Microsoft geeft Europese klanten meer zicht op wie bij hun data kan
Microsoft kondigde op 20 oktober nieuwe maatregelen aan voor klanten in Europa. Een Europese partner gaat meekijken als engineers van Microsoft op afstand bij systemen komen.
Wat er gebeurde
Microsoft kondigde op 20 oktober in Parijs nieuwe maatregelen aan waarmee Europese klanten meer zicht krijgen op wie er bij hun systemen komt. Topman Satya Nadella presenteerde ze tijdens Microsofts Frontier Tour; Douglas Phillips, die de gespecialiseerde clouds van Microsoft leidt, werkte ze uit op het blog van het bedrijf.
De belangrijkste heet Data Guardian. Moet een engineer van Microsoft op afstand bij bepaalde productiesystemen, dan houdt een Europese partner met personeel in Europa daar toezicht op. Welke partner dat is en welke systemen er precies onder vallen, zegt Microsoft niet. De Production Touch Ledger legt vast wie erbij kwam en wat er gebeurde, op een manier die niet ongemerkt te veranderen is. Beide gelden voor klanten in de EU en de EVA (zoals Noorwegen en Zwitserland) en worden stap voor stap ingevoerd, zonder datum.
Meteen beschikbaar is dat klanten de hoofdsleutel van hun versleuteling kunnen bewaren in hardware die ze zelf beheren, op kantoor of bij een derde partij; dat had Microsoft vorig jaar beloofd. Daarnaast kan er meer op eigen servers draaien. Foundry Local, om AI-modellen op eigen hardware te gebruiken, ook zonder internetverbinding, komt voor iedereen beschikbaar op Microsofts conferentie Ignite. Microsoft 365 Local, met Exchange en SharePoint op eigen servers, is er als proefversie voor goedgekeurde klanten.
De Duitse Gesellschaft für Informatik is kritisch, schrijft Heise: het zijn vooral extra afspraken en controles aan de oppervlakte, terwijl de software en de cloud in Amerikaanse handen blijven. Wetten als de Amerikaanse CLOUD Act blijven volgens de vereniging een juridisch risico, ook als data versleuteld in Europa wordt verwerkt. Gartner-analist Ashish Banerjee noemt het tegenover Computerworld geen volledige controle. Bedrijven moeten volgens hem nagaan of Microsoft nog steeds het inloggen, de updates en het beheer regelt.
Het zijn vooral extra afspraken en controles aan de oppervlakte. De software en de cloud zelf blijven in Amerikaanse handen.
De kritiek van de Duitse Gesellschaft für Informatik, via Heise, samengevat
De achtergrond
Meekijken of buitensluiten
In een cloud moeten engineers van de leverancier soms bij productiesystemen, bijvoorbeeld om een storing op te lossen. Microsoft had daar al regels voor, zoals toegang die alleen tijdelijk geldt. Data Guardian zet daar een extra paar ogen naast, en de ledger een logboek dat niet ongemerkt te wijzigen is.
Versleuteling werkt anders: wie de sleutel heeft, kan de gegevens lezen. Met de nieuwe optie staat de hoofdsleutel in een eigen beveiligde sleutelkast, een HSM, bijvoorbeeld van Futurex, Thales of Utimaco, de fabrikanten waarmee Microsoft vorig jaar samenwerkte. Dat vraagt wel eigen beheer: wie de sleutel kwijtraakt, kan ook zelf niet meer bij zijn gegevens.
Wat eraan voorafging
Microsoft kondigde Data Guardian al in juni 2025 aan, toen nog met eigen medewerkers die in Europa wonen: zij zouden toegang goedkeuren en live meekijken. Nu wordt dat een externe Europese partner.
Daar ging een jaar van groeiende twijfel aan vooraf. In mei 2025 raakte de hoofdaanklager van het Internationaal Strafhof in Den Haag na Amerikaanse sancties de toegang tot zijn Microsoft-mail kwijt. Microsoft ontkent dat het zijn diensten aan het hof stopte, maar sprak volgens een woordvoerder al sinds februari met het hof over het afsluiten van de aanklager. In juni 2025 kon Microsoft Frankrijk onder ede in de Franse Senaat niet garanderen dat gegevens van Franse burgers nooit zonder toestemming naar de Amerikaanse overheid gaan, al was dat volgens Microsoft nog nooit gebeurd. En de Belastingdienst wilde naar Microsoft 365, maar koos dit najaar voor Microsoft-software op eigen servers.
De CLOUD Act en de markt
Met de CLOUD Act uit 2018 kunnen Amerikaanse opsporingsdiensten gegevens opvragen bij Amerikaanse bedrijven, ook als die gegevens in het buitenland staan. Microsoft zegt in contracten toe ongegronde verzoeken aan te vechten, maar moet zich volgens de juridisch directeur van Microsoft Frankrijk aan een geldig bevel houden.
Overstappen is niet eenvoudig. Amazon, Google en Microsoft hebben samen zo’n 70 procent van de Europese cloudmarkt, en het aandeel van Europese aanbieders is de afgelopen tien jaar gekrompen.
Onze analyse
Meekijken is geen buitensluiten: de echte winst zit in de eigen sleutel
Microsoft beantwoordt de twijfel in stappen: eerst data in Europa opslaan, toen eigen Europese medewerkers die meekijken, nu een externe partner, en daarnaast Microsoft-software op je eigen servers. Elke stap geeft meer controle, en bij elke stap doe je zelf meer.
Toezicht en een logboek vertellen je achteraf wie er binnenkwam en wat er gebeurde. Een Amerikaans bevel aan Microsoft houden ze niet tegen. Een eigen sleutel helpt meer: opgeslagen gegevens die versleuteld zijn met een sleutel die Microsoft niet heeft, kan Microsoft in principe niet lezen. Maar een dienst die met je gegevens werkt, moet ze tijdens het werk kunnen lezen. Onze inschatting: bij AI in de cloud helpt een eigen sleutel daarom minder dan het lijkt, want een model moet je mail of document lezen om het samen te vatten. Voor wie gevoelige gegevens met AI wil verwerken, telt daarom vooral waar het model draait: op een AI-server op je eigen kantoor gaan die gegevens de deur niet uit.
Zo ver hoef je niet voor alles te gaan. Voor de meeste gegevens is een grote cloud met deze extra controles prima. Voor de gevoeligste kies je zelf waar de sleutel ligt en waar het model draait. En vraag bij Data Guardian eerst wie de partner is en welke systemen eronder vallen, voordat je erop rekent.
Wat opvalt
- De partner heeft nog geen naam Microsoft zegt niet welk Europees bedrijf meekijkt en welke systemen precies onder Data Guardian vallen. Een datum is er ook niet.
- Ook Microsoft komt naar je kantoor Dat Microsoft AI nu ook op eigen hardware aanbiedt, laat zien dat de plek waar een model draait een gewone keuze wordt. Open modellen als Mistral, Gemma en gpt-oss draaien al zonder internet op een AI-server op kantoor.
- Dezelfde route als de Belastingdienst Microsoft-software op eigen servers, waar de Belastingdienst voor koos, heet in Microsofts soevereine aanbod Microsoft 365 Local. Ruim een jaar na de aankondiging is dat nog een proefversie voor goedgekeurde klanten.
- Ook sancties en exportregels gelden Analist Pareekh Jain wijst erop dat Microsoft onder Amerikaanse wetten, sancties en exportregels valt. De zaak van het Strafhof liet zien wat dat kan betekenen.
Wat het voor jou betekent
Gebruiken jullie de cloud van Microsoft, dan krijg je meer zicht op wie er bij je data kan, maar de leverancier blijft Amerikaans.
- Meer zicht, niet minder toegang Engineers van Microsoft kunnen nog steeds bij systemen komen. Nieuw is dat een Europese partner meekijkt en dat het wordt vastgelegd.
- De Amerikaanse wet blijft gelden Critici wijzen erop dat wetten als de Amerikaanse CLOUD Act juridische risico’s blijven geven, ook als je data versleuteld in Europa wordt verwerkt.
- Je sleutel kan nu buiten Microsoft Je kunt de hoofdsleutel op eigen hardware bewaren, op kantoor of bij een derde partij. Dat geeft meer controle, maar vraagt ook eigen beheer.
Wat wij ermee kunnen · Advies
We wegen met je af welke AI bij welke gegevens past
Welke AI-tool mag bij welke gegevens? In een Verkenning of Roadmap zetten we dat met je op een rij, onafhankelijk van leveranciers. Soms is een grote cloud prima, soms past een AI-server op je eigen kantoor beter. Die leveren we ook zelf: een Apple Mac Studio, los van internet, met open modellen als Mistral, Gemma en gpt-oss.
Weet je welke van jullie gegevens in een Amerikaanse cloud staan?
Vertel ons waar je over twijfelt. We denken onafhankelijk met je mee en reageren altijd binnen één werkdag.
