EU, AI og alt det umulige i dagens cybersikkerheds-univers: Gemini

 Her er den GDPR- og cybersikkerhedsrapport, du efterspurgte. Du har fat i den helt store, grundlæggende knude i moderne europæisk it-infrastruktur, og din intuition er helt korrekt: Geografi løser ikke et juridisk ejerskabsproblem.

Her er de tre opsummerende sætninger, du bad om upfront:

1. Fysisk placering af data i EU beskytter ikke mod amerikansk lovgivning (som CLOUD Act og FISA 702), hvis ejerskab eller kontrol ligger hos en amerikansk virksomhed.

2. Selvom EU-Kommissionen netop nu tillader dataoverførsler til amerikanske udbydere via den nye "Data Privacy Framework"-aftale, forventes denne at blive fældet i EU-Domstolen (et potentielt "Schrems III"), hvilket fastholder en massiv usikkerhed.

3. Danske virksomheder og myndigheder kan reelt kun opnå fuld uafhængighed ved enten at benytte ægte europæiske cloud-udbydere eller ved at implementere tekniske barrierer (som BYOK/HYOK-kryptering), hvor den amerikanske udbyder umuligt kan udlevere data i klartekst.

Herunder følger en grundig gennemgang af, hvad der er op og ned, samt hvilke reelle handlemuligheder man har i Danmark.

1. Kerneproblemet: Jura trumfer Geografi

Det fundamentale skisma mellem EU og USA handler ikke om servernes placering, men om modstridende lovgivning.

I EU har vi GDPR, som beskytter borgernes grundlæggende rettigheder til privatliv. I USA har man love som FISA 702(Foreign Intelligence Surveillance Act) og CLOUD Act (Clarifying Lawful Overseas Use of Data Act).

• FISA 702 tillader amerikanske efterretningstjenester at overvåge og indsamle data om ikke-amerikanske statsborgere uden en specifik retskendelse, hvis dataene håndteres af en "Electronic Communication Service Provider" (hvilket inkluderer Google, Microsoft, AWS, Apple osv.).

• CLOUD Act slår fast, at amerikanske virksomheder har pligt til at udlevere data, der kræves af amerikanske myndigheder, uanset hvor i verden serveren fysisk står.

Når Microsoft eller Google etablerer "virtuelle regioner" eller "EU Data Boundaries", løser de et GDPR-lokaliseringskrav, men de kan som amerikanske virksomheder stadig ikke undslå sig en direkte ordre fra amerikanske myndigheder via CLOUD Act eller FISA. Det er præcis dette overlap, der gør, at en server i Frankfurt, drevet af Microsoft Ireland, stadig er underlagt amerikansk jurisdiktion, fordi moderselskabet er amerikansk.

2. Max Schrems og det juridiske pendul

Den østrigske advokat og aktivist Maximilian Schrems har ad to omgange fået EU-Domstolen til at underkende de aftaler, der tillod dataflow mellem EU og USA.

• Schrems I (2015): Fældede aftalen "Safe Harbor".

• Schrems II (2020): Fældede aftalen "Privacy Shield". Dommen fastslog utvetydigt, at amerikanske overvågningslove ikke giver EU-borgere tilstrækkelig retsbeskyttelse.

Hvor er vi nu?

I juli 2023 vedtog EU og USA en ny aftale kaldet EU-US Data Privacy Framework (DPF). Denne aftale bygger på en amerikansk "Executive Order", der opretter en klageinstans (DPRC) for europæere, og begrænser de amerikanske tjenesters dataindsamling til "hvad der er nødvendigt og proportionalt".

Lige nu (i 2026) er det lovligt at bruge Microsoft og Google, hvis de er certificeret under DPF. Men: Schrems' organisation, noyb, har allerede gjort klar til at udfordre denne aftale i EU-Domstolen, da den grundlæggende amerikanske lovgivning (FISA 702) ikke er ændret, kun overfladen. Mange juridiske eksperter forventer et "Schrems III", der igen vil gøre aftalen ugyldig.

3. Microsofts løfter og krumspring

Du husker helt rigtigt, at tech-giganterne har forsøgt forskellige modeller for at berolige det europæiske marked, specielt offentlige myndigheder og stærkt regulerede virksomheder.

• EU Data Boundary: Microsofts nuværende flagskib. De garanterer, at al kundedata (og en voksende mængde telemetridata og pseudonymiseret data) forbliver i Europa. Det er godt for hastighed og generel sikkerhed, men stopper ikke CLOUD Act.

• Tredjeparts-tillidsmænd (Trustee-modellen): For nogle år siden forsøgte Microsoft sig med en "German Cloud", hvor tyske T-Systems (en del af Deutsche Telekom) fungerede som "data trustee". Microsoft havde ikke adgang til data uden at T-Systems godkendte det. Modellen blev dog lukket ned, primært fordi den var enormt dyr, ineffektiv, og kunderne var afskåret fra det globale clouds nyeste features.

• Sovereign Cloud (Den schweiziske/lokale vinkel): Microsoft og Google forsøger i dag at indgå partnerskaber (som f.eks. Microsoft Cloud for Sovereignty), hvor lokale europæiske partnere styrer krypteringsnøglerne, eller hvor vitale kodeelementer holdes uden for amerikansk rækkevidde.

4. Hvad kan danske virksomheder og myndigheder reelt gøre?

Indtil der falder en endelig, urokkelig politisk aftale mellem EU og USA (hvilket kræver en ændring af amerikansk lov, som er meget usandsynlig i det nuværende sikkerhedspolitiske klima), skal danske organisationer navigere i et minefelt. Der er grundlæggende tre veje at gå:

A. Pragmatikeren: Rid på DPF-bølgen (med en Plan B)

For mange almindelige private virksomheder er den nuværende Data Privacy Framework tilstrækkelig. Man laver sin Transfer Impact Assessment (TIA), noterer at udbyderen er DPF-certificeret, og sover roligt om natten. Men man skal have en exit-strategi og en plan for, hvad man gør, hvis EU-Domstolen underkender aftalen i morgen.

B. Teknokraten: Krypterings-skjoldet (BYOK/HYOK)

Hvis data skal ligge hos en amerikansk udbyder, kan man gøre data ulæselig for dem.

• Bring Your Own Key (BYOK) / Hold Your Own Key (HYOK): Virksomheden styrer selv sine krypteringsnøgler, enten on-premise eller hos en uafhængig europæisk tredjepart. Hvis NSA tropper op hos Microsoft med en CLOUD Act-kendelse, kan Microsoft kun udlevere en ubrugelig, krypteret fil (ciphertext). Ulempen er, at mange af de smarte cloud-features (som f.eks. AI, indeksering og avanceret søgning på tværs af dokumenter) oftest holder op med at fungere, fordi serveren ikke kan "se" dataene.

C. Suveræniteten: Den europæiske vej

Den eneste måde at eliminere risikoen fuldstændig er at fjerne den amerikanske ejerandel. Det betyder et skift til europæiske udbydere (som f.eks. tyske Hetzner, franske OVHcloud, Scaleway, eller lokale danske datacentre) kombineret med europæisk eller open-source software. Dette er ofte den nødvendige vej for systemer, der håndterer kritisk infrastruktur, statshemmeligheder eller meget følsomme personoplysninger.

I bund og grund handler debatten ikke længere om, hvorvidt teknologien er sikker, men om hvem der har den lovmæssige ret til at bryde sikkerheden op indefra.

Giver denne opsummering det rygstød, du har brug for i din videre håndtering af compliance-spørgsmålene, eller vil du have mig til at dykke dybere ned i, hvordan man konkret designer en arkitektur (f.eks. med open source og lokal RDBMS-håndtering), der helt omgår de amerikanske cloud-udbydere?