Microsoft sender norske kundedata ut av Europa

Gjennom det nye tiltaket «flex routing» har Microsoft begynt å rute KI-oppgaver ut av Europa. Ved stor pågang flyttes behandlingen av Copilot-oppgaver automatisk til datasentre i andre verdensdeler for å sikre driften.

For mange små og mellomstore bedrifter og nye kunder er dette nå aktivert som standard ("opt-out").

Selve behandlingen av kunstig intelligens, det som på fagspråket kalles inferens, kan flyttes til servere i land som USA, Canada eller Australia.

Microsoft Norge bekrefter at de har begynt å behandle KI-oppgaver utenfor den europeiske sonen.

– For å støtte økt kundeetterspørsel har vi varslet at Microsoft fra 17. april vil begynne å utføre noe modellinferens utenfor EU Data Boundary for Copilot-interaksjoner, sier kommunikasjonsdirektør Cornelia Bjørke-Hill.

– Hva omfatter Flex Routing konkret, og hva skjer med kundedata?

– Det kan være nyttig å skille mellom hvor data lagres og hvor data behandles. Jeg må presisere at endringen er begrenset til modellinferens og lagring av tilhørende pseudonymiserte data. Alle øvrige forpliktelser knyttet til EU Data Boundary og dataresidens i Microsoft 365 fortsetter å gjelde uendret, og behandlingen skjer i full overensstemmelse med europeisk lovgivning og regulering, sier Bjørke-Hill.

Tiltaket gjelder på tvers av Microsoft 365 Copilot, Microsoft Copilot Studio, Power Platform og Dynamics 365 for kunder i EU og EFTA. Gjennom vårt medlemskap i EØS er Norge omfattet.

Microsoft har nylig koblet sammen sine massive anlegg i Wisconsin og Georgia til en gigantisk amerikansk superfabrikk for kunstig intelligens. Denne fungerer som én enorm superdatamaskin der europeiske KI-oppgaver nå kan ende opp.

IT-giganten har i år et investeringsbudsjett på svimlende 190 milliarder dollar, og mye av pengene pøses inn i KI-infrastruktur verden over, inkludert en milliardutbygging i Narvik.

Hevder ingen ble spurt

Selv om «flex routing» er avslått som standard for enterprise-kunder og offentlig sektor, er det fortsatt en betydelig del av kundemassen som har fått flex-rutingen påskrudd.

Virksomheter som er berørt er nødt til å foreta et aktivt valg hvis de vil reservere seg.

– Alle kunder har full valgfrihet og kan når som helst slå Flex Routing av eller på via Microsoft 365 Admin Center, opplyser Cornelia Bjørke-Hill.

Microsoft har i flere år operert med forpliktelser og suverenitetsgarantier, EU Data Boundary, med løfte om at de ikke flytter europeiske kunders data ut av kontinentet.

Nå mener kritikere at Microsoft flytter databehandling utenfor grensen som de selv har markedsført for å beskytte europeiske kunders data.

– Dine filer og epost lagres fortsatt i EU, men i det øyeblikket Copilot skal oppsummere, svare eller analysere, kan hele konteksten og alle metadata forlate Europa, advarer IT-rådgiver og rettssakkyndig John Nielsen på LinkedIn.

I et innlegg argumenterer Nielsen for at det hjelper lite at den originale filen din ligger på en server i EU, dersom innholdet i den må sendes til en prosessor i USA for at KI-en skal kunne oppsummere den.

Videre konstaterer den danske eksperten at administratorer fikk tre ukers varsel via Microsofts Message Center, og at det tar en uke før endringen trår i kraft.

– Organisasjoner som ikke fanget opp beskjeden, sender allerede data ut av EU. Funksjonen ble innført som standard. Ingen ble spurt, skriver Nielsen.

Anklages for suverenitetsvasking

Kritikeren mener Microsofts markedsføring av «EU Data Boundary» er misvisende så lenge selve behandlingen av dataene kan flyttes ut av regionen.

Han kaller praksisen for «sovereignty washing» – en form for suverenitetsvasking der merkevaren lover kontroll som teknologien ikke nødvendigvis overholder.

Digi har spurt Microsoft Norge om hvordan de svarer på kritikken, inkludert en påstand om at «EU Data Boundary»-begrepet utvannes når lagring og behandling splittes geografisk på denne måten. Selskapet har valgt å ikke besvare dette direkte.

I stedet viser kommunikasjonsdirektør Cornelia Bjørke-Hill til selskapets generelle investeringer i europeisk infrastruktur.

Hun peker på at Microsoft har gjort omfattende grep for å gi kundene kontroll over hvor personopplysninger lagres og behandles, og at selskapets satsing på europeisk datasuverenitet er et svar på kundenes behov.

Mener de varslet i flere kanaler

Innføringen av «flex routing» har fått oppmerksomhet i flere internasjonale teknologimedier.

Cybernews beskriver endringen som en diskré justering av vilkårene for dataflyt, mens fagnettstedet Office 365 IT Pros påpeker at ansvaret nå hviler på kundene. IT-administratorer må selv overstyre standardinnstillingene for å sikre at databehandlingen forblir i Europa og innenfor rammene av personvernlovgivningen.

Digi har spurt Microsoft Norge om hvordan endringen er kommunisert til norske kunder.

Kommunikasjonsdirektør Cornelia Bjørke-Hill opplyser at informasjonen er gjort tilgjengelig gjennom selskapets faste kanaler.

Hun viser til offentlig dokumentasjon på Microsoft Learn, standard kundevarslingskanaler og administrasjonsportalen Message Center (ID 1269223).