Hvorfor Europa.

En belgisk advokat åpner laptopen en tirsdag morgen, trykker en snarvei, og dikterer et notat om en kundes ventende oppkjøp. Hun holder knappen, snakker i førti sekunder, slipper. Den polerte teksten lander i e-postutkastet hennes. Hun sender det.

Hun har akkurat eksportert konfidensielle kundedata til en utenlandsk jurisdiksjon. Hun visste ikke at hun gjorde det. Firmaet hennes autoriserte det ikke. Advokatforeningen godkjente det ikke. Dikteringsverktøyet advarte henne ikke, fordi fra verktøyets perspektiv gikk ingenting galt.

Dette er den umerkede standarden i moderne KI-programvare. Lyden reiste gjennom et amerikansk-registrert selskap, ble behandlet i amerikansk-drevet infrastruktur, og er nå underlagt amerikansk lov. Advokatens intensjon spiller ingen rolle. Firmaets compliance-policy spiller ingen rolle. Serverens fysiske plassering spiller ingen rolle. Når stemmen hennes krysser inn i en amerikansk leverandørs pipeline, har den juridiske stillingen til kundens data endret seg.

De fleste som bygger disse verktøyene, og de fleste som bruker dem, finner dette faktum ubehagelig nok til at de heller ikke vil se på det direkte. Så ingen merker det. Så det forblir standarden.

Det finnes en amerikansk lovgivning fra 2018 som heter Clarifying Lawful Overseas Use of Data Act, vanligvis forkortet til CLOUD Act. Den gjør én ting europeiske brukere bør vite om. Den tvinger amerikansk-registrerte selskaper til å overlevere data til amerikansk politi på gyldig forespørsel, uavhengig av hvor dataene fysisk befinner seg.

Les den setningen igjen. Serveren kan stå i Frankfurt. Selskapet kan ha en nederlandsk datterselskap, en fransk DPO, et belgisk salgskontor. Ingenting av det betyr noe. Hvis morselskapet er registrert i Delaware, er dataene tilgjengelige for amerikansk myndighet. CLOUD Act inkluderer også bestemmelser som kan hindre leverandøren i å fortelle kunden at forespørselen ble gjort.

I 2020 fastslo EU-domstolen, i saken vanligvis kalt Schrems II, at EU-USA dataoverføringer under det tidligere Privacy Shield-rammeverket ikke var tilstrekkelige. Domstolens resonnement var, delvis, at europeiske brukere ikke hadde noe effektivt rettsmiddel mot amerikanske overvåkingsmakter. Domstolen oppfant ikke denne bekymringen. Den beskrev en strukturell virkelighet som CLOUD Act allerede hadde bekreftet i lovgivning to år tidligere.

GDPR tilfører sitt eget press. Artikkel 32 forplikter hver dataansvarlig til å sikre sikkerheten ved behandlingen, inkludert mot uautorisert utlevering. Hvis du er ansvarlig, og databehandleren din er amerikansk-registrert, har du et spørsmål på hånden som ingen brukervilkår kan svare fullt ut på.

Du kan diskutere hvor alvorlig en enkelt sak er. Du kan ikke diskutere arkitekturen. USA-rutet diktering er ikke et policy-problem som en bedre kontrakt kan løse. Det er et jurisdiksjonelt problem som krever at dataene aldri krysser grensen i utgangspunktet.

Jeg skriver kode for å leve, og jeg dikterer alt jeg skriver. I den bedre delen av i fjor brukte jeg Wispr Flow. Det fungerer veldig bra. Teamet bak er talentfullt og produktet er genuint bra.

En kveld leste jeg så delen av dokumentasjonen deres som forklarer hvor lyden faktisk går. Jeg leste det to ganger. Jeg lukket laptopen. Jeg satt en stund på balkongen.

Datastien var nøyaktig det jeg burde ha forventet: et amerikansk-registrert selskap, behandling gjennom en amerikansk-driftet modellprovider, med lydbeslutninger tatt av amerikanske ingeniører under amerikansk lov. Det var ingenting galt med engineeringen. Det var ingenting galt med teamet. Det var noe galt med standardinnstillingene, og standardene gjaldt for meg, og de gjaldt for hver belgisk og nederlandsk og tysk konsulent jeg noensinne hadde videresendt lenken til.

Jeg hadde diktert kunde-e-poster gjennom det i månedsvis. Det hadde de også.

Jeg bygget det om.

Olinra kjører på Mistral-modeller driftet i EU. API-en er en Fastify-server i et Hetzner-datasenter i Nürnberg. Autentisering er Supabase i Frankfurt. Lydbytene strømmer rett inn i Voxtral-forespørselen og forkastes i det øyeblikket svaret kommer. Det er ingen S3-bøtte, ingen varm cache, ingen transkripsjon som lever på en disk noe annet sted enn på din egen maskin. Arkitekturen er merkevaren, og merkevaren er arkitekturen.

Hvis noe av det noensinne slutter å være sant, er merkevaren over. Jeg er så seriøs med det.

Olinra er ett selskaps svar for én produktkategori. Diktering er en smal overflate. Poenget med denne siden er ikke å argumentere for at europeiske brukere bør bytte dikteringsverktøy. Poenget er å argumentere for at europeiske brukere bør slutte å behandle USA-standardruting som uunngåelig, i hver produktkategori de berører.

Den europeiske programvarebransjen har, for det meste, ikke bygget rundt denne antagelsen. Den amerikanske programvarebransjen har, av forståelige grunner, heller ikke bygget rundt den. Så noen må begynne, og utgangspunktet er små nyttige produkter som tar en stilling og beviser at stillingen kan holdes.

Olinra er mitt. Det vil komme andre. Krev dem av programvaren du bruker.