Säkert TMS för svenska åkerier:
100 % svensk datalagring — immun mot US Cloud Act och FISA 702

Vad är US Cloud Act och FISA 702 — och varför spelar de roll för ditt åkeri?

I debatten om molnsäkerhet nämns ofta "GDPR-compliance" och "servrar i EU". Det är nödvändiga villkor — men inte tillräckliga. Det som sällan kommuniceras är att den avgörande juridiska frågan inte handlar om var datan lagras, utan om vilket bolags lag som styr tjänsten.

Två amerikanska lagar skapar den faktiska juridiska exponeringen för europeiska företag som använder amerikanskägda molntjänster:

Det är inte en tolkningsfråga. Det är en lagreglerad skyldighet för amerikanska bolag — inklusive AWS LLC, Microsoft Corporation och Alphabet Inc. — att efterleva sådana order. Juridiska ombud, kryptering och databehandlaravtal (DPA) skyddar mot många saker. De skyddar inte mot CLOUD Act § 2713.

Schrems II: när EU-domstolen slog fast att standardavtalsklausuler inte räcker

I juli 2020 ogiltigförklarade EU-domstolen (C-311/18, Data Protection Commissioner mot Facebook Ireland) Privacy Shield — det ramverk som sedan 2016 möjliggjort dataöverföringar till USA. Domen är känd som Schrems II och har fått avgörande konsekvenser för alla europeiska bolag som använder amerikanska molntjänster.

Kärnan i domen är enkel: EU-domstolen konstaterade att FISA 702 och Executive Order 12333 ger amerikanska myndigheter tillgång till europeisk data på ett sätt som inte är förenligt med grundläggande rättigheter enligt EU-stadgan. Standardavtalsklausuler (SCCs) kan inte ändra på detta — de är kontraktuella instrument som inte binder suveräna staters underrättelseverksamhet.

Det EU-US Data Privacy Framework (DPF) som trädde i kraft 2023 är ett försök att lösa detta, men det möter kraftig kritik från europeiska dataskyddsmyndigheter och juridiska experter. FISA 702 omauktoriserades av den amerikanska kongressen i april 2024 — utan de reformer som europeiska tillsynsmyndigheter ansett nödvändiga. En Schrems III-process är pågående.

Praktisk konsekvens för svenska åkerier: om ditt TMS behandlar personuppgifter via en amerikanskägd molntjänst befinner du dig i en juridisk gråzon som tillsynsmyndigheter som IMY (Integritetsskyddsmyndigheten) aktivt granskar. Du kan inte avtala dig ur det problemet. Du kan bara undvika att exponera datan från början.

Vilket data från ditt åkeri är i riskzonen?

För ett åkeri som använder ett TMS med amerikanskägd molnbakgrund kan i princip all operativ data vara exponerad. Det handlar inte bara om abstrakta personuppgifter — det handlar om affärskritisk och konkurrenssensitiv information:

Det är inte en fråga om sannolikhet. Det är en fråga om legal möjlighet. Även om risken för aktiv inhämtning mot ett enskilt åkeri är låg, är konsekvenserna av ett GDPR-brott (inkl. ansvarsskyldighet mot IMY) en separat risk som uppstår automatiskt om tredjelandsöverföring sker i strid med dataskyddsförordningen — även om den sker utan åkeriets vetskap.

Navichain-lösningen: juridisk immunitet genom struktur

Navichain är byggt utifrån en grundläggande premiss som aldrig kompromissas: ditt åkeris data tillhör dig — inte ett molnbolag, inte en utländsk myndighet, inte en juridisk gråzon. Immunitet mot US Cloud Act och FISA 702 är inte en feature. Det är en konsekvens av hur bolaget och infrastrukturen är strukturerad.

Varför Navichain är juridiskt immunt

Navichain AB är ett helägt svenskt bolag utan amerikanska moderbolag, dotterbolag, investerare eller partnerskap som skapar jurisdiktionsberoende. Det innebär att ingen amerikansk domstol kan utfärda en giltig order om datautlämning mot Navichain.

All infrastruktur är privatägd och lokaliserad i Sverige. Inga servrar i AWS EU-West, ingen Azure North Europe, inga GCP-datacenter i Finland. Ditt åkeris orderdata, rutthistorik, fordonsdata och kunduppgifter lagras uteslutande på svensk mark — med svenska lagkrav som enda tillämpliga jurisdiktion.

Inga tredjelandsöverföringar förekommer i kärnflödet. Alla API-anrop — inklusive integration mot Fortnox, Hogia, Visma och LogTrade — sker server-till-server inom Sverige eller mot auktoriserade svenska databehandlare. Inga tokens, inga affärsdata och inga personuppgifter passerar system utanför EU/EES-jurisdiktion.

Vad det innebär i praktiken för ditt åkeri

Du behöver inte lita på ett löfte om att "data stannar i EU". Du kan lita på att det är en juridisk omöjlighet att data lämnas ut till utländsk myndighet utan att svenska domstolar och svenska tillsynsmyndigheter är inblandade — med full möjlighet till rättsmedel för dig som kund. Det är en strukturell garanti, inte en kommersiell försäkran.

Sovereign AI — när AI-funktioner kräver samma skydd som data

Transportledningssystem integrerar i allt högre utsträckning AI-funktioner: automatisk orderigenkänning, ruttoptimering, beläggningsprognoser och avvikelsedetektering. Det introducerar en ny kategori av datarisk som sällan diskuteras: AI-inferens via amerikanskägda plattformar.

Om ett TMS skickar orderdokument, PDF-filer eller e-post till OpenAI API, Anthropic API eller Google Gemini för att tolka innehåll — passerar den datan amerikanskägda servrar och den informationshantering som regleras av CLOUD Act och FISA 702.

Navichain kör sina AI-funktioner — inklusive Magic Drop → AI-automation, som automatiskt tolkar och processar inkommande orderdata från PDF-filer och e-post — på svenska servrar via partners som berget.ai. Det innebär att:

• Affärslogik och ruttmönster aldrig exponeras mot amerikanska AI-modeller
• Kunduppgifter i inkommande ordermail inte passerar utanför Sveriges gränser
• AI-resultaten lagras i samma suveräna infrastruktur som övrig operationsdata

Det är vad som i dag kallas Sovereign AI — och det är en nödvändig komponent i ett datasäkert TMS, inte en nice-to-have.

Jämförelse: Navichain vs. TMS med amerikanskt moln

Inte alla transportledningssystem är juridiskt likvärdiga. Nedan är en faktabaserad jämförelse av de egenskaper som avgör din juridiska och dataskyddsmässiga position.

Vanliga frågor om datasäkerhet och TMS

Svar på de frågor svenska åkerier ställer om datasuveränitet, juridisk exponering och Navichains infrastruktur.

Relaterat innehåll från Navichain

Navichain täcker hela transportledningsprocessen. Läs mer om AI-automation & orderhantering, ruttoptimering, kör- och vilotider, resursstyrning, fordon & telematik, prissättning & tariff, strategiskt oberoende och integrationer & API.