Det forvalteren faktisk kan gjøre

Hvis du leste den forrige artikkelen i denne serien, vet du allerede at jeg ikke kjøper Palantir. Det er heller ikke der utfordringen ligger. Palantir er ingen norsk forvalters fristelse. Det er en surveillance-tech-leverandør, og den eneste grunnen til at den noensinne ville stå i en norsk anskaffelsesvurdering, er hvis vi snakker om svært spesialiserte etater, og selv da er det ikke en sak for det daglige forvalter-leddet.

Den forrige artikkelens indeks dekker 25 selskaper. Av dem er omtrent halvparten irrelevante for det norske bestiller-leddet, fordi de driver med ting man enten ikke kjøper, eller ikke kjøper direkte: kredittbyråer, datameglere, forsvarsleverandører, kapital­strukturer. Det er en interessant del av kartet, men det er ikke kjøper-veiledning.

Det jeg vil bruke denne kronikken på, er den andre halvparten. De ti mest kjøpbare. De som faktisk dukker opp i mappen min når jeg ser på fornyelses-kø, anskaffelsesplaner og lisens-rapporter. De er ordnet etter operasjonell utbredelse i norske organisasjoner, ikke etter indeksskår. Det er den mest nyttige rekkefølgen for en forvalter — du møter Microsoft før du møter ByteDance, uansett hva tabellen sier.

For hver leverandør forteller jeg kort hva problemet er, hva som faktisk skjer i organisasjonen din i dag, og 1–5 alternativer i en realistisk modenhetsrekkefølge. Til slutt forsøker jeg å sammenfatte i et lite manifest.

Den forrige artikkelen er kartet. Denne er kompasset. Et kart trenger man ikke før man skal et sted. Et kompass trenger man for å komme dit.

1. Microsoft 365 / Azure / Entra ID — Microsoft · Indeks: 28/50 (Moderat)

Microsoft scorer overraskende lavt i indeksen — 28/50 — og det er derfor jeg setter den øverst likevel. Det «overraskende lavt» tallet er den eneste tingen som er overraskende lavt ved Microsofts faktiske posisjon i en norsk virksomhet. I praksis er Microsoft den enkeltleverandøren som mest gjennomgripende definerer hva jobben er i offentlig sektor og store deler av privat sektor: identitet (Entra ID, tidligere Azure AD), e-post (Exchange), filer (SharePoint/OneDrive), samarbeid (Teams), endepunkt (Intune), produktivitet (Office), database/data-warehouse (Azure SQL/Fabric), AI-laget (Copilot, OpenAI via Azure). Markedskonsentrasjons-skåren på 8 forteller deg det indeksen kaller en «chokepoint reality». For en norsk organisasjon er den konsentrasjonen ikke en risikofaktor blant flere. Den er infrastrukturen.

Hva som faktisk skjer i din organisasjon: Identitets-grafen er sannsynligvis allerede syntetisert i Entra. Ettersom Copilot rulles ut, leser den ikke bare e-post og dokumenter — den lærer organisasjonens arbeidsmønstre og blir en uoffisiell intern kunnskaps-modell. Telemetrien fra endepunktet (via Defender, Intune, Diagnostic Data) går til Microsoft som standard. Schrems II er ikke borte; Trans-Atlantic Data Privacy Framework gir operasjonell pause, ikke prinsipiell.

Alternativer (i rekkefølge etter modenhet):

1. Nextcloud Hub + Collabora Online + Keycloak, hostet på OVHcloud, Scaleway, Hetzner eller IONOS — eller selv-hostet på Proxmox. Tysklands openDesk-program (ZenDiS / Schleswig-Holstein) er den modneste offentlige referanse-implementasjonen i Europa, og rapporterer ~60 % kostnadsreduksjon. Dekker filer, dokumenter, kalender, tale-/videomøter via integrerte komponenter, og identitet via Keycloak.
2. Microsoft 365 Sovereign Cloud / EU Data Boundary som mellomsteg. Dette løser ikke jurisdiksjonsproblemet, men reduserer telemetri-flyten utenfor EU. Forvent å forhandle hardt på audit-rettigheter og bruk det som bro, ikke endestasjon.
3. Hybrid: behold Outlook/Exchange Online, flytt fil/samarbeid til Nextcloud — pragmatisk førstefase som senker bytte-friksjonen.
4. Element (Matrix) for chat og videomøter der Teams er i bruk; brukes i dag av Bundeswehr og franske offentlige etater.
5. For endepunkt-styring: Munki + Filewave eller Workspace ONE (EU-hostet) der Intune i dag dominerer.

Forvalterens vurdering: Hvis du bare gjør én ting med dette listen, så er det denne raden. Microsoft-konsentrasjonen er den største enkeltrisikoen i porteføljen din, ikke fordi Microsoft er verst, men fordi de er størst. Forhandl reversibilitet inn i hver fornyelse: dataeksport-format, identitets-portabilitet, exit-klausuler. Det koster ingenting å spørre. Det koster mye å la være.

2. Google Workspace / Google Analytics / Google Ads — Alphabet · Indeks: 38/50 (Alvorlig)

Alphabet ligger i den alvorlige kategorien (38/50) — på indeksens dimensjoner høyt på samtykke-opasitet (9), demokratisk friksjon (8) og ansvarsgap (8). I norsk kontekst er Workspace mest synlig i privat sektor og i deler av utdanningssektoren, mens Analytics og Ads er nesten universelt installert i den norske digitale offentlighet. Det er en interessant diskrepans: en organisasjon kan i sak ikke bruke Workspace, men likevel «mate» Alphabets atferdsdata-modell daglig gjennom hver besøkende på sine nettsider.

Hva som faktisk skjer i din organisasjon: Hver side med Google Analytics-script sender besøks-fingeravtrykk til Alphabet. Hver Google Tag Manager-container er et åpent rør for tredjeparts pixler. Hvis Workspace er i bruk, går dokumenter, kalender, e-post, Drive og Meet gjennom samme leverandør som driver verdens mest omfattende profilerings-apparat. Datatilsynet (NO) og en rekke EU-tilsyn har siden 2022 vurdert Google Analytics som problematisk under GDPR + Schrems II.

Alternativer:

1. Plausible Analytics (EE/EU), Matomo (NO/EU, on-prem eller hosted), eller Umami (selv-hostet) for nettstedsanalyse. Server-side, cookie-fri, GDPR-vennlig fra dag én.
2. Nextcloud + Collabora for Workspace-funksjonalitet — samme stack som under Microsoft-raden.
3. Ecosia (DE), Qwant (FR), Kagi (US, men betalt og uten profil) som søkemotor-alternativer for organisasjonens nettlesere.
4. Mautic (EU-hostet) eller Brevo (FR) som markedsautomasjons-alternativer der Google Ads brukes til lead-generation.
5. For analytics som krever første-parts data: server-side tagging via egen domene (analytics.dittfirma.no) med Plausible eller Matomo som backend.

Forvalterens vurdering: Den enkleste høy-impact-handlingen i hele denne listen er å fjerne Google Analytics fra organisasjonens nettsider og erstatte det med Plausible eller Matomo. Det krever ingen migrasjons-prosjekt. Det er én script-tag. Det er én faktura under 5000 kr i året for de fleste. Det er det laveste hengende eple i norsk samtykkeøkonomi.

3. AWS (Amazon Web Services) — Amazon · Indeks: 37/50 (Alvorlig)

Amazon scorer 37/50 i indeksen, med en høy skår på borgerretts-eksponering (9) som reflekterer Ring-doorbell-partnerskap med politiet, Rekognition-salg til amerikansk politi, lager-arbeider-overvåking, og at AWS huser deler av amerikansk immigrasjons-håndhevings-infrastruktur. For en norsk virksomhet er AWS først og fremst en infrastruktur-leverandør — de andre skår-driverne påvirker ikke den daglige forvaltningen direkte. Men AWS-skåren forteller deg noe viktig: at infrastruktur er ikke nøytral. Den arver verdiene til den som driver den.

Hva som faktisk skjer i din organisasjon: Hvis du har en applikasjons-portefølje på AWS, eier du den ikke under europeisk jurisdiksjon, uansett hva region-velgeren sier. CLOUD Act fra 2018 gir amerikanske myndigheter mulighet til å kreve data fra amerikanske selskaper uavhengig av hvor data er fysisk lagret. Det er ikke et tysk skrekkscenario. Det er en juridisk realitet, og den gjelder også deg.

Alternativer:

1. OVHcloud (FR) — bredest tjeneste-portefølje av EU-leverandørene, fra basic compute til managed Kubernetes; har Public Cloud, Bare Metal og Hosted Private Cloud.
2. Scaleway (FR) — sterkt utviklerfokus, moderne API, attraktivt for ny-arkitekturer; ikke fullt så bredt produktspekter, men dekker det meste en typisk SaaS-stack trenger.
3. Hetzner (DE) og IONOS (DE) — kost­effektive, særlig sterke på dedicated/bare metal og enkel managed cloud; brukes mye av nordeuropeiske utviklere.
4. UpCloud (FI) — finsk leverandør med lav latens mot Norge; bra valg for norsk-sentrale arbeidsbelastninger.
5. Elastx (SE) og Exoscale (CH/EU) — mindre, men EU-jurisdiksjon med høy gjennomsiktighet; passer for organisasjoner som vil ha en tydelig nordisk eller europeisk identitet.

Forvalterens vurdering: Du trenger ikke flytte alt. Du trenger å spørre, ved hver ny applikasjon: «trenger denne tjenesten amerikansk hyperskala?» Svaret er nei oftere enn AWS-arkitekt-presentasjonen antyder. Begynn med nye applikasjoner. La eldre applikasjoner ligge til naturlig fornyelse. Lock-in er ikke arkitektur — det er bare standhaftig arv.

4. Salesforce / Slack / Tableau — Salesforce · Indeks: 24/50 (Moderat)

Salesforce har den nest laveste skåren i indeksen blant de store enterprise-leverandørene (24/50). Det reflekterer at selskapet har bygget en relativt fokusert profil på CRM og enterprise-data — uten den brede atferdsdata-modellen som driver Google og Meta. Likevel er den daglige eksponeringen fra Salesforce-stack i en norsk virksomhet høy: Sales Cloud, Service Cloud, Marketing Cloud, Tableau-analyse, Slack-kommunikasjon, MuleSoft-integrasjoner. Det er ambient telemetri på tvers av nesten alle kunde-orienterte prosesser.

Hva som faktisk skjer i din organisasjon: Hver Salesforce-instans er et lite univers av opt-in-flagg, marketing-cloud-trackere og pixler som ofte er aktivert som standard. Slack lagrer all forretningskommunikasjon i amerikansk jurisdiksjon. Tableau-dashboards ber jevnlig om tilgang til driftsdata fra hele organisasjonen.

Alternativer:

1. SuiteCRM (open source) eller Vtiger CRM for klassisk salgs-CRM. Begge har modne EU-hostede tilbud.
2. Odoo (BE) for organisasjoner som vil ha CRM + ERP + e-handel i én plattform; brukes av tusenvis av europeiske SMB-er.
3. For Slack-erstatning: Mattermost (US, men selv-hostbar), Rocket.Chat (BR/EU-hostbar), Zulip (US, men selv-hostbar) eller Element (Matrix). Element er den mest sannsynlige norske offentlig-sektor-vinneren.
4. For Tableau: Metabase (US, selv-hostbar) eller Apache Superset (selv-hostbar). Begge gir 90 % av visualiserings-funksjonaliteten med null lisens-kost og full dataeierskap.
5. For Marketing Cloud: Mautic (open source) eller Brevo (FR).

Forvalterens vurdering: Salesforce er ikke første kamp. Den er femte. Men det er en kamp som kommer, særlig hvis Slack er i bruk. Når du forhandler neste fornyelse, krev konkret prising på delvis bytte — kjør Salesforce videre for én division, la en annen prøve SuiteCRM eller Odoo. Du lærer mest av en parallell-pilot.

5. Oracle Database / Oracle Cloud / NetSuite — Oracle · Indeks: 32/50 (Forhøyet)

Oracle scorer 32/50, primært drevet av selskapets datameglervirksomhet (BlueKai, Datalogix, Moat), kontrakter med amerikanske offentlige etater, og en samtykke-opasitet på 7 som reflekterer hvor mye atferdsdata selskapet har samlet i sin Marketing Cloud-arv. I norsk offentlig sektor er Oracle ofte en arv-leverandør — kjernesystem-databaser, ERP-installasjoner, finans-systemer som har levd siden 1990-tallet. Og som mange arv-leverandører er Oracle ekstremt vanskelig å bytte ut.

Hva som faktisk skjer i din organisasjon: Lisenskostnaden er en konstant. Compliance-revisjoner er en periodisk seremoni med tilhørende advokat-kostnader. Database-modernisering blir utsatt fordi «det er for komplekst» — som er en annen måte å si «vi har ikke planlagt det» på.

Alternativer:

1. PostgreSQL — den åpne kildens enterprise-database. Kjørt på AWS RDS, Azure Postgres Flexible Server, eller bedre: på Aiven (FI/EU), Crunchy Data Bridge (US, men PG-pure), eller selv-hostet på OVHcloud / Scaleway.
2. EnterpriseDB (US, men open source-vennlig) eller Cybertec (AT/EU) for organisasjoner som krever kommersiell PG-support på enterprise-nivå.
3. For NetSuite-erstatning: Odoo (BE) eller ERPNext (open source, IN-utviklet, EU-hostbar).
4. For Oracle Cloud Infrastructure: hvilken som helst av EU-skyleverandørene (OVHcloud, Scaleway, Hetzner, IONOS).
5. For analytics og data-warehouse: ClickHouse (NL-stiftet, open source) eller Apache Druid + Superset.

Forvalterens vurdering: Oracle-bytte er et flerårig prosjekt, ikke et fornyelses-spørsmål. Men hver nye applikasjon i 2026 bør ha PostgreSQL som standard — ikke Oracle, ikke MS SQL Server, ikke MySQL. Bare standardiseringen reduserer Oracle-eksponeringen over tid.

6. Meta Pixel / WhatsApp Business / Workplace — Meta · Indeks: 38/50 (Alvorlig)

Meta er i samme alvorlige tier som Alphabet (38/50). For en forvalter er det viktigste å forstå at Meta er minst tre forskjellige leverandør-relasjoner: (a) annonseringsplattformen, som markedsavdelingen kjøper; (b) WhatsApp Business, som kundeservice og kommunikasjons-team kjøper; (c) Meta Pixel, som blir installert på nettsider av analytics- eller marketings-leverandører — ofte uten eksplisitt forvalter-godkjenning.

Hva som faktisk skjer i din organisasjon: Meta Pixel sender besøksdata til Meta, som er sentralt i samtykkeøkonomien som industrialisert overtalelse. Meta har passert 1,8 milliarder euro i samlede GDPR-bøter gjennom 2025. WhatsApp Business lagrer kundekommunikasjon i en strukturell gråsone mellom personvern og kommersiell behandlingsrett.

Alternativer:

1. Plausible / Matomo / Umami som første-parts analytics — samme erstatning som under Google Analytics-raden.
2. For meldingstjeneste: Signal Business, Wire (CH/EU), Element (Matrix), eller Threema (CH).
3. For Workplace-erstatning: Mattermost, Element, eller Nextcloud Talk — alle dekker arbeidsplass-meldingstjeneste-funksjonalitet.
4. For annonsering der Meta-plattformen er nødvendig: bruk konverterings-API server-side i stedet for Pixel — det reduserer mengden første-parts-data som lekker.
5. Eller — den modigste valget — kjør null-trackere-strategi. Mange norske offentlige nettsteder gjør det allerede.

Forvalterens vurdering: Pixel-fjerning er like enkelt som GA-fjerning. Det er en liten policy-endring, ikke et migrasjons-prosjekt. WhatsApp Business er vanskeligere fordi kundene allerede er der — men Signal Business har modnet betydelig de siste to årene og er det realistiske enterprise-alternativet i 2026.

7. OpenAI API / ChatGPT Enterprise — OpenAI · Indeks: 28/50 (Moderat)

OpenAI er den raskest stigende leverandøren i norsk forvalter-virkelighet. Indeks-skåren på 28/50 er på samme nivå som Microsoft og Apple, og reflekterer en relativt ny aktør hvor full skadekartlegging fortsatt er under arbeid. Men risiko-bildet er allerede synlig: trenings-data-opasitet (modellen er trent på data hvis proveniens ikke er fullt offentliggjort), Microsoft-koblingen som compounder Microsoft-konsentrasjonen din (rad 1), og en akselererende avhengighet i hverdagsverktøy fra Copilot til ChatGPT Enterprise til API-bruk i interne applikasjoner.

Hva som faktisk skjer i din organisasjon: Ansatte limer inn forretningsdokumenter i ChatGPT for sammendrag. Utviklere stiller spørsmål om proprietær kode. Markedsavdelingen genererer kundebrev. I sum: en jevn strøm av organisatorisk kontekst forlater huset, ofte uten at forvalter-leddet har formell synlighet over det.

Alternativer:

1. Mistral (FR) — fransk LLM-leverandør, full EU-jurisdiksjon, har enterprise-tilbud (Le Chat Enterprise) og åpne vektmodeller du kan kjøre selv.
2. Aleph Alpha (DE) — eksplisitt fokusert på sovereign AI for europeiske offentlige etater og store virksomheter.
3. Selv-hostet via Ollama eller vLLM med åpne modeller (Llama, Qwen, Mistral, DeepSeek). Krever GPU-infrastruktur, men gir full kontroll.
4. For oversettelse spesifikt: DeepL (DE) — bedre kvalitet enn OpenAI på de fleste europeiske språk, fullt EU-hostet.
5. For transkripsjon: Whisper kjørt selv på Ollama eller egen GPU-instans.

Forvalterens vurdering: AI-bruken vokser uansett om du har en policy eller ikke. Forskjellen mellom organisasjoner som styrer dette og de som ikke gjør det, er en intern AI-portal som tilbyr Mistral eller selv-hostet Llama som standardvalg, og dokumenterte retningslinjer for når ChatGPT Enterprise er greit. Uten en slik portal kjøper folk det selv. Med en slik portal har du minst en hånd på rattet.

8. TikTok Ads / TikTok for Business — ByteDance · Indeks: 38/50 (Alvorlig)

ByteDance scorer 38/50 — samme alvorlige nivå som Meta og Alphabet, men med et særtrekk: høyeste demokratisk friksjons-skår (9) på tvers av indeksen, drevet av algoritmens ungdoms-engasjements-optimering. Jurisdiksjons-eksponeringen mot Kina er en separat dimensjon som ikke direkte er i indeksens fem søyler, men som operasjonelt påvirker risiko-vurderingen for offentlige norske aktører særlig.

Hva som faktisk skjer i din organisasjon: Hvis du har TikTok-annonsering, sender du målgruppe-data til ByteDance for retargeting. Hvis du har TikTok Pixel installert, sender du besøkende. For norske offentlige etater er anbefalingen fra Datatilsynet og fra Justisdepartementets retningslinjer i 2024–2025 at TikTok ikke installeres på tjenestetelefoner.

Alternativer:

1. Reduser til organisk innhold uten Pixel — du kan publisere på TikTok uten å installere sporings-infrastrukturen på din egen side.
2. Reddit Ads — overraskende godt alternativ, US-jurisdiksjon men radikalt mer transparent annonse-modell.
3. Pinterest Ads — sterk i visse markeder (særlig retail og inspirasjons-orientert innhold).
4. YouTube Shorts — fortsatt Google, men i det minste én leverandør du allerede må forholde deg til, ikke en ny tilkobling.
5. For å nå unge: regn med at organisk + influencer-samarbeid + nyhetsbrev gir mer kontroll enn betalt social, selv om CPM-tallene ser bedre ut.

Forvalterens vurdering: TikTok er den enkleste «nei» i hele listen. Hvis du jobber i offentlig sektor, er det allerede vanskelig å forsvare. Hvis du jobber i privat sektor, er det fortsatt et valg — men det er et valg du tar med åpne øyne, ikke et valg som «alle gjør».

9. X Ads / X API / X (tidligere Twitter) — X Corp · Indeks: 35/50 (Høy)

X Corp er på 35/50 og fortsetter å falle som annonseplattform mens den stiger som diskurs-forsterker. For en norsk forvalter er X først og fremst et kommunikasjonskanal-spørsmål, ikke et innkjøp-spørsmål. Men det er kommunikasjonskanal med en eier som har eksplisitt politisk agenda, en algoritme som premierer outrage, og en API-prising som har brutt forskningskoblinger som var en av plattformens få samfunnsmessige verdier.

Hva som faktisk skjer i din organisasjon: Hvis dere fortsatt kjører X-annonser, betaler dere for å nå et publikum som har blitt mindre over tid. Hvis dere bruker X som primær eksternkommunikasjonskanal, er dere avhengig av en plattform hvis algoritmiske oppførsel kan endre seg over natten på eierens innfall.

Alternativer:

1. Bluesky (US, AT-protokoll) — den raskest voksende moderne mikroblogg-plattformen, åpen protokoll betyr at du eier dine egne data.
2. Mastodon (selv-hostbar) — det modne fediverse-økosystemet; passer særlig for offentlige etater og medier som vil eie sin egen tilstedeværelse.
3. LinkedIn (Microsoft) — som betalt B2B-kanal er den fortsatt det minste onde for de fleste norske aktører; tier-Moderat i indeksen.
4. Egen blogg + nyhetsbrev — mange norske organisasjoner gjenoppdager dette i 2026, og oppdager at de kommer lenger enn de trodde.
5. Reduser X til monitoring-only — les hva som skjer, men ikke bidra til feed-en.

Forvalterens vurdering: Av alle leverandørene i denne listen er X den hvor «exit kostnad» er lavest og «status quo kostnad» er stigende. Det er ikke et migrasjons-prosjekt. Det er en redaksjonell beslutning.

10. iCloud / Apple Business Manager — Apple · Indeks: 28/50 (Moderat)

Apple er i den nedre delen av indeksen på 28/50 — den «minst dårlige» av hyperskalerne — men det betyr ikke at en organisasjon kan sove på dette. Apple Business Manager-stack er tett bundet rundt iCloud (som er hostet på AWS og Google Cloud, ikke Apples egen infrastruktur), iCloud Drive, Apple Mail, og MDM via Apple Business Manager. For organisasjoner som primært bruker Mac-utstyr, blir Apple den parallelle hyperskaler-eksponeringen.

Hva som faktisk skjer i din organisasjon: iCloud-data ligger faktisk på AWS og GCP — Apple er ikke en infrastruktur-leverandør, men en flertallsleverandør som bygger på de andre. Apple Business Manager sender device-telemetri til Apple. iCloud er, av personvernhensyn, krypterte for de fleste typer innhold (med Advanced Data Protection aktivert), men nøkkel-håndteringen ligger fortsatt hos Apple som standard.

Alternativer:

1. Nextcloud Hub — som ovenfor, dekker både fil-sync, samarbeid og notater. Aktivere klient på alle Mac-er via Apple Business Manager.
2. For e-post: Proton Mail Business (CH), Tutanota (DE), eller Mailbox.org (DE) som alternativer til iCloud Mail.
3. For MDM utenfor Intune: Mosyle (US), Jamf Pro (US), eller — den europeiske retningen — selv-hostet Munki + Filewave. Apple Business Manager + Munki er en moden, kostnadsfri kombinasjon.
4. For backup utenfor iCloud: Restic eller Borg backup mot EU-hostet S3-kompatibel objektlager (Scaleway, OVHcloud).
5. For passord-styring (der iCloud Keychain dominerer): Bitwarden (US, selv-hostbar) eller Proton Pass (CH).

Forvalterens vurdering: Apple er ikke kampen for 2026. Men hvis Apple er viktig for organisasjonen din, betyr det at du har stor påvirkning over hvordan det blir brukt — du eier device-policyen og kan styre iCloud-bruken sentralt. Ikke la Apple Business Manager være standard. Konfigurer den.