Hur länge höll Sverige emot – och varför valde man till slut en annan väg?

Från ideologisk strid till pragmatiskt beslut

Det har länge funnits en nästan symbolisk laddning i frågan om amerikanska molntjänster i svensk offentlig sektor. Juridisk osäkerhet kring GDPR och den amerikanska CLOUD Act, oro för statlig övervakning, och en genuin vilja att värna digital självständighet har under flera år skapat en debatt som ibland känt mer som en principfråga än en teknisk avvägning.

Men under en enda vecka i maj förändrades spelplanen dramatiskt, enligt Computer Sweden.

Försäkringskassan – som länge profilerat sig som en av de mest principfasta motståndarna till amerikanska molntjänster och till och med byggt egna alternativ – meddelade att myndigheten planerar att börja använda Microsofts kommunikationsverktyg Teams. Skälen är inte ideologiska. De är tekniska och praktiska: det befintliga systemet har nått slutet av sin tekniska livslängd, och det finns i dag helt enkelt inga fullgoda svenska eller europeiska alternativ för bredare videokommunikation.

Som Försäkringskassan själva formulerar det: "Vill man ha en modern kommunikationslösning med stor spridning är det amerikanska leverantörer man får använda sig av. Det gäller för alla aktörer."

Den egenutvecklade plattformen SAFOS behålls för känsliga ärenden, vilket visar att myndigheten inte har gett upp tanken på kontroll – man har bara gjort en mer nyanserad bedömning av var den kontrollen faktiskt behövs.

Regeringens policy: tydlig riktning, inget förbud

Dagen efter Försäkringskassans besked presenterade regeringen sin länge utlovade molnpolicy. Den innehåller inget förbud mot amerikanska tjänster, men tonen är skarpare än vad många väntat. Myndigheter uppmanas att i första hand välja svenska eller europeiska leverantörer för att värna den digitala självständigheten.

Det är en intressant balansgång. Regeringen vill inte stänga dörren för de stora amerikanska plattformarna – det vore praktiskt taget omöjligt utan att acceptera betydande produktivitetskostnader – men man vill heller inte ge ett blankt frikort. Signalen är tydlig: europeiska alternativ ska aktivt sökas och värderas, inte väljas bort av bekvämlighet.

Från ett systemutvecklingsperspektiv är det här faktiskt en rimlig position. Tekniklandskapet är inte svart eller vitt. Det handlar om att förstå vilka data som hanteras, i vilket sammanhang, och vilka krav på suveränitet och regelefterlevnad som är relevanta för just den användningen.

Vad tog så lång tid?

Det är värt att stanna upp vid frågan: varför har den här debatten dragit ut på tiden i så många år?

En del av svaret handlar om att CLOUD Act skapade ett genuint juridiskt vakuum. Lagen ger amerikanska myndigheter möjlighet att begära ut data lagrad av amerikanska företag – även utomlands – och det kolliderade med europeisk dataskyddsreglering på ett sätt som länge var olöst. EU:s nya dataskyddsramverk med USA, som trädde i kraft 2023, har inte löst alla spänningar, men det har gjort rättsläget tillräckligt tydligt för att myndighetsbeslut ska kunna fattas.

En annan del handlar om att de europeiska alternativen, trots år av ambitioner och EU-finansiering, helt enkelt inte har lyckats matcha de amerikanska jättarna på funktionalitet, skalbarhet och ekosystemdjup. Det är en obehaglig sanning för den som vill se en stark europeisk tekniksektor – men det är ändå sanningen.

Inte ett nederlag – en nystart

Jag vill vara försiktig med att läsa det här som ett kapitulationsbeslut. Det handlar snarare om att svensk offentlig sektor nu kan sluta upp med att låtsas att problemet inte finns, och börja arbeta strukturerat med de verkliga riskerna.

Det innebär att kartlägga vilka data som faktiskt är känsliga nog att kräva inhemsk eller europeisk infrastruktur, att ställa hårda krav på transparens och avtalsmässig kontroll gentemot de stora leverantörerna, och att fortsätta investera i europeisk teknikkapacitet – inte för att det fungerar i dag, utan för att det behöver fungera imorgon.

Försäkringskassans beslut är pragmatiskt. Regeringens policy är balanserad. Och debatten kan nu förhoppningsvis mogna från principiell låsning till faktabaserad riskhantering.