- Det här kräver det av er
- Ni är personuppgiftsansvariga. Ett biträdesavtal enligt artikel 28 krävs, och en personuppgiftsincident anmäls till IMY senast 72 timmar efter att ni fått vetskap om den.
- Det här bidrar vi med
- Mall för biträdesavtal och underbiträdeslista. Era data i en egen instans inom EU. Loggen bär id:n och hashar, inte namn eller e-post.
Säkerhet och dataskydd
Prövat mot era regler. Loggat innan svaret går ut.
Stacken är ett regellager för AI. Kan en regel inte prövas nekas anropet. Loggen är hashkedjad och avslöjar ändringar i efterhand. Här är det ni behöver för er granskning.
- ISO/IEC 27001Digitalist Open Tech AB, certifierat av DNV
- ISO/IEC 42001Digitalist Open Tech AB, certifierat av DNV
- Drift inom EUHetzner, data i Helsingfors
- BiträdesavtalMall och underbiträdeslista
I korthet.
- Var era data finns
- I ett datacenter i Helsingfors. Backup, tillstånd och loggar kopieras till ett andra datacenter. Styrningen av klustret är fördelad över Helsingfors, Falkenstein och Nürnberg.
- Vem som kör
- Digitalist Open Tech AB bygger Stacken och kör den åt er hos Hetzner, inom EU. Bolaget är certifierat av DNV enligt ISO/IEC 27001 och ISO/IEC 42001.
- Isolering
- Er instans har egna databaser och delar ingen tjänst med andra kunders. Appar runt Stacken körs i egna utrymmen med stängd utgående trafik.
- Modeller
- Modell väljs per AI-tjänst. Väljer ni en modell utanför EU går frågan dit, och det valet står i regeln för tjänsten.
- Logg
- Varje beslut skrivs innan svaret går ut, i en kedja där en ändring i efterhand syns.
Kontrollerna.
Det här gäller i varje instans. Det gäller det som går genom Stacken, inte AI som ni köper från andra leverantörer och som inte går genom dörrarna.
Regler och AI
- Varje modellanrop och verktygsanrop som går genom Stacken passerar en av två dörrar
- Bara modelldörren håller nycklar till modellerna
- Reglerna är skrivna som kod och prövas vid varje anrop
- Kan en regel inte prövas nekas anropet
- Modell väljs per AI-tjänst
- En AI-tjänst provas innan den aktiveras
Spårbarhet
- Varje beslut skrivs i en hashkedjad logg innan svaret går ut
- En ändring i loggen i efterhand syns
- Loggen bär id:n och hashar, inte e-post, namn eller vad som sades
- Kostnaden mäts per AI-tjänst
Åtkomst och identitet
- Inloggning med er egen identitetslösning
- Användare och roller hanteras i er admin
- Behörighet till era system styrs per person eller grupp
Drift och infrastruktur
- Drift inom EU hos Hetzner
- En egen instans per kund, med egna databaser
- Backup, tillstånd och loggar kopieras till ett andra datacenter
- Larm går till en bemannad mottagare
- Zonen är taket för informationsklass
- I röd zon är utgående trafik stängd och åtkomsten begränsad geografiskt
Leveranskedjan
- En ny version når er bara med grönt kvitto från acceptansprovet
- Release notes i klarspråk för varje version
- Programpaketen är signerade och har en förteckning över beståndsdelar (SBOM)
Organisation
- Digitalist Open Tech AB, som bygger och driver Stacken, är certifierat enligt ISO/IEC 27001 för informationssäkerhet
- Samma bolag är certifierat enligt ISO/IEC 42001 för AI, som leverantör av AI-system och AI-tjänster
- Båda certifikaten är utfärdade av DNV
- Publicerad informationssäkerhetspolicy och AI-policy
Så ser loggen ut.
Varje rad bär den föregående radens hash. Därför syns det om en rad ändras eller tas bort i efterhand. Raden visar vem som frågade, vad som prövades och vilken informationsklass anropet hade.
| seqradens nummer | 48 214 |
|---|---|
| actorvem som frågade | usr_7f3a…c2d1 |
| actionbeslutet | neka: regeln kunde inte prövas |
| targetvart anropet skulle | ärendestöd → modell i EU |
| information_ | intern |
| hashradens kontrollsumma | c51d…08f7 |
| prev_ | 9f2c…e41a |
Underbiträden.
| Leverantör | Var | Ändamål |
|---|---|---|
| Hetzner Online | Tyskland, med datacenter i Finland och Tyskland | Drift av er instans |
| Modelleverantörerna ni väljer | Enligt modellen ni väljer per AI-tjänst | Svar från språkmodeller |
Den fullständiga listan följer med biträdesavtalet.
Regelverk.
Lagarna gäller er som verksamhet och oss som leverantör, inte produkten. Här är vad varje regelverk kräver av er och vad vi bidrar med. Uppgifterna är kontrollerade mot EU:s och riksdagens texter i oktober 2026.
AI-förordningen
Tillämpas från 2026-08-02. Kraven för högrisksystem enligt bilaga III från 2027-12-02, efter förordning (EU) 2026/1744
- Det här kräver det av er
- Ni bedömer era användningsfall. Om ett användningsfall är högrisk beror på vad AI-tjänsten används till, inte på Stacken.
- Det här bidrar vi med
- Regler som kod, en logg över varje beslut och provning innan en AI-tjänst aktiveras ger underlag för er bedömning. Digitalist Open Tech AB är certifierat enligt ISO/IEC 42001.
Cybersäkerhetslagen (NIS2)
Gäller sedan 2026-01-15. Omfattar bland annat kommuner och regioner
- Det här kräver det av er
- Riskhantering och incidentrapportering: tidig varning till FRA senast 24 timmar och incidentanmälan senast 72 timmar efter kännedom om incidenten.
- Det här bidrar vi med
- Larm till en bemannad mottagare, loggar per instans och backup i ett andra datacenter. Digitalist Open Tech AB är certifierat enligt ISO/IEC 27001.
Dataförordningen (Data Act)
Tillämpas sedan 2025-09-12. Avgifter för byte av leverantör förbjuds från 2027-01-12
- Det här kräver det av er
- Ni har rätt att byta leverantör av molntjänst och att få med er era data.
- Det här bidrar vi med
- Jurisdiktion: Stacken drivs av Digitalist Open Tech AB, Sverige, hos Hetzner Online, Tyskland, i datacenter i Finland och Tyskland. Hur en övergång går till skriver vi in i avtalet.
Cyberresiliensförordningen (CRA)
Rapporteringsplikt sedan 2026-09-11. Tillämpas fullt från 2027-12-11
- Det här kräver det av er
- Gäller produkter med digitala delar som släpps ut på marknaden. En molntjänst omfattas i regel av NIS2 i stället, enligt skäl 12 i förordningen.
- Det här bidrar vi med
- Stacken levereras som en tjänst. Programpaketen är signerade och har en förteckning över sina beståndsdelar (SBOM).
- Det här kräver det av er
- Ett register över avtal om IKT-tjänster från tredje part, och exitstrategier för tjänster som stöder kritiska funktioner.
- Det här bidrar vi med
- Underbiträdeslista med land och ändamål. Hur en övergång går till skriver vi in i avtalet.
- Det här kräver det av er
- Ett säkerhetsskyddsavtal krävs om en leverantör kan få tillgång till uppgifter som är säkerhetsskyddsklassificerade i klassen konfidentiell eller högre.
- Det här bidrar vi med
- Behöver er verksamhet ett säkerhetsskyddsavtal tar vi det innan avtal, inte efter.
Cloud and AI Development Act (CADA)
Föreslagen av kommissionen 2026-06-03. Inte antagen
- Det här kräver det av er
- Förslaget ger offentliga organisationer nivåer för hur suverän en molntjänst behöver vara, och gör europeiskt mervärde till ett kriterium vid upphandling av moln och AI.
- Det här bidrar vi med
- En svensk leverantör som driver Stacken hos en europeisk molnleverantör, inom EU.
Frågor från dataskyddsombud.
Är Stacken ISO-certifierad?
En ISO-certifiering gäller inte en produkt utan det sätt en leverantör arbetar på, alltså ledningssystemet. Digitalist Open Tech AB, som bygger och driver Stacken, är certifierat av DNV enligt ISO/IEC 27001 för informationssäkerhet och ISO/IEC 42001 för AI. 42001-certifieringen omfattar Digitalists roll som leverantör av AI-system och AI-tjänster.
Var lagras våra data?
I ett datacenter i Helsingfors, i er egen instans. Backup, tillstånd och loggar kopieras till ett andra datacenter inom EU.
Går våra frågor till en modell utanför EU?
Bara om ni väljer en sådan modell för en AI-tjänst. Valet görs per tjänst och står i regeln, så en tjänst med känslig information kan hållas till en modell i EU.
Hur får vi ett biträdesavtal?
Vi har en mall för personuppgiftsbiträdesavtal och en underbiträdeslista. Begär dem här.
Hjälper Stacken oss med AI-förordningen?
Stacken gör inte er bedömning. Den ger underlag: vilka regler som gällde och vilka anrop som gjordes, i en logg där ändringar i efterhand syns. Se regelverken.
Kan vi granska källkoden?
Vi planerar att göra källkoden tillgänglig, så att ni kan granska den och byta driftleverantör. Planen är att varje version blir fri programvara under Apache 2.0 två år efter att den släpptes.
Vad skyddar Stacken inte?
AI som ni köper från andra leverantörer och som inte går genom dörrarna.