Skip to main content

Stikkord: datasuverenitet

Illustrasjon av skylagring, servere og kostnader for bedrifter

Hva koster egentlig skylagring for bedrifter?

Skrevet av Svein Tore den . Publisert i Teknologi. Ingen kommentarer til Hva koster egentlig skylagring for bedrifter?

Mange virksomheter tar i bruk skylagring uten å ha et klart bilde av hva det faktisk koster over tid. Prisene kan virke lave i starten, men når brukere, lagringsplass og tilleggstjenester øker, kan kostnaden bli betydelig høyere enn forventet.

Samtidig finnes det store forskjeller mellom globale skyløsninger og mer kontrollerte alternativer. For å forstå kostnaden må man se på hva man faktisk betaler for.

Denne artikkelen forklarer hvordan prisingen av skylagring fungerer, hvilke skjulte kostnader som ofte dukker opp, og hvorfor mange virksomheter begynner å se mot alternative skyløsninger.

For en bredere diskusjon om eierskap til data og kontroll over infrastrukturen, se også hovedartikkelen: [hvem kontrollerer egentlig dataene dine].

De vanligste prismodellene for skylagring

De fleste skylagringstjenester bruker en kombinasjon av tre prismodeller:

  • pris per bruker
  • pris per lagret gigabyte
  • pris for tilleggstjenester

I praksis betyr det at kostnaden øker i takt med både antall ansatte og mengden data som lagres.

Pris per bruker

Tjenester som Microsoft 365 og Google Workspace prises ofte per bruker per måned. Dette kan i starten virke enkelt og oversiktlig.

Problemet oppstår når virksomheten vokser. Hver ny ansatt betyr en ny lisens, og kostnaden øker lineært med antall brukere.

I tillegg følger det ofte begrensninger på hvor mye lagring hver bruker faktisk får.

Pris per lagringsmengde

Andre skyløsninger prises etter hvor mye data som lagres. Dette er vanlig i infrastrukturtjenester og backup-løsninger.

Her kan kostnaden øke raskt dersom virksomheten lagrer store datamengder som bilder, video, prosjektdokumenter eller sikkerhetskopier.

Det er heller ikke uvanlig at leverandører tar betalt for datatrafikk når filer lastes ned eller flyttes mellom tjenester.

Pris for tilleggstjenester

Mange leverandører tilbyr en lav grunnpris, men tar betalt for funksjoner som:

  • avansert sikkerhet
  • backup
  • versjonshåndtering
  • arkivering
  • administrasjon

Når disse funksjonene legges til, kan totalprisen bli betydelig høyere enn det som først ble annonsert.

Et realistisk kostnadsbilde

La oss ta et enkelt eksempel.

En bedrift med 20 ansatte bruker en skyløsning som koster rundt 120 kroner per bruker per måned.

Det gir følgende kostnad:

  • 120 kr per bruker
  • 20 brukere
  • 2400 kr per måned

På ett år blir dette nesten 29 000 kroner.

Hvis virksomheten vokser til 50 ansatte, øker kostnaden raskt til rundt 72 000 kroner per år – uten at lagringsbehov, backup eller sikkerhetsnivå nødvendigvis har økt tilsvarende.

Dette er en av grunnene til at mange virksomheter begynner å analysere skylagring mer strategisk.

Kostnader mange ikke tenker på

Lisensprisen er bare én del av bildet. Flere andre faktorer påvirker den reelle kostnaden.

Migrering av data

Å flytte data fra en plattform til en annen kan være både tidkrevende og teknisk komplisert. Mange virksomheter oppdager dette først når de ønsker å bytte løsning.

Dette fenomenet kalles ofte vendor lock-in.

Når hele organisasjonen bruker én leverandør til e‑post, dokumenter og lagring, kan det bli svært vanskelig å flytte alt til en annen plattform senere.

Sikkerhet og backup

Mange antar at skylagring automatisk betyr full sikkerhet.

I realiteten må virksomheter ofte sette opp egne backup-løsninger i tillegg. Dette gjelder spesielt dersom man ønsker beskyttelse mot ransomware eller utilsiktet sletting.

Hvis man ikke gjør dette, kan kritiske data gå tapt selv om de ligger i skyen.

Les gjerne også støtteartikkelen om [3-2-1 backup regelen].

Administrasjon og drift

Selv om en løsning er skybasert, krever den ofte administrasjon:

  • brukerhåndtering
  • tilgangsstyring
  • sikkerhetsinnstillinger
  • compliance

Dette betyr at interne IT-ressurser eller eksterne konsulenter fortsatt må bruke tid på systemet.

Når skylagring faktisk blir dyrt

Skyløsninger fungerer godt for mange virksomheter. Problemet oppstår når bruken øker over tid.

Tre situasjoner fører ofte til kraftig økning i kostnader:

Kraftig datavekst

Bedrifter produserer mer data enn noen gang.

Prosjektfiler, video, dokumentasjon og sikkerhetskopier gjør at lagringsbehovet vokser hvert eneste år.

Hvis prisen øker per gigabyte, kan dette gi en stadig høyere månedskostnad.

Flere ansatte

Når selskapet vokser, vokser også lisenskostnaden.

Det betyr at selv en moderat pris per bruker kan bli betydelig når virksomheten passerer 50 eller 100 ansatte.

Flere tjenester i samme plattform

Mange virksomheter bruker samme leverandør til flere ting:

  • dokumenter
  • e‑post
  • skylagring
  • samarbeid

Dette kan være praktisk, men det øker også avhengigheten til én leverandør.

Et alternativ: private skyløsninger

På grunn av kostnad, kontroll og datasuverenitet begynner flere virksomheter å se på alternative skyløsninger.

En av disse er self‑hosted skylagring, der virksomheten selv kontrollerer infrastrukturen eller bruker en leverandør som drifter løsningen.

Du kan lese mer om dette i artikkelen [self-hosted skylagring – hva betyr det egentlig].

Hvordan prisbildet kan bli annerledes

I slike løsninger betaler man ofte for:

  • serverressurser
  • drift
  • lagringskapasitet

Fordelen er at prisen ikke nødvendigvis øker for hver enkelt bruker.

For organisasjoner med mange ansatte kan dette i enkelte tilfeller gi en mer forutsigbar kostnadsmodell.

Norske leverandører

Noen virksomheter velger også norske leverandører som tilbyr drift av skyløsninger basert på open source-plattformer som Nextcloud.

Slike løsninger kan gi bedre kontroll over data, samtidig som infrastrukturen fortsatt driftes profesjonelt.

For virksomheter som ikke ønsker å drifte alt selv, finnes det også norske aktører som tilbyr ferdig driftede Nextcloud-plattformer. Disse kan i mange tilfeller være rimeligere enn store globale skyløsninger, spesielt når antall brukere begynner å bli høyt.

Hva bør virksomheter egentlig vurdere?

Når man sammenligner skylagring, bør man ikke bare se på månedsprisen.

Det er minst like viktig å vurdere:

  • hvem som kontrollerer infrastrukturen
  • hvor dataene faktisk lagres
  • hvor vanskelig det er å bytte leverandør
  • hvordan kostnaden utvikler seg når virksomheten vokser

Mange oppdager først disse spørsmålene etter flere år i samme plattform.

Derfor kan det være lurt å analysere skyløsninger mer strategisk før man bestemmer seg.

Hvis du vil forstå hvorfor eierskap til data har blitt et stadig viktigere tema for virksomheter, anbefales også hovedartikkelen: [hvem kontrollerer egentlig dataene dine].

FAQ

Er skylagring billig for små bedrifter?

For små team kan skyløsninger være både rimelige og praktiske. Kostnaden er ofte lav i starten fordi man kun betaler per bruker.

Hvorfor kan skylagring bli dyrere over tid?

Når virksomheten vokser øker både antall brukere, datamengden og behovet for sikkerhet og backup. Dette gjør at totalprisen gradvis stiger.

Finnes det alternativer til globale skyløsninger?

Ja. Flere virksomheter velger self‑hosted løsninger eller europeiske leverandører for å få bedre kontroll over data og mer forutsigbare kostnader.

Hva er viktigst når man velger skylagring?

Pris er bare én faktor. Kontroll over data, sikkerhet, fleksibilitet og risiko for vendor lock‑in er minst like viktig.

Illustrasjon som viser forskjellen mellom skylagring og egen serverinfrastruktur

Cloud vs egen server – hva lønner seg?

Skrevet av Svein Tore den . Publisert i IT-sikkerhet. Ingen kommentarer til Cloud vs egen server – hva lønner seg?

Valget mellom skyløsninger og egen server dukker opp i nesten alle virksomheter før eller siden. Skal man legge dataene hos en global leverandør, eller drifte infrastrukturen selv? Svaret avhenger ikke bare av pris. Det handler også om kontroll, sikkerhet, fleksibilitet og langsiktig strategi.

Denne artikkelen forklarer forskjellene mellom cloud og egen server, hva de faktisk koster, og når de ulike modellene gir mest mening.

Hva betyr egentlig cloud?

Når man snakker om «cloud», mener man vanligvis tjenester levert fra datasentre som eies av selskaper som Microsoft, Google eller Amazon. I stedet for å eie serverne selv, leier man kapasitet og programvare over internett.

Eksempler er:

  • Microsoft 365
  • Google Workspace
  • Dropbox
  • AWS eller Azure servere

Fordelen er at alt allerede er satt opp. Man trenger ikke kjøpe maskinvare, installere servere eller tenke på drift i særlig grad.

Men det betyr også at infrastrukturen kontrolleres av noen andre.

Dette er et viktig tema i hovedartikkelen hvem kontrollerer egentlig dataene dine.

Hva betyr egen server?

Egen server betyr at virksomheten selv eier eller kontrollerer infrastrukturen som lagrer dataene. Serveren kan stå i egne lokaler, hos et datasenter eller hos en norsk leverandør.

Dette kan være:

  • en fysisk server i eget serverrom
  • en leid server i et datasenter
  • en privat sky driftet for virksomheten

I slike løsninger har virksomheten langt større kontroll over både data og systemer.

Teknologier som Nextcloud brukes ofte i slike oppsett fordi de gir mange av de samme funksjonene som kommersielle skyløsninger.

Pris – hva er egentlig billigst?

Cloud markedsføres ofte som billig. I starten kan det også stemme.

Man slipper investering i maskinvare, og man kan starte med en lav månedlig kostnad per bruker.

Problemet oppstår ofte over tid.

Abonnementsmodellen

De fleste skyløsninger bruker abonnement per bruker per måned.

Eksempel:

  • 50 ansatte
  • 150–250 kr per bruker

Dette kan raskt bli:

90 000 – 150 000 kr per år.

Og kostnaden stopper aldri. Den fortsetter så lenge løsningen brukes.

Egen server

En egen server innebærer vanligvis en høyere startkostnad.

Maskinvare, installasjon og oppsett må på plass. Men når systemet først er etablert, kan driftskostnaden være langt lavere.

For mange virksomheter vil totalkostnaden over 3–5 år være lavere enn en ren abonnementsløsning.

Kontroll over data

Dette er en av de største forskjellene.

Når data lagres i en global skyløsning, ligger infrastrukturen hos leverandøren. Selv om dataene fysisk kan ligge i Europa, kan juridisk kontroll ligge et annet sted.

Dette er blant annet bakgrunnen for diskusjonen rundt CLOUD Act forklart – hvorfor amerikanske skyløsninger skaper debatt.

Med egen server eller privat sky kan virksomheten ha langt bedre kontroll over:

  • hvor data lagres
  • hvem som har tilgang
  • hvordan systemet konfigureres

Dette er også tett knyttet til begrepet [hva er datasuverenitet].

Sikkerhet

Mange antar automatisk at cloud alltid er sikrere. Det er ikke nødvendigvis riktig.

Store leverandører har svært sterke sikkerhetsmiljøer. Samtidig gjør størrelsen dem også til attraktive mål for angrep.

Et sikkerhetsproblem i en global plattform kan potensielt påvirke millioner av brukere.

Med egen infrastruktur blir angrepsflaten annerledes. Risikoen er mer begrenset til den enkelte virksomhet.

Det betyr ikke at egen drift er automatisk sikkert. Dårlig drift kan være farlig.

Men riktig konfigurert kan en privat løsning være svært robust.

Fleksibilitet

Cloud-tjenester er ofte standardiserte.

Man får funksjonene leverandøren tilbyr, og ikke nødvendigvis mer.

Med egen server kan systemer tilpasses langt mer:

  • integrasjoner
  • lagringsstruktur
  • sikkerhetsnivå
  • tilgangsregler

Open-source plattformer som Nextcloud er populære nettopp fordi de gir stor fleksibilitet.

Vendor lock-in

En faktor mange først oppdager etter noen år er vendor lock-in.

Når hele organisasjonen bruker én plattform til:

  • e-post
  • dokumenter
  • samarbeid
  • lagring

kan det bli svært vanskelig å flytte til noe annet senere.

Dataformater, integrasjoner og arbeidsflyt blir knyttet til leverandøren.

Dette kan gjøre migrering både dyr og komplisert.

Med egen infrastruktur og åpne løsninger er det vanligvis enklere å bytte systemer senere.

Når cloud gir mest mening

Det finnes mange situasjoner hvor cloud er et fornuftig valg.

For eksempel:

  • små virksomheter uten IT-kompetanse
  • oppstartsbedrifter
  • organisasjoner som trenger rask oppstart
  • team som jobber helt uten egen infrastruktur

I slike tilfeller kan ferdige skyløsninger være både praktiske og effektive.

Når egen server kan være smartere

Egen server eller privat sky kan være et bedre valg når:

  • virksomheten håndterer sensitiv informasjon
  • man ønsker kontroll over data
  • kostnader over tid er viktig
  • man vil unngå avhengighet til globale plattformer

Mange virksomheter velger også en hybridmodell hvor enkelte tjenester ligger i skyen, mens kritiske systemer kjøres på egen infrastruktur.

Det viktigste spørsmålet

Diskusjonen om cloud vs egen server handler egentlig om ett spørsmål:

Hvem kontrollerer infrastrukturen virksomheten er avhengig av?

Teknologi er aldri bare teknologi. Den påvirker også eierskap, risiko og langsiktig handlingsrom.

Hvis du vil forstå hvorfor dette spørsmålet blir stadig viktigere, bør du lese hovedartikkelen [hvem kontrollerer egentlig dataene dine].

FAQ

Er cloud billigere enn egen server?

På kort sikt kan cloud være billigere. Over flere år kan abonnementskostnader gjøre løsningen dyrere enn egen infrastruktur.

Er cloud sikrere?

Ikke nødvendigvis. Store leverandører har sterke sikkerhetsmiljøer, men egen infrastruktur kan også være svært sikker hvis den driftes riktig.

Må man velge enten cloud eller egen server?

Nei. Mange virksomheter bruker en hybridmodell hvor noen tjenester ligger i skyen og andre kjøres lokalt eller i privat sky.

Hva bruker de fleste bedrifter?

Mange små og mellomstore virksomheter bruker i dag kommersielle skyløsninger. Samtidig øker interessen for private og self-hosted alternativer blant organisasjoner som ønsker mer kontroll over data.

Illustrasjon av småbedrift med flere IT-sikkerhetsproblemer og varsler på dataskjermer

10 sikkerhetsfeil små bedrifter gjør i IT-drift

Skrevet av Svein Tore den . Publisert i IT-sikkerhet. Ingen kommentarer til 10 sikkerhetsfeil små bedrifter gjør i IT-drift

Mange små bedrifter tror at IT-sikkerhet først og fremst er et problem for store selskaper. Realiteten er ofte det motsatte. Små virksomheter har gjerne mindre ressurser, færre sikkerhetsrutiner og svakere kontroll over hvor data faktisk lagres.

Resultatet er at enkle feil i IT-driften kan få store konsekvenser.

Denne artikkelen går gjennom ti vanlige sikkerhetsfeil små bedrifter gjør – og hva man bør gjøre i stedet.

1. Ingen tydelig kontroll over hvor data lagres

Mange virksomheter bruker skyløsninger uten egentlig å vite hvor dataene lagres eller hvilke lover som gjelder for leverandøren.

Når data lagres i globale skyløsninger kan de være underlagt andre lands lovgivning. Dette kan påvirke både personvern, datasikkerhet og hvem som i praksis kan få tilgang til informasjonen.

Derfor bør alle virksomheter ha oversikt over:

  • hvor data lagres
  • hvem som kontrollerer infrastrukturen
  • hvilken jurisdiksjon leverandøren opererer under

Dette er et sentralt tema i artikkelen hvem kontrollerer egentlig dataene dine.

2. Manglende backup-strategi

Overraskende mange små bedrifter har enten ingen backup – eller en backup som ikke faktisk fungerer.

Vanlige problemer inkluderer:

  • backup som lagres på samme server som originaldata
  • backup som aldri testes
  • manuelle backup-rutiner som glemmes

En god tommelfingerregel er å følge 3-2-1 backup regelen. Den reduserer risikoen for både tekniske feil og ransomware-angrep.

3. For stor tillit til standardinnstillinger

Standardinnstillinger i programvare er laget for å gjøre systemer enkle å ta i bruk – ikke nødvendigvis for maksimal sikkerhet.

Dette kan føre til:

  • åpne porter
  • svake passordregler
  • for brede brukerrettigheter

IT-systemer bør derfor alltid gjennomgås etter installasjon og tilpasses virksomhetens behov.

4. Alle ansatte har for mye tilgang

I mange små bedrifter har ansatte tilgang til langt mer informasjon enn de trenger.

Dette øker risikoen for:

  • interne feil
  • utilsiktet datalekkasjer
  • kompromitterte brukerkontoer

Et grunnprinsipp i IT-sikkerhet er «least privilege» – altså at brukere kun skal ha tilgang til det de faktisk trenger.

5. Manglende oppdateringer

Gamle systemer er en av de vanligste inngangsportene for angrep.

Programvare oppdateres kontinuerlig fordi sikkerhetshull oppdages. Hvis oppdateringer ikke installeres, blir disse hullene stående åpne.

Dette gjelder spesielt:

  • servere
  • nettverksutstyr
  • WordPress og plugins
  • operativsystemer

6. Ingen plan for ransomware

Ransomware er i dag en av de største truslene mot små og mellomstore virksomheter.

Mange organisasjoner oppdager først problemet når alle filer plutselig er kryptert.

En realistisk sikkerhetsstrategi bør derfor inkludere:

  • isolerte backup-løsninger
  • rutiner for gjenoppretting
  • begrensning av brukerrettigheter

Se også Ransomware – hvordan beskytte virksomhetens data.

7. Manglende logging og overvåkning

Hvis ingen overvåker systemene, er det også vanskelig å oppdage når noe faktisk går galt.

Logging gjør det mulig å se:

  • uvanlig innlogging
  • datatilgang
  • systemendringer

Uten logger kan det være nesten umulig å forstå hva som har skjedd etter et sikkerhetsbrudd.

8. Sky uten sikkerhetsvurdering

Mange bedrifter velger skyløsninger fordi de virker enkle og billige.

Men få vurderer:

  • hvor data behandles
  • hvilke lover leverandøren er underlagt
  • hvilke rettigheter leverandøren har til dataene

Dette er grunnen til at spørsmål om datasuverenitet og kontroll over data har blitt stadig viktigere.

9. Ingen sikkerhetsrutiner for ansatte

Teknologi alene løser ikke sikkerhetsproblemer.

Mange angrep starter med:

  • phishing
  • falske fakturaer
  • kompromitterte e‑postkontoer

Enkle tiltak kan redusere risiko betydelig:

  • korte sikkerhetskurs
  • tydelige rutiner
  • to-faktor autentisering

10. IT-sikkerhet ses som en kostnad

En av de største feilene små bedrifter gjør er å behandle IT-sikkerhet som en ren kostnad.

I realiteten handler sikkerhet om:

  • driftssikkerhet
  • tillit fra kunder
  • beskyttelse av virksomhetens data

Når sikkerhet først blir prioritert etter et angrep, er skaden ofte allerede skjedd.

Hva små bedrifter bør gjøre i stedet

IT-sikkerhet trenger ikke være komplisert, men det krever struktur.

Noen grunnleggende tiltak gir ofte svært stor effekt:

  • ha kontroll over hvor data lagres
  • implementer en fungerende backup-strategi
  • begrens brukerrettigheter
  • oppdater systemer jevnlig
  • bruk to-faktor autentisering

Små virksomheter trenger ikke nødvendigvis store sikkerhetsteam. Men de trenger bevissthet rundt hvem som kontrollerer infrastrukturen de bruker.

Derfor er det også viktig å forstå [hvem kontrollerer egentlig dataene dine].

FAQ

Er små bedrifter virkelig mål for cyberangrep?

Ja. Mange angrep er automatiserte og rammer alle systemer med sårbarheter – uavhengig av størrelse på virksomheten.

Hva er den vanligste sikkerhetsfeilen?

Manglende backup og for brede brukerrettigheter er to av de mest vanlige problemene.

Hvor bør små bedrifter starte?

Start med oversikt: hvor data lagres, hvem som har tilgang, og hvordan data kan gjenopprettes hvis noe går galt.

Illustrasjon av en AI-assistent, en policy-sjekkliste og sikrede mapper som viser kontrollert bruk av AI-verktøy.

AI-datapolicy for småbedrifter: hva må stå i den?

Skrevet av Mina Berg den . Publisert i IT-sikkerhet. Ingen kommentarer til AI-datapolicy for småbedrifter: hva må stå i den?

De fleste småbedrifter har allerede begynt å bruke AI. Kanskje ikke offisielt. Kanskje ikke strukturert. Men noen har spurt ChatGPT om et tilbudsutkast, brukt Copilot til å oppsummere et møte, limt inn en feilmelding i en AI-assistent eller brukt et bildegeneratorverktøy til markedsføring.

Det er ikke nødvendigvis et problem. AI kan være nyttig. Problemet oppstår når bruken skjer uten felles regler.

Da blir hver ansatt sin egen risikovurdering. Noen er forsiktige. Andre tenker at "det bare er et verktøy". Noen vet forskjellen på en intern notis og personopplysninger. Andre tenker først på tidsbesparelsen. I praksis er det ikke teknologien som er mest uoversiktlig. Det er fraværet av rammer.

En AI-datapolicy for småbedrifter trenger ikke være et langt dokument med juridiske formuleringer som ingen leser. Den bør være kort, konkret og praktisk. Målet er ikke å skremme ansatte bort fra AI. Målet er å gjøre det trygt nok å bruke AI riktig.

Start med det enkle spørsmålet

En god policy bør begynne med ett spørsmål:

Hva kan vi legge inn i eksterne AI-verktøy?

Det høres nesten banalt ut. Men det er kjernen.

Et AI-verktøy kan føles som et søkefelt, et skriveprogram eller en uskyldig assistent. Men når ansatte skriver inn tekst, laster opp filer eller kobler verktøyet til e-post, dokumenter, CRM, kode eller kalender, kan virksomheten dele data med en ekstern leverandør. Kunnskapsrom har tidligere skrevet om hvorfor AI-søkefeltet ikke er et privat rom. En datapolicy er neste praktiske steg.

Spørsmålet er ikke bare personvern. Det handler også om kundelister, tilbud, intern økonomi, kontrakter, tekniske logger, passord, API-nøkler, sikkerhetsinformasjon, kildekode, styredokumenter og planer som ikke skal ut av virksomheten.

Noe av dette er regulert. Noe er bare sensitivt fordi det gir andre innsikt i hvordan bedriften fungerer. Begge deler må håndteres.

Policyen må si hvilke verktøy som er godkjent

Den første feilen mange virksomheter gjør, er å skrive regler om "AI" som om alle AI-verktøy er like.

Det er de ikke.

Noen brukes med privat konto. Noen inngår i Microsoft 365 eller Google Workspace. Noen har bedriftsavtale. Noen lagrer historikk. Noen kan bruke innhold til forbedring av tjenester. Noen har databehandleravtale. Noen har integrasjoner som får tilgang til filer, e-post og kalender. Noen er rene nettjenester uten tydelig kontroll.

Policyen bør derfor ha en enkel liste:

  • Godkjente AI-verktøy
  • Hva hvert verktøy kan brukes til
  • Hvilke datatyper som er tillatt
  • Hvem som eier kontoene
  • Hvem ansatte spør hvis de er usikre

Det er bedre med tre tydelige godkjente verktøy enn en generell formulering om at "AI kan brukes ansvarlig". Ansvar uten konkretisering blir fort pynt.

Policyen må si hvilke data som aldri skal inn

Småbedrifter trenger en tydelig nei-liste. Den bør være så konkret at ansatte slipper å gjette.

Dette bør normalt ikke legges inn i eksterne AI-verktøy uten særskilt godkjenning:

  • Personopplysninger om kunder, ansatte eller samarbeidspartnere
  • Fødselsnummer, helseopplysninger, personalsaker og lønnsinformasjon
  • Kundelister, avtaler, priser og tilbud som ikke er offentlige
  • Passord, API-nøkler, tokens og sikkerhetskoder
  • Tekniske logger med IP-adresser, brukernavn, interne systemnavn eller feildetaljer
  • Kildekode, konfigurasjonsfiler eller systemdokumentasjon som kan avsløre sårbarheter
  • Styredokumenter, strategier, budsjetter og upubliserte planer
  • Taushetsbelagt informasjon eller materiale fra kunder som ikke har godkjent slik bruk

Listen bør tilpasses bedriften. Et regnskapskontor, et verksted, et advokatkontor, en helseaktør og en nettbutikk har ulike datatyper. Men prinsippet er det samme: det som kan skade kunder, ansatte eller virksomheten hvis det havner feil sted, skal ikke inn i et tilfeldig AI-felt.

Datatilsynet peker i sin rapport om kunstig intelligens og personvern blant annet på formålsbestemthet, dataminimalisering, gjennomsiktighet og personvernkonsekvenser. Det er store ord, men de treffer også småbedrifter. Ikke del mer data enn nødvendig. Ikke bruk data til nye formål uten å forstå konsekvensene. Ikke gjør behandlingen usynlig for dem den gjelder.

Den bør forklare hva som faktisk er lov å gjøre

En policy som bare sier nei, blir raskt ignorert. Ansatte trenger også trygge ja-eksempler.

AI kan ofte brukes til:

  • Språkvask av tekst uten kundedata
  • Idéutvikling og disposisjon
  • Generelle forklaringer av fagbegreper
  • Utkast til interne rutiner der sensitive detaljer er fjernet
  • Oppsummering av offentlig tilgjengelig informasjon
  • Oversettelse av tekst som ikke inneholder personopplysninger eller bedriftshemmeligheter
  • Lage sjekklister, maler og spørsmål til videre arbeid

Det viktige er at ansatte lærer forskjellen på innhold og kontekst. En generell tekst om "hvordan skrive en purring" er noe annet enn en faktisk purring til en navngitt kunde med beløp, dato og betalingshistorikk.

En god tommelfingerregel er denne:

Hvis teksten ikke kunne vært sendt til en ekstern konsulent uten avtale, skal den heller ikke inn i et AI-verktøy uten godkjenning.

Den regelen er ikke perfekt. Men den er forståelig.

Anonymisering må forklares praktisk

Mange sier at ansatte kan bruke AI hvis de anonymiserer først. Det er fornuftig, men bare hvis man forklarer hva det betyr.

Å bytte ut navn er ikke alltid nok. En tekst kan fortsatt identifisere en person gjennom rolle, dato, sted, sakstype, hendelsesforløp eller kombinasjoner av detaljer. En liten lokal virksomhet kan ha så få ansatte at "daglig leder i en liten bedrift i bygda" i praksis peker på én person.

Policyen bør derfor bruke et enkelt språk:

  • Fjern navn, e-postadresser, telefonnummer og kundenummer
  • Fjern datoer, adresser og saksnumre hvis de ikke trengs
  • Bytt ut konkrete beløp med omtrentlige kategorier hvis tallene er sensitive
  • Fjern interne systemnavn, IP-adresser og feilkoder som ikke må være med
  • Skriv om caset til et generelt eksempel hvis detaljene gjør personen eller kunden gjenkjennelig

Hvis anonymisering tar lengre tid enn oppgaven sparer, er det kanskje ikke riktig oppgave for et eksternt AI-verktøy. Det er en helt grei konklusjon.

Leverandøren må vurderes, ikke bare funksjonen

En AI-løsning er også en leverandør. Det betyr at virksomheten må stille noen vanlige leverandørspørsmål.

Hvor lagres dataene? Hvem har tilgang? Brukes innhold til trening eller forbedring? Finnes databehandleravtale? Hvilke underleverandører brukes? Kan historikk slettes? Kan administrator styre tilgang? Har løsningen revisjonslogger? Hva skjer hvis en ansatt slutter? Hvilke integrasjoner er skrudd på?

Dette er samme type kontrollspørsmål som gjelder for andre skytjenester. Derfor henger AI-policy tett sammen med datasuverenitet, skylagring og leverandørkontroll. Hvis virksomheten allerede har vurdert GDPR-data i amerikanske skyløsninger, bør AI-verktøy inn i samme tankegang.

Det europeiske personvernrådet har også behandlet flere spørsmål rundt personopplysninger og AI-modeller i Opinion 28/2024. For småbedrifter er ikke poenget å lese alle detaljer som jurist. Poenget er å forstå hovedlinjen: AI fritar ikke virksomheten fra personvernansvar.

Bruk NSMs grunnprinsipper som sikkerhetsrygg

AI-policyen bør ikke være isolert fra vanlig IT-sikkerhet. Den bør bygge på samme grunnlogikk: vite hva man har, styre tilgang, begrense skade, holde oversikt over leverandører og ha rutiner når noe går galt.

NSMs grunnprinsipper for IKT-sikkerhet er laget som anbefalinger for å beskytte informasjonssystemer mot uautorisert tilgang, skade og misbruk. De er relevante også når AI-verktøy blir en del av hverdagen. Spesielt viktig er oversikt, tilgangsstyring, tjenesteutsetting og ansvar.

En liten bedrift trenger ikke starte med et tungt rammeverk. Men den bør vite hvilke AI-verktøy som brukes, hvem som bruker dem, hvilke data de kan få, og hvem som følger opp endringer.

AI-verktøy får stadig nye funksjoner. Det som i dag er en skrivehjelp, kan i morgen få tilgang til dokumentlager, e-post eller møtereferater. Da endres risikoen.

Policyen må ha en feilrutine

Folk gjør feil. En ansatt kan lime inn noe som ikke skulle vært delt. En kunde kan sende sensitiv informasjon inn i en chatbot. En leverandør kan endre vilkår. En integrasjon kan få mer tilgang enn planlagt.

Derfor bør policyen si hva ansatte gjør når noe går galt.

Den bør svare på:

  • Hvem varsles internt?
  • Hvilke opplysninger ble delt?
  • Hvilket verktøy ble brukt?
  • Kan historikk slettes?
  • Må kunden eller den registrerte varsles?
  • Må hendelsen vurderes som personvernavvik?
  • Hvem dokumenterer saken?

Dette skal ikke skrives for å skremme ansatte. Tvert imot. En tydelig feilrutine gjør det lettere å si fra tidlig. Det er bedre å vite om en feil etter fem minutter enn etter fem måneder.

Lag policyen kort nok til at den brukes

En praktisk AI-datapolicy for småbedrifter kan være én til to sider. Den bør ikke prøve å løse hele AI-fremtiden.

Den bør minst inneholde:

  • Formål: hvorfor policyen finnes
  • Godkjente verktøy: hva ansatte kan bruke
  • Tillatt bruk: typiske ja-eksempler
  • Forbudte data: tydelig nei-liste
  • Anonymisering: hvordan data skal fjernes eller omskrives
  • Leverandørkontroll: hvem godkjenner nye verktøy
  • Integrasjoner: hvem kan koble AI til e-post, filer, kalender eller CRM
  • Feilrutine: hva ansatte gjør ved uhell
  • Revisjon: når policyen vurderes på nytt

Det siste punktet er viktig. En AI-policy fra 2024 kan være utdatert i 2026. Verktøyene endrer seg raskt. Derfor bør policyen gjennomgås minst hvert halvår, eller når virksomheten tar i bruk et nytt AI-verktøy.

NISTs Generative AI Profile bygger på tanken om å identifisere og håndtere risiko ved generativ AI på en strukturert måte. Småbedrifter trenger ikke kopiere et amerikansk rammeverk. Men de kan låne den praktiske ideen: styring først, teknologi etterpå.

Konklusjon: gjør AI-bruk lovlig, trygg og mulig

AI-datapolicy handler ikke om å bremse alt. Den handler om å gjøre det mulig å bruke AI uten at hver ansatt må finne opp reglene alene.

Den beste policyen er ikke den lengste. Det er den ansatte faktisk forstår når de sitter med et dokument, en feilmelding eller en kundesak og lurer på om de kan lime det inn.

For småbedrifter bør målet være enkelt:

Bruk AI til det AI er godt til. Hold sensitive data unna tilfeldige verktøy. Godkjenn leverandører før de får tilgang. Si fra raskt hvis noe går galt.

Det er ikke dramatisk. Det er bare normal datakontroll i en tid der søkefeltet er blitt en samtalepartner.

Illustrasjon av et AI-søkefelt der dokumenter og data flyter mot en ekstern skytjeneste med en tydelig sikkerhetsgrense.

AI-søkefeltet er ikke et privat rom

Skrevet av Mina Berg den . Publisert i IT-sikkerhet. Ingen kommentarer til AI-søkefeltet er ikke et privat rom

Et søkefelt føles uskyldig. Man skriver noe inn, får et svar, og går videre. Det er slik vi har lært å bruke nettet i mange år. Men AI-søk og AI-assistenter endrer denne vanen på en stille måte. De inviterer oss til å skrive lengre spørsmål, gi mer kontekst, laste opp filer, lime inn logger og forklare situasjoner som tidligere aldri ville blitt sendt til en søkemotor.

For privatpersoner kan det være praktisk. For virksomheter kan det bli en ny datadelingskanal.

Det er ikke fordi alle AI-tjenester er farlige. Det er fordi de er eksterne tjenester. Når en ansatt limer inn en kontrakt, et kundecase, en teknisk logg eller et internt strateginotat i et AI-søkefelt, har virksomheten allerede gjort et valg. Kanskje var valget bevisst. Ofte var det bare friksjonsfritt.

Friksjonsfrie valg er hyggelige helt til man oppdager at ingen egentlig godkjente dem.

AI-søk ber om mer kontekst

Tradisjonelle søk var ofte korte. "GDPR skylagring USA". "beste backup regel". "feilmelding WordPress REST". AI-søk fungerer annerledes. Tjenesten blir bedre når brukeren gir mer kontekst. Derfor skriver folk også mer.

Google beskriver i hjelpen for AI Mode i Google Search at tjenesten kan brukes med tekst, stemme og bilder, og at den støtter oppfølgingsspørsmål. Det er nyttig, men også viktig: et søkefelt som kan føre en samtale, oppleves mer som en rådgiver enn som en indeks.

Da endrer brukeren adferd. Man spør ikke bare "hva betyr denne feilen?" Man limer inn hele feilmeldingen. Kanskje også IP-adresser, brukernavn, domenenavn, serverstier og kundenavn. Man spør ikke bare "hvordan skrive oppsigelsesbrev?" Man beskriver en personalkonflikt. Kanskje med detaljer som ikke burde ut av virksomheten.

Små handlinger kan bli stor datadeling når de gjentas mange ganger.

Spørsmålet er ikke bare personvern

Personvern er viktig, men dette handler ikke bare om personopplysninger. Virksomheter har også forretningshemmeligheter, leverandøravtaler, sikkerhetslogger, prisstrategier, kundelister, tekniske sårbarheter, kildekode, møtereferater og upubliserte planer.

Noe av dette er regulert. Noe er bare sensitivt fordi det gir andre innsikt i hvordan virksomheten fungerer. Begge deler bør behandles med omtanke.

Kunnskapsrom har tidligere skrevet om hvem som egentlig kontrollerer dataene dine og om GDPR-data i amerikanske skyløsninger. AI-søk gjør disse spørsmålene mer praktiske. Det er ikke lenger bare hvor filene lagres. Det er også hvor spørsmålene, utdragene, loggene og arbeidskonteksten sendes.

En enkel regel hjelper mer enn en lang policy

Mange virksomheter trenger ikke starte med et tykt dokument. De trenger en enkel regel som alle forstår:

Ikke lim inn kundedata, personopplysninger, kontrakter, sikkerhetslogger, passord, nøkler, kildekode, interne strategier eller upublisert materiale i AI-tjenester uten at virksomheten har godkjent tjenesten for den typen bruk.

Den regelen er ikke perfekt. Den løser ikke alt. Men den gjør det viktigste: den flytter AI-bruk fra magefølelse til ansvar.

Datatilsynet har også pekt på behovet for vurderinger rundt kunstig intelligens og personopplysninger. I veiledningen om kunstig intelligens og personvern er det tydelig at behandling av personopplysninger i AI-løsninger må vurderes etter vanlige personvernprinsipper. Det betyr blant annet formål, dataminimering, rettslig grunnlag, informasjonssikkerhet og kontroll.

Det er kjedelige ord. De er kjedelige på samme måte som bremser er kjedelige. Man merker dem mest når de mangler.

Godkjente verktøy må være tydelige

En virksomhet bør ikke bare si hva ansatte ikke kan gjøre. Den bør også si hva de kan gjøre.

Hvilke AI-verktøy er godkjent? Hvilke data kan brukes i dem? Skal filer anonymiseres først? Kan ansatte bruke private kontoer? Logges historikk? Brukes innhold til modelltrening? Hvilken avtale gjelder? Hvem kan svare hvis en ansatt er usikker?

Dette er ikke spørsmål for markedsavdelingen alene. IT, ledelse, personvern og sikkerhet bør være med. AI-verktøy kan være skrivehjelp, søk, analyse, kodeassistent og dokumentverktøy på samme tid. Da kan også risikoen havne flere steder samtidig.

Artikkelen om CLOUD Act handler om lovverk og jurisdiksjon. Men den underliggende lærdommen er bredere: når data flyttes til globale plattformer, må man vite hvilke regler, avtaler og tekniske mekanismer som faktisk gjelder.

AI kan brukes trygt, men ikke tilfeldig

Poenget er ikke at ansatte skal slutte å bruke AI. Det ville vært både urealistisk og lite smart. AI kan hjelpe med utkast, struktur, oppsummeringer, idéarbeid, oversettelser og teknisk feilsøking. Men bruken må rammes inn.

En god praksis kan være å skille mellom tre nivåer.

Første nivå er offentlig informasjon. Generelle spørsmål, åpne kilder og ikke-sensitive tekster kan ofte brukes med lav risiko.

Andre nivå er intern, men ikke sensitiv informasjon. Her bør virksomheten ha klare regler og godkjente verktøy.

Tredje nivå er sensitiv informasjon. Persondata, kundedata, sikkerhetslogger, kontrakter, kildekode og strategidokumenter bør bare brukes i løsninger som er eksplisitt godkjent for formålet.

Denne inndelingen er enkel nok til å huskes. Det er ofte viktigere enn en policy som bare juristen og den mest pliktoppfyllende mellomlederen leser.

Søkefeltet er blitt en dør

AI-søkefeltet er ikke bare et sted man henter informasjon. Det er en dør ut av virksomheten. Noen ganger er det helt greit å åpne den. Andre ganger bør den være låst.

Forskjellen ligger ikke i hvor moderne verktøyet er. Den ligger i hva du sender gjennom døren.

En ansvarlig virksomhet trenger derfor ikke være redd for AI. Den trenger å være presis. Hvilke verktøy brukes? Hvilke data deles? Hvem har godkjent det? Hva skjer med informasjonen etterpå?

Når de spørsmålene er besvart, kan AI bli et nyttig arbeidsverktøy. Når de ikke er besvart, er AI-søkefeltet bare et pent lite hull i veggen. Og hull i veggen er sjelden en god sikkerhetsarkitektur.

Videre lesing

Sikker datalagring for bedrifter illustrert med servere og datasikkerhet

Den komplette guiden til sikker datalagring for bedrifter

Skrevet av Svein Tore den . Publisert i IT-sikkerhet. Ingen kommentarer til Den komplette guiden til sikker datalagring for bedrifter

Bedrifter lagrer mer data enn noen gang. Kundeinformasjon, kontrakter, økonomi, e‑post, interne dokumenter og prosjektfiler. Samtidig har datainnbrudd, løsepengevirus og datalekkasjer blitt en av de største risikoene virksomheter står overfor.

Denne guiden forklarer hva sikker datalagring faktisk innebærer, hvilke løsninger som finnes, og hvilke vurderinger virksomheter bør gjøre før de bestemmer hvor dataene skal lagres. Hvis du vil forstå den større diskusjonen om eierskap og kontroll over data, bør du også lese hvem kontrollerer egentlig dataene dine.

Hva betyr sikker datalagring?

Sikker datalagring handler om mer enn bare å lagre filer et sted. Det handler om hvordan data beskyttes mot:

  • uautorisert tilgang
  • datatap
  • hacking
  • løsepengevirus
  • tekniske feil
  • juridiske konflikter rundt data

Mange virksomheter tror at sikkerhet først og fremst handler om passord eller antivirus. I praksis er det infrastrukturen rundt lagringen som avgjør hvor trygge dataene faktisk er.

Tre spørsmål bør alltid stilles:

  1. Hvor lagres dataene fysisk?
  2. Hvem kontrollerer infrastrukturen?
  3. Hvem kan juridisk kreve tilgang til dataene?

Disse spørsmålene er spesielt viktige når virksomheter bruker globale skyløsninger.

De vanligste lagringsmodellene

Det finnes flere måter å lagre bedriftsdata på. Hver modell har sine fordeler og ulemper.

Lokal lagring

Tradisjonelt har mange bedrifter lagret data på egne servere i egne lokaler.

Fordeler:

  • full kontroll over infrastrukturen
  • data forlater ikke virksomheten
  • ingen ekstern leverandør

Ulemper:

  • krever teknisk kompetanse
  • ansvar for backup og sikkerhet
  • sårbart ved brann, tyveri eller strømbrudd

Lokal lagring kan fungere godt for enkelte virksomheter, men krever disiplinert drift.

Offentlig sky

Offentlige skyløsninger som Microsoft 365, Google Workspace og lignende plattformer har blitt standard for mange virksomheter.

Fordeler:

  • enkel oppstart
  • lite teknisk drift
  • høy tilgjengelighet

Ulemper:

  • begrenset kontroll over infrastrukturen
  • data kan være underlagt utenlandsk lovgivning
  • risiko for vendor lock‑in

Diskusjonen rundt dette handler ofte om datasuverenitet og kontroll. Hvis dette er nytt for deg kan du lese hva er datasuverenitet.

Privat sky

En privat sky er en skyløsning hvor infrastrukturen er dedikert til én virksomhet eller en begrenset gruppe kunder.

Dette kan være driftet:

  • i eget datasenter
  • hos en norsk leverandør
  • i et kontrollert hostingmiljø

Fordelen er at virksomheten kan få mange av fordelene fra skyen, samtidig som kontrollen over infrastrukturen er langt større.

Hvis du vil forstå dette bedre kan du lese hva er en privat sky for bedrifter.

Self‑hosted skyløsninger

En stadig mer diskutert modell er self‑hosted skyløsninger.

Her bruker virksomheten programvare som gir skylagringsfunksjoner, men infrastrukturen kontrolleres av virksomheten selv eller en lokal leverandør.

Et kjent eksempel er Nextcloud.

Hvis du vil forstå modellen bedre kan du lese self-hosted skylagring – hva betyr det egentlig.

De største risikoene for bedriftsdata

Når man snakker om sikker datalagring, er det viktig å forstå hva de reelle truslene er.

Løsepengevirus

Ransomware har blitt en av de mest ødeleggende cybertruslene for bedrifter.

Angrepet fungerer ofte slik:

  1. En ansatt åpner en e‑post
  2. Skadelig programvare installeres
  3. Alle filer krypteres
  4. virksomheten må betale løsepenger

Uten gode sikkerhetskopier kan konsekvensene bli katastrofale.

Feilkonfigurasjon

Mange datalekkasjer skjer ikke fordi noen hacker seg inn, men fordi systemer er feil konfigurert.

Eksempler:

  • åpne skylagringsmapper
  • feil tilgangsrettigheter
  • delte lenker uten passord

Dette skjer oftere enn mange tror.

Manglende backup

Backup er den enkleste måten å redusere risiko på, men også en av de mest oversette.

En god backupstrategi bør inkludere:

  • automatiske sikkerhetskopier
  • versjonshistorikk
  • offline backup
  • regelmessig testing

Backup som aldri testes, er i praksis verdiløs.

Juridiske utfordringer ved skylagring

Sikker datalagring handler ikke bare om teknologi. Juridiske forhold spiller også en stor rolle.

Et av de mest diskuterte temaene er amerikansk lovgivning og hvordan den påvirker data lagret i globale skytjenester.

Lover som CLOUD Act gjør at amerikanske myndigheter i visse situasjoner kan kreve tilgang til data hos amerikanske selskaper.

Dette er en av grunnene til at mange europeiske virksomheter diskuterer alternativer til globale skyløsninger.

En annen viktig milepæl var EU‑dommen kjent som [hva betyr Schrems II for skylagring].

Denne dommen satte spørsmålstegn ved overføring av persondata mellom EU og USA.

Hvordan velge riktig lagringsstrategi

Det finnes ingen universell løsning som passer alle virksomheter.

Men noen vurderinger går igjen.

Kartlegg hvilke data dere faktisk har

Start med å kartlegge hvilke typer data virksomheten lagrer:

  • persondata
  • kundedata
  • økonomidata
  • interne dokumenter
  • tekniske filer

Ulike typer data kan ha ulike krav til lagring.

Vurder hvor kritiske dataene er

Hvis alle filer forsvinner i morgen, hva skjer?

Noen virksomheter kan gjenopprette driften raskt. Andre vil stoppe helt opp.

Jo mer kritiske dataene er, jo mer kontroll bør virksomheten ha over infrastrukturen.

Unngå å bli låst til én leverandør

Vendor lock‑in er en reell risiko.

Når hele virksomheten bygges rundt én plattform, kan det bli både dyrt og komplisert å flytte senere.

Dette gjelder særlig for skyløsninger.

Tenk langsiktig

Valg av lagringsplattform tas ofte raskt når en virksomhet starter.

Men beslutningen kan påvirke organisasjonen i mange år fremover.

Derfor bør man ikke bare vurdere hva som er enklest i dag, men også hva som gir mest fleksibilitet på sikt.

Et mer strategisk spørsmål: Hvem kontrollerer dataene?

Når virksomheter diskuterer lagring handler samtalen ofte om pris, funksjoner og brukervennlighet.

Men det viktigste spørsmålet er ofte et annet:

Hvem kontrollerer infrastrukturen dataene ligger på?

Hvis du vil forstå hvorfor dette spørsmålet er så viktig, anbefales hovedartikkelen [hvem kontrollerer egentlig dataene dine].

Den går dypere inn i hvordan globale skyløsninger fungerer, og hvorfor stadig flere virksomheter begynner å diskutere alternativer.

Oppsummering

Sikker datalagring handler ikke bare om teknologi. Det handler om kontroll, risiko og langsiktige valg.

Bedrifter bør derfor vurdere:

  • hvor dataene lagres
  • hvem som kontrollerer infrastrukturen
  • hvilke lover som gjelder
  • hvordan backup håndteres
  • hvor avhengig man blir av leverandører

Det viktigste er ikke nødvendigvis hvilken løsning man velger, men at valget tas bevisst.

Når virksomheter faktisk forstår hvor dataene ligger og hvem som kontrollerer dem, blir det også langt enklere å ta gode beslutninger om sikkerhet.

Illustrasjon av data som flyttes fra Europa til en amerikansk sky

Kan man lagre GDPR‑data i amerikanske skyløsninger?

Skrevet av Svein Tore den . Publisert i IT-sikkerhet. Ingen kommentarer til Kan man lagre GDPR‑data i amerikanske skyløsninger?

Mange virksomheter antar at det er helt uproblematisk å lagre personopplysninger i tjenester som Microsoft 365, Google Workspace eller andre amerikanske skyløsninger. De brukes jo av «alle». Men juridisk og teknisk er situasjonen langt mer komplisert.

Spørsmålet mange stiller er enkelt: Er det faktisk lovlig å lagre GDPR‑data i amerikanske skytjenester?

Det korte svaret er at dette er svært problematisk. Flere juridiske vurderinger i Europa konkluderer med at overføring av personopplysninger til amerikanske selskaper kan være i strid med GDPR fordi amerikansk lovgivning kan gi myndigheter tilgang til dataene.

Hvorfor USA skaper problemer for GDPR

GDPR stiller et grunnleggende krav: Personopplysninger skal bare overføres til land utenfor EU/EØS dersom personvernet er tilstrekkelig beskyttet.

USA har i mange år vært en utfordring på dette området.

Årsaken er ikke først og fremst teknologien, men lovverket. Amerikanske myndigheter kan i flere tilfeller kreve tilgang til data som lagres hos amerikanske selskaper – selv når dataene fysisk ligger i Europa.

Dette betyr at en europeisk virksomhet i praksis kan miste full kontroll over personopplysninger som lagres i slike systemer.

Schrems II endret spillereglene

I 2020 kom EU‑domstolens avgjørelse i Schrems II. Den slo fast at den daværende avtalen mellom EU og USA for dataoverføring – Privacy Shield – ikke ga tilstrekkelig beskyttelse.

Domstolen pekte spesielt på amerikansk overvåkingslovgivning og manglende rettigheter for europeiske borgere dersom dataene deres ble hentet ut av amerikanske myndigheter.

Konsekvensen var at mange av de juridiske mekanismene som tidligere ble brukt for å overføre data til USA ble kraftig svekket.

Resultatet er at virksomheter må gjøre langt strengere vurderinger før de bruker amerikanske skyløsninger.

CLOUD Act og tilgang til data

Et annet viktig element i debatten er CLOUD Act.

Denne amerikanske loven gjør det mulig for amerikanske myndigheter å kreve tilgang til data fra amerikanske selskaper – uavhengig av hvor dataene fysisk er lagret.

Det betyr i praksis at data som ligger på en server i Europa fortsatt kan være tilgjengelige for amerikanske myndigheter dersom leverandøren er et amerikansk selskap.

Dette er vanskelig å forene med GDPRs krav om kontroll over personopplysninger.

«EU‑servere» løser ikke nødvendigvis problemet

Leverandører som Microsoft og Google fremhever ofte at data kan lagres i europeiske datasentre.

Det høres betryggende ut, men det løser ikke nødvendigvis de juridiske utfordringene.

Så lenge leverandøren er et amerikansk selskap, kan amerikansk lov fortsatt gjelde for selskapet – og dermed indirekte for dataene.

Dermed handler spørsmålet ikke bare om hvor dataene ligger, men også om hvem som kontrollerer infrastrukturen.

Dette er et sentralt tema i artikkelen [hvem kontrollerer egentlig dataene dine].

Hva sier Datatilsyn og europeiske myndigheter?

Flere europeiske tilsynsmyndigheter har uttrykt bekymring rundt bruk av amerikanske skytjenester.

Eksempler inkluderer:

  • nederlandske vurderinger av Microsoft 365
  • tyske vurderinger av Google Workspace
  • diskusjoner i flere europeiske datatilsyn

Fellesnevneren er usikkerheten rundt amerikansk lovgivning og tilgang til data.

Det betyr ikke nødvendigvis at alle slike tjenester automatisk er ulovlige å bruke, men det betyr at risikoen og de juridiske kravene er betydelige.

For mange virksomheter er det derfor vanskelig å dokumentere full GDPR‑etterlevelse.

Alternativet: europeiske eller self‑hosted løsninger

På grunn av disse utfordringene ser mange virksomheter etter alternativer.

Et alternativ er europeiske skyleverandører som opererer under EU‑jurisdiksjon.

Et annet er såkalte self‑hosted skyløsninger, der virksomheten selv kontrollerer infrastrukturen.

Plattformer som Nextcloud gjør det mulig å bygge en privat sky der data lagres på servere virksomheten selv kontrollerer.

Dette kan gjøre det enklere å dokumentere kontroll over personopplysninger og redusere avhengigheten av globale teknologiselskaper.

Problemet handler egentlig om kontroll

Debatten om amerikanske skyløsninger handler i bunn og grunn om ett spørsmål:

Hvem har faktisk kontroll over dataene?

Hvis infrastrukturen eies av et selskap underlagt amerikansk lov, vil det alltid eksistere en juridisk risiko for tilgang fra amerikanske myndigheter.

For virksomheter som håndterer sensitive personopplysninger kan dette være vanskelig å forene med GDPRs krav til kontroll, ansvar og dokumentasjon.

Hva bør virksomheter gjøre?

Virksomheter som bruker eller vurderer amerikanske skyløsninger bør minst gjøre følgende:

  1. Kartlegge hvilke personopplysninger som lagres
  2. Vurdere juridisk risiko ved dataoverføring
  3. Dokumentere vurderinger knyttet til Schrems II
  4. Vurdere europeiske eller self‑hosted alternativer

Dette handler ikke bare om teknologi – men om juridisk ansvar.

FAQ

Er Microsoft 365 automatisk GDPR‑ulovlig?

Ikke nødvendigvis. Mange virksomheter bruker fortsatt slike løsninger. Problemet er at juridiske vurderinger etter Schrems II gjør det vanskelig å dokumentere at personopplysninger er fullt beskyttet mot tilgang fra amerikanske myndigheter.

Holder det at data lagres i Europa?

Ikke alltid. Hvis leverandøren er et amerikansk selskap kan amerikansk lov fortsatt gi myndigheter tilgang til dataene.

Hva er det tryggeste alternativet?

Løsninger der data lagres hos leverandører under EU‑jurisdiksjon – eller systemer virksomheten selv kontrollerer – gjør det ofte enklere å dokumentere GDPR‑etterlevelse.

Illustrasjon av globale datasentre som lagrer Microsoft 365-data

Hvor lagres dataene i Microsoft 365?

Skrevet av Svein Tore den . Publisert i IT-sikkerhet. Ingen kommentarer til Hvor lagres dataene i Microsoft 365?

Mange virksomheter bruker Microsoft 365 hver dag til e-post, dokumenter, møter og samarbeid. Men et spørsmål dukker ofte opp når man begynner å se nærmere på datasikkerhet: Hvor lagres egentlig dataene?

Svaret er mer sammensatt enn mange tror. Selv om data ofte lagres i europeiske datasentre, betyr ikke det nødvendigvis at dataene kun er under europeisk kontroll.

Microsofts datasentre

Microsoft driver et stort globalt nettverk av datasentre. Når en virksomhet i Norge bruker Microsoft 365, vil data normalt lagres i Microsofts europeiske regioner. Disse kan blant annet være lokasjoner i Norge, Nederland, Irland, Tyskland eller andre europeiske datasentre.

Dette gjelder for tjenester som:

  • Exchange Online (e-post)
  • SharePoint og OneDrive (filer og dokumenter)
  • Microsoft Teams

Microsoft forsøker i stor grad å lagre data i samme geografiske region som kunden tilhører. For norske virksomheter betyr dette som regel Europa.

Men dette er bare én del av bildet.

Regionlagring betyr ikke nødvendigvis europeisk kontroll

Selv om data fysisk ligger i et datasenter i Europa, er det ikke nødvendigvis europeisk jurisdiksjon som gjelder.

Microsoft er et amerikansk selskap. Dermed omfattes selskapet av amerikansk lovgivning, uansett hvor serverne fysisk befinner seg.

Dette er en av grunnene til at temaet datasuverenitet har fått mer oppmerksomhet de siste årene.

I artikkelen hvem kontrollerer egentlig dataene dine forklares dette nærmere, men kort fortalt handler det om hvem som faktisk kan kreve tilgang til data.

CLOUD Act og tilgang til data

Et sentralt begrep i denne diskusjonen er den amerikanske loven CLOUD Act.

Denne loven åpner for at amerikanske myndigheter kan kreve tilgang til data fra amerikanske selskaper – også når dataene er lagret utenfor USA.

Det betyr at et selskap som Microsoft i enkelte situasjoner kan være juridisk forpliktet til å utlevere data, selv om de ligger på en server i Europa.

Dette er bakgrunnen for støtteartikkelen CLOUD Act forklart – hvorfor amerikanske skyløsninger skaper debatt.

Schrems II og overføring av data

Et annet viktig punkt i denne diskusjonen er EU-dommen kjent som Schrems II.

Denne dommen satte i praksis en stopper for Privacy Shield-avtalen mellom EU og USA. Begrunnelsen var nettopp bekymringer rundt amerikansk overvåkingslovgivning.

Konsekvensen er at overføring av persondata til amerikanske leverandører har blitt et mer komplisert juridisk spørsmål.

Du kan lese mer om dette i artikkelen Hva betyr Schrems II for skylagring.

Speiling, backup og global infrastruktur

En annen ting som ofte overses, er hvordan moderne skyløsninger faktisk lagrer data.

Data lagres sjelden kun ett sted. For å sikre stabil drift speiles informasjon ofte mellom flere datasentre. I tillegg tas det jevnlig backup.

Dette gjør systemene svært robuste mot feil og nedetid.

Samtidig betyr det også at data kan være distribuert på flere lokasjoner innenfor samme region.

Microsoft publiserer ikke alltid detaljert informasjon om nøyaktig hvilke datasentre som brukes for hver kunde til enhver tid, nettopp fordi infrastrukturen er dynamisk.

Hva betyr dette i praksis for norske virksomheter?

For mange virksomheter fungerer Microsoft 365 svært godt i praksis. Plattformen gir høy stabilitet, god integrasjon mellom tjenester og minimal teknisk drift.

Det er derfor ikke overraskende at svært mange organisasjoner bruker den.

Men virksomheter som arbeider med sensitiv informasjon bør likevel stille noen grunnleggende spørsmål:

  • Hvem kontrollerer infrastrukturen dataene ligger på?
  • Hvilket lands lovgivning gjelder for leverandøren?
  • Hvem kan i ytterste konsekvens kreve tilgang til data?

Dette er ikke nødvendigvis et teknisk spørsmål – det er i stor grad et juridisk og strategisk spørsmål.

Alternativer: mer kontroll over data

For virksomheter som ønsker større kontroll over hvor data lagres, finnes det også andre modeller.

En løsning kan være såkalt self-hosted skylagring, der virksomheten selv kontrollerer infrastrukturen eller bruker en lokal leverandør.

Dette betyr ikke nødvendigvis at slike løsninger alltid er bedre. Men de gir ofte mer kontroll over både lagringssted, tilgang og jurisdiksjon.

Dette diskuteres nærmere i artikkelen [Self-hosted skylagring – hva betyr det egentlig].

Det viktigste spørsmålet

Når man diskuterer hvor data lagres i Microsoft 365, er det lett å fokusere kun på fysisk plassering.

Men det mest avgjørende spørsmålet er ofte ikke hvor serveren står.

Det viktigste spørsmålet er hvem som kontrollerer infrastrukturen – og hvilket lovverk leverandøren er underlagt.

For mange virksomheter blir dette først et tema når man begynner å stille et enkelt spørsmål:

Hvem kontrollerer egentlig dataene dine?

Illustrasjon av globale datastrømmer mellom servere i USA og Europa som symboliserer jurisdiksjon og CLOUD Act.

CLOUD Act forklart – hvorfor amerikanske skyløsninger skaper debatt

Skrevet av Svein Tore den . Publisert i IT-sikkerhet. Ingen kommentarer til CLOUD Act forklart – hvorfor amerikanske skyløsninger skaper debatt

Amerikanske skytjenester brukes av millioner av virksomheter over hele verden. Samtidig har en amerikansk lov skapt betydelig debatt om hvem som egentlig kan få tilgang til data som lagres i slike systemer. Denne loven heter CLOUD Act.

For mange organisasjoner handler diskusjonen ikke bare om teknologi, men om kontroll, jurisdiksjon og tilgang til data.

Hva er CLOUD Act?

CLOUD Act står for Clarifying Lawful Overseas Use of Data Act. Loven ble vedtatt i USA i 2018 og gir amerikanske myndigheter mulighet til å kreve tilgang til data som lagres av amerikanske selskaper.

Det som gjør loven kontroversiell er at den ikke bare gjelder data som ligger fysisk i USA. Den kan også gjelde data som lagres i andre land, så lenge selskapet som kontrollerer tjenesten er amerikansk.

Med andre ord: Hvis en virksomhet bruker en skyløsning fra et amerikansk selskap, kan amerikanske myndigheter i visse situasjoner kreve tilgang til dataene – selv om serveren står i Europa.

Hvorfor ble loven innført?

Bakgrunnen for CLOUD Act var et juridisk problem amerikanske myndigheter møtte i en sak mot Microsoft. I denne saken ønsket amerikanske etterforskere tilgang til e-postdata som var lagret på en server i Irland.

Microsoft argumenterte for at amerikansk lov ikke burde gjelde for data lagret utenfor USA. Myndighetene mente derimot at selskapet burde kunne pålegges å levere ut dataene siden selskapet var amerikansk.

CLOUD Act ble innført for å avklare denne typen situasjoner.

Resultatet ble en lov som tydelig sier at amerikanske selskaper kan bli pålagt å utlevere data de har kontroll over – uavhengig av hvor dataene er lagret.

Hvorfor skaper dette debatt i Europa?

Problemet oppstår fordi europeisk personvernlovgivning og amerikansk lov ikke alltid er kompatible.

EU har strenge regler for behandling av personopplysninger gjennom GDPR. Disse reglene begrenser hvem som kan få tilgang til data og hvordan de kan behandles.

Hvis amerikanske myndigheter krever tilgang til data gjennom CLOUD Act, kan det i noen tilfeller komme i konflikt med europeisk personvernlovgivning.

Dette er en av grunnene til at spørsmålet om jurisdiksjon har blitt så viktig i diskusjoner om skylagring.

Jurisdiksjon – hvem sine lover gjelder egentlig?

Når en virksomhet lagrer data i en skyløsning, er det lett å tenke at landet serveren står i avgjør hvilke lover som gjelder.

Virkeligheten er ofte mer komplisert.

Flere faktorer kan spille inn:

  • Hvilket land selskapet bak tjenesten tilhører
  • Hvor selskapet har juridisk hovedkontor
  • Hvor infrastrukturen fysisk befinner seg
  • Hvilke internasjonale avtaler som gjelder

Dette betyr at data kan være underlagt flere juridiske systemer samtidig.

For mange virksomheter er dette grunnen til at spørsmålet om hvem kontrollerer egentlig dataene dine har blitt stadig mer aktuelt.

Gjelder CLOUD Act alle skytjenester?

Nei. Loven gjelder først og fremst selskaper som er underlagt amerikansk jurisdiksjon.

Dette inkluderer blant annet:

  • amerikanske teknologiselskaper
  • selskaper med hovedkontor i USA
  • selskaper som opererer under amerikansk lov

Mange av verdens største skytjenester faller inn i denne kategorien.

Eksempler inkluderer plattformer for e-post, dokumentlagring, samarbeid og backup.

Derfor har diskusjonen rundt CLOUD Act blitt særlig relevant for tjenester som brukes bredt i næringslivet.

Betyr dette at data automatisk deles med myndigheter?

Nei.

CLOUD Act betyr ikke at myndigheter har fri tilgang til data. Det kreves fortsatt juridiske prosesser og rettslige beslutninger.

Men loven åpner for at slike krav kan rettes direkte mot selskaper som kontrollerer tjenestene.

Det er denne muligheten som skaper bekymring for enkelte virksomheter – særlig i sektorer som håndterer sensitive data.

Hvordan påvirker dette virksomheter i praksis?

For mange organisasjoner betyr ikke CLOUD Act nødvendigvis at de må slutte å bruke amerikanske skytjenester.

Men loven gjør at flere virksomheter vurderer følgende spørsmål:

  • Hvem har juridisk kontroll over infrastrukturen?
  • Hvilke lover kan potensielt gi tilgang til dataene?
  • Hvor viktig er datasuverenitet for virksomheten?

I enkelte bransjer – som helse, offentlig sektor og forskning – kan slike spørsmål være avgjørende når nye systemer skal velges.

Et økende fokus på datasuverenitet

Debatten rundt CLOUD Act har bidratt til økt oppmerksomhet rundt datasuverenitet.

Datasuverenitet handler om hvem som faktisk har kontroll over data, hvilke lover som gjelder, og hvem som kan kreve innsyn.

For noen virksomheter betyr dette at de ønsker løsninger der infrastrukturen ligger i Europa eller i nasjonale datasentre.

Andre velger løsninger der de selv kontrollerer plattformen.

Dette kan for eksempel være ulike former for self-hosted skylagring – hva betyr det egentlig.

Er europeiske alternativer løsningen?

Noen mener at europeiske skyløsninger er en måte å redusere juridisk usikkerhet på.

Hvis leverandøren ikke er underlagt amerikansk jurisdiksjon, vil heller ikke CLOUD Act gjelde på samme måte.

Det betyr likevel ikke at europeiske løsninger automatisk er bedre eller mer sikre. Teknologi, drift og sikkerhetsnivå varierer betydelig mellom leverandører.

Poenget er først og fremst at virksomheter bør forstå hvilke juridiske rammer de opererer innenfor.

Et spørsmål om bevisste valg

CLOUD Act handler i praksis om én ting: hvem som kan kreve tilgang til data.

For mange organisasjoner har dette blitt en strategisk vurdering, ikke bare et teknologisk spørsmål.

Noen prioriterer enkelhet og funksjonalitet i globale skyløsninger. Andre legger større vekt på kontroll over infrastruktur og juridisk jurisdiksjon.

Begge tilnærminger kan være riktige – så lenge beslutningen tas med åpne øyne.

Hvis du vil forstå hvorfor dette spørsmålet har blitt så sentralt i diskusjoner om moderne skylagring, bør du også lese artikkelen om [hvem kontrollerer egentlig dataene dine].

FAQ

Hva er CLOUD Act?

CLOUD Act er en amerikansk lov som gir myndighetene mulighet til å kreve tilgang til data lagret av amerikanske selskaper – også hvis dataene ligger på servere utenfor USA.

Gjelder CLOUD Act europeiske selskaper?

Som hovedregel gjelder loven selskaper som er underlagt amerikansk jurisdiksjon. Hvis et europeisk selskap bruker en tjeneste fra et amerikansk selskap, kan dataene likevel bli omfattet.

Er det ulovlig å bruke amerikanske skytjenester i Europa?

Nei. Mange europeiske virksomheter bruker slike tjenester. Men juridiske forhold som GDPR, Schrems II og CLOUD Act gjør at noen organisasjoner vurderer alternative løsninger.

Hvorfor diskuteres dette så mye nå?

Fordi stadig mer av virksomheters data ligger i skyløsninger. Når data flyttes ut av egne serverrom, blir spørsmålet om jurisdiksjon og kontroll mer relevant.

Illustrasjon av data som flyter mellom Europa og USA med juridiske barrierer

Hva betyr Schrems II for skylagring?

Skrevet av Svein Tore den . Publisert i IT-sikkerhet. Ingen kommentarer til Hva betyr Schrems II for skylagring?

Mange virksomheter bruker i dag skylagring uten å tenke særlig over hvor dataene faktisk befinner seg juridisk. Schrems II-dommen fra EU-domstolen har gjort dette spørsmålet langt viktigere. Dommen påvirker spesielt bruken av amerikanske skytjenester som Microsoft 365, Google Workspace og lignende plattformer.

For virksomheter som håndterer persondata kan konsekvensene være betydelige. Schrems II handler nemlig ikke bare om hvor data lagres fysisk, men om hvilke lover som gjelder for selskapet som kontrollerer infrastrukturen.

Kort forklart: hva er Schrems II?

Schrems II er en dom fra EU-domstolen i 2020 som handlet om overføring av persondata fra EU/EØS til USA.

Bakgrunnen var at den østerrikske personvernaktivisten Max Schrems utfordret lovligheten av at europeiske data ble lagret hos amerikanske selskaper. Problemet var ikke selve lagringen, men at amerikansk lovgivning kan gi myndigheter tilgang til data.

EU-domstolen konkluderte med at avtalen «Privacy Shield» ikke ga europeiske borgere tilstrekkelig beskyttelse. Resultatet var at hele ordningen ble erklært ugyldig.

Dette fikk store konsekvenser for mange selskaper som baserte seg på amerikanske skyløsninger.

Hvorfor påvirker dette skylagring?

De fleste moderne skytjenester leveres av globale selskaper. Mange av dem er amerikanske, selv om datasentrene kan ligge i Europa.

Schrems II gjorde én ting tydelig:

Det er ikke bare hvor data lagres som er viktig – men hvilket land leverandøren juridisk tilhører.

Amerikanske selskaper er underlagt amerikansk lovgivning. Dette kan innebære at amerikanske myndigheter i enkelte tilfeller kan kreve tilgang til data.

For europeiske virksomheter kan dette komme i konflikt med personvernregelverket i EU.

Hva betyr dette for virksomheter i praksis?

Etter Schrems II kan ikke virksomheter ukritisk lagre persondata hos leverandører utenfor EU/EØS.

I stedet må man gjøre en vurdering av risikoen ved dataoverføring. Dette kalles ofte en Transfer Impact Assessment (TIA).

En slik vurdering ser blant annet på:

  • hvor data lagres
  • hvem som kontrollerer infrastrukturen
  • hvilke lover leverandøren er underlagt
  • om myndigheter i andre land kan kreve tilgang

For mange virksomheter betyr dette mer juridisk og teknisk arbeid før man velger en skyløsning.

Data i Europa er ikke alltid nok

Et vanlig argument fra store skyleverandører er at data lagres i europeiske datasentre.

Selv om dette kan redusere risiko, løser det ikke nødvendigvis hele problemet.

Hvis leverandøren er et amerikansk selskap kan amerikansk lovgivning fortsatt gjelde. Det betyr at data i teorien kan bli utlevert til amerikanske myndigheter.

Dette er en av grunnene til at debatten om datasuverenitet har blitt mer aktuell de siste årene.

Konsekvenser for valg av skyløsning

Schrems II betyr ikke at amerikanske skytjenester er ulovlige å bruke. Mange virksomheter bruker dem fortsatt.

Men dommen har gjort at flere organisasjoner vurderer alternativer.

Typiske strategier inkluderer:

For noen virksomheter kan dette gi bedre kontroll over både data og infrastruktur.

Hvis du vil forstå mer om hvordan slike løsninger fungerer, kan du lese self-hosted skylagring – hva betyr det egentlig.

Et eksempel: samarbeidsplattformer

Samarbeidsverktøy er et godt eksempel på hvordan Schrems II påvirker teknologi­valg.

Mange bedrifter bruker løsninger som Microsoft 365 eller Google Workspace for dokumenter, e-post og samarbeid.

Disse plattformene er svært funksjonsrike og enkle å ta i bruk, men de drives av amerikanske selskaper.

Derfor har enkelte virksomheter begynt å se på alternative løsninger som gir mer kontroll over infrastrukturen.

Du kan lese mer om dette i sammenligningen Nextcloud vs Microsoft 365 og Nextcloud vs Google Drive.

Handler egentlig om kontroll

Til syvende og sist handler Schrems II om ett spørsmål:

Hvem kontrollerer dataene dine?

For mange virksomheter er ikke dette bare et juridisk spørsmål, men også et strategisk valg. Infrastruktur, leverandøravhengighet og datakontroll kan påvirke både sikkerhet og fleksibilitet over tid.

Hvis du vil forstå bakgrunnen for hele denne problemstillingen, bør du lese hovedartikkelen hvem kontrollerer egentlig dataene dine.

Oppsummert

Schrems II har gjort at virksomheter må tenke mer gjennom hvordan skylagring brukes.

Det viktigste dommen har tydeliggjort er at lagringssted alene ikke avgjør hvem som har tilgang til data. Jurisdiksjonen til leverandøren spiller også en avgjørende rolle.

For virksomheter som håndterer persondata betyr dette at valg av skyløsning ikke bare er et teknologivalg, men også et spørsmål om juridisk kontroll og risikovurdering.