Vilka träffas av EU:s förslag om utveckling av moln och AI

Frågan ställs oftast som en oro: kommer EU:s nya moln- och AI-regler att tvinga oss att flytta något. För de allra flesta privata organisationer som använder molntjänster eller AI-infrastruktur är svaret nej. Förslagets artikeltext innehåller ingen allmän, direkt skyldighet för användare. Det är det ärliga svaret och det hör hemma först.

Det är däremot inte hela bilden, och andra ledet är det som betyder något: gränsen går inte vid vem ni är utan vid vem ni säljer till.

Det är ett förslag, och det är inte den amerikanska CLOUD Act

Kommissionen antog den 3 juni 2026 ett förslag till förordning om utveckling av moln och AI, KOM(2026) 502. Ett förslag är inte en förordning. Texten är varken antagen eller i kraft, och den kommer att förhandlas.

Två saker skiljer det här från den fråga som oftast förväxlas med det. Den amerikanska CLOUD Act handlar om vad en leverantör kan tvingas lämna ut och följer leverantörens rådighet över uppgifterna; den frågan och dess kriterier står i vår analys om vem som avgör var uppgifterna får ligga. Det här förslaget handlar om något annat: vilka krav unionen själv ska ställa på molntjänster, och vem som ska tillämpa dem.

Den svenska processen är igång och den har ett datum. Finansdepartementet publicerade remissen den 10 juli 2026 under diarienummer Fi2026/01676, och där står att "Sista dag att svara på remissen är den 2 oktober 2026." Regeringens preliminära hållning är formulerad i faktapromemoria 2025/26:FPM99, upprättad den 8 juli 2026: "Regeringen är positiv till ambitionen att stärka EU:s kapacitet, konkurrenskraft och digitala suveränitet inom moln- och AI-området."

Samma promemoria säger också vad regeringen tänker driva. "Regeringen avser verka för att regler och processer utformas så att konsekvenserna är proportionerliga och inte medför större begränsningar eller kostnader än vad som är nödvändigt." Och en mening som avgör tonläget i hela den svenska hållningen, med den avvägning den själv bär: "Sverige ska ha rådighet över data och system och kunna agera självständigt och i linje med europeiska värderingar och intressen, samtidigt som fördelarna med globalt samarbete med internationella partners tillvaratas."

En anmärkning om underlaget hör hemma här. Någon svensk språkversion av förslaget har inte gått att läsa, och inte heller bestämmelsernas engelska lydelse i sin helhet: de publicerade versionerna bryts av inne i skälen, före de artiklar som avses här. Det som står inom citattecken nedan kommer därför ur kommissionens egen motivering till förslaget och ur bilaga II, båda på engelska. Bestämmelsernas innehåll i övrigt återges utan citattecken.

Vad som binder ett offentligt organ

Artikel 29 är den bestämmelse som faktiskt skapar en skyldighet, och adressaterna står utskrivna. Kommissionens motivering formulerar det så: "Article 29 sets out the obligations for Member States and Union entities to conduct risk assessments to determine the required level of conformity against the Union assurance levels 2-4 for different public sector activities." Fristen är ett år från ikraftträdandet, därefter vartannat år eller när det behövs.

Bedömningen ska identifiera vilken offentlig verksamhet som använder eller kommer att använda molntjänster inom angivna sektorer, och fastställa en lämplig suveränitetsnivå: 2, 3 eller 4. Enligt artikel 29.2 ska den minst beakta uppgifternas känslighet, kritikalitet och omfattning, samt risken för olaglig åtkomst från ett tredjeland eller en tredjelandsentitet och för tjänsteavbrott.

En riskbedömning som ska landa i en nivå är ett beslut om leverantörer, inte en beskrivning av läget.

Upphandlingsregeln följer av nivåerna, och den är byggd som ett golv med ett undantag och inte som två fack. Kommissionens motivering beskriver artikel 30 så: "Article 30 sets out obligations for contracting authorities that procure cloud computing services to procure, as a minimum requirement, Union assurance level 1. Where a risk assessment determines that the activities of such contracting authorities have public order relevance, they must only procure and use services that have been recognised as offering Union assurance levels 2, 3, or 4."

Nivå 1 är alltså ett golv för varje upphandlande myndighet som köper molntjänster, inte en nivå som tilldelas de mindre känsliga. Det är riskbedömningen som lyfter en verksamhet ur golvet, och då till 2, 3 eller 4.

Avgränsningen i artikel 29 är precis och lätt att skriva fel. Den omfattar medlemsstater och unionsorgan. Den omfattar inte privata aktörer som levererar offentliga tjänster. Bedömningsplikten når dem bara genom artikel 31, och bara enligt den villkorade ordning som beskrivs där. Upphandlingsregeln i artikel 30 är en annan sak: den följer av vem som upphandlar och inte av vem som levererar.

Två vägar in till en privat leverantör

Det här är den del som avgör om förslaget berör er, och den syns inte om man bara läser efter skyldigheter riktade mot sig själv.

Suveränitetsramverket ligger i artikel 16, och kommissionens motivering beskriver det så: "Article 16 sets out a Union cloud computing sovereignty framework consisting of four assurance levels and introduces the requirements established in Annex II to the Regulation for cloud computing services to be considered as providing Union assurance across level 1 to level 4." Kraven är alltså krav på leverantörer, och de aktualiseras när tjänsten ska levereras till unionsorgan och offentliga organ. Kraven per nivå står i bilaga II och de är kumulativa.

Nivå 1 kräver att leverantören är etablerad i unionen, att infrastruktur och tillgångar ligger där, och att kunddata stannar inom unionen om inte det offentliga organet uttryckligen begär något annat. Nivå 2 lägger till att också berörda underleverantörer ska vara etablerade i unionen, att personalen ska finnas där, att support ska initieras och utföras uteslutande inom unionen, och certifiering på minst nivån "substantial" när ett relevant system finns. Nivå 3 skärper på personalen: den ska bestå av unionsmedborgare, och varken leverantören eller berörda underleverantörer ska som huvudregel stå under tredjelandskontroll. Nivå 4 kräver certifiering på minst "high", att känsliga kunddata stannar inom unionen vid varje tidpunkt, och stänger den undantagsväg från tredjelandskontroll som nivå 3 lämnar öppen.

Två krav placeras ofta en nivå för högt. Kravet på att infrastrukturen ligger i unionen står redan på nivå 1, och kravet på säkerhetsklassning av personal när säkerhetsskyddsklassificerade uppgifter hanteras står ordagrant på både nivå 3 och nivå 4.

Nivå 3:s krav på unionsmedborgarskap för personalen är den enskilt mest konkreta konsekvensen i hela förslaget för ett bolag som säljer till svensk offentlig sektor.

Kravet kommer till er som ett upphandlingskrav hos kunden, men det stannar inte där. Den leverantör som vill bli erkänd på en nivå söker det själv enligt artikel 17, och kommissionens egen motivering beskriver ordningen så att leverantören ska lämna in en ansökan till den nationella behöriga myndigheten i etableringslandet. Artikel 23 bär därefter transparensskyldigheter för erkända leverantörer, som ska anmäla väsentliga förändringar som kan påverka erkännandet, och artikel 24 sätter sanktioner för leverantörers överträdelser av kapitlet. Efterfrågan kommer alltså genom avtalet, medan skyldigheten blir er egen så snart ni söker en nivå.

Det som inte står i förslaget

Två saker tillskrivs ofta texten och finns inte där.

Den första är en kapacitetssiffra. Kommissionens egen policysida för förslaget anger ambitionen "at least tripling the EU's data centre capacity within the next 5-7 years". Artikeltexten innehåller ingen sådan siffra. Artikel 15.1 ålägger kommissionen att identifiera och följa bland annat den beräkningskapacitet som finns i unionen, efterfrågan på datacenterkapacitet och storleken på kapacitetsgapet. Att kartlägga ett gap är något annat än att utlova att fylla det, och skillnaden mellan politisk ambition och föreslagen bestämmelse är den som avgör vad ett bolag kan planera på.

Den andra är en privat skyldighet. Kommissionens motivering beskriver artikel 31 så: "Article 31 allows for private sector entities within the meaning of the NIS2 Directive to conduct impact assessments with a similar purpose to the ones conducted by Union entities and public sector bodies." Verbet är allows, alltså tillåter och inte ålägger. Artikel 31.3 är dörren: en bindande skyldighet för icke-offentliga entiteter i sektorer med hög kritikalitet kan införas senare genom delegerad akt. Motiveringen nämner ingen sådan skyldighet, och den vore i vilket fall en möjlig framtida ordning och inte en gällande.

Även accelerationszonerna beskrivs oftare som mer tvingande än de är. Artikel 10.1 kräver att en medlemsstat pekar ut minst en zon inom sex månader, men skyldigheten är villkorad av att datacenterkapacitet byggs ut på territoriet.

Invändningen som väger

Det finns ett motsatt förhållande som talar för att göra ingenting alls, och det ska sägas rakt ut.

Förslaget är ett förslag. Det ska förhandlas mellan rådet och parlamentet, och det som till slut antas skiljer sig regelmässigt från det som lades fram. Artikel 48 sätter ikraftträdandet och tillämpningsdatumen, och båda är knutna till ett offentliggörande som inte har skett. Ingen av de klockorna har alltså börjat gå. En läsare kan därför med fog fråga varför något ska göras nu, och för den som varken är ett offentligt organ eller säljer till ett är svaret att ingenting behöver göras.

Det som förhandlas bort är nästan aldrig ramverkets struktur, utan var trösklarna hamnar.

Tre saker talar ändå emot att skjuta upp frågan för dem den berör. Remissen stänger den 2 oktober 2026, alltså innan den svenska ståndpunkten är låst, och det är det enda tillfälle då en enskild leverantör kan påverka utfallet i stället för att anpassa sig till det. Kravet på unionsmedborgarskap för personal på nivå 3 är av det slag som tar längre tid att ordna än en upphandlingscykel, eftersom det rör bemanning och underleverantörskedjor och inte konfiguration. Och regeringen driver enligt sin egen promemoria att kraven ska bli proportionerliga, vilket är ett argument som blir bättre av att en leverantör kan visa vad ett krav faktiskt kostar.

De två frågorna som avgör om det här är er fråga

Den första frågan är vem er kund är. Är ni ett offentligt organ binds ni av artikel 29 och ska landa i en nivå. Säljer ni till offentlig sektor blir bilaga II:s nivåkrav upphandlingskriterier hos er kund, och de når er genom avtalet. Söker ni sedan erkännande på en nivå binder förordningen er också direkt. Är ni privata i en NIS2-sektor binder ingenting er i dag, och artikel 31.3 är den enda dörren. Är ni ingetdera når förslagets skyldigheter er inte.

Den andra frågan är vilken nivå er kund skulle landa på, och den avgör hur stort arbetet blir. Skillnaden mellan nivå 2 och nivå 3 är inte gradvis. Nivå 2 handlar om var saker ligger och vem som äger dem, alltså om etablering, lokalisering och certifiering. Nivå 3 handlar om vilka som arbetar med dem. En leverantör kan flytta en driftsregion inom ett kvartal. Att ändra vem som har åtkomst till ett system, i hela underleverantörskedjan, är en annan sorts arbete.

Det finns en tredje fråga som inte handlar om förslaget utan om er egen lista: vet ni vilka av era system som körs hos vilken leverantör, och vilka underleverantörer de i sin tur använder. Utan den listan går ingen av de två första frågorna att besvara. Hur den byggs och vem som äger den efteråt står under AI governance och regelefterlevnad. Kalendern för AI-förordningen, som är ett annat och redan antaget regelverk, står på vår sida om AI-förordningen.