Microsofts jurist under ed, Frankrigs Senat, 10. juni 2025
Den 10. juni 2025 sad Anton Carniaux, juridisk direktør i Microsoft France, under ed foran det franske Senat.
Spørgsmålet fra rapportør Dany Wattebled var direkte: kunne Carniaux garantere, at data fra franske borgere hos Microsoft aldrig ville blive overført til myndigheder i USA uden fransk regerings udtrykkelige tilladelse?
Svaret var kort. “Non, je ne peux pas le garantir.” / (Det kan jeg ikke garantere)
Det er ikke en holdning, eller en god historie. Det er leverandørens egen jurist under ed.
Hvorfor svaret var det eneste mulige
CLOUD Act, vedtaget i USA i 2018, giver myndigheder i USA ret til at kræve data fra virksomheder i USA — uanset hvor data fysisk er placeret. Et europæisk datacenter ejet af en virksomhed fra USA er derfor stadig underlagt USA’s retsorden.
Det er værd at holde fast i, at pointen ikke er om Microsoft. Enhver cloud-leverandør fra USA — Microsoft, AWS, Google, Oracle — ville have givet samme svar under ed. Svaret er dikteret af USA’s lovgivning, ikke af den enkelte virksomheds politik eller placering af deres datacenter.
Julien Simon formulerede det præcist efter høringen: alle sovereign cloud-arkitekturer fra leverandører i USA “terminate at the same legal endpoint.” Data residency og EU Data Boundary er tekniske og kontraktuelle mitigationer. De er ikke juridiske barrierer.
Scenariet er ikke hypotetisk
I februar 2025 blev chefanklageren ved Den Internationale Straffedomstol, Karim Khan, låst ude af sin Microsoft-konto efter en executive order fra USA. ICC — en international institution med milliardbudget og fuld compliance — blev afskåret fra sin egen kommunikationsinfrastruktur. Ikke som konsekvens af hack eller misligholdelse. Som konsekvens af en beslutning truffet af ét lands regering, som Microsoft altså var forpligtet til at efterleve.
Sandsynligheden for, at USA’s regering sanktionerer en specifik dansk organisation, er lav.
Konsekvensen — hvis det sker — er tab af adgang til hele organisationens kommunikationsinfrastruktur på timer. Uden domstol. Uden anke. Uden forudgående varsel.
Det er præcis den kategori risiko, som klassisk risikovurdering har svært ved at håndtere. Multipliceres lav sandsynlighed med høj konsekvens, ender resultatet i “medium”. Og “medium” er præcis det niveau, hvor risici bliver skrevet ind i registret og aldrig gjort noget ved.
Handlingsvejen er arkitektonisk
Kontraktuelle garantier løser ikke problemet, fordi problemet ikke er kontraktuelt. Datacenterets placering løser det ikke, fordi jurisdiktion ikke følger geografien. Sovereign cloud-tilbud fra leverandører i USA løser det ikke, fordi endepunktet er det samme.
Det, der reelt flytter jurisdiktionen, er at flytte til en leverandør, der ikke er underlagt CLOUD Act. Og forudsætningen for, at det er praktisk muligt, er at arkitekturen bygger på åbne standarder — dataformater, protokoller og integrationer, der kan læses og skiftes uden den nuværende leverandørs samarbejde.
Det er her åbne standarder holder op med at være en teknisk præference og bliver en jurisdiktionel beslutning. Ikke fordi de er billigere. Ikke fordi de er teknisk overlegne. Fordi de er den eneste arkitektoniske vej, der gør et faktisk skifte muligt, den dag det bliver nødvendigt.
Microsofts egen jurist har under ed bekræftet, at dagen kan komme. Hvordan man er stillet, hvis den dag kommer, er en beslutning, der skal træffes inden det bliver aktuelt.
