Det, en amerikansk AI-udbyder kan pålægges at udlevere, er det, den har i sin besiddelse eller under sin kontrol, uanset hvor i verden det ligger. For en AI-tjeneste er det typisk logs med prompter og svar i en periode, gemte samtaler, uploadede filer, feedback og kontooplysninger. Hvor meget der findes, afhænger af jeres plan og indstillinger, og det kan I påvirke.
Loven, dens baggrund og sagerne om den er forklaret på digital-suveraenitet.dk. Denne artikel tager et smallere spørgsmål: hvad ligger der faktisk hos en AI-udbyder, når I bruger dens tjeneste? Det er her, jeres valg af plan og indstillinger gør en forskel.
Det, loven siger, kort
Cloud Act indførte en regel i amerikansk lov (18 U.S.C. § 2713). En udbyder af elektronisk kommunikation eller fjernberegning skal efterkomme krav om at bevare, sikkerhedskopiere eller udlevere indhold og oplysninger om en kunde, som er i udbyderens besiddelse, varetægt eller kontrol. Det gælder, uanset om oplysningerne ligger i eller uden for USA. Gengivelsen er forenklet. Hvordan reglen bruges i praksis, og hvilke indsigelser der findes, er et spørgsmål til advokat.
Det, der typisk ligger hos en AI-udbyder
I de udbyderdokumenter, vi har læst (8/11 2026), findes disse typer data hos AI-udbyderne:
Logs til misbrugsovervågning. Flere API-udbydere beholder prompter og svar i højst 30 dage med henblik på at opdage misbrug, også når tjenesten ellers ikke gemmer noget. Det gælder både amerikanske og europæiske udbydere i de læste kilder.
Samtaler i assistenterne. Chattjenester beholder samtalerne, til nogen sletter dem. En kontorassistent opbevarer interaktionerne efter den politik, kundens administrator har valgt.
Feedback. Vurderinger, som brugerne giver af et svar, kan forlænge opbevaringen. Hos én udbyder gemmes de i op til fem år.
Filer, indstillinger og kontodata. Uploadede dokumenter, instruktioner, projekter og oplysninger om brugere og forbrug.
Tilpasninger. Data brugt til finjustering gemmes hos én udbyder, til de slettes, eller kontoen opsiges.
Det, I selv kan ændre
Mængden af data hos udbyderen er ikke fast. Den følger jeres valg.
Nul-opbevaring. Flere udbydere tilbyder at gemme intet ud over selve behandlingen. Hos nogle forudsætter det en godkendelse eller en særlig plan, og ordningen omfatter alene endepunkter uden hukommelse. Chattjenester og agenter er typisk ikke omfattet.
Kortere opbevaring. Hvor administratoren kan sætte en opbevaringspolitik, kan den sættes kort.
Feedback slået fra. På nogle erhvervsplaner kan ejeren slå medarbejdernes mulighed for feedback fra.
Færre funktioner. Hver funktion, der gemmer noget, er en ting mere, der kan udleveres.
At mindre opbevaring betyder mindre at udlevere, er vores læsning af lovteksten sammen med udbydernes dokumentation. Det er en tolkning. Data, der ikke findes, kan ikke udleveres. Data, der behandles, findes i det øjeblik, de behandles.
Det, der ikke er afklaret
To ting står åbne i de kilder, vi har læst. Den første er, hvem der har “kontrol” over data hos en underleverandør, fx når en europæisk tjeneste bruger en amerikansk modeludvikler eller en amerikansk platform. Den anden er, hvordan reglen rammer et europæisk datterselskab af en amerikansk koncern. Begge er spørgsmål til advokat, og svaret afhænger af de konkrete forhold.
Om reglen kan nå en europæisk udbyder, afhænger efter vores læsning af ejerskabet og af, om der er amerikanske led i kæden. Kæden læses som vist i artiklen om kæden bag en tjeneste.
Hvad det betyder for valget
Risikoen fra Cloud Act er én faktor i valget. Den vejer tungt for oplysninger under tavshedspligt, forretningshemmeligheder og persondata i store mængder. Den vejer let for offentlige oplysninger. Sorteringen står i hvilke data må hvor.
For de opgaver, hvor den vejer tungt, har I tre greb: vælg en udbyder, hvor ingen led er underlagt reglen; vælg en plan og indstillinger, der gemmer mindst muligt; eller kør modellen selv. For de opgaver, hvor den vejer let, er det nok at kende den og have valgt bevidst.
Hvad det kræver, og hvad det koster at lade være
At finde ud af, hvilke data der ligger hos udbyderen for jeres plan, tager en IT-ansvarlig en halv dag pr. tjeneste. At ændre indstillingerne tager en time, når de er fundet. En juridisk vurdering af konkrete led er en særskilt opgave.
Lader I være, kender I ikke omfanget af det, udbyderen har liggende. Svaret til en kunde eller et tilsyn bliver et gæt, og standardindstillinger kan betyde, at samtaler og feedback ligger længere end nødvendigt. Det er sjældent dyrt at rette, men det skal gøres, før spørgsmålet kommer.
Det skal I lade være med
- At tro, at EU-lagring fjerner reglen · loven gælder data, udbyderen kontrollerer, uanset hvor de ligger.
- At overse logs til misbrugsovervågning · de kan findes, også når tjenesten ellers ikke gemmer noget.
- At bruge denne artikel som juridisk vurdering · konkrete led og koncernforhold er et spørgsmål til advokat.
Det skal valget kunne vise
- ☐ Hvilke typer data der ligger hos udbyderen for jeres plan, og hvor længe.
- ☐ Valgte indstillinger for opbevaring og feedback.
- ☐ Om nogen led i kæden er underlagt amerikansk lov.
- ☐ Hvilke opgaver hvor risikoen vejer tungt, og hvordan den er håndteret.
Kilder
- 18 U.S. Code § 2713, Legal Information Institute, Cornell Law School, https://www.law.cornell.edu/uscode/text/18/2713, læst 8. november 2026.
- Udbydernes dokumentation om opbevaring af prompter, logs, samtaler og feedback hos fem AI-udbydere og platforme, læst 8. november 2026.
Senest gennemgået: november 2026.
Næste skridt
Find ud af, hvor længe jeres vigtigste AI-tjeneste gemmer prompter, samtaler og feedback, og om I kan gøre det kortere.
Læs også: Hvem er aftaleparten på jeres AI-konto? · Er europæisk AI mere sikker?
→ Kontakt · Tlf. 70 13 63 23 · Jurisdiktions- og afhængighedsvurdering hos Nielco IT
