Säkra digitala plattformar i skolan: så har vi flyttat hela kedjan till EU

Det senaste året har vi på Gradr arbetat med att flytta allt som rör plattformen till EU. Nu har vi kommit så långt att även AI-modellerna kan vara europeiska. Skolor som använder Gradr kan i dag slå på full EU-suveränitet. Då är varje bolag i kedjan EU-ägt, från lagringen till AI:n som läser elevernas texter.

Här berättar vi vad EU-suveränitet betyder, hur vi har byggt Gradr och varför vi tycker att det är värt det.

Vad betyder EU-suveränitet?

Tre begrepp blandas ofta ihop: datalokalisering, dataskydd och suveränitet. Datalokalisering handlar om var servern står. Dataskydd handlar om hur personuppgifterna behandlas. Suveränitet handlar om vems lag som i sista hand gäller för datan. En tjänst kan ha de två första utan att ha det tredje.

Därför räcker det inte att servrarna står i EU. Extraterritoriella lagar som amerikanska CLOUD Act och FISA 702 följer kontrollen över bolaget, inte serverns placering. Ett europeiskt dotterbolag till en amerikansk koncern kan alltså föreläggas att lämna ut data som ligger i Stockholm eller Frankfurt. EU-suveränitet handlar om fyra lager:

• Lagring: var datan ligger, inklusive säkerhetskopior, repliker och loggar, som ofta glöms bort.
• Bearbetning: varje biträde och underbiträde som behandlar datan, inte bara driftleverantören. Dit hör AI-modellen, e-posttjänsten, felrapporteringen och analysverktygen.
• Jurisdiktion: var bolagen i kedjan har sin koncernhemvist, och därmed vilka lagar de i sista hand lyder under.
• Åtkomst: vem som i praktiken kan nå datan. Europeiska dataskyddsstyrelsen har slagit fast att åtkomst från ett tredjeland i sig kan vara en överföring enligt GDPR, även om datan aldrig lämnar EU. En supporttekniker utanför EU räknas alltså.

EU-kommissionens Cloud Sovereignty Framework mäter detta i nivåer från SEAL-0 till SEAL-4. Den högsta nivån kräver europeisk kontroll ända ner till hårdvaran, och det når nästan ingen digital tjänst i dag. Frågan är därför inte om en tjänst är suverän, utan hur långt ner i kedjan kontrollen räcker.

Många av de leverantörer vi känner till har någon form av koppling till USA, ofta i ett led som ingen tänker på: ett moderbolag, ett underbiträde eller ett supportverktyg. Vi har valt att hålla allt i EU så långt det går.

Så har vi byggt Gradr

Vi har alltid haft samma mål: högsta möjliga kvalitet med högsta möjliga säkerhet. Det här har vi tänkt på.

Lagring. All data ligger hos EU-ägda leverantörer, även säkerhetskopiorna.

Bearbetning. Vi driftar själva det mesta, från e-post till övervakning. Det tar mer tid, men det betyder att ingen amerikansk molntjänst ser elevdata när vi skickar ett mejl, loggar ett fel eller kontrollerar att plattformen mår bra.

AI. Här är det svårast. De bästa språkmodellerna har länge kommit från USA, och det är där utvecklingen går snabbast. Därför kan skolorna i Gradr använda alla typer av AI-modeller. Den som prioriterar suveränitet högst kan köra Gradr med en EU-ägd AI-leverantör. Vi kan inte lova att de modellerna alltid är lika bra som de bästa amerikanska, men möjligheten finns för den som vill prioritera suveräniteten så högt.

Åtkomst. Här har vi lärt oss hur lite som krävs. En amerikansk supportchatt i appen räcker för att personuppgifter ska kunna nås från USA. Detsamma gäller ett felrapporteringsverktyg som sparar det eleven skrev när något gick fel, eller ett analysverktyg som följer vem som klickar var. Var för sig ser de ofarliga ut. Tillsammans blir de hål i kedjan. Därför har vi gått igenom varje verktyg som rör plattformen, inte bara de stora, och hållit nere antalet personer som kan nå datan.

Hur själva flytten gick till tekniskt berättar vår utvecklare Felix i devloggen.

Varför vi har gjort det

Det senaste året har vi pratat med väldigt många kommuner, skolkoncerner, IT-chefer, digitaliseringsansvariga och säkerhetssamordnare. Vi har hört samma sak gång på gång. Man vill ha system man kan lita på, och man vill kunna förklara för vårdnadshavare, nämnd och dataskyddsombud vart elevernas data tar vägen.

Vi vet hur det såg ut för tio år sedan. Då kunde en provplattform eller en ny uppgiftsyta komma in i en kommun utan större problem. Ett personuppgiftsbiträdesavtal, en snabb kontroll, och sedan var man igång. Så ser det inte ut längre, och det är bra. När en tjänst innehåller AI granskas den med helt andra ögon. Upphandlaren vill veta vilken modell som används och var den körs. Dataskyddsombudet vill se hela kedjan av underbiträden. IT-säkerhet vill veta vem som kan nå datan och hur. Och nämnden vill veta att någon har tänkt igenom det här på riktigt.

Vi har vuxit upp i det trycket. Vi har aldrig sett det som ett hinder, utan som kravspecifikationen. Därför har vi lagt väldigt mycket tid på det här, mer än de flesta skulle tro för ett bolag i vår storlek. Vi har kartlagt varje leverantör, bytt ut dem som inte höll måttet och byggt egen drift där det inte fanns ett europeiskt alternativ som var tillräckligt bra.

Det har kostat. Tid som kunde ha gått till nya funktioner har gått till sådant som ingen användare ser. Men det är just det som gör skillnad när en kommun ska fatta beslut, och vi har hellre gjort jobbet innan någon frågat än efter.

Varför det spelar roll

Elevtexter är inte vilken data som helst. I en uppsats i svenska skriver en 16-åring om sin uppväxt. I religionskunskap reflekterar eleven över sin egen tro. I samhällskunskap argumenterar hen för sina politiska åsikter. Det är just sådana uppgifter som GDPR räknar som särskilda kategorier av personuppgifter. Eleven har inte själv valt leverantör, det har skolan gjort åt hen. Förtroendet ligger hos skolan, och skolan behöver kunna stå för valet.

Juridiskt är problemet att två rättsordningar krockar. Enligt artikel 48 i GDPR får en myndighet utanför EU bara kräva ut personuppgifter med stöd av ett internationellt avtal. CLOUD Act låter samtidigt amerikanska myndigheter kräva ut data från bolag under amerikansk kontroll, oavsett var datan lagras. Leverantören hamnar mellan två lagar, och kunden kan inte avtala bort problemet.

Hur det ser ut i praktiken blev tydligt i juni 2025. En jurist från en av världens största amerikanska molnleverantörer fick under ed i franska senaten frågan om han kunde garantera att data om franska medborgare aldrig lämnas ut till amerikanska myndigheter. Svaret var nej.

Överföringsbesluten mellan EU och USA ger inte heller något stabilt skydd. EU-domstolen har underkänt dem två gånger, 2015 och 2020, och det nuvarande beslutet har redan överklagats. Samtidigt skärps kraven i Sverige. Offentlighets- och sekretesslagen kräver att det inte är olämpligt att lämna sekretessbelagda uppgifter till en leverantör. Cybersäkerhetslagen kräver säkerhet i hela leveranskedjan. Regeringens molnpolicy från 2026 ber kommuner och regioner att bedöma sina beroenden och undvika inlåsning. Med full EU-suveränitet finns ingen amerikansk part i kedjan, och då behöver ni inte följa den utvecklingen alls.

Därför tycker vi att skolor ska ställa höga krav, och ställa dem på alla system, inte bara på nya. Ett system som köptes in för fem år sedan granskades med den tidens frågor, och de frågorna räcker inte längre när det finns AI i verktygen. Börja med de system som hanterar mest känslig elevdata: lärplattform, provverktyg, elevhälsa och AI-tjänster. Fråga var varje underbiträde har sin koncernhemvist, var AI:n körs och vilka verktyg som ser data i bakgrunden. Ett system som redan används förtjänar samma granskning som ett nytt.

Vad kräver AI-förordningen?

AI som utvärderar läranderesultat pekas ut som högrisk i bilaga III, och kraven gäller från den 2 december 2027. En central del är mänsklig tillsyn. I Gradr är det alltid läraren som bedömer. AI:n hjälper till att ta fram återkoppling, men det är läraren som bestämmer vad som når eleven.

Vanliga frågor

Räcker det att elevdata lagras i EU?

Nej. Det som avgör är var leverantören och varje underbiträde har sin koncernhemvist, inte var servern står.

Kan man köra Gradr helt på EU-ägd infrastruktur?

Ja. All data ligger redan hos EU-ägda leverantörer, och med full EU-suveränitet körs även AI:n hos en EU-ägd leverantör.

Sätter AI:n betyg i Gradr?

Nej. Gradr är ett stöd i framtagandet av formativ återkoppling, och det är alltid läraren som bedömer.

Vi är inte klara

Vi är stolta över var vi är idag, men vi är långt ifrån nöjda. Det vi har byggt det senaste året är en grund, inte ett slutmål.

Varje ny funktion, varje ny leverantör och varje ny AI-modell som kommer in i Gradr ställs mot samma fråga: gör det här kedjan starkare eller svagare? Blir svaret svagare spelar det ingen roll hur bra funktionen är eller hur mycket tid den skulle spara oss. Då hittar vi ett annat sätt, eller så bygger vi det själva. Så har vi arbetat hela vägen hit, och så kommer vi att fortsätta arbeta.

De europeiska modellerna blir bättre för varje månad, och vi följer dem noga. Vårt mål är att EU-suveränitet en dag inte ska vara något man behöver be om. Det ska vara utgångsläget. Dit är vi inte framme än, men det är dit vi är på väg, och vi tänker inte sakta ner.

Vi är ett litet team, och vi vet vad varje timme är värd. Ändå är det här ett av de områden där vi har lagt mest tid, och där vi kommer att fortsätta lägga den. Kraven på AI i skolan kommer att skärpas, nya risker kommer att dyka upp och frågorna från upphandlare och dataskyddsombud kommer att bli svårare. Det är bra. Vi vill inte vara den leverantör som hänger med när kraven höjs. Vi vill vara den som redan har höjt dem.

Elevernas texter förtjänar det. Skolorna som litar på oss förtjänar det. Och vi tänker göra allt som krävs för att leva upp till det.

Vill ni veta mer eller granska oss, skriv till privacy@gradr.se.