Hvem eier skyen over Norge?

Tallet ingen vil snakke om

I del 1 av denne serien dokumenterte jeg 51 datasenteranlegg med opp mot 5 440 MW planlagt kapasitet, og at regjeringen ikke har gjort en eneste prisanalyse av veksten. Tallet som fikk minst oppmerksomhet var dette: nesten 40 prosent av planlagt kapasitet er utenlandsk eid. Tre måneder senere er bildet både bekreftet og forverret. Nkoms offentlige register viser at 26 av 49 registrerte operatører — 53 prosent — har utenlandske eiere. Per 20. mars 2026 er totalantallet datasentre i registeret 103.

Det er ikke et tall som forsvarer seg selv. En japansk fabrikk i Mo i Rana er også utenlandsk eid — forskjellen er at en aluminiumsovn ikke kan bli gjenstand for en hemmelig kjennelse fra en føderal dommer i Virginia. Datasentre lagrer ikke aluminium. De lagrer e-poster, journaler, kommuneprotokoller, sensorstrømmer fra kraftverk og treningsdata fra modeller som etter hvert vil drive offentlig saksbehandling.

Når Telemark fylkeskommune skriver kontrakt med en leverandør som hoster på Microsoft Azure Norway East, eller når Helse Sør-Øst sender pasientdata gjennom et SaaS-system bygget på Google Cloud i Skien, beveger dataene seg fysisk gjennom utstyr i norsk jord — men juridisk gjennom amerikansk jurisdiksjon. Det er ikke en metafor. Det er hvordan CLOUD Act faktisk fungerer.

Hva CLOUD Act faktisk sier

Loven heter formelt Clarifying Lawful Overseas Use of Data Act, vedtatt av Kongressen i mars 2018 som en del av Consolidated Appropriations Act. Den endret den amerikanske Stored Communications Act (18 U.S.C. §§ 2701–2713) og slo fast to ting som er relevante her:

1. Ekstraterritorialitet. En amerikansk «provider of electronic communication service» eller «remote computing service» er pliktig til å utlevere data «in its possession, custody, or control» etter rettslig pålegg uavhengig av hvor i verden dataene fysisk lagres (§ 2713). Skien, Hamar eller Narvik — det spiller ingen rolle.
2. Comity-mekanisme. En provider kan bestride pålegget hvis det skaper en «material conflict» med loven i landet der dataene faktisk er lagret — men bare hvis landet har signert en bilateral «Executive Agreement» med USA (§ 2703(h)). Norge har ikke signert en slik avtale. Storbritannia signerte i 2019, Australia i 2021. EU forhandler kollektivt og har ikke landet noe.

Konsekvensen er enkel og ubehagelig. Dersom amerikansk justisdepartement, FBI eller en føderal storjury sender en § 2703(d)-kjennelse til Google LLC, har Google en juridisk plikt til å utlevere data fra anlegget i Skien. Norske myndigheter blir ikke varslet. Den berørte kunden — en norsk kommune, et helseforetak, en privatperson — blir heller ikke varslet, fordi § 2705(b) tillater taushetspålegg på opptil 180 dager, ofte forlenget i det uendelige. Provideren risikerer rettsforfølgelse i USA hvis den varsler.

Dette er ikke et hypotetisk scenario. Microsoft alene rapporterte i sin Law Enforcement Requests Report for andre halvår 2024 over 35 000 enkeltforespørsler om kundedata fra amerikanske myndigheter. Google mottok i samme periode over 80 000 «preservation requests» og fullbyrdet utlevering i ca. 80 prosent av tilfellene. Den faktiske bruksgraden er industriell, ikke unntaksvis.

Schrems II: bruen som kollapset

Da EU-domstolen i juli 2020 i sak C-311/18 (Schrems II) rev opp Privacy Shield-avtalen mellom EU og USA, var begrunnelsen klar: amerikansk overvåkningslovgivning — spesielt FISA Section 702 og Executive Order 12333 — gir amerikansk etterretning så vid tilgang til ikke-amerikanske borgeres data, og så lite effektive klagemuligheter, at det kolliderer med GDPR artikkel 45 og chartrene 7, 8 og 47.

Domstolen sa ikke at amerikansk skylagring var ulovlig. Den sa at dataeksport til USA krever «supplementary measures» — som kryptering der nøkkelen forblir i EØS, eller at provideren ikke har teknisk evne til å utlevere klartekst.

I juli 2023 vedtok Kommisjonen den nye EU-US Data Privacy Framework (DPF). Den hviler på Executive Order 14086, som etablerte en Data Protection Review Court (DPRC). Det er ikke en domstol i konstitusjonell forstand — den ligger under Justisdepartementet, dommerne kan avskjediges av presidenten, og saker behandles uten at klageren får innsyn i underlaget eller får vite utfallet.

Max Schrems' organisasjon NOYB klaget rammeverket inn for EU-domstolen kort etter vedtaket. Saken (Schrems III i alt unntatt navnet) er fortsatt under behandling. I tillegg kommer en politisk risiko som ble tydelig fra januar 2025: en amerikansk president kan, med samme penn som Biden brukte til å signere EO 14086, oppheve den. Hvis det skjer, faller adekvansvedtaket fra 2023 sammen, og hele den juridiske grunnpilaren for kommersiell datatrafikk fra Norge til amerikansk-eide datasentre — også de som står i Norge — står plutselig på sviktende grunn.

Tidslinjen for et juridisk korthus

Hva betyr dette for norsk offentlig sektor?

Norge er bundet av GDPR via EØS, og Datatilsynet har gjentatte ganger utfordret offentlige etaters bruk av amerikansk skytjenester. Oslo kommune fikk i 2024 et gebyr på 2 millioner kroner for ulovlig bruk av Google Workspace i grunnskolen. Bergen kommune har vært gjennom flere runder med Datatilsynet om Microsoft 365. Helsedirektoratet utga i 2023 en veiledning som ga sykehusene rødt lys for store skytjenester for visse pasientdatakategorier.

Likevel har staten selv inngått en rammeavtale med Microsoft via DFØ som dekker hundrevis av etater. Forsvaret bruker en air-gapped variant. NSMs grunnprinsipper for IKT-sikkerhet klassifiserer norsk forvaltningsdata i fire nivåer:

Problemet er at størsteparten av norsk offentlig data — pasientjournaler, saksbehandlingsdokumenter, biometri, opptak av politiavhør, kommunale e-poster — teknisk klassifiseres som ÅPEN eller BEGRENSET, men aggregert utgjør et angrepsmål av strategisk betydning. Personvernforordningen (GDPR) gjelder uavhengig av sikkerhetsklassifisering.

Det norske svaret har vært en blanding av politisk fortrengning og teknisk improvisasjon: Customer Lockbox, EU Data Boundary, Confidential Computing. Alle disse er reelle tekniske mekanismer, og alle reduserer risikoen — men ingen av dem opphever CLOUD Act. En amerikansk dommer som signerer en kjennelse, bryr seg ikke om at provideren har lovet kunden «data residency».

Eierne, profilert

Den følgende gjennomgangen tar utgangspunkt i de syv største utenlandske aktørene som er involvert i norsk datasenterinfrastruktur. For hver har jeg notert eierstruktur, jurisdiksjon, kapasitet i Norge, hva selskapet har lovet lokalmiljøet, og hva som faktisk er kjent om beskatning. Mye er ikke offentlig — det skal vi komme tilbake til.

Eierskap, beskatning og det som ikke kan måles

Hvis man legger sammen tallene fra de syv profilene over, får man følgende mønster:

Den ærlige observasjonen: vi vet ikke hvor mye selskapsskatt disse aktørene faktisk betaler i Norge. Selskapsregnskapene for Google Norway AS, Microsoft Norge AS, og Green Mountain AS er offentlig tilgjengelige i Brønnøysundregistrene. Tallene viser konsekvent at norsk omsetning er en brøkdel av norske kunders utgifter. Det er ikke ulovlig — det er internasjonal konsernrett — men det betyr at den «verdiskapingen» bransjen viser til, i stor grad er byggefasens verdiskaping (Skanska, elektroentreprenører, lokale leverandører) og eiendomsskatten. Driftsfasens overskudd renner i stor grad ut.

Hva burde vi kreve?

Det politiske momentumet har skiftet siden første utgave av denne artikkelen. På landsmøtet i mai 2025 vedtok MDG at «datasentre som etableres i Norge skal sikres norsk eller europeisk eierskap». Nestleder Ingrid Liland navnga eksplisitt Microsoft, Google, Amazon og Green Mountain. Stortinget behandler Innst. 140 S (2025–2026) om konsesjonssystem for datasentre — den første konkrete reguleringsmodellen. Begge tar opp eierskapsspørsmålet, men ingen av dem løser det juridiske problemet (CLOUD Act) som forblir aktivt uavhengig av hvor anlegget står.

Jeg foreslår derfor fire krav som er moderate, juridisk gjennomførbare og ikke næringsfiendtlige.

1. Suverenitetsklausul i offentlige skytjenestekontrakter. Alle nye kontrakter med amerikansk-eide leverandører bør inneholde en formell «Schrems-klausul»: leverandøren forplikter seg til å utfordre CLOUD Act-pålegg i amerikanske domstoler basert på § 2703(h)(2), med varsel til norske myndigheter umiddelbart hvis taushetspålegg oppheves. Dette er det Microsoft formelt allerede tilbyr offentlige kunder; det burde være standard.
2. Norsk Executive Agreement-strategi. Norge bør formelt undersøke om en bilateral CLOUD Act-avtale med USA — etter modell av UK-USA-avtalen — er tjenlig. Den løser ikke det grunnleggende problemet, men aktiverer comity-mekanismen som i dag står ubrukt.
3. Eier-transparens-register. Et offentlig register over endelig eier (UBO) for alle datasenteranlegg over en viss kapasitet (f.eks. 5 MW), oppdatert årlig. Dette finnes delvis allerede gjennom Brønnøysund, men ikke aggregert eller publisert.
4. Klassifisert kapasitet. Norge bør — etter modell fra Frankrike (SecNumCloud), Tyskland (BSI C5) og EU (EUCS) — opprette en formell sertifisering for «Norsk Sky» som garanterer norsk eierskap, norsk jurisdiksjon, og kryptografisk separasjon fra utenlandske konsernkontroller. Det finnes norsk-eid kapasitet (Bulk, Polar DC, GreenScale, Lefdal Mine, Skygard, Eviny) som kan kvalifisere.

Ingen av disse er radikale. De forutsetter bare at Norge behandler digital infrastruktur med samme alvor som vi behandler kraftnett, vannforsyning og veier — nemlig at vi vet hvem som eier dem, og hvilken jurisdiksjon de svarer til.