Hvad betyder Data residency?
Data residency beskriver den geografiske placering af data. I en AI-løsning er det nødvendigt at skelne mellem lagring og behandling: et dokument kan ligge i et europæisk datacenter, mens modelkald, supportadgang eller fejllogs involverer andre steder. Et regionsvalg på ét produkt beskriver derfor ikke nødvendigvis hele kæden.
Kontrolleret 7. september 2026: Datatilsynets vejledning om tredjelandsoverførsler gør det nødvendigt at undersøge den konkrete overførsel af personoplysninger og dens grundlag. EU-lagring er ikke i sig selv en fuldstændig GDPR-vurdering. Formål, roller, adgang, sikkerhed og øvrige behandlingskrav skal også være afklaret.
Begrebet har samtidig en praktisk indkøbsbetydning. Organisationen skal kunne dokumentere, hvilke funktioner regionsaftalen omfatter, hvilke undtagelser der findes, og hvordan ændringer hos leverandøren bliver håndteret. Et generelt salgsudsagn bør omsættes til konkrete vilkår og teknisk konfiguration.
Tegn dataflowet gennem alle tjenester
Medtag filopbevaring, parsing, embeddings, vektordatabase, model, logs, support og backups. For hver del noteres lagringsregion, behandlingsregion, leverandør og eventuelle underdatabehandlere. Undersøg, om en funktion som web search eller ekstern værktøjsbrug har egne vilkår. En region for hovedmodellen dækker ikke automatisk et tredjepartsværktøj. Gennemgå også, om fjernadgang fra andre lande indgår, og hvad det betyder i den konkrete behandling.
Hold kontrakt og opsætning sammen
Læs den præcise produkt- og endpointdokumentation og kontroller, at kontoen er indstillet efter aftalen. Nogle funktioner kan kræve særskilt aktivering eller have andre begrænsninger. Gem konfiguration og godkendte leverandørvilkår med dato. Ved en ændring i underleverandører eller nye funktioner skal vurderingen genbesøges. Gør det også muligt at forklare kunder og kolleger, hvad regionsløftet faktisk dækker, uden at udvide det til en garanti for alt.
Et eksempel fra praksis
Illustrativt eksempel: Et rådgiverhus vælger europæisk lagring til en intern dokumentassistent. Under gennemgangen opdager teamet, at fejlrapporter sendes til en separat overvågningstjeneste, og at et ekstraværktøj behandler hele dokumentteksten. De fjerner rå tekst fra fejlrapporterne og vurderer ekstraværktøjet særskilt. Beslutningen om region bliver dermed baseret på den faktiske arkitektur frem for kun på den første leverandørs datacenterkort.
Typiske faldgruber
- At sidestille datacenterets adresse med hele behandlingens geografi.
- At overse support, underleverandører og aktiverede ekstraværktøjer.
- At love europæisk behandling uden at kontrollere endpoint og kontokonfiguration.
Det skal I afklare
- Kortlæg både lagring, behandling og adgang i hele kæden.
- Læs konkrete produktvilkår og eventuelle regionale undtagelser.
- Gem vurdering, konfiguration og en proces for leverandørændringer.
Spørgsmål og svar
Er data residency det samme som datasuverænitet?
Nej. Geografisk placering er ét forhold. Kontrol, jurisdiktion, adgangsmuligheder og afhængighed af leverandøren kan kræve særskilte vurderinger.
Kan et europæisk endpoint bruges uden videre?
Nej. Det skal passe til den aftalte behandling og være korrekt konfigureret. Undersøg også funktioner og dataflows, som ikke er omfattet af endpointets regionale vilkår.
Kilder og videre læsning
De tekniske begreber bygger på nedenstående kilder. Eksemplerne er illustrative og viser, hvordan I kan arbejde med emnet.
- Datatilsynet: Tredjelandsoverførsler ↗Primærkilde gennemgået 7. september 2026.
- OpenAI: Data controls og regionale funktioner ↗Primærkilde gennemgået 7. september 2026.