EU, AI og alt det umulige i dagens cybersikkerheds-univers: Grok

 Tre korte opsummerende sætninger

Ejerskab og amerikansk jurisdiktion (CLOUD Act + FISA 702) betyder, at selv data, der fysisk ligger i EU hos en amerikansk-kontrolleret leverandør, i princippet kan tvinges udleveret til amerikanske myndigheder – dataresidens reducerer risikoen markant, men eliminerer den ikke.

Microsofts EU Data Boundary (færdiggjort 2025) holder de fleste kundedata, persondata og support-data inden for EU/EFTA for kerneydelser, og kombineret med EU-US Data Privacy Framework (stadig gyldigt midt 2026 trods udfordringer), SCC’er og ekstra foranstaltninger gør det praktisk muligt for de fleste danske virksomheder at bruge Microsoft lovligt, hvis de laver ordentlig risikovurdering og konfiguration.

Danske virksomheder bør prioritere Transfer Impact Assessments (TIA), EU-region-konfiguration, kunde-styret kryptering og eventuelt pure europæiske alternativer til særligt følsomme data, mens de følger DPF-sagerne tæt og har realistiske exit-planer.

Den juridiske kerne: Hvad er op og ned?

GDPR kapitel V kræver, at persondata kun overføres til tredjelande, hvis der er en adækvansbeslutning (art. 45), passende garantier som standardkontraktbestemmelser (SCC’er, art. 46) eller undtagelser (art. 49). USA er ikke generelt “adækvat”.

Schrems I (2015) og Schrems II (2020) underkendte Safe Harbor og Privacy Shield, fordi amerikansk overvågning (især FISA 702 og EO 12333) og manglende effektive retsmidler for EU-borgere ikke levede op til EU-rettens krav om “essentielt tilsvarende” beskyttelse. SCC’er blev stående, men kræver Transfer Impact Assessment (TIA) og eventuelle supplerende foranstaltninger.

EU-US Data Privacy Framework (DPF, 2023) er den nuværende adækvansbeslutning. Den bygger på Executive Order 14086 og Data Protection Review Court. Den er stadig formelt gældende i august 2026, men er under pres: Latombe-sagen verserer ved EU-Domstolen (Microsoft intervenerer til støtte for Kommissionen), og Max Schrems/noyb presser på for tilbagetrækning efter den amerikanske Højesterets afgørelse i Trump v. Slaughter (juni 2026) om FTC’s uafhængighed. DPF kan derfor falde i de kommende år – det er den største usikkerhedsfaktor lige nu.

CLOUD Act (2018) er den praktiske “elefant i rummet”. Den giver amerikanske myndigheder mulighed for at pålægge en leverandør under amerikansk jurisdiktion at udlevere data, den har “possession, custody or control” over – uanset hvor data fysisk befinder sig. Det er ikke massovervågning; det kræver normalt retskendelse i konkrete straffesager. Men det gælder for amerikanske selskaber og deres kontrollerede datterselskaber. Microsoft har under ed for det franske senat (juni 2025) indrømmet, at de ikke kan garantere, at data i franske/EU-regioner aldrig kan blive overført til amerikanske myndigheder.

Ejerskab vs. placering
Din grundopfattelse er delvist korrekt. Et rent europæisk ejet selskab med servere i EU og uden amerikansk “control”-nexus er ikke underlagt CLOUD Act. En amerikansk-ejet eller -kontrolleret leverandør er det – også når data ligger i EU. En minoritetsandel (få procent Microsoft- eller Google-ejerskab) gør ikke automatisk hele selskabet underlagt CLOUD Act; det afgørende er, om den konkrete databehandler har tilstrækkelig amerikansk jurisdiktion eller kontrol. For de store hyperscalere (Microsoft, Google, AWS) er svaret klart ja.

Microsofts konkrete svar: EU Data Boundary og mere

Microsoft har siden 2023 bygget EU Data Boundary. Den blev færdig i februar 2025 og dækker nu kerneydelser (Microsoft 365, Dynamics 365, Power Platform og de fleste Azure-tjenester): Kundedata, pseudonymiserede persondata og Professional Services Data lagres og behandles som udgangspunkt i EU/EFTA. Der er stadig begrænsede undtagelser (visse sikkerhedsoperationer, nogle AI-modeller, enkelte telemetri- og supportscenarier, og kundeiniterede overførsler).

Yderligere lag Microsoft har lagt på:

• Europæisk bestyrelse for datacenter-operationer (kun europæiske statsborgere, under europæisk ret).

• Data Guardian: Fjernadgang til europæiske systemer skal godkendes og overvåges af europæisk personale.

• Kontraktlige forpligtelser til at udfordre ulovlige anmodninger og erstatning, hvis der udleveres i strid med GDPR.

• Backup af kode i Schweiz med juridiske rettigheder til europæiske partnere i en ekstrem situation (kontinuitet).

• Kunde-styret kryptering, Confidential Computing og Advanced Data Residency (inkl. den nye danske region).

Disse tiltag reducerer den praktiske risiko betydeligt og gør TIA’er langt nemmere. De neutraliserer dog ikke CLOUD Act juridisk – det kan ingen kontrakt eller teknisk foranstaltning gøre, så længe Microsoft Corporation er under amerikansk jurisdiktion.

Hvad kan danske virksomheder reelt gøre?

Der er ikke et forbud mod amerikanske cloud-leverandører. Datatilsynet har gennem årene understreget en risikobaseret tilgang: Dokumentér, vurder, afhjælp og overvåg.

Praktisk tjekliste for de fleste private virksomheder:

1. Lav en ordentlig Transfer Impact Assessment (TIA) og eventuelt DPIA. Dokumentér, hvilke data der behandles, hvor de ligger, hvilke overførsler der stadig kan ske, og hvilke amerikanske love der gælder.

2. Konfigurér til EU Data Boundary / europæiske regioner (inkl. den nye danske region, hvor det er relevant). Brug Advanced Data Residency, hvis I har behov for national residens.

3. Anvend SCC’er + DPF (Microsoft er certificeret) og Microsofts Data Protection Addendum. Suppler med tekniske foranstaltninger: Customer-managed keys, Double Key Encryption, Confidential Computing, hvor muligt – så Microsoft ikke kan læse data i klartekst.

4. Begræns formål og adgang. Sørg for, at Microsoft ikke får unødvendig ret til at bruge data til egne formål (et tilbagevendende fokuspunkt hos Datatilsynet).

5. Før tilsyn med leverandøren og underleverandører. Brug Microsofts transparensrapporter (udleveringer af indholdsdata fra ikke-amerikanske enterprise-kunder til amerikanske myndigheder er ekstremt sjældne).

For højrisiko-data (sundhed, offentlig forvaltning, kritisk infrastruktur, meget følsomme persondata):
Overvej pure europæiske leverandører (Scaleway, OVHcloud, danske/europæiske hosting-udbydere, Gaia-X-relaterede løsninger) eller hybridmodeller. Flere danske offentlige aktører er allerede begyndt at flytte væk fra ren amerikansk cloud af suverænitetshensyn. Her er ejerskab og fravær af amerikansk jurisdiktion afgørende.

Kontingensplan: DPF kan falde. Hav en realistisk exit-strategi (data-portabilitet, multi-cloud, open-source-alternativer hvor det giver mening). EU Data Act styrker også retten til at skifte leverandør.

Cybersikkerhedsperspektivet: Den juridiske risiko (CLOUD Act) er reel, men den praktiske risiko for, at en dansk virksomheds data pludselig lander hos amerikanske efterretningstjenester, er lav for almindelige kommercielle data. Den større risiko for de fleste er klassisk cybersikkerhed (ransomware, phishing, misconfiguration) og leverandørafhængighed (kill-switch / sanktioner). Suverænitet handler derfor både om jura og om operationel resiliens.

Kort konklusion
For de fleste danske private virksomheder er Microsoft (og tilsvarende) stadig et lovligt og praktisk valg, forudsat at man konfigurerer korrekt, dokumenterer og accepterer den residuale jurisdiktionsrisiko. For data, hvor suverænitet er kritisk, er rent europæiske alternativer den sikreste vej. Det er ikke sort/hvidt – det er en risikostyringsøvelse, der skal genbesøges, hver gang DPF eller CLOUD Act-landskabet ændrer sig.