…

 

Når europæisk ikke er europæisk

Sovereignty washing, og hvordan man ser forskel

Ordet suveræn bruges i dag af næsten alle store cloud-leverandører. Det dækker vidt forskellige virkeligheder.

Nogle mener, at data ligger i EU. Andre mener, at driften styres fra EU. Få mener, at leverandøren juridisk er uafhængig af ikke-europæisk lovgivning.

Den 17. marts 2026 sendte 25 europæiske cloud-direktører et åbent brev til EU-Kommissionen med præcis den advarsel. Defineres suverænitet ud fra tilstedeværelse og certificering, legitimerer man sovereignty washing, fordi amerikanske udbydere kan opfylde begge kriterier uden at ændre det juridiske lag.

Seksten sager fra arkivet viser, hvordan forskellen ser ud i praksis. Og hvordan man selv ser den på en halv time.

Hvorfor det gentager sig

Ordet er ikke beskyttet: Der findes ingen fælles definition, ingen certificering med tænder og ingen sanktion for at bruge det forkert. Enhver kan skrive suveræn på sin forside.

Det, der markedsføres, er det synlige lag: Et datacenter kan fotograferes. Personalet kan tælles. Ejerskabsstrukturen kan ikke, og den står ikke på forsiden.

Kodebasen har sin egen historie: Et europæisk projekt kan være bygget på software med en helt anden oprindelse. Det står i licensfilerne og i commit-historikken, ikke i lanceringsmaterialet.

Ejerskabet flytter sig: Nordisk infrastruktur handles på tværs af grænser, fordi grøn strøm og politisk stabilitet er efterspurgt. En europæisk leverandør i dag kan have en anden ejer om et år, og kontrakten følger ikke med.

Selskabsnavnet var europæisk. Ejeren var ikke

Fem sager, hvor forskellen ligger i registret og ikke i markedsføringen.

• 25 europæiske cloud-direktører advarer EU: Suverænitet skal defineres af kontrol, ikke af tilstedeværelse. Og ikke af markedsføring.
• 28 allierede svarede igen: Det er ikke en teknisk diskussion. Det er en interessekonflikt.
• Nordisk infrastruktur, udenlandsk kapital: Et norsk datacenter solgt for 850 millioner dollar. Islands to største gik til kapitalfonde, og det ene videre for fire milliarder til et amerikansk selskab, der også driver datacentre i Danmark.
• 31 milliarder euro i infrastruktur uden for Cloud Act: Alternativet findes og er større, end de fleste tror. Det kræver bare, at man ved, hvad man leder efter.
• Norsk telekoncern bygger uden amerikansk teknologi: Ikke europæisk drift på amerikansk software, men hele stakken.

Løftet holdt, indtil funktionen blev slået til

Fem sager, hvor tilsagnet var korrekt, og noget andet alligevel skete.

• Datagrænsen med en undtagelse ved spidsbelastning: Fra 17. april 2026 sendes AI-forespørgsler fra europæiske kunder automatisk til servere uden for EU ved spidsbelastning. Slået til som standard. Filerne bliver liggende i Europa. Behandlingen gør ikke.
• Europæisk kontorpakke på en anden kodebase: Ti europæiske virksomheder står bag. Koden stammer fra et selskab registreret i Letland, og en separat version kører stadig et andet sted.
• Projektværktøjet er også en jurisdiktion: Opgavestyring bliver sjældent vurderet. Den indeholder som regel hele planen.
• 340 GB fra EU-Kommissionen: Europæisk ejerskab beskytter ikke mod angreb. Suverænitet og sikkerhed er to forskellige spørgsmål, og begge skal besvares.
• 14 år med lovkrav om open source: Et lovkrav uden en indkøbspraksis ændrer ingenting.

Nogen gjorde det rigtigt

Seks sager om skift, der faktisk er gennemført. De er værd at kende, fordi de viser prisen og tidshorisonten.

• 7.300 ansatte i ni kommuner uden den dominerende pakke: Skiftet er gennemført, ikke planlagt.
• Franske myndigheder dropper amerikanske systemer: Beslutningen kom efter en vurdering, ikke efter en hændelse.
• En statslig pc uden amerikansk software: Den kører, og det er pointen.
• 471 mod 68: Afstemningen viser, hvilken vej retningen går.
• Store industrivirksomheder vælger europæisk AI: Det er ikke længere kun offentlige organisationer.
• Dansk betalingsløsning på europæisk netværk: Skiftet sker også i infrastruktur, de fleste bruger dagligt.

Sådan ser man forskel på en halv time

Fire ting kan slås op, uden at spørge en sælger.

Slå den juridiske enhed op i selskabsregistret: Ikke marketingnavnet. Den enhed, kontrakten er indgået med. Registret viser moderselskabet.

Læs listen over underdatabehandlere: Den er offentlig og står i databehandleraftalen. Den afslører, hvem der reelt driver tjenesten.

Kig i bunden af leverandørens egen side: Copyright-linjen nævner tit et andet selskab end det, der står øverst.

Spørg, hvad der sker ved spidsbelastning: Flere tjenester har undtagelser, der først er relevante, når systemet er presset. De står i vilkårene, ikke i salgsmaterialet.

De tre lag, forskellen ligger i

Diskussionen går som regel galt, fordi tre forskellige spørgsmål bliver behandlet som ét. Sovereignty washing lever i den forveksling.

Dataresidens: Hvor data fysisk ligger. Det er det, der bliver solgt, fordi det kan fotograferes og måles.

Operationel kontrol: Hvem der driver miljøet til daglig. Europæiske driftsselskaber og europæisk personale hører til her.

Juridisk suverænitet: Hvilke love ejeren i sidste ende er underlagt. Det er det eneste, der afgør, hvem der kan give en ordre, ejeren skal adlyde.

De amerikanske udbydere har forbedret de to første markant. Det tredje er uændret, og det er præcis derfor markedsføringen fokuserer på de to første.

En leverandør kan opfylde ét lag uden at opfylde de andre. Mange gør. Spørgsmålet er ikke, om de lyver. Det er, hvilket lag de svarer på.

Hvad der går galt, når forsvaret bygges

Certificeringen bliver taget som svar: En sikkerhedscertificering siger noget om processer. Den siger intet om, hvilken lov ejeren er underlagt.

Der skiftes til noget, der ikke er efterprøvet: Et europæisk alternativ hostet hos en amerikansk udbyder løser ingenting. Det er den hyppigste fejl ved et skifte.

Open source forveksles med suverænitet: Åben kode er en fordel, fordi den kan efterprøves. Den siger intet om, hvem der driver tjenesten for jer.

Vurderingen gentages ikke: Ejerskab skifter. Det, der var europæisk ved indgåelsen, er det ikke nødvendigvis ved fornyelsen. Sagerne om nordiske datacentre viser, hvor hurtigt det går.

Hvad I kan gøre

1. Slå jeres tre vigtigste leverandører op i selskabsregistret: Moderselskab og registreringsland. Det tager ti minutter per leverandør.
2. Læs listen over underdatabehandlere igennem: Hvem driver serverne, databasen og søgeindekset. Det er der, billedet ligger.
3. Bed om at få undtagelserne skriftligt: Hvad sker der ved spidsbelastning, ved support uden for EU og ved fejlsøgning.
4. Efterprøv alternativet, før I skifter: Ejerskab, hosting, aktualitet og prismodel. Et skifte til noget uefterprøvet er spildt arbejde.
5. Gentag opslaget ved hver kontraktfornyelse: Det er der, ejerskiftet opdages, hvis det er sket.

Hvilken ydelse afdækker det

En jurisdiktions- og afhængighedsvurdering gennemgår ejerskab, underleverandører og vilkår for hvert af jeres systemer, og siger hvilke af dem der reelt er, hvad de kalder sig.

Skal et konkret alternativ vurderes, inden I skifter, hører det under IT-rådgivning.

Jeg sælger ikke produkter og har ingen leverandørpartnerskaber. Nævner jeg et europæisk alternativ, er ejerskab, hosting, aktualitet og prismodel efterprøvet først, og advarselsflagene står i rapporten.

Beslægtede mønstre

Hvad der sker, hvis nogen bruger den adgang, behandles under hvem kan lukke jeres adgang. Selve jurisdiktionsspørgsmålet ligger under hvilken lov gælder for jeres data. De øvrige mønstre står samlet under digital suverænitet.

Find ud af, hvem der reelt står bag jeres leverandører

Ved I, hvilket moderselskab jeres vigtigste leverandør tilhører? Og hvem der driver serverne under tjenesten?

Ring på 70 13 63 23 eller udfyld formularen.

Så tager vi en snak om jeres leverandører og finder ud af, om jeg kan hjælpe.