Frankrike ignorerar varningar – tvingar skolor till Microsoft trots faran

Fyra nya år med Microsoft – trots alla varningssignaler

Frankrike predikar fri programvara och digital självständighet, men förnyar samtidigt ett mångmiljardavtal med Microsoft. Det är inte bara det astronomiska beloppet som höjer ögonbrynen – framför allt är det det faktum att avtalet direkt undergräver flera statliga regler för skydd av känsliga uppgifter.

Det franska utbildningsministeriet förlängde i mars 2025 sitt befintliga ramavtal med Microsoft med ytterligare fyra år. Det bekräftade ministeriet till det undersökande mediet Mediapart. Det maximala kontraktsvärdet uppgår till 152 miljoner euro exklusive moms.

Avtalet omfattar nästan hela ministeriets IT-infrastruktur: cirka en miljon arbetsplatser och servrar inom centraladministrationen, de regionala utbildningsakademierna, universitet och forskningsinstitutioner. Merparten av pengarna går till licenser för Microsoft-produkter – här har man avsatt ett särskilt belopp på upp till 130 miljoner euro.

Rent praktiskt är det inte förvånande. Många franska skolor och högre utbildningsinstitutioner har i åratal arbetat med Windows, Office, Outlook och Teams. Beroendet är verkligt. Det blir explosivt när politiska riktlinjer och faktiska handlingar kolliderar direkt.

Officiellt kräver staten öppna och suveräna lösningar – i praktiken betalar den fortsatt för proprietära amerikanska molntjänster.

Fri programvara i lagen, Microsoft i kontraktet

Frankrike har egentligen definierat sin digitala kurs mycket tydligt. Inom utbildningsområdet fastslår artikel L123‑4‑1 i utbildningslagen att högre utbildningsinstitutioner företrädesvis ska använda fri programvara – alltså open source-program som kan drivas och vidareutvecklas oberoende av enskilda leverantörer.

Parallellt med detta har regeringen i åratal främjat sin „Cloud au centre”-doktrin. Den fastställer att statliga myndigheter kritiskt ska bedöma vilka molntjänster de använder och i möjligaste mån välja lösningar under europeisk kontroll eller med särskilt strikta säkerhetscertifieringar.

Redan 2021 gjorde den statliga digitaldirektionen Dinum ministerierna uppmärksamma på att Microsofts samarbetssviter inte uppfyller detta krav. Tjänsterna är underställda amerikansk lagstiftning, vilket teoretiskt öppnar för åtkomstmöjligheter för amerikanska myndigheter – en klassisk suveränitetsskonflikt.

Interna regler förbjuder vad kontraktet tillåter

I slutet av februari 2025 – endast några dagar innan det nya kontraktet undertecknades – skickade den digitala utbildningsavdelningen (DNE) en uppmärksammad instruktion till akademiernas rektorer. Den löd: Känsliga uppgifter ska lagras på infrastrukturer som innehar det franska säkerhetscertifikatet „SecNumCloud”.

Sådana certifieringar har för närvarande endast ett fåtal leverantörer. Microsoft 365 och Google Workspace finns uttryckligen inte bland dem. Konsekvensen är att de interna reglerna förbjuder användningen av exakt de tjänster som ministeriet därefter köper nya licenser till för hundratals miljoner.

Ministeriet förbjuder skolorna det som det centralt och i stor skala själv betalar för – ett läroboksexempel på digital dubbelroral.

Digital suveränitet som politiskt slagord

Konflikten infaller i en period då Europa högljutt kräver sitt digitala oberoende. Bryssel förhandlar Data Act, AI-lagstiftning och cybersäkerhetsregler, medan Paris talar om „strategisk autonomi” inom moln och artificiell intelligens. I tal låter det som ett genombrott – men verkligheten i förvaltningarna haltar ofta efter.

Frankrike är inte ett isolerat fall. Även i Tyskland brottas förvaltningar sedan åratal med frågan om huruvida Microsoft 365 överhuvudtaget kan användas lagligt i myndigheter eller skolor. Dataskyddsmyndigheter ifrågasätter upprepade gånger, medan ministerier av pragmatiska och ekonomiska skäl håller fast vid befintliga kontrakt.

I det franska fallet väger motsättningen särskilt tungt, eftersom utbildningsministeriet självt ansvarar för grundläggande digital bildning. Den som skriver läroplaner om informatik, dataskydd och mediekompetens står under särskilt skärpt granskning när ministeriets egen IT-strategi strider mot statliga krav.

Vad SecNumCloud innebär

SecNumCloud är en säkerhetsmärkning från den nationella cybersäkerhetsmyndigheten ANSSI. Leverantörer måste bland annat dokumentera att:

• Data lagras och behandlas i EU,
• inget utomeuropeiskt moderföretag kan tvinga åtkomst till data genom rättssystemet,
• strikta tekniska och organisatoriska säkerhetsåtgärder är på plats,
• säkerhetsrevisioner genomförs regelbundet och oberoende.

Syftet är att förhindra att konfidentiella förvaltningsdata hamnar utomlands via juridiska omvägar. Det är precis här som amerikanska tjänster som Microsoft 365 och Google Workspace kommer i konflikt med europeiska föreställningar om suveränitet.

Priset för bekvämlighet

Varför håller utbildningsministeriet ändå fast vid Microsoft? En del av svaret ligger i den rena bekvämligheten hos ett etablerat system. Lärare och administrativ personal är vana vid de bekanta programmen, och kostnaderna för omskolning och omställning skulle vara enorma.

Därtill kommer infrastrukturella beroenden. Många fagsystem är uppbyggda kring Windows-miljöer eller Office-makron. Den som från ena dagen till den andra vill byta helt till open source-lösningar skulle i praktiken behöva uppfinna om processer, gränssnitt och skolprogramvara från grunden.

Här avslöjas ett strukturellt problem med statliga IT-projekt: På kort sikt verkar ett förlängningsavtal billigare och mindre riskfyllt än ett byte till alternativa plattformar. På lång sikt förstärker det beroendet och gör framtida migreringar ännu dyrare.

152 miljoner euro för fyra år med Microsoft liknar priset för att inte våga genomföra ett verkligt strategiskifte.

Vad alternativ kan erbjuda

Tekniskt sett existerar det redan lösningar som kan ersätta en stor del av Microsoft-ekosystemet. Typiska byggstenar skulle exempelvis kunna vara:

Dessa alternativ är inte överallt lika bekväma och är ofta mindre integrerade än Microsofts helhetslösning. Å andra sidan kan de drivas på europeiska servrar, anpassas till nationella säkerhetskrav och skräddarsys efter egna behov.

En signal till andra länder – även till Sverige

Det franska utbildningsministeriets beslut sänder en blandad signal till andra europeiska länder. Å ena sidan visar den hur svårt även stora förvaltningar har att konsekvent genomföra den digitala vändningen mot ökad suveränitet. Å andra sidan ökar den trycket på regeringar att inte bara kräva konkreta alternativ, utan faktiskt bygga upp dem.

Den som på allvar vill ha mer europeiskt oberoende måste investera pengar och tålamod: i egna plattformar, i open source-gemenskaper, i utbildning och i attraktiva användargränssnitt. Annars förblir ropet om suveränitet ett politiskt slagord som är fullständigt frikopplat från lärarnas och elevernas vardag.

Vad digital suveränitet konkret betyder

Begreppet „digital suveränitet” verkar ofta abstrakt. I en skolas eller universitets vardag handlar det om mycket konkreta frågor:

• Vem kontrollerar de servrar där prov, betyg och hälsouppgifter lagras?
• Vilka lagar gäller när en utländsk myndighet begär uppgifter?
• Kan skolor byta programvara utan att lamma hela sin IT?
• Hur stor är transparensen i den programkod som centrala system bygger på?

Ju mer en stat satsar på få globala IT-koncerner, desto svårare blir det att besvara dessa frågor suveränt. Förlängningen av Microsoft-kontraktet i det franska utbildningsministeriet visar hur stor klyftan fortfarande är mellan ambition och verklighet.

För föräldrar, lärare och studenter väcker det inte bara frågor om dataskydd, utan också om digital förebild. Den som vill förklara för unga människor hur viktigt oberoende, dataminimering och öppna standarder är, bör kunna motivera sin egen IT-strategi på ett trovärdigt sätt – eller ha modet att ändra den från grunden.