Hvad er EU Data Boundary?

Når en virksomhed skal købe AI eller cloudtjenester fra Microsoft, dukker begrebet EU Data Boundary hurtigt op. Det lyder som en garanti: Data bliver i Europa. Men løftet har en præcis betydning og klare grænser, og den der læser det som mere end det er, risikerer at bygge sin compliance på en misforståelse.

Definitionen

EU Data Boundary (EUDB) er Microsofts forpligtelse til at lagre og behandle kundedata for sine omfattede enterprise-cloudtjenester inden for EU og EFTA-området. Det omfatter store dele af Microsoft 365, Dynamics 365, Power Platform og Azure.

Forpligtelsen er dog ikke absolut. Den tillader visse definerede, begrænsede overførsler uden for grænsen, f.eks. til teknisk drift, sikkerhed og kundesupport. Det er altså ikke et løfte om at ingen data nogensinde passerer grænsen, men om at lagring og behandling som hovedregel sker i EU og EFTA, med undtagelserne tydeligt beskrevet.

Det er også værd at forstå hvad forpligtelsen gælder. EUDB handler om kundedata: det du og dine brugere indtaster og skaber i tjenesten. Det er ikke det samme som at Microsoft som virksomhed holder op med at være amerikansk. EU Data Boundary flytter hvor data lagres og behandles; det ændrer ikke hvilken jurisdiktion leverandøren i sidste ende er underlagt. Den skelnen er selve grunden til at EUDB mindsker, men ikke fjerner, eksponeringen for amerikansk lovgivning.

Fælden i Azure AI Foundry

Her bliver det teknisk, og det er her mange købere snubler. I Azure AI Foundry gælder EU Data Boundary ikke automatisk bare fordi din ressource ligger i en EU-region. Det afgørende er hvilken deployment-SKU du vælger.

• DataZone og Standard/regional holder data inden for grænsen i henhold til EUDB.
• Global, som er standardvalget, router kald globalt selvom ressourcen er oprettet i en europæisk region.

Det betyder at du kan tro at du kører inden for EU Data Boundary mens standardindstillingen i praksis sender trafik ud. Grænsen gælder kun hvis du aktivt fravælger Global. Det er ikke en fejl, men sådan produktet er bygget, og præcis den slags detalje som en gennemgang falder over.

GitHub er ikke med

En anden fælde gælder GitHub. Selvom Microsoft ejer GitHub, er tjenesten ikke omfattet af EU Data Boundary. For den der køber GitHub Copilot og går ud fra at “det er jo Microsoft”, er det en ubehagelig overraskelse: Copilot-dataene ligger uden for EUDB-forpligtelsen.

Et konkret scenarie: En organisation indfører Copilot bredt i udviklingsteamene i den tro at Microsofts EU-løfte dækker koden. Ved en gennemgang viser det sig at GitHub-leddet står uden for grænsen, og at antagelsen aldrig holdt. Pointen er at omfanget skal verificeres pr. tjeneste, ikke antages ud fra ejerskab.

Det illustrerer et bredere princip som er særlig vigtigt for en køber: EU Data Boundary er ikke én tænd/sluk-knap for hele Microsofts udbud, men en forpligtelse der gælder en defineret liste af tjenester i definerede konfigurationer. To produkter fra samme leverandør kan altså have helt forskellig status. At én tjeneste er med, siger intet om den næste, og at én funktion er med, siger intet om en tilstødende. For den der skal dokumentere sine databehandlinger, er det derfor ikke nok at skrive “vi bruger Microsoft, altså EU Data Boundary”. Hver tjeneste og funktion skal bekræftes for sig.

Sådan bruger du EU Data Boundary rigtigt

EU Data Boundary er et nyttigt værktøj til at mindske mængden af dataoverførsler, men det er ikke hele svaret på GDPR’s tredjelandsspørgsmål. Undtagelserne består, og fordi Microsoft i sidste ende er underlagt amerikansk jurisdiktion, neutraliserer EUDB ikke CLOUD Act.

Behandl det som en brik i en større arkitektur, sammen med den rigtige deploymenttype, retention-indstillinger og en dokumenteret overførselsanalyse. Frem for alt: Fordi listen over omfattede tjenester opdateres løbende, skal du verificere det aktuelle omfang i Microsofts egen EUDB-dokumentation før du drager konklusioner for et specifikt flow.

Vil du forstå hvordan EU Data Boundary hænger sammen med data residency, retention og myndighedsadgang i et helt AI-projekt, er der mere på vores AI-side. Har du brug for hjælp til at afgøre om en konkret Microsoft-opsætning holder? Kontakt os, så gennemgår vi den.