Mange udbydere forbeholder sig ret til at dele data med myndigheder og andre, når de selv vurderer, at det er nødvendigt. Afsnittet står sjældent i den mail, der varsler en ændring, men i selve privatlivspolitikken, og det hviler på den lov, udbyderen er underlagt.
Artiklen viser, hvordan I finder og læser afsnittet, sammenligner fire udbydere efter samme målestok og forklarer, hvilke regler der ligger bag. Den vurderer ingen konkret kontrakt.
Hvorfor udleveringsvilkår hører til i exit-planen
En exit-plan vurderer, hvem der kan lukke, se eller ændre en tjeneste. Udleveringsafsnittet svarer på en del af spørgsmålet om, hvem der kan se, og på hvilket grundlag.
Vilkårene ændres løbende, og ændringen kan gøre en tjeneste uegnet til bestemte data. Når det sker, skal I vide, hvilke data der ligger hos udbyderen, og hvor hurtigt I kan flytte dem. Det knytter vilkårene direkte til → trin 4 om at lukke, se og ændre.
Hvad amerikansk lov tillader af frivillig udlevering
Den amerikanske Stored Communications Act regulerer, hvornår udbydere må udlevere data uden at være pålagt det. Udgangspunktet i 18 U.S.C. § 2702 er et forbud mod at videregive indholdet af kommunikation og mod at give kundeoplysninger til myndigheder.
Loven har undtagelser. En udbyder må udlevere indhold til en myndighed, hvis den i god tro mener, at en nødsituation med fare for liv eller alvorlig personskade kræver det uden ophold (stk. b, nr. 8). Oplysninger, der ikke er indhold, må videregives til enhver, der ikke er en myndighed (stk. c, nr. 6).
Standarden om god tro er altså forankret i amerikansk lov. Pålæg om udlevering efter Cloud Act er en anden mekanisme, som er beskrevet i → Cloud Act.
Hvad europæisk ret kræver
Databeskyttelsesforordningen tillader behandling, der er nødvendig for at overholde en retlig forpligtelse (artikel 6, stk. 1, litra c). Grundlaget for en sådan forpligtelse skal ifølge artikel 6, stk. 3, være fastsat i EU-retten eller i national ret i et medlemsland.
Artikel 48 handler om domme og afgørelser fra et tredjeland, der pålægger udlevering af personoplysninger. De kan kun anerkendes eller fuldbyrdes, hvis de bygger på en international aftale, fx en aftale om gensidig retshjælp. Reglen gælder med forbehold for de øvrige overførselsgrundlag i forordningens kapitel V.
Et udleveringsafsnit kan derfor henvise til to retssystemer på én gang. Hvilket af dem der vejer tungest i en konkret sag, afgør jurister og domstole.
Fire udbydere, samme spørgsmål
Den sammenligning, der giver mening, stiller samme spørgsmål til alle. Hvem kan data deles med, på hvilket grundlag, og hvem vurderer, om betingelsen er opfyldt? Gennemgangen bygger på de gældende privatlivspolitikker pr. 30. oktober 2026.
- Anthropic · Politikken, der gælder fra 10. september 2026, tillader deling med myndigheder, retshåndhævelse eller andre tredjeparter, når selskabet i god tro mener, at det er rimeligt nødvendigt. Formålene er at overholde lov eller retlig proces, forebygge alvorlig skade, bekæmpe svindel og håndhæve vilkår.
- Google · Privatlivspolitikken med virkning fra 16. oktober 2026 bruger samme konstruktion med god tro og rimelig nødvendighed. Formålene omfatter lov, retlig proces og håndhævelige myndighedsanmodninger, håndhævelse af vilkår, svindel og sikkerhed samt beskyttelse mod skade.
- Microsoft · Privatlivserklæringen, opdateret i september 2026, giver adgang til at videregive personoplysninger, herunder indhold, når selskabet i god tro mener, at det er nødvendigt. Formålene er blandt andet at overholde lov eller gyldig retlig proces, beskytte kunder og offentligheden og beskytte Microsofts rettigheder.
- Mistral AI · Det franske selskabs politik fra 3. september 2026 nævner deling med tilsynsmyndigheder som det franske datatilsyn og, når det er relevant, med kompetente domstole og professionelle rådgivere. Den bruger ikke formuleringen om god tro.
Politikkerne oplyser også, hvem der er dataansvarlig for brugere i EU. Hos Anthropic er det Anthropic Ireland, Limited, og hos Google er det Google Ireland Limited, mens Mistral AI selv er registreret i Paris. Den irske enhed ændrer ikke, at moderselskabet er amerikansk.
De tre amerikanske udbydere bruger næsten samme skabelon. Forskellen ligger i, hvilken lov der står bag, og hvordan udbyderen beskriver modtagerne.
Ordene, der afgør rækkevidden
Fire formuleringer er værd at markere, når I læser et udleveringsafsnit.
- “Good faith belief” betyder, at udbyderen selv vurderer, om betingelserne er opfyldt. Der står ikke, at en domstol skal have taget stilling.
- “Reasonably necessary” sætter en lav tærskel sammenlignet med en ret, der kræver en konkret lovhjemmel.
- “Third parties” uden nærmere afgrænsning kan dække andre end myndigheder.
- Håndhævelse af egne vilkår som formål giver udbyderen grundlag for deling i sager, hvor selskabet selv er part.
Ingen af ordene er usædvanlige i amerikanske politikker. De bør alligevel stå i jeres vurdering, fordi de viser, hvor beslutningen træffes.
Forbrugervilkår og erhvervsvilkår er forskellige dokumenter
Privatlivspolitikken gælder typisk den enkelte bruger. Anthropics politik oplyser, at den ikke gælder data, selskabet behandler på vegne af erhvervskunder, som har egne aftaler. Mistral skriver tilsvarende, at politikken ikke gælder, når produkterne bruges til persondata i kundens erhverv.
Microsoft oplyser, at kontrakten med en organisation går forud, hvis den er i strid med erklæringen. For produkter, en organisation stiller til rådighed, henviser Microsoft til kontrakten med organisationen.
Det betyder, at en medarbejder med en privat konto kan være omfattet af bredere vilkår end virksomhedens egen aftale. Kortlæg derfor, hvilke kontotyper der faktisk bruges, som beskrevet i → binding til AI-leverandøren.
Hvad gennemsigtighedsrapporterne viser
Udbydernes egne rapporter viser, hvordan vilkårene bruges i praksis. Microsoft oplyser i sin rapport om myndighedsanmodninger for andet halvår 2025, at selskabet modtog 190 anmodninger om data fra erhvervskunder.
I 96 tilfælde blev anmodningen afvist, trukket tilbage, henvist til kunden, eller der fandtes ingen data. I 45 tilfælde var Microsoft forpligtet til at udlevere indhold og i 49 tilfælde andre oplysninger som abonnentdata og IP-logge. Microsoft oplyser at give erhvervskunder forudgående besked, medmindre loven forbyder det.
Tallene gælder kun Microsoft. Find den tilsvarende rapport hos jeres egne udbydere, og notér, om de oplyser tal for erhvervskunder særskilt.
Sådan læser I udleveringsafsnittet
- Find det gældende dokument · Brug den version, der gælder jeres kontotype, og notér ikrafttrædelsesdatoen.
- Gem en kopi · Arkivér teksten med dato, så en senere ændring kan sammenlignes, jf. → vilkår, der ændres ensidigt.
- Notér den dataansvarlige · Se, hvilken juridisk enhed der står som ansvarlig for brugere i EU, og find moderselskabet.
- Marker modtagerne · Skriv op, om afsnittet nævner myndigheder, retshåndhævelse, domstole eller tredjeparter uden afgrænsning.
- Marker grundlaget · Skel mellem pålæg, retlig proces, egen vurdering og håndhævelse af vilkår.
- Tjek underleverandører · Udleveringsvilkår kan også gælde hos de selskaber, udbyderen bruger, jf. → trin 3 om underdatabehandlere.
- Spørg skriftligt · Bed udbyderen bekræfte, om I får besked ved en anmodning, og om den henvises til jer.
Typiske fejl
Den hyppigste fejl er at læse mailen om ændringen i stedet for teksten. En anden er at gå ud fra, at en europæisk dataansvarlig enhed fjerner den amerikanske moderselskabs retsforhold. Det gør den ikke nødvendigvis, som gennemgået i → trin 2 om juridisk enhed og moderselskab.
En tredje fejl er at vurdere en tjeneste ud fra erhvervsaftalen, mens medarbejderne bruger private konti.
Hvad gennemgangen kan og ikke kan vise
Gennemgangen kan vise, hvem der efter udbyderens egne ord træffer beslutningen om udlevering, og til hvem. Den kan sammenligne udbydere på samme spørgsmål og afsløre ændringer over tid.
Den kan ikke vise, hvor ofte en bestemt udbyder faktisk deler data på grundlag af egen vurdering. Den afgør heller ikke, om en udlevering i en konkret sag er lovlig efter europæisk ret.
Betydningen for exit-planen
Notér for hver tjeneste, der behandler følsomme data, hvad udleveringsafsnittet tillader, og hvilken lov der ligger bag. Sæt en dato for næste gennemgang, og knyt den til kontraktens fornyelse.
Hvis vilkårene ikke passer til dataene, er der to veje. I kan begrænse, hvilke data der må lægges i tjenesten, eller planlægge et skifte. Begge dele bør stå i planen, før behovet opstår. Brug spørgsmålene i → seks spørgsmål til leverandøren i dialogen.
Nielco IT’s jurisdiktions- og afhængighedsvurdering kortlægger lovgivning og moderselskab pr. system og kan bruges, når mange tjenester skal gennemgås på én gang.
Kilder
- Cornell Law School, Legal Information Institute: 18 U.S. Code § 2702, Voluntary disclosure of customer communications or records, set 30. oktober 2026. https://www.law.cornell.edu/uscode/text/18/2702
- Den Europæiske Unions Tidende (EUR-Lex): Europa-Parlamentets og Rådets forordning (EU) 2016/679 af 27. april 2016 (databeskyttelsesforordningen), artikel 6 og 48. https://eur-lex.europa.eu/eli/reg/2016/679/oj/dan
- Anthropic: Privacy Policy, gældende fra 10. september 2026. https://www.anthropic.com/legal/privacy
- Google: Privacy Policy, gældende fra 16. oktober 2026. https://policies.google.com/privacy?hl=en
- Microsoft: Microsoft Privacy Statement, opdateret september 2026. https://www.microsoft.com/en-us/privacy/privacystatement
- Mistral AI: Privacy Policy, gældende fra 3. september 2026. https://legal.mistral.ai/terms/privacy-policy
- Microsoft: Law Enforcement Requests Report, juli til december 2025, set 30. oktober 2026. https://www.microsoft.com/en-us/corporate-responsibility/law-enforcement-requests-report
