EU vill tredubbla datacenterkapaciteten och gradera molnens suveränitet. Så mycket rör förslaget ditt svenska hostingval.

EU-kommissionen lade den 3 juni 2026 fram lagförslaget Cloud and AI Development Act. Vi tittar här bara på molndelen, den som handlar om datacenterkapacitet och så kallad molnsuveränitet (kontroll över var data lagras och vem som styr infrastrukturen), inte AI-delarna av paketet. Detta är ett kommissionsförslag, inte en lag som gäller, och det saknar helt ett datum för ikraftträdande. Det ska nu granskas av Europaparlamentet och ministerrådet innan en trepartsförhandling kan enas om en slutlig text. Ingenting förändras för din webbplats i dag.

Vad förslaget faktiskt innehåller

Förslaget ingår i det som kommissionen kallar "European Technological Sovereignty Package" och har två huvuddelar som berör moln och datacenter. Den ena är ett graderingssystem för molnsuveränitet, tänkt som ett verktyg för offentlig sektors molnupphandling, inte som en konsumentetikett du kommer se på ett svenskt webbhotells prissida. Kommissionen delar in leverantörer i fyra nivåer, med sina egna uppskattningar av hur stor andel av dagens kontrakt som redan uppfyller respektive nivå.

• Nivå 1 (cirka 70 procent av kontrakten): data behandlas och lagras inom EU.
• Nivå 2 (cirka 20 procent): leverantören är oberoende från bolag i tredjeland och har en transparent mjukvaru-leveranskedja.
• Nivå 3 (under 10 procent): leverantören är ägd och kontrollerad från EU, med krav även på personalens medborgarskap.
• Nivå 4 (omkring 1 procent): full kontroll över hela leveranskedjan, utan någon inblandning från tredjeland.

Den andra delen handlar om att bygga bort en flaskhals. Kommissionen vill tredubbla EU:s datacenterkapacitet inom fem till sju år, genom snabbare tillståndsprocesser och bättre tillgång till energi, mark, vatten och finansiering för nya anläggningar.

Tredubblad kapacitet gynnar tyst svenska datacenter

Det är i den andra delen som det finns något som faktiskt berör Sverige, om än indirekt. Om EU ska tredubbla sin datacenterkapacitet måste kapaciteten byggas någonstans, och Sverige har länge marknadsfört sig som ett naturligt läge för det. Riklig vattenkraft, ett kallt klimat som sänker kylkostnaderna, och en redan etablerad datacenterbransch är argument som inte är nya, men som får ny relevans när EU själv skriver in kapacitetsmål i lagstiftning. Vi har tidigare kartlagt var i landet den svenska datacenterkapaciteten faktiskt finns i vår karta över svenska datacenter, och det är rimligt att anta att ett EU-tryck på utbyggnad förstärker den trenden snarare än att skapa en ny.

Knorren, "sovereign washing"

Branschorganisationer som CISPE (som representerar europeiska molnleverantörer) och bolag som Ionos har redan pekat på en svaghet i graderingssystemet. Eftersom nivå 1 och nivå 2, de nivåer som täcker uppemot 90 procent av upphandlingarna, i praktiken bara kräver att data behandlas inom EU och att leveranskedjan är transparent, kan även amerikanska hyperskalare med ett europeiskt dotterbolag och ett EU-baserat datacenter kvalificera sig. Kritiken, som alltså kommer från branschen och inte är vår egen slutsats, är att en framtida EU-suverän-etikett riskerar att betyda mindre än den låter för den som bara läser rubriken. Kärnan i invändningen är att ett bolag kan uppfylla de lägre suveränitetsnivåerna utan att vara särskilt oberoende av icke-europeiska ägarstrukturer.

Det säger något om hur försiktigt man bör tolka ordet "suverän" när det dyker upp i marknadsföring de kommande åren.

Vad betyder det här för dig som driver en vanlig webbplats?

Rakt svar, mestadels ingenting, i alla fall inte just nu. Förslaget riktar sig i första hand mot offentlig sektor och deras underleverantörer, alltså myndigheter, kommuner och de bolag som säljer molntjänster till dem. Föreningar och mindre företag som hanterar särskilt känslig data i en upphandlingssituation kan beröras indirekt, men den vanliga föreningssajten, den lilla e-handeln eller den privata bloggen påverkas inte av var vi står i lagstiftningsprocessen.

Den instinkt som redan är sund förblir sund. Att veta var din data fysiskt lagras, och att ett svenskt eller europeiskt värdskap ofta förenklar GDPR-efterlevnaden, är resonemang som gäller oavsett hur det här förslaget landar. Vi går igenom den frågan mer grundligt i vår text om serverplacering och GDPR, och den som redan lutar åt ett svenskt webbhotell av det skälet har inte fått någon ny anledning att ändra sig, men inte heller någon anledning att vänta.

Cloud and AI Development Act är fortfarande bara ett förslag på väg genom lagstiftningsmaskineriet. Data Act, som bland annat ger dig rätt att byta molnleverantör utan orimliga inlåsningseffekter, gäller redan, och den skillnaden är värd att hålla i huvudet. Samtidigt är USA:s dataskyddsnivå gentemot EU under press efter en färsk amerikansk domstolsprocess, något vi skrivit om i vår genomgång av FTC-domen. Medan EU bygger ut sin egen kapacitet och funderar på suveränitetsnivåer vacklar en del av grunden för dataöverföring till USA. De två spåren hänger ihop, men ingetdera kräver att du gör något med ditt webbhotell i dag.

Den som vill följa lagstiftningsprocessen i detalj hittar den på kommissionens policysida och i pressmeddelandet från den 3 juni 2026. Vi återkommer när förslaget rör sig genom trilogen, men just nu finns ingen brådska.