Berget AI och GDPR – därför ska elevdata stanna i Sverige
Berget AI är svensk AI-infrastruktur i svenska serverhallar. Så gör det att Elevante kan köra AI utan att skicka elevdata till USA.
En dataskyddsombud i Växjö får en fråga från en rektor: "Kan vi börja använda ChatGPT i undervisningen?". Ombudet skakar på huvudet och tar fram förteckningen över tredjelandsöverföringar. Listan blir längre för varje år.
Det är där många skolor står idag. Vill men kan inte.
Vad Berget AI är
Berget AI (berget.ai) är en svensk leverantör av AI-infrastruktur. Servrarna står i Sverige. Datan stannar i Sverige. Driften lyder svensk lag och EU:s regelverk — inte CLOUD Act och inte amerikansk presidentordning.
Det är en till synes liten skillnad som gör enorm skillnad juridiskt.
Varför det spelar roll för skolan
GDPR och Schrems II gör att personuppgifter inte fritt får överföras till USA. Det gäller även elevdata. ChatGPT, Copilot, Gemini och Claude kör alla i grunden på amerikansk infrastruktur — även när det finns EU-instanser. Det innebär juridisk osäkerhet.
Dataskyddsombuden vågar inte godkänna utan tydlig laglig grund. Rektorer fastnar mellan elevernas faktiska AI-användning och skolans skyldighet att skydda deras data.
Läs mer hos Berget AI.
Vad Elevante på Berget AI innebär
- All elevdialog lagras i Sverige.
- Inget elevarbete används för att träna externa modeller.
- AI-modellerna körs lokalt på svensk infrastruktur — inte via API till USA.
- DPIA (konsekvensbedömning) blir betydligt enklare.
- Företrädare för Skolinspektionen och föräldrar kan följa dataflödena.
Use cases
Dataskyddsombudet på huvudmannen
Kan godkänna utan förbehåll om tredjelandsöverföring. Enklare arbete, snabbare beslut.
Rektorn med föräldraoro
Kan svara rätt på "vart går mitt barns data?". Svaret är: ingenstans utanför Sverige.
Kommunjuristen som granskar avtal
Får en motpart som kan svara konkret på dataskyddsklausuler.
IT-chefen på en större kommun
Slipper komplexa standardavtalsklausuler och tredjelandsöverföringar.
FAQ
Är ChatGPT EU-version GDPR-säker? De har EU-instanser men driften lyder fortfarande amerikansk juridisk räckvidd via CLOUD Act.
Vad säger Schrems II? Att EU-USA-överföringar kräver kompletterande åtgärder och bedömning av amerikansk lagstiftning.
Vad är CLOUD Act? Amerikansk lag som ger USA rätt att kräva data från amerikanska bolag oavsett var den lagras.
Är Microsoft Azure ett alternativ? De har EU-regioner men omfattas av CLOUD Act.
Vad gör Berget AI annorlunda? Svensk juridisk hemvist. Servrar i Sverige. Ingen koppling till amerikanska bolag.
Kan elevdata användas för modellträning? Nej. Elevante och Berget tränar inte modeller på elevdata.
Krav på DPIA? Ja, men den blir kortare och enklare med svensk leverantör.
Vad säger IMY? Integritetsskyddsmyndigheten har vid flera tillfällen påpekat risker med amerikanska AI-tjänster.
Vilka kommuner kör på svensk infrastruktur? Fler och fler. Listan växer månadsvis.
Kostar svensk infrastruktur mer? Marginellt. Skillnaden vinns igen på enklare DPIA-arbete.
Vad om Berget AI slås ut? Elevante kan flytta drift till annan svensk eller EU-leverantör. Datan följer med.
Hur granskas Berget AI? Följer ISO 27001 och GDPR-revisioner.
Är EU AI Act relevant här? Ja. Skolanvändning klassas som högrisk och kräver ännu skarpare dataskydd. Läs mer på https://elevante.se/blogg/eu-ai-act-skolan.
Reflektion
Dataskydd är inte byråkrati. Det är ett grundskydd mellan eleven och samhället. När en 14-åring frågar en AI om Andra världskriget ska den frågan inte hamna i en amerikansk databas som någon dag kan analyseras för kommersiella skäl. Det är därför Elevante kör på Berget AI. Inte för att det är flaggviftande, utan för att det är juridiskt och etiskt det enda riktiga.