Flere AI-tjenester markedsfører sig som det europæiske valg over for de store amerikanske chatbots. Om betegnelsen holder, afgøres af tjenestens egne lister over underleverandører, modeller og overførsler, og de kan læses af alle.
Artiklen gennemgår to tjenester, den danske GDPRchat og den finske snowLEX, lag for lag. Oplysningerne er hentet fra tjenesternes egne sider 30. oktober 2026. Metoden kan bruges på enhver AI-tjeneste.
Hvorfor AI-tjenester kræver en særskilt gennemgang
En AI-tjeneste består typisk af flere led. Der er en udbyder, en sprogmodel, en leverandør af servere og ofte tjenester til websøgning, login, betaling og mail. Hvert led kan have sin egen ejer og sit eget land.
Derfor kan en tjeneste være europæisk i ét lag og ikke i et andet. De tre lag, dataresidens, drift og jura, er beskrevet i → De tre lag. For AI kommer et fjerde spørgsmål til, nemlig hvor modellen er udviklet, og hvem der kører den.
Hvor AI-behandlingen faktisk foregår, gennemgås i → AI-behandling uden for EU.
Fem spørgsmål til dokumentationen
Gennemgangen bruger fem spørgsmål, som kan besvares uden at kontakte en sælger.
- Hvem udbyder tjenesten · Den juridiske enhed og dens land, fra kolofon, vilkår og selskabsregister.
- Hvem driver serverne · Fra listen over underleverandører.
- Hvilke modeller bruges, og hvem kører dem · Fra tjenestens side om gennemsigtighed eller modeller.
- Hvilke data forlader EU · Fra privatlivspolitikken, også ved login, søgning og mail.
- Hvornår er dokumentationen dateret · Fra datoen på hver side.
Spørgsmålene svarer til de fire krav i → trin 7, tilpasset AI.
GDPRchat: udbyder og servere
GDPRchat udbydes ifølge tjenestens gennemsigtighedsside af FRITS AI ApS, et dansk selskab med CVR 45733785. Siden angiver Hetzner Online GmbH i Tyskland som leverandør af servere, database og fillagring.
AI-modellerne, indlejringer og tale køres ifølge samme side hos Scaleway i Paris. Billedgenerering køres hos IONOS Cloud GmbH i Berlin, og betaling håndteres af Mollie B.V. i Amsterdam. Alle fem står på listen som leverandører i EU.
Siden oplyser også, at Scaleway lejer plads i datacentre hos Equinix, Iron Mountain og Digital Realty, som er amerikanskregistrerede. Ifølge siden er ingen af dem opført for Scaleways AI-tjenester. Oplysningen viser, at datacenterets ejer er et led for sig.
GDPRchat: modellerne og ordet europæisk
Forsiden bruger betegnelsen “100% European AI”. Gennemsigtighedssiden definerer betegnelsen som modeller, der køres af europæiske selskaber på deres egne maskiner i EU. Modellen vælges ifølge siden efter kvalitet, uanset hvem der har bygget den.
Modeltabellen viser blandt andet Qwen 3.5 til kode, diagrammer og apps og Qwen3 Embedding 8B til søgning. Qwen er ifølge udviklerens egen side på Hugging Face en modelfamilie bygget af Alibaba Cloud. Tabellen nævner også Gemma, som Google DeepMind udgiver, og GPT-OSS 120B, som OpenAI har udgivet.
Betegnelsen dækker altså driften og ikke modellernes oprindelse. Det fremgår af siden, når man læser definitionen. Det fremgår ikke af forsidens tre ord.
GDPRchat: data uden for EU
Gennemsigtighedssiden nævner fire selskaber uden for EU, som kun modtager data, når en bestemt funktion bruges. Det er Apple, Google og Microsoft ved login og køb og OpenStreetMap Foundation ved kort og præcis placering.
Privatlivspolitikken, opdateret 25. oktober 2026, beskriver Google, Microsoft og Apple som selvstændigt dataansvarlige for selve login. Websøgning sendes til Linkup, et selskab etableret i Frankrig. Ifølge gennemsigtighedssiden kører Linkup søgeinfrastruktur i EU, USA, Canada og Asien og kan ikke garantere, at en søgning behandles i Europa.
Tjenesten skriver selv, at søgeteksten ikke indeholder oplysninger, der identificerer brugeren. Det er en vurdering, I bør tage stilling til ud fra jeres egen brug.
GDPRchat: dokumentationen ændrer sig
Gennemsigtighedssiden beskriver to ændringer i september 2026. En amerikansk reserveløsning til websøgning blev fjernet 3. september. Fra 18. september holdt tjenesten op med at bruge Mistral AI til chatsvar, fordi Mistral AI’s egen liste over leverandører nævner amerikanskejede selskaber.
Siden angiver, at den er kontrolleret 17. september 2026, og at næste kontrol sker senest 17. marts 2027. Mistral Medium 3.5 står dog stadig i modeltabellen. Siden forklarer ikke, hvordan de to oplysninger hænger sammen.
En vurdering foretaget før september 2026 ville derfor have fundet en anden opstilling. Dato på gennemgangen er en del af resultatet.
snowLEX: udbyder, servere og model
snowLEX udbydes ifølge privatlivspolitikken af snowLEX Oy i Helsinki med det finske virksomhedsnummer 3304711-2. Politikken har virkning fra september 2026.
Listen over underleverandører, opdateret 16. september 2026, angiver UpCloud Oy i Finland til servere, database, krypteret dokumentlagring og AI-beregning. Hetzner Online GmbH i Tyskland kører vektordatabasen til søgning i dokumenter. Mollie B.V. i Holland håndterer betaling.
Ifølge listen køres al AI-beregning på modeller, som snowLEX selv hoster, og ingen ekstern AI-udbyder indgår. Politikken oplyser, at prompter, dokumenter og svar aldrig bruges til træning.
snowLEX: den ene overførsel
Forsiden skriver, at alt kører på europæisk infrastruktur uden AI- eller cloududbydere fra lande uden for EU. Listen over underleverandører nævner dog Resend med placering i USA til mail om nulstilling af adgangskode, invitationer og fakturaer.
Ifølge listen modtager Resend kun navn og mailadresse, og overførslen sker med standardkontraktbestemmelser. Det er den eneste udbyder uden for EU på listen. Forsidens udsagn handler om AI og cloud, så det er foreneligt med listen, men det er listen, der giver det fulde billede.
Hvad de to gennemgange viser tilsammen
Begge tjenester dokumenterer deres led åbent, og begge har drift i EU hos europæiske selskaber pr. 30. oktober 2026. Forskellene ligger i detaljerne. GDPRchat kører modeller udviklet uden for Europa og sender søgninger til en tjeneste med infrastruktur på flere kontinenter. snowLEX kører sin egen model og har én overførsel af administrative data.
Ingen af de to forskelle fremgår af forsidernes korte udsagn. De fremgår af de sider, der ligger et klik længere inde. Sådan ser mønstret ud i mange af de sager, der beskrives i → sovereignty washing, også når udbyderen ikke skjuler noget.
Driften i EU fjerner ikke behovet for at kontrollere jura og ejerskab. Hvorfor en amerikansk udbyder i kæden har betydning, selv når data ligger i EU, er beskrevet i → Cloud Act.
Typiske fejl ved gennemgangen
Den hyppigste fejl er at stoppe ved forsiden eller app-butikkens beskrivelse. De korte udsagn er skrevet til at sælge og kan dække et andet lag end det, I spørger til.
En anden fejl er at læse listen over underleverandører uden at notere datoen. Begge tjenester har ændret deres dokumentation inden for de seneste måneder, og en gammel kopi kan give et forkert billede.
En tredje fejl er at overse de funktioner, der kun bruges en gang imellem. Login med en amerikansk konto, websøgning og mail står ofte i privatlivspolitikken og ikke på forsiden. Notér derfor også, hvilke funktioner jeres medarbejdere faktisk bruger, og slå de tilhørende overførsler op.
Hvad gennemgangen kan og ikke kan vise
Gennemgangen kan vise, hvordan to tjenester selv beskriver deres udbyder, servere, modeller og overførsler på en given dato. Den kan vise, at betegnelsen europæisk kan dække forskellige lag.
Den kan ikke vise, om dokumentationen svarer til den faktiske drift, eller om sikkerheden passer til jeres krav. Ejerkredsen bag udbyderne er ikke gennemgået her og skal slås op i selskabsregistrene. Ingen af tjenesterne er hermed anbefalet.
Airbus og BMW Group meddelte 28. maj 2026 hver sit samarbejde med den franske AI-udbyder Mistral AI. Deres begrundelser gennemgås i → Airbus og BMW valgte europæisk AI.
Betydningen for exit-planen
Notér for hver AI-tjeneste svarene på de fem spørgsmål med dato. Gentag gennemgangen, når tjenesten ændrer sin liste over underleverandører, og mindst én gang om året, som beskrevet i → trin 10.
Notér også, hvad der binder jer til tjenesten, fx gemte samtaler, egne vidensbaser og integrationer. Det er beskrevet i → binding til AI-leverandøren. Underleverandørerne gennemgås i → trin 3.
Skal en AI-tjeneste indgå i arbejdet med klientdata eller andre fortrolige oplysninger, kan en uvildig gennemgang af kæden betale sig. Nielco IT’s jurisdiktions- og afhængighedsvurdering omfatter juridisk enhed, moderselskab og underdatabehandlere for hvert system.
Kilder
- GDPRchat (FRITS AI ApS): Transparency, kontrolleret af udbyderen 17. september 2026, hentet 30. oktober 2026. https://gdprchat.eu/transparency
- GDPRchat: forside, hentet 30. oktober 2026. https://gdprchat.eu
- GDPRchat: Privacy Policy, opdateret 25. oktober 2026. https://gdprchat.eu/privacy
- Qwen (Alibaba Cloud): organisationsside på Hugging Face, hentet 30. oktober 2026. https://huggingface.co/Qwen
- Google DeepMind: Gemma, hentet 30. oktober 2026. https://ai.google.dev/gemma
- OpenAI: gpt-oss-120b på Hugging Face, hentet 30. oktober 2026. https://huggingface.co/openai/gpt-oss-120b
- snowLEX Oy: Privacy Policy, virkning fra september 2026. https://snowlex.eu/en/privacy
- snowLEX Oy: Authorized Sub-processors, opdateret 16. september 2026. https://snowlex.eu/en/sub-processors
- snowLEX Oy: forside, hentet 30. oktober 2026. https://snowlex.eu/en
