Vad utkastet faktiskt föreslår
Den 3 juni 2026 antog Europeiska kommissionen ett förslag till Cloud and AI Development Act, känt som CADA. Det är ett förslag, inte en gällande lag. Det måste fortfarande gå igenom förhandlingar mellan Europaparlamentet och rådet, och dess ordalydelse kan ändras innan någon del av det blir bindande. Detta är alltså en signal om riktningen, inte en regel du måste följa i dag. Riktningen är dock tillräckligt tydlig för att planera utifrån.
Den del som betyder något för köpare är ett enda EU-omfattande ramverk som graderar moln- och AI-leverantörer i fyra unionsgemensamma säkerhetsnivåer. Den lägsta nivån är tänkt som golvet för att betjäna den offentliga sektorn, med snäva undantag. Högre nivåer gäller där en leverantör stödjer funktioner knutna till allmän ordning, efter en riskbedömning av medlemsstaterna och unionens organ, inom sektorer som energi, hälso- och sjukvård, transport, vatten, brottsbekämpning, gränsförvaltning, nationell säkerhet och försvar. Kort sagt: ju känsligare roll, desto högre ribba måste en leverantör klara.
Varför amerikanska hyperscalers når ett tak
De högre säkerhetsnivåerna uppges se bortom var datacentret ligger och in i vem som äger leverantören, vem som styr dess verksamhet och om tjänsten kan skärmas av från lagstiftning utanför EU. Det är i det sista testet som de stora amerikanska leverantörerna stöter på en strukturell gräns. Enligt den amerikanska CLOUD Act kan ett företag med huvudkontor i USA tvingas att lämna ut data som det kontrollerar, oavsett var i världen dessa data fysiskt finns. En europeisk dataregion tar inte bort den räckvidden.
Detta är inte ett påstående om att AWS, Microsoft eller Google skulle vara osäkra eller att de flesta arbetslaster berörs. För den stora majoriteten av företagsdata förblir de starka, etablerade val. Poängen är snävare och handlar om toppen av skalan. För de känsligaste kategorierna som utkastet riktar in sig på kan en amerikanskt kontrollerad leverantör inte fullt ut garantera rättslig avskärmning, eftersom en utländsk rättsordning ändå kan göra anspråk på data. Det är en fråga om jurisdiktion, inte teknik, och det är därför de exakta kriterierna per nivå i utkastets bilagor är värda att följa medan texten förhandlas.
Gör beroendet till en upphandlingskontroll
I åratal behandlades molnsuveränitet som en abstrakt beroenderisk, lätt att notera och lätt att skjuta upp. CADA formulerar om det till något konkret: en grind vid tidpunkten för undertecknandet. Om ett kontrakt rör reglerad eller genuint känslig data blir den jurisdiktion som din leverantör lyder under ett villkor i avtalet, inte en fotnot. Det skiftet belönar köpare som ställer frågan tidigt och straffar dem som upptäcker den under en revision eller en förnyelse.
Det avvägda svaret är en jurisdiktionsriskbedömning innan du undertecknar eller förnyar. Kartlägg vilka av dina data som skulle falla inom de känsliga kategorier som utkastet beskriver, fastställ vem som ytterst äger och kontrollerar varje leverantör, och kontrollera vad dina kontrakt säger om utländsk rättslig åtkomst, dataplacering och exit. Där risken är verklig kan du behålla vardagliga arbetslaster där de är och styra endast den känsliga nivån till en leverantör som kan uppfylla en högre säkerhetsnivå. Inget av detta är juridisk rådgivning, och texten kan ändras, men själva bedömningen kostar lite och placerar dig väl oavsett hur den slutliga lagen landar.
Läs vidare: Tio grupper byggde en gratis chatbot på sju veckor | EU:s molnlag rangordnar leverantörer 1 till 4
