Amerikansk cloud, GDPR og digital suverænitet

Hvad der faktisk gælder — og hvad danske virksomheder kan gøre

Status: august 2026

1. Tre korte sætninger, der opsummerer det hele

Forslag A — den juridiske:

"Det afgørende er ikke, hvor dine data ligger, men hvilken jurisdiktion der kan tvinge nogen til at udlevere dem."

Forslag B — den pragmatiske:

"Amerikansk cloud er lovligt i dag, men juridisk skrøbeligt — så byg din arkitektur, så du kan overleve, at grundlaget forsvinder."

Forslag C — den provokerende (til en klumme):

"Microsofts europæiske datagrænse flytter serverne, ikke retsordenen. Det er datalokalisering med suverænitetsbranding."

En variant, hvis du vil have alle tre pointer i én sætning:

"Data residency er et geografisk løfte, suverænitet er et juridisk spørgsmål — og de to ting bliver systematisk forvekslet i markedsføringen."

2. Hvor din grundopfattelse holder — og hvor den ikke gør

Din intuition rammer den rigtige konklusion, men via en mekanisme, der ikke helt er den, loven bruger. Det er værd at få præcist, fordi forskellen har konkrete konsekvenser for, hvad du kan og ikke kan i en leverandørvurdering.

Det holder ikke: "få procents amerikansk ejerskab udløser GDPR-begrænsninger"

Der findes ingen ejerandelstærskel i GDPR. Ingen 5 %-, 25 %- eller 50 %-regel. Ordet "ejerskab" optræder ikke som udløsende faktor nogen steder i forordningen.

Hvis Microsoft eller Google ejer 4 % af en dansk hostingvirksomhed som passiv finansiel investor, gør det i sig selv ikkeden danske virksomhed underlagt CLOUD Act. CLOUD Act rammer udbydere, der er under amerikansk jurisdiktion, og som har "possession, custody, or control" over data. Det kræver som udgangspunkt enten:

at virksomheden selv er amerikansk eller har substantiel amerikansk tilstedeværelse, der giver personel jurisdiktion, eller
at et amerikansk moderselskab har reel kontrol over datterselskabet og dermed over dets data.

En minoritetspost uden bestemmende indflydelse opfylder normalt ingen af delene.

Men — og her har din intuition en pointe: det bliver hurtigt gråzone. Har minoritetsaktionæren vetoret, bestyrelsesposter, kontrol over nøglepersoner, eller er den underliggende teknologi licenseret på en måde, der giver operationel afhængighed? Så begynder "control" at kunne argumenteres. Og selv uden juridisk kontrol skaber ejerskabet en afhængigheds- og påvirkningsrisiko, som er relevant for NIS2-leverandørkædevurderinger, for CADA (se afsnit 5) og for FDI-screening — bare ikke for GDPR kapitel V.

Det holder heller ikke helt: "europæisk ejet + europæiske servere = mindre restriktivt"

GDPR gælder fuldt ud for en dansk leverandør med danske servere. Du skal stadig have behandlingsgrundlag, databehandleraftale, artikel 32-sikkerhed, DPIA hvor relevant, sletteregler og det hele.

Det, der bortfalder, er specifikt:

Kapitel V (tredjelandsoverførsler): intet overførselsgrundlag, ingen Transfer Impact Assessment, ingen supplerende foranstaltninger.
Konflikten mellem to retsordener: ingen risiko for at leverandøren står i valget mellem at bryde amerikansk lov eller EU-ret.

Det er ikke "mindre restriktivt" — det er færre bevægelige dele. Forskellen er reel og betydelig, men den handler om ét kapitel, ikke om hele forordningen.

Det holder: "Schrems-sporet betyder noget, uanset hvor serverne står"

Her har du fat i kernen. Det er det centrale.

3. Det juridiske maskinrum

De tre amerikanske hjemler, der skaber problemet

Hjemmel	Hvad den gør	Hvem den rammer
CLOUD Act (2018)	Amerikanske myndigheder kan kræve data udleveret af amerikanske udbydere, uanset hvor data fysisk ligger	Udbydere under amerikansk jurisdiktion — inkl. via kontrol over datterselskaber
FISA 702	Efterretningsindsamling rettet mod ikke-amerikanere uden for USA	"Electronic communications service providers" — hvilket cloududbydere typisk er
EO 12333	Præsidentiel bemyndigelse til efterretningsindsamling uden for USA	Bredt; ingen domstolskontrol

Datatilsynets position i cloud-vejledningen er værd at kende ordret i substans: tilsynet lægger til grund, at FISA 702 og EO 12333 som udgangspunkt finder anvendelse på cloudleverandører, og at danske dataansvarlige typisk behandler oplysninger om "non-US persons" — altså præcis den persongruppe, FISA 702 er rettet mod. Man kan med andre ord ikke argumentere sig ud af det med, at "vores data er ikke interessante".

Den skelnen, der afgør din compliance-model

Datatilsynet har en vigtig sondring, som mange overser:

Utilsigtet overførsel: Hvis leverandøren udleverer data på en CLOUD Act-anmodning uden for din instruks, er det ikke en tredjelandsoverførsel i kapitel V-forstand — det er et brud på behandlingssikkerheden efter artikel 32. Du som dataansvarlig hæfter for, at data ikke gøres tilgængelige for uvedkommende.

Tilsigtet overførsel: Hvis databehandleraftalen indeholder et forbehold om, at leverandøren kan udlevere data til tredjelandsmyndigheder — hvilket standardvilkår hos de store ofte reelt gør — så er det ikke længere "utilsigtet". Så er det en aftalt overførsel, der kræver kapitel V-grundlag.

Som Allan Frank fra Datatilsynet har formuleret det: skriver du under på en kontrakt, hvor der står, at leverandøren udleverer oplysninger til USA, så har du aftalt en overførsel til USA.

Praktisk konsekvens: Læs databehandleraftalens afsnit om myndighedsanmodninger, før du læser markedsføringsmaterialet.

EDPB om artikel 48

EDPB udsendte i juni 2025 retningslinjer, der præciserer, hvordan EU-baserede virksomheder skal håndtere anmodninger fra tredjelandsmyndigheder. Hovedbudskabet: en udenlandsk retskendelse er ikke i sig selv et lovligt grundlag. Du skal have både et artikel 6-behandlingsgrundlag og et kapitel V-overførselsgrundlag. Den korrekte kanal er MLAT (gensidig retshjælp), ikke direkte efterlevelse.

Det er en pæn teori. I praksis efterlever amerikanske udbydere amerikanske kendelser.

Data Privacy Framework: lovligt i dag, skrøbeligt i morgen

Dette er den vigtigste faktuelle korrektion til den udbredte "amerikansk cloud er ulovligt"-fortælling.

Juli 2023: Kommissionen vedtager tilstrækkelighedsafgørelsen for EU-US Data Privacy Framework. Overførsler til DPF-certificerede amerikanske virksomheder er lovlige uden yderligere grundlag.
3. september 2025: Retten (T-553/23, Latombe mod Kommissionen) frifinder Kommissionen. Retten fandt, at Data Protection Review Court giver tilstrækkelige garantier for uafhængighed efter chartrets artikel 47, og at masseindsamling opfylder Schrems II-standarden, forudsat efterfølgende domstolskontrol.
Vigtig detalje: Retten begrænsede udtrykkeligt sin prøvelse til situationen på vedtagelsestidspunktet i 2023 og afviste at forholde sig til udviklingen efter. Samtidig understregede den, at Kommissionen har en løbende overvågningspligt efter artikel 45, stk. 4.
31. oktober 2025: Latombe appellerer til EU-Domstolen (C-703/25 P) med fire anbringender. Sagen verserer.

Hvad det betyder for dig: Retsgrundlaget er intakt lige nu. Men det er tredje gang, et transatlantisk rammeværk står foran EU-Domstolen, og de to foregående (Safe Harbor, Privacy Shield) blev underkendt. Dertil kommer, at forudsætningerne siden 2023 er blevet svækket — bl.a. har afskedigelserne i PCLOB i januar 2025 rejst spørgsmål om, hvorvidt de amerikanske tilsynsstrukturer stadig fungerer som forudsat.

Den rigtige planlægningsantagelse er ikke "DPF falder" og heller ikke "DPF holder". Det er: "DPF kan falde, og jeg skal kunne håndtere det uden at min forretning stopper."

4. Microsofts modtræk — hvad de løser, og hvad de ikke løser

EU Data Boundary

Formelt tilsagn om at lagre og behandle kundedata, personidentifikatorer og supportdata inden for EU/EFTA på tværs af Azure, Microsoft 365, Dynamics 365 og Power Platform. I 2026-opdateringerne er også AI-databehandling end-to-end bragt ind i grænsen — hvilket lukker et reelt hul, der opstod med Copilot.

Hvad det løser: Datalokalisering. Færre unødvendige datastrømme ud af Europa. Reduceret sandsynlighed for adgang. Rigtig meget af den operationelle støj.

Hvad det ikke løser: Jurisdiktion. Microsoft er et amerikansk selskab. CLOUD Act følger udbyderens kontrol, ikke datas geografi.

Det mest afklarende øjeblik i hele debatten kom i juni 2025, da Microsoft Frankrigs direktør for offentlige og juridiske anliggender under ed for det franske Senat ikke kunne garantere, at data fra franske offentlige kunder i franske Microsoft-datacentre aldrig ville blive overgivet til amerikanske myndigheder uden fransk samtykke.

Det er ikke en kritikers påstand. Det er leverandørens egen jurist under ed.

De europæiske tilsagn og "Schweiz-tingen"

Det du husker, er reelt to ting, der ofte blandes sammen:

De europæiske digitale tilsagn (april 2025): Fem forpligtelser, herunder et tilsagn om at anfægte enhver ordre om at indstille cloud-leveringen til europæiske statslige kunder — og, hvis en sådan ordre alligevel kom, at arbejde med europæiske partnere for at sikre driftskontinuitet.
Kildekode-deponeringen: En kopi af koden til Microsofts cloudtjenester lægges i deponering hos en schweizisk aktør, så europæiske partnere i teorien kan drive tjenesterne videre, hvis Microsoft blev afskåret fra at levere til Europa.

Det centrale at forstå: Dette adresserer tilgængelighedsrisikoen (kill switch, sanktioner, politisk afbrydelse). Det adresserer ikke fortrolighedsrisikoen (CLOUD Act, FISA 702). Det er to helt forskellige trusselsscenarier, og Microsoft har — ganske dygtigt — leveret et svar på det ene og ladet kommunikationen dække begge.

Og hele konstruktionen hviler på kontraktuelle tilsagn fra et amerikansk selskab. Hvis den amerikanske stat kan tvinge Microsoft til at udlevere data, kan den principielt også tvinge Microsoft til at bryde et kontraktuelt tilsagn.

Suverænitetsspektret — sådan ser markedet reelt ud

Fra mindst til mest afkoblet:

Almindelig public cloud — data kan bevæge sig globalt
Public cloud + EU Data Boundary — data i EU/EFTA, amerikansk drift og jurisdiktion
Sovereign Public Cloud — som ovenfor + skærpede krypterings- og adgangskontroller, europæisk personale i supportkæden
Sovereign Private Cloud — dedikeret, isoleret infrastruktur
Partner-drevne miljøer (fx Bleu i Frankrig, Delos i Tyskland) — europæisk juridisk enhed driver Microsoft-teknologi under licens
Ægte europæiske udbydere — europæisk ejerskab, europæisk teknologi, ingen amerikansk kontrolkæde

Punkt 1–4 løser ikke jurisdiktionsproblemet. Punkt 5 reducerer det væsentligt, men afhænger af licenskædens robusthed — og af, at operatøren reelt kan drive miljøet uden amerikansk indgriben. Punkt 6 løser det, men koster typisk funktionalitet, økosystem og integration.

Krypteringsparadokset — den vigtigste tekniske pointe

Der er en fælde her, som mange løsningsforslag falder i.

Kryptering virker for lagring. Har du dine nøgler i en HSM uden for udbyderens miljø (hold your own key), og bruger du clouden som lager, kan udbyderen udlevere ciphertext og ikke andet. Datatilsynets egen vejledning bruger netop et sådant eksempel.

Kryptering virker ikke for SaaS. Microsoft 365 skal indeksere din SharePoint for at kunne søge. Exchange skal læse din mail for at filtrere spam. Copilot skal behandle indholdet i klartekst for at generere output. Der findes ingen kryptering, der tillader fuld funktionalitet og samtidig holder udbyderen ude af klarteksten.

Og: kundestyrede nøgler i Azure Key Vault ligger stadig i Microsofts infrastruktur. Du styrer rotation. Du er ikke uden for rækkevidde.

Konsekvens: Jo mere værdi du henter ud af en cloudtjeneste, jo mindre kan kryptering beskytte dig. Det er en direkte modsætning, ikke en implementeringsdetalje. Confidential computing flytter grænsen lidt, men lukker den ikke.

5. Det nye lag: fra databeskyttelse til industripolitik

GDPR er ikke længere det eneste — eller vigtigste — regelsæt på området.

Cloud and AI Development Act (CADA)

Kommissionen fremlagde 3. juni 2026 sin europæiske teknologisuverænitetspakke med CADA som omdrejningspunkt. Det centrale element er en firetrins suverænitetsramme, som offentlige myndigheder skal bruge i risikovurdering og indkøb:

Niveau 1–2: EU-databehandling, dokumenteret uafhængighed af tredjelande, gennemsigtighed i softwareforsyningskæden
Niveau 3: EU-ejerskab og EU-kontrol, plus yderligere krav — bl.a. om personalets statsborgerskab
Øverste niveau: reelt utilgængeligt for amerikansk-kontrollerede udbydere

Udbydere kan anerkendes under rammen efter audit i en medlemsstat. Tidsplanen er lang — første niveau ventes at gælde fra 2028, det højeste fra 2029 — og lovgivningsprocessen er ikke afsluttet.

Hvorfor det betyder noget nu: Det gør suverænitet til et indkøbskriterium i stedet for en holdning. Og det kaskaderer: private leverandører til det offentlige bliver bundet af kravene gennem kontrakterne. Hvis du leverer til danske myndigheder, kommer det til dig — også selvom du ikke selv er offentlig.

De øvrige regelsæt, der spiller ind

Data Act (anvendelig fra september 2025): Ret til leverandørskift, ophør af udtrædelsesgebyrer, krav om interoperabilitet — og bestemmelser om beskyttelse mod ulovlig tredjelandsmyndighedsadgang til ikke-personoplysninger. Det er det juridiske instrument, der gør exit-planer realistiske i stedet for teoretiske.
NIS2 (dansk implementering i kraft): Leverandørkæderisiko er et selvstændigt krav. Koncentrationsrisiko på én cloududbyder er en NIS2-risiko, ikke kun en GDPR-risiko.
DORA (finansiel sektor, i kraft siden januar 2025): Krav om exit-strategier for kritiske IKT-leverandører og registre over tredjepartsaftaler.
AI-forordningen: Tidsplanen for højrisikosystemer i bilag III er udskudt til december 2027 via AI-omnibussen, men GPAI-forpligtelserne har været gældende siden august 2025.

Danmark

Digitaliseringsministeriet er gået fra Microsoft Office til LibreOffice — startet sommeren 2025, gennemført i løbet af året. København og Aarhus havde meldt lignende planer ud forinden.
"Digital suverænitet" er prioritet i den fælles digitaliseringsstrategi mellem stat, regioner og kommuner.
PA Consultings rapport "Digital suverænitet i den offentlige sektor" (februar 2026), bestilt af Digitaliseringsministeriet, Digitaliseringsstyrelsen, KL og Danske Regioner, konkluderer nøgternt: der findes reelle europæiske alternativer til software og cloud, men i langt mindre grad til fysisk it-infrastruktur — og fuld digital suverænitet er ikke opnåelig på kort sigt.
FE's trusselsvurdering fra december 2025 skriver det direkte: USA bruger sin økonomiske og teknologiske styrke som magtmiddel — også over for allierede.

Bemærk det sidste. Når efterretningstjenesten skriver det i en offentlig vurdering, er det ikke længere en aktivistposition. Det er en trusselsvurdering, du kan citere i en risikoanalyse.

6. Hvad danske virksomheder reelt kan gøre

Den ærlige ramme: du kan ikke gøre problemet væk. Du kan gøre det håndterbart, dokumenteret og proportionalt.Nedenstående er rækkefølgen, jeg ville arbejde i.

Trin 1: Dataklassifikation — det er her det hele afgøres

Alt andet er spild af tid, indtil dette er på plads. Ikke en generisk tre-niveau-model, men en model med konkrete konsekvenser:

Kategori	Eksempler	Placering
Rød	Særlige kategorier (helbred, fagforening), CPR i stor skala, kildebeskyttelse, forretningskritiske hemmeligheder, sikkerhedsrelateret materiale	Ikke i amerikansk-kontrolleret cloud. Punktum.
Gul	Almindelige personoplysninger om kunder/medarbejdere, intern kommunikation	Amerikansk cloud med EU-datagrænse + kompenserende foranstaltninger + dokumenteret vurdering
Grøn	Offentligt materiale, anonymiserede data, marketing	Uproblematisk

Den typiske organisation opdager, at 5–15 % af data er rød. Det er en helt anden og langt billigere opgave end "vi skal ud af Microsoft".

Trin 2: Skil de to risici ad

Bland dem aldrig sammen i samme analyse:

Fortrolighedsrisiko: Kan en fremmed myndighed få adgang til indholdet? → Løses med jurisdiktionsvalg og kryptering med egne nøgler.
Tilgængelighedsrisiko: Kan tjenesten forsvinde af politiske grunde? → Løses med exit-planer, dataportabilitet og alternativer i beredskab.

De fleste leverandørers "suverænitetstilbud" adresserer overvejende det andet.

Trin 3: Vurder leverandøren, ikke markedsføringen

Konkrete spørgsmål, der skal have skriftlige svar:

Hvilken juridisk enhed er min medkontrahent, og hvor er den hjemmehørende?
Hvem er det ultimative moderselskab, og under hvilken jurisdiktion?
Indeholder databehandleraftalen et forbehold for udlevering til tredjelandsmyndigheder? (Det er nøglespørgsmålet.)
Hvilke underdatabehandlere, i hvilke lande, med hvilken adgang?
Kan supportpersonale uden for EU tilgå produktionsdata? Under hvilke betingelser? Med hvilken logning?
Hvor ligger krypteringsnøglerne fysisk og juridisk — og kan leverandøren tilgå dem?
Anfægter leverandøren myndighedsanmodninger, og offentliggøres statistik herom?
Underretter leverandøren mig, hvor det er lovligt — og hvad sker der, når det ikke er lovligt?
Hvad er den dokumenterede exit-proces, i hvilke formater, over hvor lang tid, til hvilken pris?
Hvilken tilstrækkelighedsafgørelse eller hvilket overførselsgrundlag påberåbes — og hvad er reserveplanen, hvis det bortfalder?

Datatilsynets vejledning opererer med en tilsvarende screeningsliste. Brug den; den er myndighedens egen, og det er stærkt i en tilsynssag.

Trin 4: Tekniske foranstaltninger — med realistiske forventninger

Virker: Kundeholdte nøgler i HSM uden for udbyderens miljø (for lagring og filoverførsel). Klientside-kryptering før upload. Pseudonymisering med nøglen holdt lokalt. Segmentering, så rød data aldrig kommer ind i SaaS-laget.

Virker delvist: Confidential computing. Regional behandlingsbinding. Kundestyrede nøgler inden for udbyderens miljø (styrer rotation, ikke rækkevidde).

Virker ikke — bliv ikke solgt til at tro andet: Kryptering i en SaaS-tjeneste, der skal læse indholdet. "Data residency" som svar på et jurisdiktionsspørgsmål. Kontraktuelle løfter alene.

Trin 5: Byg exit ind fra dag ét

Data Act giver dig nu ret til skift. Udnyt det:

Åbne eller veldokumenterede eksportformater som kontraktkrav
Test faktisk en eksport én gang om året — mange opdager først da, at metadata, versionshistorik eller rettighedsstrukturer ikke følger med
Kend din eksportvarighed og dine omkostninger, før du får brug for tallet
Undgå dyb afhængighed af proprietære platformsfunktioner, hvor det er undgåeligt (identitet og workflow-motorer er de værste bindingspunkter)

Det er også den bedste og billigste forsikring mod, at C-703/25 P falder ud til Latombes fordel.

Trin 6: Særligt om AI-tjenester

AI-lagets suverænitetsproblem er skarpere end klassisk cloud, og det bliver undervurderet:

Prompts indeholder ofte langt mere følsomt materiale end brugeren tænker over
Tjenesten skal have klarteksten. Ingen kryptering hjælper
Copilot og tilsvarende har adgang til hele indholdslaget, ikke kun til det, brugeren aktivt deler
Selv med EU-databehandling er modelejerskabet typisk amerikansk

Realistisk håndtering: Enterprise-aftaler uden træning på kundedata, dokumenteret EU-behandling, klare regler for hvad der må i en prompt, teknisk blokering af rød data i AI-integrationer, og logning. Ikke forbud — forbud driver bare brugen over på private konti, hvilket er markant værre.

7. Bundlinjen

Hvis du spurgte mig direkte, ville jeg sige:

Retligt kan danske virksomheder i dag bruge amerikanske cloudtjenester. DPF står ved magt, Retten har frifundet Kommissionen, og Datatilsynet forbyder det ikke. Enhver, der siger noget andet, sælger enten et alternativ eller har ikke fulgt med.

Men grundlaget er skrøbeligt på en måde, der er unik i EU-retten: det er tredje gang på ti år, og de to foregående faldt. Og problemets kerne — at CLOUD Act følger udbyderkontrol og ikke geografi — er ikke løst af nogen, fordi det ikke kanløses med teknik. Det kræver enten en amerikansk lovændring eller en EU-US-eksekutivaftale om dataadgang, og ingen af delene er under reel forhandling.

Derfor er det rigtige svar hverken "amerikansk cloud er forbudt" eller "Microsoft har løst det". Det er:

Klassificer dine data, hold den mest følsomme del uden for amerikansk kontrolkæde, brug amerikansk cloud til resten med dokumenterede kompenserende foranstaltninger, og sørg for at du kan flytte dig inden for 12 måneder, hvis du bliver nødt til det.

Det er dyrere end at gøre ingenting og markant billigere end at migrere alt. Og det er den holdning, der holder både over for Datatilsynet, over for en NIS2-audit og over for en bestyrelse, der spørger, hvad der sker, hvis det politiske klima skifter igen.

8. Hvad der kan flytte billedet

Ting, der er værd at holde øje med:

C-703/25 P — EU-Domstolens afgørelse i Latombe-appellen. Ingen mundtlig forhandling var berammet ved seneste opdatering. En underkendelse vil udløse en akut situation for tusindvis af danske virksomheder.
CADA's endelige tekst og tidsplan — særligt om niveau 3-kravene om EU-ejerskab og personalestatsborgerskab overlever forhandlingerne. USA anser dem for skjult protektionisme, og der lægges pres.
EUCS — den europæiske cybersikkerhedscertificeringsordning for cloud. Suverænitetsniveauet blev fjernet af udkastet i 2024 efter pres fra amerikansk side og industrien; Frankrig presser på for at få det tilbage. CADA overtager reelt en del af dagsordenen.
En eventuel EU-US CLOUD Act-eksekutivaftale — ville være den egentlige løsning. USA har sådanne aftaler med Storbritannien og Australien. Ingen forhandling med EU er i gang.
Kommissionens løbende overvågning af DPF — Retten understregede eksplicit denne pligt. Hvis de amerikanske tilsynsstrukturer svækkes yderligere, er Kommissionen retligt forpligtet til at reagere.
Digital Omnibus — igangværende forenklingsbestræbelser, der kan justere GDPR-forpligtelser. Følg hvad der sker med tredjelandsbestemmelserne.

Rapporten er en teknisk-juridisk redegørelse, ikke juridisk rådgivning. Ved konkrete beslutninger om følsomme datakategorier eller offentlige udbud bør en databeskyttelsesjurist inddrages — særligt fordi CADA-rammen endnu ikke er endelig, og fordi Latombe-appellen kan ændre grundlaget.

Søg i denne blog

AltMuligtUnderligt

EU, AI og alt det umulige i dagens cybersikkerheds-univers: Claude