Digital suverenitet som en strategi

Hvert eneste sak- og arkivsystem i norsk offentlig sektor har én ting til felles: de er bygget oppå Microsoft. Outlook for e-post. Word for dokumentproduksjon. SharePoint for lagring. Azure AD for innlogging. Power Automate for automatisering. Copilot for AI.

Ingen planla det slik. Det bare ble sånn — ett integrasjonspunkt om gangen, over tjue år.

Spørsmålet er: hva skjer den dagen forutsetningene endrer seg?

Hva er digital suverenitet, egentlig?

Begrepet flyr rundt i EU-dokumenter og anskaffelsesdialoger. Det høres stort og abstrakt ut. Men det er egentlig ganske enkelt:

Digital suverenitet er evnen til å ta egne valg om teknologi, data og leverandører — og å kunne endre disse valgene over tid.

Ikke fravær av avhengigheter. Det finnes ikke. Men evnen til å handle når avhengighetene endrer seg.

Hvorfor det betyr noe akkurat nå

Schrems II opphevet Privacy Shield over natten. AI Act innfører nye krav til sporbarhet og tilsyn som ingen hadde på radaren for to år siden. Microsofts lisensmodeller endres uten forvarsel. Dataoverføringsavtaler settes i spill av politiske vedtak i land vi ikke har innflytelse over.

For en kommune eller en statlig etat som forvalter velferdstjenester, er dette ikke teoretiske scenarioer. Det er operasjonelle realiteter. Og hvis saksbehandlingsplattformen din slutter å fungere fordi en amerikansk tech-gigant endrer API-vilkår, har du et problem som er vanskelig å løse fort.

Hva er egentlig problemet med dagens løsninger?

De tradisjonelle sak- og arkivleverandørene har over mange år vokst inn i Microsoft-økosystemet. Ikke som et bevisst arkitekturvalg, men som en gradvis tilpasning. Outlook-plugin her, SharePoint-kobling der, Azure AD-integrasjon overalt. Hvert steg var praktisk. Summen er at «sak og arkiv» og «Microsoft» er blitt uatskillelige.

Det betyr at et skifte av kontorstøtteplattform — fra Microsoft til noe annet — ikke bare påvirker e-post og dokumentverktøy. Det river opp saksbehandlingsløsningen med roten.

Det er ikke sak-arkiv-leverandørens feil. De bygget på det som var tilgjengelig. Men resultatet er en arkitektur der kunden har gitt fra seg muligheten til å velge — uten at noen tok et aktivt valg om det.

Kan man bygge det annerledes?

Ja. Det er det vi gjør i Neo.

Vi tok et bevisst valg fra dag én: alt som trengs for saksbehandling — dokumentproduksjon, samredigering, e-posthåndtering, automatisering, identitet, AI — er implementert som egne komponenter i plattformen. Ikke fordi vi er anti-Microsoft, men fordi vi mener at kjernefunksjonalitet ikke bør delegeres til en tredjepartsplattform.

Konkret betyr det:

Dokumentproduksjon skjer i en innebygd editor basert på åpen kildekode — ikke i Word. Samredigering er innebygd — ikke via SharePoint.

E-posthåndtering er frikoblet fra leverandør. I dag støtter vi Microsoft 365 og Gmail. Nye leverandører kan legges til uten å endre Neo.

Identitet håndteres av eget autentiseringssystem. Azure AD er en valgfri SSO-tilkobling — ikke en forutsetning.

Automatisering har en innebygd, visuell arbeidsflyt-designer — ikke Power Automate.

AI er modell-agnostisk. Vi bruker i dag modeller fra OpenAI, Anthropic og Google — og bygger for at kunden skal kunne velge, inkludert EU-prosesserte og selvhostede modeller.

Infrastrukturen er standard containere. Applikasjonen kan flyttes mellom skyplattformer uten kodeendringer.

Men dere bruker jo Azure?

Ja. Neo driftes i dag på Azure. Vi bruker Azure Blob Storage for filer, Azure Document Intelligence for OCR, og Azure Service Bus for asynkrone oppgaver.

Men det er et viktig skille mellom der vi kjører og hva vi er avhengige av.

Azure er vår driftsplattform — ikke vår arkitektur. Applikasjonslogikken har ingen Azure-spesifikke API-er. Databasen er PostgreSQL (åpen kildekode). Arbeidsflytmotoren er Temporal (åpen kildekode). AI-rammeverket er LangGraph (åpen kildekode). Dokumenteditoren er ProseMirror (åpen kildekode).

Å flytte Neo til AWS, GCP, eller et europeisk alternativ er et infrastrukturprosjekt — ikke en omskrivning av produktet.

«Null innlåsning» er markedsføring

Vi tror ikke på «null innlåsning». Enhver teknologisk løsning har avhengigheter. Den som påstår noe annet selger deg noe.

Det vi tror på er bevisste avhengigheter. Forskjellen mellom en avhengighet du vet om og en du ikke vet om, er forskjellen mellom en kalkulert risiko og en blindsone. Vi stiller fire spørsmål til hver avhengighet:

1. Vet vi om den? Er den dokumentert og synlig — for oss og for kunden?

2. Er den bevisst valgt? Eller har den vokst frem uten at noen tok et aktivt valg?

3. Har vi en plan for å redusere den? Gjør vi konkrete tiltak over tid?

4. Hva koster det å bytte? Er migrasjonskostnaden håndterbar?

Å fjerne Microsoft kan for mange bety å bygge produktet på nytt. For Neo er svaret: håndterbar. Fordi vi har bygget arkitekturen slik fra starten.

Hva med AI-modellene?

AI-modeller er den nyeste innlåsningsrisikoen. De fleste offentlige virksomheter som «har AI» i dag, har Microsoft Copilot. Det betyr at AI-strategien er låst til én leverandør — som «tilfeldigvis» er den samme leverandøren som eier resten av plattformen.

AI-landskapet endrer seg raskere enn noen annen del av teknologistacken. Nye modeller kommer hver måned. Europeiske alternativer modnes. Kravene til dataprosessering strammes inn. I den verden er det å låse seg til én modell-leverandør en unødvendig risiko.

Neo bruker i dag modeller fra OpenAI, Anthropic og Google. Vi bygger for at organisasjonen selv skal kunne velge — inkludert EU-prosesserte modeller, selvhostede alternativer, og egne endepunkt. Fordi spørsmålet om hvor sensitive data prosesseres, og av hvem, er for viktig til at svaret skal være hardkodet.

Hvorfor vi bygger det slik

Neos oppdrag er å sikre velferdsstaten for neste generasjon. Det oppdraget er for viktig til å bygge på fundament vi ikke kontrollerer.

Det hadde vært enklere å lene seg på Microsoft for dokumentproduksjon, SharePoint for lagring og Copilot for AI. Raskere å komme til markedet. Færre komponenter å vedlikeholde.

Men vi mener at den norske samfunnsmodellen fortjener teknologi som holder seg uavhengig nok til å vare. Også når lisensmodeller endres. Også når dataoverføringsavtaler utfordres. Også når den neste reguleringen treffer.

En forvaltning som vet hva den er avhengig av, som har dokumenterte alternativer, og som har arkitektur som tåler å bytte — den er suveren. Ikke fordi den har bygget alt selv, men fordi den aldri har gitt fra seg muligheten til å velge.

Det er det digital suverenitet betyr i praksis. Og det er et strategivalg, ikke et buzzword.