Anthropic låter företag behålla egen data

Anthropic krävde 30 dagars lagring för att fånga cyberattacker

Sedan juni 2026 kräver Anthropic 30 dagars lagring av viss användar- och företagsdata som genereras på bolagets mest kapabla modeller, en förändring från den kortare standardperiod som de flesta kunder hade vant sig vid. Det angivna syftet är avgränsat: att upptäcka cyberattacker som använder Claude, inte allmän datainsamling. Anthropic och andra ledande AI-laboratorier har dokumenterat fall där deras modeller använts inom autonoma eller halvautonoma attackkampanjer, från spaning till generering av exploateringskod till samordningssteg som tidigare krävde en mänsklig operatör i varje steg. Ett rullande 30-dagarsfönster ger Anthropics säkerhetsteam tillräcklig historik för att upptäcka ett mönster över flera sessioner som en enskild interaktion aldrig skulle avslöja, och sedan agera innan en attackkampanj slutförs. Det är avvägningen i centrum av den här historien: bättre attackdetektion, i utbyte mot ett längre fönster där företagsdata befinner sig utanför kundens direkta kontroll.

Mer än 100 företagskunder protesterade, Salesforce bland dem

Det obligatoriska lagringsfönstret föll inte i god jord hos Anthropics största kunder, och mer än 100 företagskonton reste invändningar, med Salesforce specifikt nämnt bland dem. Deras oro gällde inte de 30 dagarna som säkerhetsåtgärd, utan förlusten av kontroll över var den datan fysiskt fanns när den lämnade de egna systemen och låg på Anthropics infrastruktur under den föreskrivna perioden. För ett företag med huvudkontor inom EU, eller vilket bolag som helst som behandlar europeisk persondata enligt GDPR, är det ingen abstrakt oro. Dataskyddsteam måste konkret kunna säga vilken jurisdiktion en given datamängd befinner sig i, vem som kan komma åt den och på vilken rättslig grund, och ett leverantörsägt 30-dagars lagringsfönster på servrar utanför kundens eget molnbestånd komplicerar vart och ett av de svaren. Företagens inköps- och juridikteam drev frågan tillräckligt hårt och tillräckligt länge för att det skulle bli ett designproblem som Anthropic var tvunget att lösa, snarare än ett klagomål att hantera.

Anthropic bygger ett sätt att behålla den datan i kundens eget moln

Bloomberg rapporterade den 20 augusti 2026 att Anthropic nu bygger ett system som skulle låta företagskunder behålla sin obligatoriskt lagrade 30-dagarsdata på egen molninfrastruktur i stället för på servrar som Anthropic driver. PYMNTS, MarketScreener och itnews.com.au har sedan dess återgett eller bekräftat Bloombergs rapport, och Anthropic ska enligt uppgift samordna direkt med de mer än 100 berörda kunderna, Salesforce inräknat, om hur systemet ska fungera. Vid tidpunkten för den här artikeln har Anthropics egen nyhetsredaktion inte publicerat något om förändringen; det senaste inlägget på anthropic.com/news, daterat den 14 augusti 2026, handlar om ett annat ämne, Claudes textvattenstämpel. Detta är tills vidare källbaserad rapportering, inte ett besked från leverantören, och lanseringen väntas senare under 2026.

Skillnaden i den tabellen betyder mer än den ser ut att göra: själva kravet ändrades inte, bara platsen där den resulterande datan får finnas, och nästa avsnitt förklarar varför just den skillnaden är hela poängen.

Att flytta ägandet är inte detsamma som att undgå regeln

Det vore lätt att läsa detta som att Anthropic tyst backar från lagringskravet, men det är inte vad som byggs. Kravet på 30 dagars lagring finns eftersom säkerhetsfunktionen behöver ett historikfönster för att upptäcka attackmönster, och inget i den rapporterade utformningen tar bort det fönstret eller den funktionen. Det som förändras är ägandet: datan lagras fortfarande i samma syfte, enligt samma tidsplan, men på infrastruktur som företagskunden kontrollerar i stället för på Anthropics egna servrar. Anthropic behöver fortfarande tillräcklig insyn i den lagrade datan för att köra sin cyberattackdetektion, vilket för detta närmare en modell med delat ansvar, till andan lik hur molnleverantörer delar säkerhetsuppgifter med sina kunder, än en riktig utträdesväg. För ett EU-företag som utvärderar detta är den ärliga beskrivningen: datan förblir under obligatorisk lagring i vilket fall som helst, och det som vinns är jurisdiktion och fysiskt ägande, inte ett undantag från själva säkerhetspolicyn.

Vad ett europeiskt företag som fortfarande tvekar om Anthropic bör göra nu

För en EU- eller UK-företagare som just nu överväger om bolaget ska ta Anthropics mest avancerade modeller i bruk, är det praktiska svaret att inte per automatik byta till en renodlat europeisk leverantör enbart på grund av den här frågan. Dataresidens spelar roll, men ett avhoppsbeslut som fattas i dag, innan alternativet med ägande i kundens eget moln ens finns tillgängligt, stänger dörren till ett alternativ som direkt svarar på den invändning som de flesta ägare faktiskt har. Nästa mer användbara steg är att fråga sin befintliga Anthropic-kontakt om den konkreta lanseringsplanen för den egna regionen och avtalsnivån, och att få skriftligt vilken infrastruktur och vilka certifieringar som kommer att kvalificera som ett godkänt kundmoln när funktionen väl lanseras. Om ett företag i dag verkligen inte kan tolerera någon leverantörsägd lagring, på någon infrastruktur, är det en verklig begränsning värd att agera på nu; men om invändningen specifikt handlar om att inte veta var datan fysiskt finns, har Anthropics egna största kunder just fått Anthropic att bygga ett direkt svar på det, och det är värt att vänta några månader för att använda det i stället för att byta leverantör på grund av ett problem som redan håller på att lösas.

Läs vidare: Fem AI-Kodagenter Tävlar Nu Inuti Din Slack  |  AI-butikschefen som avskedade en människa