Norske bedrifter oppdager hva som faktisk står i avtalen med Google

Her er noe de fleste bedrifter ikke vet: dataavtalen du signerte med Google Workspace eller Microsoft 365 gir deg ikke kontroll over hvem som faktisk kan se bedriftsdataene dine.

En lov fra 2018 kalt CLOUD Act gir amerikanske myndigheter rett til å kreve utlevering av data fra amerikanske teknologiselskaper, uansett hvor i verden dataene er lagret. Selv om Google sier serverne dine er i Dublin, er Google et amerikansk selskap underlagt amerikansk lov.

Les mer om

Det betyr at bedriftens e-post, kontraktutkast, styreprotokoller og salgsdata er potensielt tilgjengelig for amerikanske myndigheter uten at du blir varslet.

For de fleste norske bedrifter er ikke dette et akutt problem. Men for advokatfirmaer med taushetsplikt, helsebedrifter med pasientdata, selskaper med offentlige kontrakter og teknologifirmaer med sensitiv kildekode, er det et faktisk complianceproblem.

AI-selskaper trener på innholdet du lagrer

I august 2024 oppdaterte Google sine tjenestevilkår for Workspace. Endringen åpnet for at Google kan bruke bedriftens innhold til å trene AI-modeller, med mindre bedriften eksplisitt opt-out.

Microsoft har lignende klausuler i sine vilkår for Microsoft 365 Copilot og andre AI-tjenester.

Det betyr konkret at:

• E-postutveksling mellom ansatte kan brukes til å forbedre Googles AI-modeller
• Dokumenter i Google Drive kan brukes til å trene Gemini
• Møtenotater og presentasjoner kan bli en del av et AI-datasett

Dette er ikke teori. Det er hva vilkårene tillater. Bedrifter som har signert standardavtalene har allerede samtykket til dette, med mindre de aktivt har valgt det bort.

For bedrifter som håndterer klientinformasjon, persondata eller forretningshemmeligheter, er dette en vesentlig eksponering.

Gratis betyr ikke gratis: den faktiske kostnaden av Big Tech

Google og Microsoft tilbyr ikke tjenester for å være snille. De tilbyr dem fordi brukerdataene har verdi.

For privatpersoner er forretningsmodellen tydelig: annonser. Google leser e-posten din for å vise relevante annonser.

For bedrifter er det mer subtilt. Bedriftskunder betaler abonnement, men de bytter også bort:

Innsikt i atferdsmønstre:
Google vet hvilke typer bedrifter som bruker hvilke funksjoner, når de bruker dem, og hvordan de bruker dem. Denne dataen brukes til å forbedre produktene, men også til å informere Googles egen kommersielle strategi.

Metadata om kommunikasjon:
Selv om innholdet i e-posten ikke brukes til annonser, lagrer Google metadata: hvem som sender til hvem, når og hvor ofte. Dette er verdifull informasjon.

Treningsdata for AI:
Som nevnt tidligere: innholdet brukes til AI-trening, med mindre du opt-out.

Det er ikke lenger "gratis". Det er en byttehandel: tjeneste mot data. Og de fleste norske bedrifter visste ikke at det var det de aksepterte.

Hva de faktisk bytter til: personvern-først-alternativer

Flyttingen fra Big Tech handler ikke om å bytte til dårligere verktøy. Det handler om å finne alternativer som gir kontroll tilbake til bedriften.

Her er hva norske bedrifter faktisk gjør:

Proton for e-post, kalender, filer og passord:
Proton er bygget i Sveits og er utenfor både CLOUD Act og EU-direktiv om datalagring. All kommunikasjon og fillagring er ende-til-ende-kryptert, noe som betyr at ikke engang Proton kan lese hva du lagrer.

Over 100 000 bedrifter bruker Proton globalt. Prismessig er det sammenlignbart med Google Workspace, men med fundamentalt annet personvern. Les mer om hvordan Proton fungerer for norske bedrifter.

VPN for fjernarbeid:
Proton VPN eller tilsvarende personvern-først-VPN-leverandører brukes for å sikre at ansatte som jobber hjemmefra eller på reise ikke eksponerer bedriftskommunikasjon over usikre nettverk.

Egne servere for kritisk infrastruktur:
Noen bedrifter flytter tilbake til on-premise løsninger for særlig sensitiv data. Det er mer administrativt arbeid, men det gir full kontroll.

Open source-alternativer:
Bedrifter som har IT-kapasitet internt bruker open source-alternativer som Nextcloud for fillagring, Bitwarden for passordbehandling og Jitsi for videomøter. Det krever teknisk kompetanse, men gir full transparens.

Fellestrekket er: kontroll. Disse bedriftene har bestemt at det er viktigere å vite hva som skjer med dataene enn å ha den mest funksjonsrike plattformen.

Hva det faktisk koster å bytte

De fleste bedrifter utsetter byttet fordi de tror det er dyrt og komplisert.

I praksis:

• Proton for Business koster omtrent det samme som Google Workspace (fra 6,99 euro per bruker per måned)
• Migrering av e-post og filer tar 2-3 dager med riktig verktøy (Proton Easy Switch gjør dette automatisk). Les vår steg-for-steg-guide for å bytte til Proton
• Ansatte trenger 1-2 uker på å venne seg til nytt grensesnitt

Det er ikke et år-langt prosjekt. Det er en kontrollert overgang som kan gjøres uten nedetid.

Det største hinderet er ikke kostnad eller tid. Det er beslutningen om at personvern faktisk er viktig nok til å handle på.

Hvem burde ta dette på alvor nå?

Ikke alle bedrifter trenger å bytte i morgen. Men noen sektorer har ikke råd til å vente.

Jus og regnskap:
Advokatfirmaer og revisorer har lovpålagt taushetsplikt. CLOUD Act og AI-trening på klientdata er et complianceproblem.

Helse:
Norsk helsesektor har strenge krav til pasientdatavern. Sky-plattformer underlagt amerikansk lov skaper et gap i compliancen.

Offentlige leverandører:
Bedrifter som leverer til norsk offentlig sektor kan ha kontraktkrav om datasuverenitet som ikke oppfylles med amerikanske plattformer.

Teknologi og produktutvikling:
Selskaper med verdifull kildekode, produktutviklingsdata eller patentsøknader har åpenbar interesse i å holde dette utilgjengelig.

Alle andre:
Om du har data du faktisk ikke ønsker at andre skal lese, er det verdt å tenke gjennom hvor de lagres.

Hva Big Tech ikke forteller deg

Google og Microsoft bruker mye ressurser på å kommunisere at de tar personvern på alvor. De har GDPR-compliance, databehandleravtaler og europeiske serverlokasjoner.

Men:

• GDPR-compliance betyr ikke at data er beskyttet mot CLOUD Act
• Databehandleravtaler gir ikke beskyttelse mot AI-trening med mindre du opt-out. (Google for business har opt out som standard)
• Europeiske servere betyr ingenting når selskapet selv er underlagt amerikansk lov

Disse plattformene er bygget for å samle data, ikke for å beskytte det. Personvern er en ettermontert funksjon, ikke grunnlaget.