Vad är EU Data Boundary?

Av Weapp · Uppdaterad

EU Data Boundary är Microsofts åtagande att lagra och behandla kunddata för täckta enterprise-tjänster inom EU och EFTA, med vissa definierade begränsade överföringar utanför gränsen. Löftet gäller bara de tjänster och konfigurationer som uttryckligen omfattas – i Azure AI Foundry håller det till exempel inte för standard-SKU:n Global.

När ett företag ska köpa AI eller molntjänster från Microsoft dyker begreppet EU Data Boundary snabbt upp. Det låter som en garanti: datan stannar i Europa. Men löftet har en exakt innebörd och tydliga gränser, och den som läser det som mer än det är riskerar att bygga sin compliance på en missuppfattning.

Definitionen

EU Data Boundary (EUDB) är Microsofts åtagande att lagra och behandla kunddata för sina täckta enterprise-molntjänster inom EU och EFTA-området. Det omfattar stora delar av Microsoft 365, Dynamics 365, Power Platform och Azure.

Åtagandet är dock inte absolut. Det tillåter vissa definierade, begränsade överföringar utanför gränsen – exempelvis för teknisk drift, säkerhet och kundsupport. Det är alltså inte ett löfte om att ingen data någonsin passerar gränsen, utan att lagring och behandling som huvudregel sker inom EU och EFTA, med undantagen tydligt beskrivna.

Det är också värt att förstå vad åtagandet gäller. EUDB handlar om kunddata – det du och dina användare matar in och skapar i tjänsten. Det är inte samma sak som att Microsoft som bolag upphör att vara amerikanskt. EU Data Boundary flyttar var data lagras och behandlas; det ändrar inte vilken jurisdiktion leverantören ytterst lyder under. Den distinktionen är själva anledningen till att EUDB minskar, men inte tar bort, exponeringen mot amerikansk lagstiftning.

Fällan i Azure AI Foundry

Här blir det tekniskt, och det är här många köpare snubblar. I Azure AI Foundry gäller EU Data Boundary inte automatiskt bara för att din resurs ligger i en EU-region. Det avgörande är vilken deployment-SKU du väljer.

  • DataZone och Standard/regional håller data inom gränsen enligt EUDB.
  • Global – som är standardvalet – routar anrop globalt även om resursen är skapad i en europeisk region.

Det betyder att du kan tro att du kör inom EU Data Boundary, medan default-inställningen i praktiken skickar trafik ut. Gränsen gäller bara om du aktivt väljer bort Global. Detta är inte en bugg utan hur produkten är byggd – och exakt den typ av detalj som en granskning fastnar på.

GitHub ingår inte

En andra fälla gäller GitHub. Trots att Microsoft äger GitHub omfattas tjänsten inte av EU Data Boundary. För den som köper GitHub Copilot och utgår från att “det är ju Microsoft” är detta en obehaglig överraskning: Copilot-datan ligger utanför EUDB-åtagandet.

Ett konkret scenario: en organisation inför Copilot brett i utvecklingsteamen i tron att Microsofts EU-löfte täcker koden. Vid en granskning visar det sig att GitHub-ledet står utanför gränsen – och att antagandet aldrig stämde. Poängen är att omfattningen måste verifieras per tjänst, inte antas utifrån ägarskap.

Det här illustrerar en bredare princip som är särskilt viktig för en svensk köpare: EU Data Boundary är inte en enda på/av-knapp för hela Microsofts utbud, utan ett åtagande som gäller en definierad lista av tjänster i definierade konfigurationer. Två produkter från samma leverantör kan alltså ha helt olika status. Att en tjänst ingår säger inget om nästa, och att en funktion ingår säger inget om en angränsande. För den som ska dokumentera sina databehandlingar räcker det därför inte att skriva “vi använder Microsoft, alltså EU Data Boundary” – varje tjänst och funktion behöver bekräftas för sig.

Så använder du EU Data Boundary rätt

EU Data Boundary är ett användbart verktyg för att minska mängden dataöverföringar, men det är inte hela svaret på GDPR:s tredjelandsfråga. Undantagen finns kvar, och eftersom Microsoft ytterst lyder under amerikansk jurisdiktion neutraliserar EUDB inte CLOUD Act.

Behandla det som en pusselbit i en större arkitektur, tillsammans med rätt deployment-typ, retention-inställningar och en dokumenterad överföringsanalys. Framför allt: eftersom listan över täckta tjänster uppdateras löpande måste du verifiera aktuell tjänsteomfattning i Microsofts egen EUDB-dokumentation innan du drar slutsatser för ett specifikt flöde.

Vill du förstå hur EU Data Boundary hänger ihop med residens, retention och myndighetsåtkomst i ett helt AI-projekt finns mer på vår AI-sida. Behöver du hjälp att avgöra om ett konkret Microsoft-upplägg håller? Hör av dig så går vi igenom det.

Vanliga frågor

Vilka tjänster omfattas av EU Data Boundary?

Åtagandet gäller täckta enterprise-molntjänster, i första hand inom Microsoft 365, Dynamics 365, Power Platform och stora delar av Azure. Omfattningen är dock inte total, och listan uppdateras löpande. Kontrollera alltid i Microsofts aktuella EUDB-dokumentation att just den tjänst och den funktion ni tänker använda faktiskt ingår.

Betyder EU Data Boundary att ingen data någonsin lämnar EU?

Nej. Åtagandet tillåter vissa definierade begränsade överföringar utanför gränsen, till exempel för teknisk drift, säkerhet och support. Poängen är att lagring och behandling som huvudregel sker inom EU och EFTA, inte att gränsen är absolut. Vilka undantagen är framgår av Microsofts dokumentation.

Gäller EU Data Boundary för GitHub?

Nej, och det överraskar många. GitHub ingår inte i EU Data Boundary, trots att Microsoft äger tjänsten. Det är särskilt viktigt för den som köper GitHub Copilot och antar att datan omfattas av Microsofts EU-åtagande – den gör den alltså inte.

Räcker EU Data Boundary för att lösa GDPR-överföringsfrågan?

Inte i sig. EU Data Boundary minskar mängden överföringar men tar inte bort amerikansk jurisdiktion via CLOUD Act, och undantagen kvarstår. Se det som ett dataminimerande verktyg, inte som ett fullständigt svar på tredjelandsfrågan – den kräver fortfarande en egen bedömning.

Hur vet jag om min Azure AI-tjänst håller sig inom gränsen?

Det avgörs av deployment-typen. I Azure AI Foundry håller EU Data Boundary bara när SKU:n är DataZone eller Standard/regional. Standardvalet Global routar globalt även om själva resursen ligger i en EU-region, så du måste aktivt välja bort Global för att gränsen ska gälla.