Debatt: Påtvinges amerikansk løsning når vi har behov for digital suverenitet

Universitetet i Oslo har en IT-avdeling som utvikler og drifter hundrevis av IT-systemer, både for egen virksomhet og for sektoren som helhet, ofte i samarbeid med andre institusjoner.

IT-avdelingen har gjennom mange år satset på løsninger basert på åpen kildekode. For tre år siden vedtok UiOs arkitekturråd at autentisering av universitetets brukere skulle skje lokalt, og det ble derfor innført løsninger som gjorde universitetet mindre avhengig av eksterne leverandører. Dette skjedde lenge før debatten om avhengigheten av Big Tech for alvor fikk fotfeste.

Selv om UiO etter vår mening ikke alltid har valgt riktig retning – som da e-posttjenestene for studenter og ansatte ble flyttet til Microsofts skytjenester – ser vi likevel at universitetet har hatt et tydelig ønske om å bevare teknologisk selvstendighet:

• UiO gjennomfører pilotprosjekter med samhandlingsverktøy som kan bli alternativer til Microsoft Teams og Office.
• Autentisering skjer lokalt, og UiO utvikler egne tofaktorløsninger for å redusere avhengigheten av Entra ID.
• NREC (Norwegian Research and Education Cloud), et samarbeid mellom UiO og UiB, tilbyr skytjenester til tusenvis av forskere uten at data må lagres utenfor Norges grenser.
• I en årrekke har UiO utviklet og driftet Cerebrum, et IAM-system (Identity and Access Management) for håndtering av identiteter og tilgangsrettigheter. Det er dette systemet vi nå er bekymret for.

Vi ble sjokkerte da vi fikk vite om brevet.

Tiden har vist at UiO i stor grad hadde rett i sin strategi. Bare denne uken har flere nyheter understreket hvor viktig digital suverenitet er:

• EU har lansert en såkalt «Tech Sovereignty Package» med mål om å redusere Europas teknologiske avhengighet av USA.
• Dommere ved Den internasjonale straffedomstolen har fått begrenset tilgang til en rekke digitale tjenester etter amerikanske sanksjoner.
• Det meldes at Anthropic, et ledende selskap innen kunstig intelligens, har blitt pålagt av amerikanske myndigheter å begrense tilgangen til sine mest avanserte KI-modeller for utenlandske borgere.

Derfor kom det som en stor overraskelse da vi forrige uke fikk vite at UiO og andre universiteter og høyskoler hadde mottatt et brev fra Kunnskapsdepartementet. I brevet pålegges institusjonene å ta i bruk et system som Sikt har anskaffet for felles identitetsforvaltning i sektoren.

Konsekvensen er at UiO må avvikle Cerebrum til fordel for et system utviklet og driftet av et amerikansk selskap, lagret i en skyløsning levert av et annet amerikansk selskap.

Tidspunktet kunne knapt vært dårligere.

Løsningen ser ut til å være å velte regningen over på de institusjonene som helst ville stå utenfor.

Vi ble sjokkerte da vi fikk vite om brevet. Hvis det er én ting som burde være klart i 2026, er det at Europa må styrke sin teknologiske selvstendighet. Nyheten var oppsiktsvekkende i seg selv, men saken ble enda vanskeligere å forstå da vi fikk innsyn i bakgrunnen.

Siden 2019 har sektoren diskutert innføring av et felles IAM-system. UiO har vært skeptisk fra starten av, av flere grunner som vi kommer tilbake til. Sikt har på sin side argumentert for at hele sektoren burde samles om én løsning.

Inntrykket var lenge at Sikt forventet at Digitaliseringsstyret kunne gjøre løsningen obligatorisk. I 2024 ble det imidlertid klart at institusjonene ikke kunne pålegges å ta den i bruk. Flere aktører signaliserte da at de ikke ønsket å delta videre i samarbeidet.

I fjor orienterte Sikt Kunnskapsdepartementet om kostnadene ved prosjektet, og departementet har nå valgt å pålegge hele sektoren å ta løsningen i bruk.

Det er vanskelig å forstå denne beslutningen.

Sikt har kjøpt et system basert på en forutsetning om at hele sektoren ville slutte opp om det. De har lagt til grunn at alle institusjoner ville akseptere en løsning som øker avhengigheten av utenlandske leverandører, på et tidspunkt hvor behovet for digital suverenitet aldri har vært tydeligere. Nå som flere institusjoner ikke ønsker å delta, risikerer kostnadene å bli høyere enn forventet. Løsningen ser ut til å være å velte regningen over på de institusjonene som helst ville stå utenfor.

UiO sendte et notat til Kunnskapsdepartementet der universitetet redegjør for hvorfor de ikke ønsker å delta. Hovedpunktene kan oppsummeres slik:

• UiO har allerede et system som fungerer godt, både for universitetet selv og for andre aktører i sektoren.
• Kostnadene ved å bytte system vil bli svært høye.
• UiO ser ingen gevinster ved å gjennomføre overgangen.
• Universitetet har ikke fått tilfredsstillende svar på hvilken funksjonalitet som skal utvikles i den felles løsningen, eller når denne funksjonaliteten eventuelt vil være på plass.

UiO ser ingen gevinster ved å gjennomføre overgangen.

Kostnadene er anslått til flere titalls millioner kroner ved innføring, og betydelig mer over tid.

Likevel adresserte ikke Kunnskapsdepartementet ett eneste av disse punktene i sitt brev. Hele prosessen fremstår som en ansvarsfraskrivelse som sektoren nå forventes å betale for.

Sikt opplyser selv at rundt 40 prosent av sektoren ikke ønsker å ta i bruk løsningen. Man kan derfor spørre seg hvorfor departementet ikke har brukt mer tid på å undersøke hvorfor motstanden er så omfattende, og hvilke problemer institusjonene ser ved innføringen.

Når en beslutning med så store økonomiske og strategiske konsekvenser, tas uten å ta hensyn til innvendingene fra dem som skal bære kostnadene, er det vanskelig å beskrive det som annet enn uansvarlig.

Vi ser denne utviklingen som svært problematisk. Samtidig er den et symptom på en sektor som over lang tid har gjennomført IT-anskaffelser uten å vektlegge digital suverenitet tilstrekkelig.

Dersom amerikanske myndigheter først fremsetter et krav om utlevering av data, er problemet allerede et faktum. 

Et eksempel er autentisering. I dag skjer autentisering ved de fleste universiteter og høyskoler gjennom Entra ID, et produkt fra Microsoft. Feide tilbyr i praksis ingen alternative autentiseringsmekanismer til institusjoner som bruker denne løsningen, bortsett fra ID-porten. Dette til tross for at UiO har etterspurt alternativer i over to år. Enkelte institusjoner må i praksis ta i bruk Entra ID for å kunne benytte Feide.

Sikts svar illustrerer også det som etter vårt syn er en manglende forståelse av alvoret i problemstillingen. Da de ble konfrontert av Morgenbladet med at en amerikansk leverandør kan bli pålagt å utlevere data etter amerikansk lov, var svaret at det er etablert rutiner som gjør at Sikt blir varslet og får anledning til å «reagere og protestere».

Det er vanskelig å forstå hvordan dette kan anses som en tilfredsstillende løsning. Dersom amerikanske myndigheter først fremsetter et krav om utlevering av data, er problemet allerede et faktum. At norske myndigheter eller institusjoner får anledning til å protestere i etterkant, endrer ikke det grunnleggende forholdet: at kontrollen over dataene ligger hos en leverandør som er underlagt en fremmed stats lovgivning.

Resonnementet minner om å betrakte en varsling om innbrudd som en løsning på selve innbruddet. Varsling kan være nyttig, men den fjerner ikke risikoen. Tvert imot illustrerer behovet for slike prosedyrer hvorfor mange mener at kritiske systemer og identitetsdata i størst mulig grad bør forvaltes under norsk eller europeisk kontroll.

Det er dessuten uklart hvor mye trygghet slike varslingsrutiner faktisk gir. Dersom en leverandør blir møtt med et pålegg etter amerikansk lovgivning, vil leverandørens handlingsrom i siste instans være bestemt av amerikanske myndigheter og amerikanske domstoler – ikke av avtaler inngått med norske kunder. Amerikansk lovgivning, inkludert CLOUD Act, åpner i enkelte tilfeller for at utleveringskrav kan kombineres med begrensninger på hva leverandøren har anledning til å informere kunden om. Hele forutsetningen om at man alltid skal kunne «reagere og protestere» hviler derfor på et grunnlag som norske institusjoner ikke selv kontrollerer.

Når svaret på risikoen for utenlandsk myndighetsinnsyn er at vi skal få beskjed og deretter protestere, fremstår det som om problemets omfang undervurderes. I en tid hvor stadig flere land arbeider aktivt for å redusere sin teknologiske avhengighet, burde målet være å unngå slike situasjoner – ikke å etablere prosedyrer for hvordan man skal håndtere dem når de oppstår.

Vi håper derfor at Kunnskapsdepartementet revurderer beslutningen.

Dette er særlig trist fordi Uninett – som nå er Sikt – har utviklet flere gode, åpne løsninger som brukes internasjonalt.

Det er også trist fordi kompetansen som er bygget opp ved UiO, og som har kommet store deler av Norge til gode, risikerer å forsvinne når sentrale tjenester overlates til utenlandske leverandører.

Vi håper derfor at Kunnskapsdepartementet revurderer beslutningen.

Det finnes ingen tungtveiende grunn til å overføre identitetsdata om studenter og ansatte ved norske universiteter og høyskoler til utenlandske aktører. Det finnes heller ingen god grunn til å påføre institusjonene så store kostnader når ressursene heller burde brukes på å bygge og videreutvikle norsk kompetanse og kontroll over kritisk digital infrastruktur. 

Francis Augusto Medeiros-Logeay og Petter Reinholdtsen er ansatt på Universitetet i Oslo, men skriver som privatpersoner, ikke på vegne av arbeidsgiveren. 

Les mer i Uniforum: 

Regjeringa vil ha ein nasjonal infrastruktur for sensitive data

Kassert IT-system kostet universitetene 166 millioner kroner 

Fire universiteter vurderer å droppe deler av statens it-system