Hvaða gervi­greind og skýjaþjónustur mega opin­berir aðilar nota?

Í farvatninu er reglugerð frá Evrópusambandinu sem mun í mörgum tilfellum gera opinberum aðilum illmögulegt að nota skýjaþjónustur og gervigreind í eigu bandarískra stórfyrirtækja.

ESB, skýjaþjónustur og gervigreind

Undanfarin misseri hefur geisað viðskiptastríð á milli Bandaríkjanna og Evrópusambandsins. Fyrst og fremst er barist um aðgengi að gervigreind og nýtingu hennar. Bandaríkin hafa leitt þróun á því sviði og flest stærstu fyrirtæki heims í skýjaþjónustu og gervigreind eru bandarísk. Það hefur sett Evrópusambandið í mjög erfiða stöðu, því af ýmsum ástæðum hafa evrópskir þjónustuaðilar dregist verulega aftur úr, og í dag eru það bandarísk risafyrirtæki sem veita nær alla þjónustu í stafrænni tækni og gervigreind.

Evrópusambandið hefur á undanförnum árum reynt að bregðast við þessu ástandi fyrst og fremst með nýjum reglugerðum. GDPR, Data Act, AI Act og fleiri eru samansafn reglugerða sem hafa þrengt að notkun evrópskra stofnana og fyrirtækja á bandarískri tækni í þeim tilgangi að bæta persónuvernd og öryggi, en ekki síður samkeppnishæfni evrópskra fyrirtækja.

Þetta hefur m.a. leitt til þess að stórir aðilar í Frakklandi og Þýskalandi hafa fært skýjaþjónustur og notkun gervigreindar frá stórum bandarískum þjónustuaðilum til fyrirtækja innan Evrópu.

Bandarísk fyrirtæki hafa brugðist við þessari þróun með því að flytja gögn og hluta starfsemi sinnar til Evrópulanda í þeim tilgangi að evrópsk fyrirtæki og stofnanir geti sagst nota skýjaþjónustu hýsta í Evrópu. Það fyrirkomulag hefur verið það haldreipi sem sum íslensk fyrirtæki og stofnanir hafa gripið í svo vinnsla og geymsla upplýsinga geti verið áfram hjá bandarískum tæknifyrirtækjum eins og Microsoft, Google og Amazon.

Nýlega kynnti Evrópusambandið aftur á móti að unnið sé að nýrri reglugerð, Reglugerð um þróun skýjaþjónustu og gervigreindar (CADA). Þessi reglugerð mun, þegar hún tekur gildi, setja reglur um hvaða þjónustuveitendur gervigreindar og skýjaþjónustu opinberar stofnanir megi nota. Hún mun hafa áhrif á nær öll innkaup skýjaþjónustu opinberra aðila á Íslandi.

Reglugerð um þróun skýjaþjónustu og gervigreindar

Tillaga að reglugerðinni var kynnt af Framkvæmdastjórn Evrópusambandsins í júní 2026. Hún mun fara í þinglega meðferð og koma síðan til innleiðingar á Íslandi í gegnum EES samninginn. Fyrst í stað mun hún gilda fyrir innkaup opinberra stofnana, en ekki er ólíklegt að einkageirinn muni fylgja á eftir.

Reglugerðin gerir þá kröfu að opinberir aðilar flokki starfsemi sína í fjögur stig: Fyrsta stig er starfsemi sem telst ekki viðkvæm og myndi ekki skaða almannaöryggi eða mikilvæga þjónustu ef hún stöðvaðist eða ytri aðilar nálguðust gögnin. Annað stig er fyrir mikilvægari þjónustu sem gæti haft áhrif á samfélagið ef hún virkaði ekki eða gögn myndu komast í hendur annarra.

Þriðja stig er fyrir mjög mikilvæga starfsemi, löggæslu, hluta heilbrigðiskerfis og dómskerfi. Fjórða stigið er að lokum fyrir mikilvægustu starfsemina eins og þjóðaröryggismál.

Fyrir þjónustuveitendur á öðru stigi verður að vera tryggð evrópsk staðsetning og að engir ytri aðilar geti nálgast eða haft áhrif á þjónustuna.

Bandarísk fyrirtæki geta staðsett skýjaþjónustur í Evrópu, en þau geta ekki tryggt að bandarísk stjórnvöld komist ekki í gögnin vegna þess að sérstök löggjöf í Bandaríkjunum að nafni Cloud Act skyldar bandarísk fyrirtæki, að uppfylltum lagaskilyrðum, til að veita bandarískum stjórnvöldum aðgang að kerfum sínum og gögnum hvar sem er í heiminum. Því er bandarískum fyrirtækjum gert ókleift að veita skýjaþjónustu til opinberra aðila í Evrópu sem teljast á öðru stigi reglugerðarinnar.

Þriðja og fjórða stig reglugerðarinnar, sem eiga við um allra viðkvæmustu starfsemina, gera sem meginreglu að einungis megi nota skýjaþjónustu sem er staðsett í Evrópu og er í eigu evrópskra aðila.

Reglugerð Evrópusambandsins er því vísvitandi gerð til að tryggja að einungis evrópskir aðilar geti séð um skýjaþjónustu á viðkvæmustu gögnum opinberra aðila, nema engin sambærileg evrópsk lausn sé í boði.

Hvað næst?

Stór hluti Evrópu er í raun að fara sömu leið og Bandaríkin og Kína, sem hafa ávallt haft strangar reglur um aðgengi að viðkvæmustu upplýsingum opinberra aðila. Þessi reglugerð er því einungis viðurkenning á því að stafræn þjónusta og gervigreind er orðin að mikilvægustu innviðum hvers ríkis.

Þessi reglugerð mun óneitanlega hafa veruleg áhrif á starfsemi íslenskra stofnana og þjónustufyrirtækja þeirra á næstu árum. Það mun ekki nægja að vinna með traustum aðilum heldur skiptir öllu máli undir hvaða lögsögu þeir eru. Staðsetning innan Evrópu er ekki lengur nægjanleg því að þjónustufyrirtækið gæti verið undir bandarískri lögsögu.

Opinberir aðilar á Íslandi, sem falla undir eitt af efri stigum reglugerðarinnar, munu ekki geta keypt skýjaþjónustu frá aðila sem uppfyllir ekki skilyrði reglugerðarinnar á því stigi. Opinber aðili í mikilvægri starfsemi, samkvæmt reglugerðinni, mun því ekki geta keypt skýjaþjónustu fyrir þá starfsemi frá bandarísku tæknifyrirtæki.

Það er því mikilvægt að opinberir aðilar á Íslandi undirbúi sig undir þessa reglugerð og geri viðeigandi ráðstafanir til framtíðar.

Höfundur er sérfræðingur í gerð hugbúnaðarkerfa hjá ulfai.is.