EU:n uusi pilvilaki voimaan — mitä neliportainen suvereniteettiluokitus tarkoittaa yrityksellesi
elokuu 2026 · Sivukas
4. elokuuta 2026 astui voimaan EU-asetus, jota on valmisteltu koko kevään: Cloud and AI Development Act. Se on osa laajempaa teknologiasuvereniteettipakettia, ja sen näkyvin uutuus on neliportainen suvereniteettiluokitus pilvipalveluille.
Uutisointi on ollut joko hyvin teknistä tai hyvin dramaattista. Tämä teksti on kumpaakaan olematta: mitä laissa oikeasti lukee, ketä se koskee, ja mitä suomalaisen pienyrittäjän kannattaa — ja ei kannata — tehdä sen takia.
Mikä laki tämä on?
Komissio hyväksyi ehdotuksen 3. kesäkuuta 2026, asetus julkaistiin EU:n virallisessa lehdessä 15. heinäkuuta ja se tuli voimaan 4. elokuuta. Asetuksella on kolme päälinjaa: tutkimus ja kehitys, kapasiteetti (tavoitteena vähintään kolminkertaistaa EU:n konesalikapasiteetti 5–7 vuodessa) ja autonomia — eli se osa, joka meitä tässä kiinnostaa.
Autonomiaosuuden ydin on yksi yhteinen EU-laajuinen kehikko, jolla pilvipalvelun suvereniteettia arvioidaan. Ennen tätä jokainen hankintayksikkö tulkitsi asiaa itse: yksi vaati konesalin kotimaasta, toinen tyytyi ”EU-alueeseen”, kolmas ei kysynyt mitään. Nyt on yksi asteikko.
Neljä tasoa selkokielellä
Tasot ovat portaittaisia: ylempi taso sisältää alempien vaatimukset. Olennaista on, että asteikko siirtyy maantieteestä valtaan — mitä ylemmäs mennään, sitä vähemmän kysytään missä palvelin on ja sitä enemmän kuka sitä komentaa.
| Taso | Mitä vaaditaan | Mihin kysymykseen vastaa |
|---|---|---|
| Taso 1 | Data käsitellään ja säilytetään EU:ssa sijaitsevassa infrastruktuurissa | Missä data on? |
| Taso 2 | Osoitettu riippumattomuus kolmansista maista + läpinäkyvyys ohjelmistotoimitusketjuun | Kuka voi vaatia siihen pääsyä? |
| Taso 3 | Omistus ja määräysvalta EU:sta, lisäkriteerejä kuten henkilöstön kansalaisuus | Kuka omistaa ja hallitsee? |
| Taso 4 | Täysi läpinäkyvyys ja hallinta ohjelmistotoimitusketjuun, ei kolmannen maan vaikutusta | Voiko ketjussa olla yllätyksiä? |
Luokitus on tarkoitettu julkisen sektorin toimijoille, jotka valitsevat tason oman riskiarvionsa perusteella. Palveluntarjoaja voi saada tunnustuksen tasolle jäsenvaltiolta auditoinnin jälkeen. Tämä yksityiskohta kannattaa painaa mieleen — palaamme siihen alempana.
Miksi tämä koskee myös yritystä, joka ei myy valtiolle?
Suoraan se ei koske. Mutta kolmea reittiä pitkin se tulee lähemmäs kuin ensin luulisi.
1. Alihankintaketju. Kun kunta tai virasto kilpailuttaa palvelun, vaatimus valuu toimittajalle — ja toimittajalta sen alihankkijoille. Jos teet töitä yritykselle, joka myy julkiselle sektorille, kysymys ”missä teidän datanne on” päätyy ennen pitkää sinulle. Vastaus kannattaa olla valmiina, ja mieluiten muutakin kuin ”öö”.
2. Kysymyksestä tulee tapa. Kun julkiset ostajat tottuvat kysymään suvereniteettitasoa, sama kysymys leviää yksityisiin kilpailutuksiin — samalla tavalla kuin tietosuoja-asetus teki tietosuojaselosteesta vakiokysymyksen myös siellä, missä laki ei sitä vaatinut.
3. Kaikki eivät voi vastata. Kysymyksen voima on siinä, että osalle toimijoista vastaus on rakenteellisesti hankala. Yhdysvaltalaisen emoyhtiön EU-tytäryhtiö voi täyttää tason 1 vaivatta — konesali on Frankfurtissa — mutta ylemmillä tasoilla kysytään omistusta ja määräysvaltaa, eikä sitä muuteta konesalivalinnalla. Tämä on koko asteikon kova ydin.
Aikataulu: mitään ei tapahdu vielä
Laki on jo voimassa, mutta velvoitteet eivät. Käytännön aikataulu on hidas, ja se on hyvä uutinen — ehtii varautua.
| Ajankohta | Mitä tapahtuu |
|---|---|
| 4.8.2026 | Asetus voimaan. Kehikko on olemassa, velvoitteita ei vielä. |
| 2/2028 | Taso 1 vähimmäisvaatimuksena julkisen sektorin hankinnoissa. |
| 8/2029 | Tiukin taso pakollinen herkimmissä käyttötapauksissa. |
Kahdeksantoista kuukautta on pitkä aika sivustolle. Se on lyhyt aika konesalille, hankintasopimukselle ja järjestelmämigraatiolle — ja juuri siksi asiaa aletaan kysellä paljon ennen määräpäiviä.
Kolme väärinkäsitystä, jotka kannattaa ohittaa
”Meillä on EU-region, eli olemme kunnossa.” EU-region riittää tasoon 1. Se on asteikon alin porras eikä ota kantaa siihen, kuka dataan voi laillisesti päästä käsiksi. Juuri tämän eron takia asteikossa on neljä porrasta eikä yksi.
”Palveluntarjoajallamme on jo taso 3.” Ei ole, eikä kenelläkään muullakaan elokuussa 2026. Tunnustuksen myöntää jäsenvaltio auditoinnin jälkeen, eikä auditointimenettely ole vielä käynnissä. Jos joku ilmoittaa tasonsa jo nyt, kyse on omasta tulkinnasta — kysy siltä, millä auditoinnilla ja kenen myöntämänä.
”Tämä on GDPR uudestaan, eli paperityötä.” Päinvastoin kuin tietosuoja-asetus, tämä ei tuo pienelle yritykselle uusia dokumentointivelvoitteita. Se on ostajan työkalu, ei yleinen velvoite. Ainoa mitä siitä seuraa sinulle on kysymys, johon on hyvä osata vastata.
Kolme kysymystä, joilla tarkistat oman tilanteesi
Nämä kannattaa lähettää nykyiselle kotisivu- tai palvelintoimittajallesi. Yksi sähköposti, ja vastaus kertoo enemmän kuin mikään esite.
1. Missä maassa sivustoni tiedostot ja varmuuskopiot fyysisesti sijaitsevat? Huomaa erikseen varmuuskopiot — ne matkustavat yllättävän usein eri suuntaan kuin itse sivusto.
2. Minkä maan lainsäädännön alainen palvelun tarjoava yhtiö ja sen emoyhtiö ovat? Tämä on se kysymys, joka erottaa tason 1 ja tason 2 toisistaan.
3. Mitä kolmansia osapuolia sivustoni lataa kävijän selaimeen? Fontit, analytiikka, kartat, chat-ikkunat, upotetut videot. Sivusto voi olla suomalaisella palvelimella ja lähettää silti jokaisen kävijän IP-osoitteen kolmeen eri maahan.
Miten me teemme sen
Sivukkaan asiakassivustot ovat suomalaisen yhtiön konesalissa Helsingissä, ja sivustot rakennetaan niin, ettei niissä ole kolmannen osapuolen komponentteja: fontit tarjoillaan omalta palvelimelta, kävijämittaus pyörii omalla palvelimellamme, evästeitä ei aseteta. Kysymykseen 3 vastaus on siis lyhyt — ei mitään.
Emme väitä mitään suvereniteettitasoa, koska kukaan ei voi vielä väittää: luokitus edellyttää auditointia ja jäsenvaltion tunnustusta. Kerromme sen sijaan tosiasiat — sijainnin, yhtiön kotimaan ja sen mitä sivusto lataa — ja jokainen voi verrata niitä asteikkoon itse. Kun luokitusmenettely aukeaa, kerromme missä mennään.
Usein kysytyt kysymykset
Koskeeko uusi pilvilaki pientä yritystä?
Ei suoraan. Luokitusta käyttävät julkisen sektorin ostajat hankinnoissaan. Välillisesti se koskee jokaista, joka myy julkiselle sektorille tai sen alihankkijalle: silloin sinulta voidaan kysyä, missä ja kenen hallussa palvelusi data on.
Mikä on ero tason 1 ja tason 2 välillä?
Taso 1 katsoo maantiedettä: data käsitellään ja säilytetään EU:ssa. Taso 2 katsoo valtaa: palveluntarjoajan on osoitettava riippumattomuus kolmansista maista ja avattava ohjelmistotoimitusketjunsa. Konesali Frankfurtissa riittää tasoon 1 muttei tasoon 2.
Onko jollain palveluntarjoajalla jo suvereniteettitaso?
Ei elokuussa 2026. Tunnustuksen myöntää jäsenvaltio auditoinnin jälkeen, eikä auditointimenettely ole vielä käynnissä. Jos joku mainostaa jo nyt CADA-tasoa, kyseessä on oma tulkinta eikä virallinen luokitus.
Pitääkö kotisivut siirtää nyt?
Ei kiireellä. Kannattaa kuitenkin tietää missä sivustosi on: kysy nykyiseltä palveluntarjoajaltasi konesalin sijainti, emoyhtiön kotimaa ja kuka voi laillisesti vaatia pääsyä dataan. Vastaus kestää yhden sähköpostin, ja se on hyvä tietää muutenkin.
Yhteenveto
Datan sijainnista puhuttiin pitkään mielipiteenä. Tänään siitä tuli asteikko, jota julkiset ostajat käyttävät — ja asteikot leviävät. Pienyrittäjän ei tarvitse tehdä tänään mitään, mutta kolmen kysymyksen vastaukset kannattaa tietää ennen kuin joku muu ehtii kysyä ne.
Jos et tiedä missä sivustosi on, kysy meiltä — katsomme sen puolestasi, vaikket olisi asiakkaamme.
Lähteet
- Euroopan komissio: Cloud and AI Development Act (neljän tason määritelmät, kolme päälinjaa, konesalikapasiteetin tavoite)
- Euroopan komissio: Proposal for the Cloud and AI Development Act (CADA) (hyväksytty 3.6.2026)
- Inside Global Tech: The EU Cloud and AI Development Act in Depth (11.6.2026)
- BISI: EU Cloud and AI Development Act — Sovereignty, AI and US Tech Dependence (soveltamisaikataulu)
— Sivukas