Digital suveränitet är en fråga om kontroll – inte om att välja sida

Digital suveränitet handlar inte om värderingar, utan om beredskap. Det avgörande är vad som händer när förutsättningarna förändras. Vad händer måndag morgon om regelverk skärps, tillgång begränsas eller geopolitisk press påverkar infrastrukturen? Har organisationen kontroll över sin data och sina system eller uppstår ett avbrott? Det är där diskussionen borde börja.

Kontroll och beredskap, inte leverantörsval

För svenska företag, myndigheter och ledningsgrupper handlar suveränitet i grunden inte om vilket namn som står på leverantören. Det handlar om kontroll: över data, åtkomst, nycklar, drift och incidenthantering och om beredskap att agera när spelreglerna förändras. Suveränitet är därför inte i första hand ett leverantörsval. Det är en fråga om arkitektur, styrning och riskhantering.

Från regelverk till ansvar och prioriteringar

Just där går den svenska debatten ofta fel. Regelverk behandlas alltför ofta som ett skäl att vänta, snarare än som en kravbild för bättre beslut. Men juridisk komplexitet minskar inte ansvaret, den ökar kraven på det. Tvärtom borde den driva fram tydligare prioriteringar: vilka data är mest känsliga, vilka arbetslaster kräver särskild kontroll, vilka beroenden är acceptabla och vilka måste kunna ersättas?

Att tala om digital suveränitet utan att tala om dessa frågor blir lätt symbolpolitik utan verklig kontroll eller beredskap. Verklig kontroll uppstår inte genom formuleringar i upphandlingar eller allmänna krav på “europeisk kontroll”. Den byggs genom medvetna val kring nyckelhantering, loggning, åtkomststyrning, revision, redundans, exitstrategier och ansvarsfördelning. Det är där handlingsfriheten avgörs när riskläget förändras.

Styrning möjliggör AI, otydlighet bromsar

Det gäller inte minst AI. I dag beskriver många organisationer generativ AI som något de inte kan använda, av juridiska eller säkerhetsmässiga skäl. I vissa fall är det en korrekt bedömning. I andra fall är det ett tecken på att man ännu inte gjort det mer krävande arbetet: att skilja mellan olika typer av data, användningsfall och nivåer av kontroll. Den avgörande frågan är sällan om AI i molnet i allmänhet är rätt eller fel. Frågan är vilken risk som uppstår i en specifik tillämpning och vilka skyddsåtgärder som krävs för att hantera den.

Att styrning och hög användning inte är varandras motpoler visar inte minst den nordiska erfarenheten. Solitas rapport How AI is transforming Nordic work life 2026, baserad på en Sifo-undersökning bland över 3 000 kontorsarbetare i Sverige, Finland och Danmark, visar att Danmark kombinerar Nordens högsta regelefterlevnad med den högsta AI-användningen. Det visar att tydlig styrning möjliggör, snarare än bromsar, användning. Sverige, där 14 procent av arbetsplatserna fortfarande saknar AI-riktlinjer, har en längre väg att gå. Regelverk bromsar inte utveckling, otydlighet gör det.

Dessutom är digital suveränitet större än juridisk jurisdiktion. Den handlar också om motståndskraft: förmågan att upptäcka intrång, hantera störningar, återställa verksamhet och att ha beredskap för när något går fel. Regelverk som Cloud Act och Schrems II visar detta tydligt, de ställer krav som inte löses med juridik utan kräver tydliga arkitekturval och kontrollmekanismer.

Det är därför frågan inte kan lämnas åt enbart jurister, upphandlare eller it-avdelningar. Den hör hemma i ledningsgrupper och styrelser. Det är där avvägningen måste göras mellan risk, innovationsförmåga, säkerhet och konkurrenskraft.

Sverige har goda förutsättningar

För vissa arbetslaster kommer europeiska lösningar att vara det bästa valet. För andra är globala molnplattformar mest ändamålsenliga. Ofta är det mest robusta svaret en kombination. Det avgörande är inte att välja ideologiskt, utan att välja medvetet.

Sverige har goda förutsättningar att vara ledande i nästa fas av AI- och molnomställningen. Men då måste vi lämna föreställningen att ansvarstagande främst handlar om att bromsa. I en tid av snabb teknikutveckling, hårdare säkerhetskrav och växande geopolitisk osäkerhet är passivitet också ett riskval.

Digital suveränitet är inte något man köper. Det är något man bygger genom styrning, kompetens, arkitektur och beredskap.

Rebecca Hammel
SVP, Cloud Development, Solita Sverige