport, vand, retshåndhævelse, grænseforvaltning, national sikkerhed og forsvar. Kort sagt: jo mere følsom rollen er, jo højere er den barre, en udbyder skal klare.
Hvorfor amerikanske hyperscalere rammer et loft
De højere sikkerhedsniveauer rapporteres at se ud over placeringen af datacentret og ind i, hvem der ejer udbyderen, hvem der kontrollerer dens drift, og om tjenesten kan afskærmes fra ikke-EU-ret. Netop den sidste test er, hvor de store amerikanske udbydere støder ind i en strukturel grænse. Under den amerikanske CLOUD Act kan et selskab med hovedsæde i USA tvinges til at udlevere data, det kontrollerer, uanset hvor i verden de data fysisk befinder sig. En europæisk dataregion fjerner ikke den rækkevidde.
Dette er ikke en påstand om, at AWS, Microsoft eller Google er usikre, eller at de fleste arbejdsbyrder er berørt. For langt hovedparten af forretningsdata forbliver de stærke, gængse valg. Pointen er snævrere, og den handler om toppen af skalaen. For de mest følsomme kategorier, udkastet retter sig mod, kan en amerikansk-kontrolleret udbyder ikke fuldt ud garantere retlig isolering, fordi en udenlandsk retsorden stadig kan gøre krav gældende over dataene. Det er et spørgsmål om jurisdiktion, ikke om teknik, og derfor er de præcise kriterier for hvert niveau i udkastets bilag værd at holde øje med, mens teksten forhandles.
Gør afhængighed til et indkøbstjek
I årevis blev skysuverænitet behandlet som en abstrakt afhængighedsrisiko, let at notere og let at udskyde. CADA omformulerer det til noget konkret: en port på underskriftstidspunktet. Hvis en kontrakt berører regulerede eller reelt følsomme data, bliver den jurisdiktion, din udbyder svarer til, et vilkår i aftalen, ikke en fodnote. Det skift belønner de købere, der stiller spørgsmålet tidligt, og straffer dem, der opdager det under en revision eller en fornyelse.
Det afmålte svar er en jurisdiktionsrisikovurdering, før du underskriver eller fornyer. Kortlæg hvilke af dine data der ville falde i de følsomme kategorier, udkastet beskriver, identificer hvem der i sidste ende ejer og kontrollerer hver udbyder, og tjek hvad dine kontrakter siger om udenlandsk retlig adgang, dataplacering og exit. Hvor risikoen er reel, kan du beholde de daglige arbejdsbyrder, hvor de er, og kun sende det følsomme niveau til en udbyder, der kan opfylde et højere sikkerhedsniveau. Intet af dette er juridisk rådgivning, og teksten kan ændre sig, men selve vurderingen koster lidt og placerer dig godt, uanset hvordan den endelige lov lander.
Læs videre: Ti grupper byggede en gratis chatbot på syv uger | EU's cloudlov rangordner udbydere fra 1 til 4
