EU-kommisjonen har lagt fram en ny forordning som skal avgjøre hvem som får levere skytjenester til offentlig sektor i Europa. Cloud and AI Development Act (CADA) innfører fire “unionsnivåer” for skysuverenitet, og forslaget er nå til forhandling i Rådet og Europaparlamentet. For norske virksomheter, som følger EU-regelverk gjennom EØS-avtalen, betyr det en ny målestokk for hvilken sky offentlige etater og kritiske virksomheter faktisk får lov til å bruke.
Forslaget er en del av en bredere “teknologisuverenitetspakke” fra Brussel, og kommer bare halvannet år etter at EUs KI-forordning trådte i kraft for skytjenester. Der KI-forordningen handlet om risikostyring for kunstig intelligens, går CADA rett på infrastrukturen selve KI-en kjører på: hvem som eier datasenteret, hvor dataene ligger, og hvem som kan tvinge fram tilgang til dem.
Hva er Cloud and AI Development Act?
CADA er EU-kommisjonens forslag til en skysuverenitetsramme forankret i artikkel 16 i forordningsteksten. Rammen definerer fire assurance-nivåer som offentlige etater i EU/EØS skal bruke til å klassifisere hvilke skytjenester de har lov til å kjøpe inn, avhengig av hvor risikofylt eller samfunnskritisk aktiviteten er. EU-kommisjonens egen beskrivelse er klar på formålet: “The Cloud and AI Development Act will strengthen Europe’s sovereignty and competitiveness in the cloud and AI ecosystem”, skriver Kommisjonen på sin digitale strategi-side.
I praksis snur forslaget om på hvordan offentlig sektor har kjøpt skytjenester de siste ti årene. Fram til nå har innkjøp i stor grad handlet om pris, funksjonalitet og sikkerhetssertifiseringer som ISO 27001 eller SOC 2. CADA legger til et fjerde kriterium som overstyrer de andre for sensitive formål: hvem som i siste instans kontrollerer leverandøren, uavhengig av hvor gode tjenestene ellers er.
Kommisjonspresident Ursula von der Leyen har formulert begrunnelsen slik i pressemeldingen som lanserte pakken: “We cannot afford to depend on others for the technologies that keep our hospitals running, our energy grids stable and our services secure”, heter det i Kommisjonens pressemelding om teknologisuverenitetspakken. Hun har også pekt på at målet ikke er isolasjon, men kontroll: “Together, we must turn these strengths into technological sovereignty.”
De fire skysuverenitetsnivåene i detalj
Kjernen i forslaget er nivåinndelingen som avgjør hvilken sky en offentlig etat kan bruke til hvilket formål. Nivåene bygger på hverandre, og jo høyere nivå, desto strengere krav til hvor leverandøren er etablert, eid og styrt. EU-kommisjonens egen policyside oppsummerer det slik: “The Cloud and AI Development Act defines cloud and AI sovereignty comprising four assurance levels, to be used by public sector bodies based on their risk assessments.”
| Nivå | Hovedkrav | Typisk bruksområde |
|---|---|---|
| Nivå 1 | Data behandles og lagres i infrastruktur lokalisert i Unionen | Generell offentlig forvaltning uten spesiell risikoklassifisering |
| Nivå 2 | Leverandøren må dokumentere uavhengighet fra tredjelandskontroll og åpenhet om programvarens forsyningskjede | Helsevesen, kommunal infrastruktur, offentlige registre |
| Nivå 3 | Leverandøren må være eid og styrt fra EU, med krav til statsborgerskap for nøkkelpersonell | Kritisk infrastruktur, energisektor, sensitive forvaltningsdata |
| Nivå 4 | Full åpenhet og kontroll over programvarens forsyningskjede, ingen innblanding fra tredjeland | Forsvar, nasjonal sikkerhet, politi og rettsvesen |
Forslaget krever at leverandører gjennomgår en godkjenningsprosess hos nasjonale kompetente myndigheter før tjenestene kan innkjøpes på et gitt nivå. Nivå 1 kan i utgangspunktet dokumenteres gjennom egenerklæring, mens nivå 2 til 4 krever uavhengig tredjepartsrevisjon. For de mest samfunnskritiske aktivitetene, det regelverket kaller aktiviteter med “public order relevance”, er nivå 1 ikke lenger godt nok. En analyse fra den danske arbeidsgiverorganisasjonen Dansk Industri, publisert i august 2026, oppsummerer kravet presist: kontraktsmyndigheter skal bare kunne kjøpe inn skytjenester godkjent på unionsnivå 2, 3 eller 4 til denne typen aktivitet.
Hvorfor nivå 3 og 4 er vanskelige for amerikanske hyperscalere
Kravet om eierskap og styring fra EU på nivå 3, og full kontroll over programvarens forsyningskjede uten tredjelandsinnblanding på nivå 4, er skrevet slik at det strukturelt favoriserer EU-baserte eller nordisk-eide leverandører. AWS, Microsoft Azure og Google Cloud driver alle datasentre i EU og har egne “sovereign cloud”-initiativer, men konsernene er fortsatt amerikanske i siste instans. Så lenge amerikansk lovgivning som CLOUD Act gir amerikanske myndigheter juridisk grunnlag for å kreve utlevering av data fra amerikanske selskaper, uansett hvor serverne fysisk står, er det vanskelig å se hvordan disse selskapene skal dokumentere den typen uavhengighet nivå 3 og 4 krever uten en betydelig selskapsrettslig omstrukturering av den europeiske virksomheten.
Historisk kontekst: fra GDPR til CADA
CADA er ikke EUs første forsøk på å regulere hvor europeiske data havner. Personvernforordningen GDPR fra 2018 satte rammer for dataoverføring til tredjeland, men handlet om personvern, ikke om hvem som eier infrastrukturen. Schrems II-dommen fra EU-domstolen i 2020 slo fast at overføringsmekanismen Privacy Shield mellom EU og USA ikke ga tilstrekkelig beskyttelse, og tvang tusenvis av selskaper til å revurdere skyavtaler med amerikanske leverandører. Data Act, som ble innført i 2024, ga kunder rett til å bytte skyleverandør uten urimelige gebyrer. EUs KI-forordning fulgte med krav til risikostyring for AI-systemer.
Det som skiller CADA fra disse tidligere tiltakene er at forslaget for første gang kobler innkjøpsrett direkte til eierskapsstruktur. Tidligere regelverk stilte krav til hvordan data skulle behandles. CADA stiller krav til hvem som lovlig kan eie og styre selskapet som behandler dem.
| År | Regelverk | Hovedfokus |
|---|---|---|
| 2018 | GDPR | Personvern og databeskyttelse ved overføring til tredjeland |
| 2020 | Schrems II-dommen | Underkjente Privacy Shield som overføringsgrunnlag EU-USA |
| 2024 | Data Act | Rett til leverandørbytte og portabilitet av skydata |
| 2024–2025 | EU AI Act | Risikoklassifisering og krav til KI-systemer |
| 2026 | Cloud and AI Development Act | Eierskaps- og kontrollbaserte suverenitetsnivåer for skyinnkjøp |
Datasenter-akselerasjonssoner: raskere byggetillatelser
Et element i forslaget som har fått mindre oppmerksomhet enn nivåinndelingen, er kravet om at hvert medlemsland skal utpeke minst én “datasenter-akselerasjonssone”. I disse sonene skal nasjonale, regionale og lokale myndigheter forenkle tillatelses- og godkjenningsprosessene for nye datasentre. Tanken er at Europa bygger for sakte til å holde tritt med etterspørselen etter KI-kapasitet, og at byråkratiske flaskehalser i praksis undergraver målet om digital suverenitet like mye som avhengighet av utenlandske skyleverandører gjør.
For Norge, Sverige, Danmark og Finland er dette relevant fordi de nordiske landene allerede konkurrerer om å tiltrekke seg datasenterinvesteringer basert på kaldt klima, stabil kraftforsyning og relativt lave strømpriser sammenlignet med Sentral-Europa. Dersom akselerasjonssonene faktisk kutter behandlingstid for byggetillatelser og nettilknytning, styrker det den nordiske posisjonen ytterligere. Men forslaget pålegger foreløpig bare at sonene opprettes, ikke hvor raskt saksbehandlingen skal skje, så den konkrete effekten avhenger av hvordan hvert land velger å implementere kravet.
Norges posisjon: EØS uten stemmerett
Norge er ikke EU-medlem, men gjennom EØS-avtalen implementerer landet løpende EU-regelverk på det digitale området, slik man har gjort med GDPR og NIS2. Det gir norske myndigheter og virksomheter forpliktelser på linje med EU-land, men uten stemmerett i forhandlingene som former regelverket. For CADA betyr det at norske etater trolig må forholde seg til de samme fire assurance-nivåene som resten av unionen, samtidig som beslutningene om hvordan nivåene konkret defineres og håndheves, tas i Brussel.
Dette er ikke ukjent terreng for norsk forvaltning. Digitaliseringsdirektoratet og Nasjonal sikkerhetsmyndighet har allerede erfaring med å tilpasse norsk regelverk til EUs digitale suverenitetsagenda, og debatten om skysuverenitet har pågått i Norge lenge før CADA, drevet av spørsmål om hvor kommunale journalsystemer, pasientdata og kraftnettstyring bør driftes. Den henger også sammen med den pågående diskusjonen om skyrepatriering i Norden, der enkelte virksomheter har flyttet arbeidslaster tilbake fra utenlandske skyer av nettopp kontrollhensyn.
Bransjens reaksjoner
Den tyske IT-bransjeorganisasjonen Bitkom har levert et posisjonsnotat om forslaget som fanger opp en sentral spenning i debatten: suverenitet handler ikke om å stenge Europa av fra verden. “To be sovereign does not mean to be autarkic, but rather to possess top-level capabilities in key technological fields and services, while also being able to choose autonomously and confidently among capable and trustworthy partners,” skriver Bitkom i sitt posisjonsnotat om loven.
Notatet reflekterer en bekymring som deles av mange europeiske IT-selskaper: at et for strengt eierskapskrav kan gjøre det vanskeligere for europeiske virksomheter å bruke markedsledende KI-verktøy, samtidig som det tar år før europeiske alternativer når samme modenhet. Balansegangen mellom å bygge uavhengighet og å ikke kutte seg selv av fra beste tilgjengelige teknologi, er trolig det som vil prege forhandlingene i Rådet og Europaparlamentet fram mot en endelig tekst.
Forskningsmiljøer bygger alternativer
Parallelt med lovgivningsprosessen jobber europeiske forskningsmiljøer med tekniske løsninger som skal gjøre suverenitetskravene enklere å oppfylle i praksis. Fraunhofer-instituttet i Tyskland kunngjorde i august 2026 et samarbeid om å utvikle en åpen kildekode-blåkopi for en leverandørnøytral sky- og edge-infrastruktur i Europa, med mål om å sikre interoperabilitet mellom ulike leverandører. Initiativet er et forsøk på å løse et praktisk problem: dersom offentlige etater må bytte leverandør for å nå et høyere suverenitetsnivå, må dataene og applikasjonene faktisk kunne flyttes uten et kostbart og risikofylt migreringsprosjekt.
Et beslektet konsept som har fått vind i seilene i nordisk sammenheng er ideen om en “nordisk AI-føderasjon”: delt beregningskapasitet anskaffet og styrt i fellesskap av de fem nordiske landene, presentert som et regionalt svar på Brussels suverenitetsramme. Tanken er at ingen enkelt nordisk stat alene har markedsmakt eller kapitalvolum til å bygge konkurransedyktig sovereign-nivå infrastruktur, men at landene sammen kan komme nærmere den kritiske massen som kreves.
Konkurransesituasjonen: hyperscalere mot europeiske alternativer
CADA endrer ikke bare compliance-arbeid, det endrer konkurransedynamikken i det europeiske skymarkedet. Amerikanske hyperscalere har i flere år lansert egne “sovereign cloud”-produkter i Europa nettopp for å møte denne typen krav, med lokal drift, lokalt personell og kontraktsmessige garantier mot data-tilgang fra hjemlandet. Problemet forslaget skaper for dem, er at kontraktsmessige garantier ikke nødvendigvis er nok til å tilfredsstille et krav om faktisk eierskap og styringskontroll fra EU, slik nivå 3 og 4 legger opp til.
Europeiske og nordiske aktører som opererer med lokalt eierskap fra utgangspunktet, som OVHcloud i Frankrike, T-Systems og Deutsche Telekoms sovereign-satsing i Tyskland, og nordiske drifts- og hostingselskaper, står strukturelt bedre posisjonert til å nå de høyeste nivåene. Samtidig mangler mange av disse aktørene den globale skalaen, det brede tjenestetilbudet og den modne KI-infrastrukturen som hyperscalerne har bygget opp over et tiår. Det er nettopp dette gapet en analyse fra det amerikanske forskningsmiljøet ICLE (International Center for Law & Economics) peker på: forfatterne omtaler rammeverket i artikkel 16 som en “sovereignty stack” som tester grensene for hvor mye teknologisk selvforsyning Europa realistisk kan bygge uten å ofre konkurranseevne.
Nordiske virksomheter i skvis mellom modenhet og suverenitet
En rapport fra rådgivningsselskapet ISG, publisert sommeren 2026, beskriver hvordan nordiske virksomheter beveger seg fra ren migrering av arbeidslaster til det rapporten kaller “sovereign-by-design”-arkitekturer, altså skyløsninger som er bygget med suverenitetskrav som premiss fra dag én, ikke som et lappverk lagt til i etterkant. Det gjelder særlig virksomheter innen offentlig forvaltning, energi og finans, sektorer som allerede er vant til strenge krav fra NIS2 og sektorspesifikt regelverk.
Markedspåvirkning og økonomiske konsekvenser
Effekten av CADA på det bredere skymarkedet vil trolig merkes først i offentlige anbud, ikke i forbrukermarkedet. Offentlige etater i Norge og resten av Norden bruker allerede sky-rammeavtaler som ofte varer flere år, og et nytt suverenitetskrav kan i praksis tvinge fram reforhandling eller migrering før avtaleperioden er over dersom en tjeneste ikke lenger klarer å dokumentere riktig nivå. Det skaper en umiddelbar etterspørsel etter rådgivning, revisjon og migreringsarbeid, en type prosjekt IT-konsulentbransjen i Norden trolig kommer til å se mer av gjennom 2027, ettersom fristene i regelverket nærmer seg.
På lengre sikt kan kravene også påvirke hvor nye datasenterinvesteringer legges. Dersom nivå 3 og 4 favoriserer EU-eide og EU-styrte leverandører, gir det et konkurransefortrinn til selskaper som allerede har den eierstrukturen, og et incentiv for internasjonale aktører til å etablere reelt uavhengige europeiske datterselskaper heller enn rene filialer. Den datasenterrangeringen som er varslet som del av samme teknologipakke, med vurdering av energieffektivitet, vannforbruk og gjenbruk av spillvarme, skal etter planen vedtas i 2026 med de første merkingene ventet i 2027, og vil legge enda et lag med krav oppå suverenitetsnivåene for datasentre som ønsker offentlige kontrakter.
Kritikk og åpne spørsmål
Kritikken mot forslaget deler seg i hovedsak i to leire. Den ene bekymringen, som Bitkom-notatet representerer, handler om at strenge eierskapskrav kan gjøre europeisk offentlig sektor tregere til å ta i bruk ny teknologi, fordi de mest avanserte KI-tjenestene fortsatt kommer fra amerikanske og til dels kinesiske selskaper. Den andre bekymringen kommer fra motsatt hold: at nivåinndelingen har for mange smutthull, og at selskaper med amerikansk morselskap kan omgå kravene gjennom formelle europeiske datterselskaper uten at den reelle kontrollen faktisk flyttes.
Et tredje åpent spørsmål er håndhevingen. Forslaget legger opp til at nasjonale kompetente myndigheter skal godkjenne leverandører på nivå 2 til 4 gjennom uavhengig revisjon, men det er foreløpig uklart hvor mye kapasitet og kompetanse de enkelte lands tilsynsmyndigheter faktisk har til å gjennomføre denne typen revisjoner i stort omfang, særlig i mindre land som ikke allerede har et modent tilsynsapparat for skyleverandører.
Hva bør norske virksomheter gjøre nå
Selv om CADA fortsatt er under forhandling og ikke er endelig vedtatt, er det flere konkrete grep IT- og sikkerhetsansvarlige i norske virksomheter kan gjøre nå for å unngå å bli tatt på senga når regelverket trer i kraft.
- Kartlegg hvilke skytjenester virksomheten bruker til aktiviteter som kan regnes som samfunnskritiske, på samme måte som NIS2-kartleggingen mange allerede har gjennomført.
- Be eksisterende skyleverandører om en tidlig vurdering av hvilket assurance-nivå de forventer å kunne dokumentere, og innen hvilken tidsramme.
- Vurder dataportabilitet og eksportmuligheter i eksisterende avtaler, slik at et eventuelt leverandørbytte ikke blir et flerårig migreringsprosjekt under tidspress.
- Følg med på hvordan Digitaliseringsdirektoratet og Nasjonal sikkerhetsmyndighet velger å implementere kravene i norsk kontekst når forordningen nærmer seg endelig vedtak.
- Bygg arkitektur med suverenitet som designprinsipp for nye prosjekter, framfor å legge det til som et lappverk i etterkant, slik ISG-rapporten anbefaler for nordiske virksomheter.
Tidslinje: hva skjer videre
Forslaget er fortsatt til behandling i Rådet for Den europeiske union og Europaparlamentet, og teksten kan endres betydelig før endelig vedtak. Europaparlamentets lovgivningsoversikt viser at medlemslandene fortsatt diskuterer detaljene i artikkel 16 og det tilhørende vedlegg II, som fastsetter de konkrete kriteriene for hvert nivå. Historisk har lignende EU-forordninger på det digitale området, som Data Act og KI-forordningen, tatt mellom ett og to år fra kommisjonsforslag til ikrafttredelse, med ytterligere overgangsperioder før kravene håndheves fullt ut. Det gir norske og nordiske virksomheter et vindu, men ikke et uendelig et, til å forberede seg.
Fem prediksjoner for skysuverenitet i Norden
- Flere hyperscalere kommer til å restrukturere sine europeiske sovereign-cloud-enheter med tydeligere lokal eierstyring, for å posisjonere seg for nivå 2 og eventuelt nivå 3, framfor å stole på rene kontraktsgarantier.
- Nordiske og europeiske skyleverandører med lokalt eierskap vil vinne en økende andel av offentlige rammeavtaler innen forsvar, politi og kraftsektor, der nivå 3 og 4 blir avgjørende.
- Minst ett nordisk land kommer til å utpeke sin datasenter-akselerasjonssone i løpet av 2027, med Sverige eller Norge som sannsynlige kandidater gitt eksisterende datasenterinvesteringer.
- Etterspørselen etter uavhengig revisjon og suverenitetsdokumentasjon for skyleverandører vokser til et eget forretningsområde for revisjons- og rådgivningsselskaper i Norden gjennom 2027.
- Konseptet om en delt nordisk sky- eller AI-infrastruktur får mer politisk oppmerksomhet, drevet av at ingen enkelt nordisk land alene har kapital til å bygge konkurransedyktige nivå 4-løsninger.
Ofte stilte spørsmål
Hva er Cloud and AI Development Act?
Det er et forslag til EU-forordning som innfører fire assurance-nivåer for skytjenester brukt av offentlig sektor. Nivåene stiller stadig strengere krav til hvor leverandøren er etablert, eid og styrt, og er en del av EUs bredere teknologisuverenitetspakke.
Gjelder forordningen for Norge?
Norge er ikke EU-medlem, men implementerer normalt digitalt EU-regelverk gjennom EØS-avtalen, slik landet har gjort med GDPR og NIS2. Det er derfor sannsynlig at norske offentlige etater vil måtte forholde seg til de samme kravene som EU-land, uten å ha hatt stemmerett i forhandlingene.
Hva er forskjellen på de fire assurance-nivåene?
Nivå 1 krever at data behandles i EU. Nivå 2 legger til krav om uavhengighet fra tredjelandskontroll og åpenhet om forsyningskjeden. Nivå 3 krever EU-eierskap og -styring, inkludert statsborgerskapskrav for nøkkelpersonell. Nivå 4 krever full kontroll over forsyningskjeden uten noen tredjelandsinnblanding, og er ment for forsvar og nasjonal sikkerhet.
Kan AWS, Microsoft og Google oppfylle de høyeste nivåene?
Det er usikkert. Så lenge morselskapene er amerikanske og underlagt amerikansk lovgivning som gir amerikanske myndigheter tilgang til data uavhengig av hvor serverne står, blir det krevende å dokumentere den typen uavhengig eierskap og styring som nivå 3 og 4 krever, uten en vesentlig restrukturering av den europeiske virksomheten.
Når trer regelverket i kraft?
Forslaget er fortsatt til forhandling i Rådet og Europaparlamentet, og en endelig tekst er ikke vedtatt. Basert på tidligere digitale EU-forordninger kan det ta ett til to år fra forslag til ikrafttredelse, med overgangsperioder før kravene håndheves fullt ut.
Hva er en datasenter-akselerasjonssone?
Det er et geografisk område hvert medlemsland skal utpeke, der myndighetene forplikter seg til å forenkle og framskynde tillatelses- og godkjenningsprosessene for nye datasentre, som et virkemiddel for å øke Europas KI-kapasitet raskere.
Hvordan bør virksomheter forberede seg allerede nå?
Kartlegg hvilke arbeidslaster som kan regnes som samfunnskritiske, be leverandører om en tidlig vurdering av hvilket nivå de kan nå, og sørg for at data og applikasjoner faktisk kan flyttes uten et flerårig migreringsprosjekt dersom det blir nødvendig å bytte leverandør.
Hvordan skiller CADA seg fra GDPR og EU AI Act?
GDPR regulerer hvordan personopplysninger behandles og overføres. EU AI Act regulerer risikostyring for kunstig intelligens-systemer. CADA går et skritt videre og kobler retten til å levere skytjenester til offentlig sektor direkte til hvem som eier og styrer leverandørselskapet, ikke bare hvordan dataene behandles.
