Microsoft laat EU-partner meekijken bij toegang tot je data

Komt een Microsoft-engineer op afstand bij je data, dan kijkt er straks een Europese partner mee. Dat kondigde Microsoft op 20 oktober aan, samen met een logboek van elke aanraking en sleutels in eigen beheer. Voor een Nederlandse directeur is de vraag daarmee minder of je weg moet bij Microsoft, en meer wat je er binnen al kunt afdwingen. Mijn antwoord: meer dan vorig jaar, en minder dan de aankondiging doet vermoeden.

De aankondiging komt van Douglas Phillips, president en CTO van Microsoft Specialized Clouds (Microsoft). Veel ervan bestond al. Data Guardian kondigde Microsoft in juni 2025 aan (Microsoft, 2025), en Microsoft 365 Local is al algemeen beschikbaar (Microsoft).

Wie kijkt mee als een Microsoft-engineer bij je data komt?

In 2025 beloofde Microsoft dat eigen personeel dat in Europa woont toegang op afstand goedkeurt en volgt, ook als een engineer van buiten Europa erbij moet. Zo staat het nog op de Learn-pagina over Data Guardian (Microsoft Learn). Nieuw is dat er een buitenstaander meekijkt.

"we are rolling out Data Guardian, which adds European-resident oversight by a trusted EU partner"

Welke partner dat is, zegt Microsoft niet. Het geldt voor klanten in de EU en EFTA, voor "qualifying" toegang tot "in-scope" productiesystemen. Futurum-analist Nick Patience schrijft dat inkoop en juristen die twee woorden zorgvuldig moeten uitpluizen (Futurum).

Een logboek waarin geknoei zichtbaar wordt, stond ook al in de belofte van 2025. Nu heeft het een naam: de Production Touch Ledger legt vast welke engineer erbij kwam en wat hij deed. Ook die wordt gefaseerd uitgerold in de EU en EFTA. Customer Lockbox en just-in-time access noemt Microsoft ook, maar zonder status.

Eigen sleutels: algemeen beschikbaar, met kleine lettertjes

Wat nu al algemeen beschikbaar is: external key management met Azure Managed HSM. De hoofdsleutel blijft in een HSM die je zelf bezit, in eigen huis of bij een derde partij. Een HSM is een kastje dat sleutels bewaart en ze nooit afgeeft.

Volgens Azure Updates werkt het in alle publieke Azure-regio's, na een testfase vanaf juli (Azure Update AZ574296). Dezelfde melding noemt drie voorwaarden. Je zet het aan via je Microsoft-accountteam. Een deel van de netwerkkoppeling zit nog in test. En als je eigen kastje of de verbinding ernaartoe uitvalt, garandeert Microsoft niets.

Microsofts eigen documentatie is nog nuchterder. Die noemt het een laatste redmiddel voor wie een harde wettelijke of contractuele eis heeft, omdat je beschikbaarheid en snelheid inlevert (Microsoft Learn).

AI op eigen hardware: Foundry Local en Microsoft 365 Local

Wie de publieke cloud helemaal mijdt, komt bij de Sovereign Private Cloud: Azure op eigen hardware, Azure Local. Daar wordt Foundry Local bij Ignite algemeen beschikbaar, verbonden en volledig offline. Foundry Local op pc's en laptops is dat al sinds april (Microsoft Foundry).

De koppeling met Microsoft 365 Local brengt lokale AI naar SharePoint- en Exchange-servers die je zelf draait. Die koppeling is nog in test, alleen voor goedgekeurde klanten. Het gaat om de serverversies, niet om Exchange Online of Teams uit de cloud (analyse).

Het Sovereign Control Panel gaat bij Ignite in test. Het toont in het Azure-portaal je soevereiniteitsstatus en de gaten daarin, helpt controles toepassen en laat zien hoe makkelijk je systemen te verhuizen zijn. Patience leest die nadruk op verhuizen als stille erkenning dat klanten een uitweg willen.

Welk soevereiniteitsrisico dek je af?

Elk onderdeel dekt een ander risico, en sommige risico's dekt de aankondiging niet. Waar je data staat bijvoorbeeld: de EU Data Boundary bestond al (Microsoft Learn). Kies hieronder een risico en zie welk onderdeel erbij hoort, en hoe ver het is.

Interactief

Welk soevereiniteitsrisico wil je afdekken?

Jouw risicoOverzicht

Kies het risico dat je wilt afdekken. Je ziet welk onderdeel van de aankondiging erbij hoort, en hoe ver het is.

Toegang door Microsoft-personeelWie de sleutels heeftWaar je data staatLokaal of offline draaienKunnen vertrekkenAmerikaans recht

Toegang door Microsoft-personeel: Deels afgedekt

Toegang door Microsoft-personeel

Deels afgedekt

Er komt toezicht en een logboek bij, maar alles is nog in uitrol. Welke EU-partner meekijkt en welke diensten eronder vallen, noemt Microsoft niet.

• Data GuardianWordt uitgerold

  Een vertrouwde EU-partner houdt toezicht op toegang op afstand door Microsoft-engineers tot systemen die eronder vallen.

  Publieke Azure-cloud, EU en EFTA

• Production Touch LedgerWordt uitgerold

  Legt vast welke engineer erbij kwam en wat hij deed, in records waarin achteraf knoeien zichtbaar wordt.

  Publieke Azure-cloud, EU en EFTA

• Customer Lockbox en just-in-time accessGeen status genoemd

  Genoemd als controles op toegang door Microsoft, zonder status of datum.

  Azure

Bron: Microsoft, 20 oktober 2026, Microsoft Learn, Data Guardian

Bronnen: Microsoft (20 oktober 2026), Azure Update AZ574296 (16 oktober 2026), Microsoft Learn, Futurum. Gecontroleerd op 21 oktober 2026. Geen juridisch advies. Blok: AI Centrum Nederland.

Wat het niet oplost: de CLOUD Act

Microsoft blijft een Amerikaans bedrijf. De CLOUD Act laat de Amerikaanse overheid gegevens opvragen bij Amerikaanse aanbieders, waar die gegevens ook staan (The Register). In juni 2025 kon de juridisch directeur van Microsoft France onder ede tegenover de Franse Senaat niet garanderen dat gegevens van Franse burgers nooit zonder Frans akkoord naar de Amerikaanse overheid gaan.

De aankondiging noemt de CLOUD Act niet. Volgens Patience veranderen toezicht en logboek niets aan wiens recht Microsoft als operator kan bereiken. Eigen sleutels noemt hij wel de sterkste verdediging tegen gedwongen afgifte (Futurum).

Ook onbekend: prijzen, welke diensten "in-scope" zijn en wanneer de uitrol klaar is. Microsoft 365 Copilot en de EU-residentie van Azure OpenAI komen niet aan bod. De afweging waarmee de Belastingdienst stopte met de Microsoft 365-cloud blijft dus staan, net als de rekensom achter een Europees alternatief voor Microsoft 365.

Microsoft kan straks laten zien wie er bij je data kwam. Onder welk recht die data valt, verandert daar niet door.

Volgende Stap

Wil je per systeem weten welk risico je binnen Microsoft al afdekt en welk niet? Neem contact op, dan leggen we het naast je eigen omgeving.

Headerbeeld: Microsoft. Schema, tijdlijn en blok: AI Centrum Nederland.