"EU-hosted" ei riitä: tarkista palveluntarjoajan kotipaikka ennen kuin luotat siihen

Kun arvioit oikeudellisen tekoälyn palvelua, helpoin tapa rauhoittaa oma mieli on lukea myyntisivulta "hosted in the EU" ja siirtyä eteenpäin. Asianajajan kohdalla tuo ei riitä. Palvelinten sijainti kertoo, missä data fyysisesti lepää. Se ei kerro, kenen lainkäyttövaltaan palvelua pyörittävä yhtiö kuuluu. Ja juuri jälkimmäinen ratkaisee, kuka voi laillisesti vaatia pääsyä asiakkaidesi tietoihin.

Miksi yhtiön kotipaikka menee palvelimen sijainnin edelle

Yhdysvaltoihin rekisteröity yhtiö on Yhdysvaltain lainkäyttövallassa riippumatta siitä, missä sen konesalit ovat. Kaksi säädöstä tekee tästä konkreettista:

Kumpikaan ei kysy, missä levyt pyörivät. Ne seuraavat yhtiön sidettä Yhdysvaltoihin. Tämän takia EU-konesali yhdysvaltalaisen emoyhtiön alla ei sulje pois pääsyä — se siirtää vain kysymyksen palvelimelta yhtiörakenteeseen.

Pieni mutta rehellinen tarkennus FISA 702:sta: sen lainsäädännöllinen tilanne on juuri nyt liikkeessä. Pykälä saavutti määräaikaisen päättymispisteensä kesäkuussa 2026 ja sen jatkosta käydään kongressissa vääntöä, mutta käytännön valtuus jatkuu, koska tiedustelutuomioistuimen vuosittaiset valtuutukset on suojattu siirtymäsäännöllä ja ne ovat voimassa vuoteen 2027. Yksityiskohdat voivat siis muuttua; rakenteellinen asetelma — yhdysvaltalaiseen yhtiöön ulottuva pääsy — ei ole hävinnyt mihinkään.

Sama lainkäyttövaltakysymys nousi Schrems II -ratkaisussa (2020), joka kaatoi Privacy Shield -järjestelyn. Nykyinen EU–US Data Privacy Framework antaa siirroille oikeusperustan tänään, mutta sitä haastetaan parhaillaan tuomioistuimissa. En lupaa sinulle, että se kestää — kukaan rehellinen ei voi.

Miten tarkistat sen itse muutamassa minuutissa

Älä luota markkinointisivun lippuemojiin. Selvitä, mikä yhtiö palvelua oikeasti tarjoaa:

1. Yhtiömuoto ja kotipaikka. Etsi käyttöehdoista tai tietosuojaselosteesta rekisteröity yhtiön nimi. "Inc.", "LLC" tai "Corp." viittaa Yhdysvaltoihin; "Oy", "AB", "GmbH" tai "BV" Eurooppaan.

2. Rekisterinumero. Suomalaisella toimijalla on Y-tunnus (tarkistettavissa YTJ:stä). EU-toimijalla löytyy vastaava kansallinen rekisteritunnus.

3. Emoyhtiö. Tämä on se kohta, joka useimmiten unohtuu. EU-tytäryhtiö yhdysvaltalaisen emon alla voi silti kantaa emonsa lainkäyttövaltaa. Etsi konsernirakenne ja perimmäinen omistaja ("ultimate parent").

4. Aliprosessorit. Käy läpi alihankkijalista. Yksikin yhdysvaltalainen ydinkomponentti voi tuoda saman lainkäyttövallan takaovesta sisään.

On rehellistä sanoa, että moni alan oikeudellisen tekoälyn työkalu on rekisteröity Yhdysvaltoihin, vaikka tarjoaisi EU-konesalin. Se ei tee niistä huonoja tuotteita. Se tarkoittaa vain, että lainkäyttövaltakysymys on sinun arvioitavanasi — ei jo ratkaistu.

Entä sertifikaatit?

ISO 27001 ja SOC 2 ovat aitoja ja monelle ostajalle pakollisia, eikä niitä pidä vähätellä. Hyödyllistä on tietää, että ne kuvaavat tiettyä hetkeä tai tarkastusjaksoa: SOC 2 Type 2 katsoo taaksepäin tietyn, vähintään puolen vuoden jakson, ja ISO 27001 toimii kolmen vuoden sykleissä vuosittaisin valvonta-auditoinnein. Nopeasti muuttuva koodi ehtii liikkua näiden tarkastusten välissä, joten jatkuva tietoturva täydentää sertifikaattia — ei korvaa sitä. Lexivon jatkuvasta tietoturvasta ja jatkuvasta tunkeutumistestauksesta vastaa Aikido, belgialainen (EU), Gentissä päämajaansa pitävä tietoturva-alusta.

Lexivon rakenne

Lexivon julkaisee iTech Finland Oy, suomalainen yhtiö. Kotipaikka on Suomi, lainkäyttövalta suomalainen ja EU:n alainen. Tämä ei ole markkinointilause vaan rakenteellinen syy: koska takana ei ole yhdysvaltalaista yhtiötä eikä yhdysvaltalaista emoa, edellä kuvatut yhdysvaltalaiset pääsyvaltuudet — FISA 702 ja CLOUD Act — eivät ulotu Lexivoon. Sama logiikka, jolla pyydän sinua tarkistamaan kuka tahansa muu — sovella se meihin.

---

*Lähteet: CLOUD Act – Wikipedia · Section 702 of FISA – Brennan Center · Schrems II ja EU–US-tiedonsiirrot – IAPP · SOC 2 vs ISO 27001 – Vanta · Aikido Security – Wikipedia*