Digital suverænitet i danske virksomheder: strategi for data, cloud, AI og leverandørrisiko

Digital suverænitet kort fortalt

Digital suverænitet i en virksomhed er evnen til at bevare reel kontrol over data, systemer og teknologiske valg, så du kan skifte kurs og skifte leverandør uden urimelige omkostninger, risici eller driftsstop.

Det handler ikke om at gå helt analogt, bygge eget datacenter eller sige farvel til globale cloud- og AI-tjenester. Det handler om tre ting:

• Kontrol – hvem kan tilgå, flytte og bruge dine data og systemer, og på hvilke vilkår?
• Valgfrihed – har du reelle alternativer, eller er du i praksis låst til én leverandør?
• Skiftemulighed – kan du faktisk skifte platform eller leverandør inden for rimelig tid, uden at forretningen bryder sammen?

I den sammenhæng bruges flere beslægtede begreber:

• Datasuverænitet: fokus på, hvor data er placeret, hvem der juridisk kan kræve adgang, og hvem der bestemmer over brugen.
• Cloud-suverænitet: hvor afhængig du er af bestemte cloud-leverandører og deres infrastruktur, herunder mulighed for at flytte workloads.
• AI-suverænitet: hvor og hvordan du bruger AI-modeller og data, og om du forstår og styrer afhængigheden til eksterne AI-platforme.
• Data residency: hvor data fysisk eller logisk opbevares (fx i EU), men uden at det nødvendigvis siger noget om juridisk kontrol.
• Compliance: om du overholder regler som GDPR, NIS2, AI Act og Data Act – en vigtig del af billedet, men ikke det eneste.
• Vendor lock-in: når tekniske, kontraktmæssige eller økonomiske barrierer gør det meget svært at skifte leverandør.

En moden strategi for digital suverænitet er derfor ikke et teknologi- eller jura-projekt alene. Det er en styringsopgave på tværs af forretning, it, sikkerhed, jura og indkøb, hvor målet er at bevare handlefrihed – også når verden, reguleringen og leverandørlandskabet ændrer sig.

Hvorfor digital suverænitet er blevet et ledelsesemne nu

Digitale afhængigheder har længe været et it-anliggende. De seneste år er de rykket op på ledelsesniveau, fordi flere udviklinger trækker i samme retning:

• Geopolitisk spænding: Spændinger mellem stormagter og øget fokus på digital infrastruktur som strategisk ressource har gjort det klart, at data, cloud og AI ikke bare er tekniske valg. De påvirkes af lovgivning og politik i andre lande.
• Amerikansk dominans i cloud og AI: Store amerikanske hyperscalers sidder på en meget stor del af det globale cloud- og AI-marked. Det betyder, at mange danske virksomheder i praksis lægger kritiske data og forretningsprocesser i hænderne på få globale aktører underlagt amerikansk lovgivning.
• Ny regulering i EU: GDPR, NIS2, AI Act og Data Act skærper kravene til, hvordan data, systemer og leverandører håndteres. Suverænitet bliver dermed også et compliance- og revisionsspørgsmål.
• Flere cloud- og SaaS-lag: Systemlandskaber er vokset i bredden, ikke bare dybden. Mange virksomheder har nu hundredevis af SaaS-tjenester, integrationsplatforme og specialløsninger, som skaber kompleks og ofte uigennemsigtig afhængighed.
• AI overalt: Generativ AI er hurtigt blevet hverdag i værktøjer til tekst, kode, kundeservice, beslutningsstøtte m.m. Det rejser nye spørgsmål om, hvilke data der må sendes ind, hvem der træner modellerne, og hvordan resultater kan efterprøves.

Konsekvensen er, at digital suverænitet ikke kun er et it- og sikkerhedstema. Det berører:

• Ledelsen – fordi afhængigheden af bestemte leverandører og jurisdiktioner påvirker strategi, risikoprofil og forhandlingskraft.
• Risiko og compliance – fordi brud på regler eller tab af adgang til data kan give direkte forretningskritiske konsekvenser.
• It og arkitektur – fordi valget af cloud, platforme og integrationsmønstre kan øge eller reducere lock-in.
• Indkøb og kontrakter – fordi vilkår for dataejerskab, exit og underleverandører afgøres ved forhandlingsbordet, ikke ved drift.

Jo mere digitaliseret en virksomhed er, jo mere afhænger forretningen af, at disse valg er gennemtænkte. Digital suverænitet er med andre ord blevet en forudsætning for robust strategi, ikke en teknisk detalje.

En praktisk beslutningsmodel for digital suverænitet

Mange steder diskuteres suverænitet som princip. Men ledelsen har brug for en metode: Hvordan beslutter man konkret, hvad der skal være stramt styret – og hvor man kan acceptere højere afhængighed?

En pragmatisk beslutningsmodel kan bygges op i fem trin:

Trin 1: Kortlæg kritiske systemer, dataflows og leverandører

Du kan ikke styre det, du ikke har overblik over. Start med en grov, men brugbar kortlægning:

• Hvilke forretningsprocesser er mest kritiske (omsætning, produktion, kundebetjening, lovpligtige rapporteringer, mv.)?
• Hvilke systemer og tjenester bærer disse processer – inklusive SaaS, integrationslag, sikkerhedsløsninger osv.?
• Hvilke dataflows er centrale: persondata, forretningshemmeligheder, IP, driftsdata, logdata?
• Hvilke leverandører og underleverandører er indblandet, og hvor er de hjemmehørende juridisk?

Har du ikke et opdateret overblik, kan du hente inspiration til et minimums-setup i artiklen om data governance uden teatertorden.

Trin 2: Vurdér risikoniveauet for hvert område

For hver større proces eller system vurderes risikoniveauet på fem akser:

• Følsomhed: Hvor skadeligt er det, hvis data misbruges, lækkes eller ikke er tilgængelige?
• Lovkrav: Er data eller systemer omfattet af særlige regler (GDPR, NIS2, sektorlovgivning, kontraktlige krav fra kunder)?
• Afhængighed: Hvor svært vil det være at skifte leverandør eller platform – teknisk, kontraktuelt og organisatorisk?
• Økonomisk betydning: Hvilken påvirkning vil nedbrud, datatab eller leverandørskifte have på omsætning og omkostninger?
• Tidskritikalitet: Hvor hurtigt skal du realistisk kunne flytte dig, hvis rammevilkår, priser eller regulering ændrer sig?

Det behøver ikke være kompliceret. En simpel høj/mellem/lav-vurdering per akse er nok til at identificere, hvor presset er størst.

Trin 3: Klassificér suverænitetsbehovet

Når risikoniveauet er vurderet, kan du klassificere, hvor stramt suverænitet skal styres:

• Høj suverænitet: Områder med høj følsomhed, klare lovkrav og stor afhængighed. Her skal du kunne dokumentere kontrol, have en gennemarbejdet exit-plan og typisk flere tekniske og kontraktuelle sikkerhedsnet.
• Mellem suverænitet: Områder, hvor påvirkningen er betydelig, men ikke eksistensstruende. Her kan du acceptere mere standardvilkår, men bør sikre rimelig flytbarhed og gennemsigtighed.
• Lav suverænitet: Områder med lav følsomhed og begrænset forretningskritikalitet. Her kan du optimere på pris og hastighed og acceptere højere leverandørafhængighed.

Pointen er, at ikke alt skal løftes til højeste sikkerheds- og suverænitetsniveau. Det er dyrt og unødvendigt. Men de forkerte kompromisser på de forkerte områder kan være katastrofale.

Trin 4: Definér krav til teknologi, kontrakter og governance

For hver kategori fastlægges et sæt minimumskrav:

• Teknologi og arkitektur: krav til dataopbevaring, kryptering, mulighed for multicloud eller hybrid, standarder for eksport af data og konfigurationer.
• Kontrakter: krav til dataejerskab, opsigelsesvarsler, supportniveauer, underdatabehandlere, rettigheder til eksport og sletning.
• Governance: krav til ejerskab internt (hvem beslutter hvad), dokumentation, løbende kontrol og rapportering.

Det er her, digital suverænitet møder den daglige praksis i indkøb, jurateam og it. Mange virksomheder har gavn af at definere nogle få, klare standarder frem for lange, generiske policies.

Trin 5: Planlæg realistiske next steps og investeringer

En suverænitetsstrategi skal kunne implementeres trinvis. Typiske næste skridt kan være:

• Genforhandling eller udfasning af enkelte leverandører med uacceptabel lock-in.
• Etablering af eksport- og backup-mekanismer for udvalgte kritiske systemer.
• Opbygning af interne kompetencer til kontraktstyring og teknisk exit-håndtering.
• Justering af budgetter, så der er plads til dobbeltkørsel i en overgangsperiode, hvis der skal skiftes platform.

Det kan være hjælpsomt at anlægge flere økonomiske scenarier, som beskrevet i analysen om, hvorfor dit næste budget kan have tre facit i stedet for ét. Suverænitet er sjældent gratis, men manglende suverænitet kan være langt dyrere på sigt.

Hvilke data, systemer og use cases bør prioriteres?

Når du ikke kan gøre alt på én gang, handler det om at vælge rigtigt. Prioriteringen kan styres af fem hovedkriterier:

1. Følsomme og regulerede data

Øverst ligger data, hvor brud eller misbrug har store konsekvenser:

• Persondata i stor skala, især følsomme oplysninger om helbred, strafbare forhold, fagforening mv.
• Forretningshemmeligheder: produktionsopskrifter, algoritmer, strategier, M&A-planer.
• Særligt regulerede data, fx finansielle transaktionsdata eller driftsdata i kritisk infrastruktur.

Her er det ikke nok at data fysisk befinder sig i EU. Du skal også forstå, hvilke jurisdiktioner leverandøren er underlagt, og hvordan adgang kan håndhæves i praksis.

2. Forretningskritiske systemer

Dernæst kommer systemer, hvor nedbrud eller tab af adgang direkte påvirker indtægter eller lovpligtige processer:

• ERP, økonomisystemer og fakturering
• Ordrehåndtering og produktionsstyring
• Kundeservice- og CRM-systemer
• Systemer til lovpligtig rapportering

Her bør du som minimum kunne svare på: Hvor lang tid kan vi leve uden systemet? Og hvor hurtigt kan vi reelt flytte det eller skifte leverandør, hvis noget går galt?

3. Data og systemer med høj afhængighed og lav gennemsigtighed

Nogle løsninger kan umiddelbart virke harmløse, men skaber stor strukturel afhængighed over tid, fx komplekse SaaS-platforme til kundedata, marketing eller interne workflows. Hvis:

• datamodellen er lukket og proprietær
• eksportfunktionerne er begrænsede eller dyre
• leverandøren bruger mange underdatabehandlere, du ikke har overblik over

– så fortjener de en højere prioritet i din suverænitetsplan. Artiklen om, når SaaS-vækst er blevet ingenmandsland, går i dybden med den problematik.

4. Use cases med AI og automatiseret beslutningstagning

AI-use cases, der påvirker kunder, medarbejdere eller driftskritiske beslutninger, bør prioriteres højt, også selv om datamængden ikke er ekstrem. Det gælder især, hvis AI-systemet:

• indgår i kreditvurdering, prissætning eller risikovurdering
• påvirker ansættelse, afskedigelse eller arbejdstid
• anvendes i sundhed, transport eller andre sikkerhedskritiske områder

Her er det centralt både at forstå AI-lovgivningen og at have en håndterbar governance-model. To gode indgange er analyserne om at kortlægge EU AI Act og om at bygge kun den AI-styring, du faktisk har brug for.

5. Hvor hurtigt noget skal kunne flyttes

Endelig bør du se på, hvor hurtigt du realistisk skal kunne flytte eller re-designe et system, hvis:

• leverandøren ændrer priser eller forretningsmodel markant
• regulering eller kundekrav ændrer spillereglerne
• en sikkerhedshændelse kræver, at du opsiger samarbejdet

Jo kortere reaktionstid du har brug for, jo højere krav bør du stille til dokumenteret flytbarhed, standarder og kontraktslig exit-støtte.

Leverandørrisiko, lock-in og exit-strategi i praksis

Leverandørrisiko bliver ofte reduceret til en generel risikovurdering og et SLA-bilag. I en suverænitetssammenhæng er det mere konkret: Kan du komme ud igen – og har du stadig styr på dine data, hvis noget går galt?

Det vigtigste at undersøge om dine leverandører

For hver central leverandør bør du kende svarene på mindst følgende:

• Dataejerskab: Fremgår det tydeligt, at du ejer dine data – inklusive afledte data, logs og modeller trænet på dine data?
• Flytbarhed: Kan du eksportere alle relevante data, konfigurationer og logik i et åbent format inden for rimelig tid og uden urimelige ekstraomkostninger?
• Nøgleejerskab og adgang: Hvem kontrollerer krypteringsnøgler og administratoradgang – og under hvilke betingelser må leverandøren selv tilgå dine data?
• Datalokation: Hvor lagres data fysisk og logisk, og hvilke jurisdiktioner (fx USA, EU, tredjelande) kan gøre krav på adgang?
• Underdatabehandlere: Hvem bruges som underleverandører, til hvad, og hvordan kan de skiftes eller begrænses?
• Tid og proces for leverandørskifte: Hvad står der konkret om hjælpepligt, dataudlevering og tidsfrister ved ophør?

Valgfrihed er først reel, når både teknikken og kontrakten gør det muligt at skifte inden for den tidshorisont, forretningen kræver.

Sådan arbejder du struktureret med exit-strategi

En praktisk tilgang til exit-strategi kan se sådan ud:

1. Identificér, hvor exit er forretningskritisk
   Start med de systemer og leverandører, der er klassificeret som høj suverænitet.
2. Beskriv et konkret exitscenarie
   Eksempel: “Vi opsiger samarbejdet pga. uacceptable pris- og vilkårsændringer” eller “Vi skal skifte platform inden for 6 måneder pga. nye compliance-krav”.
3. Gennemgå kontrakten op mod scenariet
   Hvad siger vilkårene om datatilbagelevering, support, licenser, fortrolighed og tidsfrister i den konkrete situation?
4. Gennemgå teknikken
   Hvordan eksporteres data? Hvordan genskaber du funktionalitet et andet sted? Er der afhængigheder til proprietære teknologier eller skræddersyet kode, der binder dig?
5. Vurdér behov for justering
   Hvis tiden, omkostningen eller kompleksiteten ved et exit er uacceptabel, skal du enten genforhandle, etablere kompenserende foranstaltninger eller på sigt skifte løsning.

Erfaringen fra praksis er, at det er langt lettere at få acceptable exit-vilkår på plads ved indgåelse eller fornyelse af aftalen end midt i en krise. Her kan det betale sig at have en klar intern linje for it-kontraktpraksis og leverandørvalg.

Cloud, data og AI: hvor skal suveræniteten være stærkest?

Digital suverænitet bliver hurtigt uoverskuelig, hvis alt behandles som lige vigtigt. I praksis bør du skelne mellem, hvor suveræn du skal være på data, cloud-infrastruktur og AI – og hvor du med ro i maven kan acceptere større afhængighed.

Data: ejerskab, adgang og jurisdiktion

På datalag er nøglespørgsmålene:

• Hvem ejer og styrer data – også når de indgår i AI-modeller eller analyser?
• Hvem kan teknisk og juridisk kræve adgang – og efter hvilke regler?
• Kan data flyttes, anonymiseres eller pseudonymiseres, så risici reduceres uden at miste forretningsværdi?

Her bør suveræniteten typisk være højest for:

• persondata i stor skala
• forretningskritiske transaktions- og driftsdata
• data, som er svære eller umulige at genskabe

Cloud og infrastruktur: valg, kombination og design

På cloud- og infrastruktur-laget handler suverænitet om:

• mulighed for at køre workloads på flere platforme (multicloud) eller i en hybrid-arkitektur
• brug af åbne standarder og containere, der kan flyttes uden at skulle genudvikles fra bunden
• grad af afhængighed til én leverandørs proprietære tjenester

Ikke alle workloads kræver samme fleksibilitet. For nogle interne hjælpesystemer kan høj lock-in være acceptabelt mod lav pris og høj innovationstakt. For kernesystemer og infrastruktur til sikkerhed og identitet kan det være nødvendigt at designe med eksplicit flytbarhed for øje. Her kan indsigter fra artiklerne om it-arkitektur og systemlandskab være en hjælp.

AI-suverænitet: modeller, data og drift

AI tilføjer en ekstra dimension. AI-suverænitet handler bl.a. om:

• Hvor modellen kører: On-premise, i privat cloud, hos en hyperscaler eller indlejret i tredjepartsapplikation?
• Hvilke data der bruges: Uploades persondata, kundespecifikke dokumenter eller kode? Og indgår de i træning af fællesmodeller?
• Hvordan resultater kan forklares: Har du indsigt nok til at kunne forklare beslutninger over for kunder, ansatte og myndigheder?

Nogle use cases kan fint køre på åbne, eksterne AI-tjenester uden stor risiko, fx generel tekstforbedring uden følsomme data. Andre, fx AI i kreditvurdering eller sundhed, kræver høj grad af kontrol over både model, data og drift.

Her er leverandørvalg særligt følsomt. Overvej at kombinere generelle platforme med mere kontrollerede miljøer til de kritiske use cases. Og test leverandørers løfter kritisk – artiklen om, hvorfor man ikke bør stole blindt på demos ved valg af AI-platform, giver konkrete eksempler.

Lovgivning, der former valget af cloud og AI

Digital suverænitet handler ikke kun om risikoappetit. EU-lovgivning sætter en række faste rammer, som påvirker, hvilke valg der overhovedet er mulige. De vigtigste er:

GDPR – persondata og tredjelands-overførsler

GDPR regulerer behandling af persondata. I en suverænitetssammenhæng er især to ting centrale:

• Behandlingsgrundlag og formål: Du skal til enhver tid kunne forklare, hvorfor persondata behandles, og sikre, at leverandører kun bruger data til dine formål.
• Tredjelands-overførsler: Hvis data overføres til eller er tilgængelige fra lande uden for EU/EØS, kræver det et lovligt overførselsgrundlag og en konkret risikovurdering. Her spiller EU-US Data Privacy Framework ind, men det er ikke automatisk en garanti mod alle risici.

Datasuverænitet er altså ikke lig med “data i EU”. Jurisdiktion, adgangsregler og tekniske beskyttelser er lige så vigtige.

NIS2 – kritiske tjenester og leverandører

NIS2-direktivet skærper kravene til cybersikkerhed og leverandørstyring for udvalgte sektorer og større virksomheder. Det indebærer bl.a.:

• stærke krav til risikostyring i hele forsyningskæden
• krav om dokumenteret styring af kritiske it- og cloud-leverandører
• anmeldelsespligt ved alvorlige sikkerhedshændelser

For virksomheder omfattet af NIS2 bliver digital suverænitet ikke bare et valg, men en del af lovpligtig risikostyring. Tilgangen i “NIS2 uden panik” kan også bruges som ramme for suverænitetstiltag.

AI Act – regler for AI-systemer

EU’s AI Act indfører risikobaserede regler for AI-systemer. For virksomheder betyder det bl.a.:

• klassifikation af AI-use cases efter risikoniveau
• krav til dokumentation, transparens og menneskeligt tilsyn for visse systemer
• skærpede krav til data- og modelstyring ved højrisiko-AI

Suverænitet og AI Act hænger tæt sammen, fordi du skal kunne forklare, hvordan AI-systemer fungerer, hvilke data de bygger på, og hvordan de kan kontrolleres. Det kræver indsigt i både leverandørens løsning og dine egne dataflows. En praktisk indgang til dette er at starte med kortlægning, før du justerer teknologien.

Data Act – adgang og deling af data

Data Act skal bl.a. gøre det lettere at flytte data mellem tjenester og begrænse urimelig lock-in, især i skyen. For virksomheder betyder det:

• øget fokus på kontraktvilkår om dataadgang og -delingsrettigheder
• bedsre muligheder for at kræve flytbarhed og undgå uforholdsmæssige exit-gebyrer
• en gradvis bevægelse mod mere åbne og interoperable løsninger

Det ændrer ikke behovet for egen suverænitetsstrategi, men det giver nye værktøjer i forhandlingen med leverandører.

EU-US Data Privacy Framework – nyttigt, men ikke nok

Data Privacy Framework (DPF) er den nye aftale for overførsel af persondata mellem EU og USA. Den gør det lettere at bruge amerikanske tjenester lovligt, men:

• den løser ikke alle bekymringer om statsadgang til data
• den dækker kun certificerede virksomheder og bestemte typer af overførsler
• den kan potentielt blive udfordret juridisk, som vi har set med tidligere ordninger

For digitale suverænitetsvalg betyder det, at DPF kan være et vigtigt element i compliance, men ikke bør være det eneste argument for at vælge eller fravælge en løsning.

Hvordan ser en moden suverænitetsstrategi ud organisatorisk?

Selv den bedste tekniske løsning falder til jorden uden klare roller, beslutningsgange og opbakning fra ledelsen. En moden tilgang kendetegnes typisk af:

Klar ledelsesforankring

Digital suverænitet er koblet til forretningsstrategien, ikke kun til sikkerhed eller it. Det bør være tydeligt:

• hvilket niveau i ledelsen, der ejer suverænitetsstrategien
• hvordan den spiller sammen med risikostrategi, digitaliseringsstrategi og compliance
• hvordan større teknologivalg godkendes og følges op

Tværfagligt samarbejde

De vigtigste beslutninger træffes på tværs af:

• It og arkitektur – vurderer tekniske muligheder, flytbarhed og påvirkning af systemlandskabet
• Jura og compliance – vurderer regulering, kontrakter og dokumentationskrav
• Sikkerhed – vurderer trusselsbillede, sårbarheder og beredskab
• Forretning og produkt – vurderer kundekrav, markedsposition og økonomiske konsekvenser
• Indkøb – sikrer, at krav til suverænitet oversættes til konkrete kontraktvilkår

Det kræver en minimumsform for governance. Her kan principperne fra artiklen om organisering og governance bruges til at undgå, at beslutningerne ender i gråzoner.

Løbende opfølgning, ikke engangsprojekt

Leverandørporteføljen og reguleringen ændrer sig. En moden strategi har derfor:

• en fast kadence for review af kritiske leverandører og systemer
• mekanismer til at fange “skygge-it” og uformelle SaaS-køb
• klare principper for, hvornår et nyt system eller en ny AI-løsning skal igennem en suverænitets- og risikovurdering

Typiske faldgruber – og hvordan du undgår dem

De fleste fejl omkring digital suverænitet skyldes ikke ond vilje, men misforståelser eller urealistiske antagelser. Her er nogle af de mest almindelige:

1. “Data i EU er lig med suveræn løsning”

Fysisk dataplacering er kun ét parameter. Hvis leverandøren er underlagt udenlandsk lov, eller hvis underdatabehandlere befinder sig i tredjelande, kan risikoen være den samme som ved direkte overførsel. Husk at se på både hvem der styrer, og hvor data kan tilgås fra.

2. “Kontrakten løser det”

Kontrakter er vigtige, men ikke tilstrækkelige. Hvis teknologien ikke understøtter eksport og flytbarhed, hjælper en flot exit-klausul ikke meget i praksis. Omvendt kan en teknisk fleksibel løsning være næsten værdiløs, hvis kontrakten blokerer for brugen af de muligheder, teknikken giver.

3. “Teknologi kan erstatte governance”

Der findes ingen magisk cloud- eller AI-løsning, der automatisk sikrer suverænitet. Selv når leverandøren markedsfører “suveræn cloud” eller lignende, skal du selv definere dine krav, roller og processer. Ellers ender du bare med en dyrere version af samme afhængighed.

4. Manglende exit-plan

Mange organisationer har aldrig øvet eller tænkt et reelt leverandørskifte igennem, før de står midt i en krise. Det gør forhandlingspositionen svag og øger risikoen for panikbeslutninger. En enkel, nedskrevet exit-plan for de 5-10 vigtigste systemer kan gøre en markant forskel.

5. Uklar ansvarsfordeling internt

Hvis ingen føler ejerskab for SaaS-porteføljen, AI-initiativer eller leverandørstyring, vokser afhængighederne stille og roligt, indtil de er svære at ændre. Det er værd at investere lidt tid i at afklare, hvem der faktisk siger ja eller nej til nye tekniske og kontraktuelle bindinger.

Hvad vi kan lære af aktuelle eksempler

Flere offentlige og private aktører i Europa har allerede taget livtag med digital suverænitet. Uden at lave et helt casekatalog kan vi udlede nogle mønstre.

Aarhus Kommune og skiftet mod mere kontrollerede løsninger

Aarhus Kommune har – ligesom andre kommuner – skulle forholde sig til, hvordan man balancerer brugen af globale cloud- og samarbejdsplatforme med krav til datasikkerhed, offentlighed og borgernes rettigheder. Erfaringen herfra er, at:

• det er nødvendigt at kortlægge detaljeret, hvilke data der faktisk ligger hvor
• man ofte må kombinere flere løsninger i stedet for at satse på én altomfattende platform
• overgangen kræver både teknisk omstilling, kontraktjusteringer og organisatorisk forankring

Slesvig-Holsten og europæiske alternativer

Delstaten Slesvig-Holsten valgte at skifte væk fra visse proprietære platforme til mere åbne og europæisk baserede løsninger, blandt andet for at styrke datasuveræniteten. Det illustrerer to pointer:

• det kan lade sig gøre at reducere afhængigheden, men det tager tid og kræver investeringer
• valg af åbne standarder og open source kan øge suveræniteten, men skaber også nye krav til interne kompetencer og supportmodeller

Store leverandørers positionering – fx Microsoft

Store internationale leverandører, herunder Microsoft, positionerer sig i høj grad som partnere i digital suverænitet. De tilbyder fx datacentre i EU, nationale clouds, avanceret kryptering og kontraktlige sikkerheder.

Det er positivt, at markedet bevæger sig denne vej. Men for den enkelte virksomhed ændrer det ikke på grundpointen: Suverænitet opstår ikke automatisk ved valg af et bestemt brand eller label. Den opstår, når du:

• har gennemtænkt, hvilke områder der skal være mest suveræne
• har koblet tekniske muligheder med kontraktvilkår og governance
• har en realistisk plan B, hvis forudsætningerne ændrer sig

Hvad er næste skridt for din virksomhed?

Ingen virksomhed får en fuldt moden suverænitetsstrategi på én omgang. Men du kan komme langt ved at fokusere på nogle få, konkrete skridt:

• Få et fælles billede i ledelsen af, hvorfor digital suverænitet er vigtig for netop jeres forretning.
• Lav en enkel kortlægning af de mest kritiske systemer, dataflows og leverandører.
• Klassificér 5-10 områder med højt suverænitetsbehov og start dér – både teknisk, kontraktuelt og organisatorisk.
• Udpeg ansvarlige for SaaS-portefølje, AI-initiativer og leverandørstyring, så beslutningerne ikke lander i ingenmandsland.
• Byg en let, men reel governance op omkring beslutninger om nye systemer og AI-løsninger, inspireret af fx minimums-setup’et fra data governance uden teatertorden og indsigter om AI i drift.

Digital suverænitet er i sidste ende ikke et mål i sig selv. Det er et middel til at sikre, at din virksomhed kan træffe egne valg – også når både teknologi, regulatoriske krav og globale magtbalancer flytter sig hurtigere, end de fleste budgetter kan følge med.