Får du skicka källkod till amerikanska AI-tjänster? Ja — men i standardläget lämnar den Europa

EU-US Data Privacy Framework höll i första rättsprövningen och är nu överklagat. Samtidigt är GitHubs EU-gräns avstängd som standard och kostar 10 procent mer, och OpenAI skriver själva att prompt-cachen kan lagras utanför din valda region.

Frågan dyker upp i varje europeiskt utvecklingsteam förr eller senare — oftast veckan då någon rullar ut en AI-assistent i IDE:n. Juridiskt är svaret ja. I praktiken betyder det att din kod behandlas i USA just nu, om ingen aktivt har ändrat en inställning. Och även när du har ändrat den beskriver leverantörernas egen dokumentation vägar där den ändå kan lämna Europa.

Det här är den fråga vi får oftast, och den besvaras nästan alltid slarvigt: antingen "GDPR förbjuder det" (fel) eller "det är lugnt, de är DPF-certifierade" (ofullständigt). Båda hoppar över det som faktiskt avgör saken.

Juridiskt är svaret ja — på en grund som har rasat två gånger

Överföring av personuppgifter från EU till USA är tillåten enligt kommissionens beslut om adekvat skyddsnivå från 2023, EU-US Data Privacy Framework, förutsatt att mottagaren är DPF-certifierad.

Beslutet överklagades, och den 3 september 2025 ogillade tribunalen talan i Latombe mot kommissionen (T-553/23). Värt att notera: tribunalen valde att pröva sakfrågan i stället för att avvisa målet på formella grunder. Den fann att Data Protection Review Court är tillräckligt oberoende och att de amerikanska begränsningarna av massinsamling är godtagbara. Domstolens eget pressmeddelande är källan att gå till.

Ramverket står alltså kvar. Med en reservation som är värd att prissätta: Latombe överklagade, och målet ligger nu hos EU-domstolen som mål C-703/25 P. Det var inte tribunalen som fällde Safe Harbour 2015 eller Privacy Shield 2020 — det var EU-domstolen, och den har genomgående varit betydligt mer skeptisk till amerikansk signalspaning och till hur verkningsfulla rättsmedlen egentligen är. Två föregångare har nu underkänts på i sak likartade grunder.

Slutsatsen är inte att du ska sluta överföra. Den är att en arkitektur vars laglighet hänger på att exakt det här beslutet överlever bär en risk som redan har inträffat två gånger på tio år.

GDPR är bara halva frågan

Det finns en vana att behandla "är det förenligt med GDPR?" som hela analysen. För källkod täcker den ungefär halva exponeringen.

Ditt repo innehåller nästan säkert personuppgifter. Namn och mejladresser i varje commit. Namn i kommentarer och TODO-rader. Kunduppgifter i testdata och seed-filer. Loggutdrag som någon committat för att felsöka. Enligt GDPR:s definition är det personuppgifter som överförs, oavsett hur du ser på repot som helhet.

Och det GDPR inte reglerar alls är oftast det som väger tyngst. Källkoden är en företagshemlighet: din arkitektur, dina osläppta funktioner, dina säkerhetsmekanismer och exakt var de är svaga. DPF handlar om personuppgifter. Det säger ingenting om huruvida din konkurrensposition eller din olagade attackyta bör ligga under ett tredjelands jurisdiktion. En överföring kan vara helt korrekt enligt GDPR och ändå vara ett dåligt beslut — vilket är den verkliga frågan för många team, som vi skrev i Därför lämnar din kod aldrig Europa.

Vad leverantörerna faktiskt erbjuder

Det här har blivit väsentligt bättre under 2026, och det förtjänar att sägas. Men det är i detaljerna teamen går bet.

GitHub Copilot lanserade dataresidens för USA och EU Data Boundary den 13 april 2026, för agentläge, inline-förslag, chatt, molnagenten, kodgranskning, PR-sammanfattningar och CLI:t. EU-gränsen omfattar EU plus EFTA — Island, Liechtenstein, Norge och Schweiz.

Tre detaljer ur den lanseringen förtjänar uppmärksamhet. Policyerna är, med GitHubs egna ord, "off by default" — en administratör måste aktivt slå på dem. Dataresidenta anrop kostar 10 procent mer på modellmultiplikatorn. Och Gemini-modellerna är helt uteslutna, eftersom "GCP does not currently offer data-resident inference endpoints". Ett team som standardiserat på Gemini har alltså ingen EU-resident väg alls genom Copilot.

OpenAI erbjuder regional behandling för Europa (EES + Schweiz), och deras dokumentation om datakontroller är ovanligt rak om kanterna. Zero Data Retention tvingar store till false på /v1/responses och /v1/chat/completions oavsett vad anropet begär — bra. Men ZDR gäller inte för Assistants API eller conversation-endpointerna, regioner utanför USA kräver godkännande plus "execution of a Modified Retention amendment", och — meningen som är värd att läsa två gånger — "extended prompt caching may require temporary storage outside selected regions."

Den sista meningen är den viktigaste i hela texten. Du kan konfigurera europeisk dataresidens korrekt, klara din revision, och ändå få prompt-innehåll cachat utanför din region som ett dokumenterat beteende i plattformen. Inte ett intrång. Inte en felkonfiguration. Produkten som fungerar precis som den är specificerad.

Tre sätt det går fel

Standardlägena. Residens är opt-in överallt. Ingen flyttas till EU-gränsen automatiskt, och prispåslaget innebär att någon aktivt måste ha accepterat en högre kostnad. Har du inte kontrollerat — utgå från att det är avstängt.

Luckor i omfattningen. Residensen täcker inferens-endpointen, inte nödvändigtvis allt runt omkring: cachen, loggarna för missbruksövervakning, vissa endpoints, vissa modeller. Gränsen dras per funktion, inte per konto.

Överklagandet. C-703/25 P är svansrisken. Sannolikt faller det ut till ramverkets fördel. Det har också gått åt andra hållet två gånger, och när det gör det mäts åtgärdstiden i veckor.

Vad du faktiskt bör göra

1. Kontrollera vad som är påslaget. I Copilot är det en policy på organisations- eller enterprise-nivå som är av tills någon slår på den. Anta ingenting, och nöj dig inte med en säljares ord — titta på inställningen.
2. Läs underbiträdesförteckningen, inte marknadssidan. När en leverantör säger "EU-dataresidens": ta reda på vilka regioner och vilka funktioner. Leta sedan upp undantagen.
3. Behandla prompt-cachning som en överföring. Dokumentationen beskriver den som en. Ta med den i registerförteckningen.
4. Håll isär de två frågorna. GDPR-efterlevnad och exponering av företagshemligheter är olika analyser med olika svar. Gör båda.
5. Fråga vad som går sönder om överklagandet vinner. Om svaret är "vi skulle behöva migrera varje AI-verktyg i utvecklingskedjan under tidspress" är det bra att veta innan det händer.

Var det landar

Inget av det här gör amerikanska AI-tjänster oanvändbara. Residensalternativen som kom 2026 är genuint bättre än vad som fanns för ett år sedan, och ett team som slår på dem, läser undantagen och dokumenterar cachningen står på rimlig grund.

Men det är värt att vara ärlig om formen: du konfigurerar dig fram till efterlevnad, på en rättslig grund som är överklagad, med undantag per funktion som du måste bevaka i takt med att produkterna ändras. Det är en verklig, löpande driftskostnad — och en annan sorts kostnad än pris per plats och per token, eftersom den aldrig syns på en faktura.

Alternativet är inte att avstå från AI-verktyg. Det är att köra modellerna där jurisdiktionsfrågan aldrig uppstår — vilket, som forskningen efter Mythos visade, numera fungerar på modeller små nog att köra på egen hårdvara. Det är hela tanken bakom Codelight, och skälet till att vårt svar på den här frågan är att vi aldrig behövde ställa den.

Kontrollerat mot primärkällor den 25 juli 2026: tribunalens dom och pressmeddelande, GitHubs changelog och OpenAI:s dokumentation om datakontroller. Leverantörernas villkor ändras ofta — läs aktuellt personuppgiftsbiträdesavtal och underbiträdesförteckning innan du förlitar dig på något av ovanstående. Detta är inte juridisk rådgivning.

Ämnen: #gdpr #data-sovereignty #ai