Det pratas ofta om att vi befinner oss i en guldfeber för AI. Svenska företag investerar miljarder i infrastruktur, köper upp GPU-kapacitet och tävlar om att rulla ut modeller. Men i takt med att marknaden mognar har en obekväm sanning börjat krypa fram: Att ha data lagrad i Sverige räcker inte längre om någon annan äger nycklarna.
Den 2 augusti 2026 blir en vattendelare. Det är då de flesta reglerna i EU AI Act börjar gälla fullt ut. För oss på Aixia är det tydligt att skillnaden mellan att bara ha sin data ”förvarad” och att ha ”suveränitet” över den kommer att avgöra vilka bolag som faktiskt får behålla sina AI-system i drift.
Varför ”Data Residency” är en falsk trygghet
Många invaggas i en trygghet av att molnjätten har ett datacenter i Gävle eller Staffanstorp. Men det är stor skillnad på residency (var datan fysiskt ligger) och sovereignty (vem som har den faktiska makten över den).
Residency: Datan ligger på en hårddisk i Sverige, men mjukvaran och krypteringsnycklarna kontrolleras av en aktör som lyder under utländsk lagstiftning.
Sovereignty: Du äger hela kedjan. Du kontrollerar infrastrukturen, du äger krypteringsnycklarna och ingen utomstående makt kan tvinga fram åtkomst till din data utanför svensk domstol.
De dolda hoten: CLOUD Act och Sub-processorer
Det som ofta missas i diskussionen är den juridiska räckvidden. Även om datan ligger i Sverige, innebär amerikanska CLOUD Act att amerikanska myndigheter kan begära ut data från amerikanska bolag, oavsett var i världen servern står.
Om din AI-leverantör använder underleverantörer (sub-processorer) för att drifta sina modeller, skapas en kedja där kontrollen snabbt späds ut. För oss på Aixia handlar suveränitet om att kapa de kedjorna och ge dig en miljö där ”nej” faktiskt betyder ”nej” vid en extern förfrågan om insyn.
Nedräkningen till 2 augusti 2026
EU AI Act handlar inte bara om etik, det handlar om dokumenterad kontroll. Från och med augusti 2026 ställs det extremt höga krav på särskilt högrisk-system:
• Full spårbarhet: Du måste kunna redovisa exakt hur data har hanterats genom hela livscykeln.
• Riskhantering: Om din data hanteras av en aktör som kan tvingas lämna ut den till tredjeland, kan det i sig klassas som en regulatorisk risk som stoppar hela projektet.
• Dokumentationsplikt: Det räcker inte med ett påstående om säkerhet; du behöver teknisk bevisbörd som visar att du har reell kontroll över infrastrukturen.
Aixias väg: Suveränitet på riktigt
Vi har byggt vårt erbjudande på att ta bort gissningsleken. För att nå äkta suveränitet krävs en annan approach än den traditionella molnresan:
Svenska GPU-kluster: Vi driftar kraftfull infrastruktur i svenska datacenter där vi äger och kontrollerar hårdvaran.
Key Ownership: Vi ser till att det är du som kontrollerar krypteringen och accessen. Inga bakdörrar, inga delade nycklar med molnleverantörer.
Hybrid som strategi: Använd publika moln för det de är bra på – som tillfällig testkapacitet – men håll din affärskritiska AI-kärna i en suverän miljö.
Takeaway
Jag brukar säga så här till våra kunder: ”Om du inte kan peka på en fysisk server och säga ’den där maskinen kör våra modeller’, då har du inte suveränitet. Då har du bara hyrt en förvaringsbox där hyresvärden har huvudnyckeln.”
Den 2 augusti 2026 höjs ribban för gott. Det är dags att se över om er AI-satsning är byggd på suverän mark eller på lånad tid.
