以下の各点は、少なくとも社内の一部について、使い続けるための合理的な理由です。
同じ範囲を無条件に約束する「ソブリンソリューション」は、自社製品を誇大に宣伝しています。欧州やスイスのスイートは、メール、ファイル、ビデオ会議、場合によってはチャットをカバーします。この部分を置き換えるものではありません。
変更のコストはサブスクリプションにとどまりません。研修、テンプレートの移行、システム統合の再接続、生産性が低下する期間があります。移行の動機がスローガンであれば、このコストを埋め合わせるものは何もありません。
例。 従業員25名の会計事務所が、監査業務のファイルをマクロ付きのExcelブックで回しています。Microsoft 365からまとめて離れるのは誤りです。有益な問いはもっと絞られたものです。全社的なメールや顧客との書類のやり取りを、ブックと同じ運用事業者のもとに置き続けるべきか、という問いです。
Microsoftは米国企業です。EU Data Boundaryは、対象となるテナントについて、顧客データと仮名化された個人データをEUまたはEFTA（欧州自由貿易連合）内に置きますが、文書化された例外があります：サポート、一部のエスカレーション、オプション機能です。Microsoftによれば、Multi-Geoテナントは対象外です。これは「ディスクはどこにあるか」という問いの一部には答えます。しかし、「誰が、米国において、自らが管理するデータの提出を強制されうるか」という問いには答えません。
CLOUD Actに由来する条文（18 U.S.C. § 2713）は、米国外にあるものも含め、事業者が保有または管理するデータを対象としています。一方、EU一般データ保護規則（GDPR）第48条は、個人データの開示を求める第三国の決定を、EUまたは加盟国との間で発効している国際協定（たとえば刑事共助条約）に基づく場合にのみ認めています。したがって、欧州で事業を行う米国の事業者は2つの法の間に立たされる可能性があり、個別の事案の結果があらかじめ決まっているわけではありません。
2025年6月10日、公共調達に関するフランス上院の調査委員会において、Microsoft Franceの公共・法務担当責任者は、Ugap（フランスの公共調達機関）を通じてMicrosoftに預けられたフランス国民のデータが、米国政府の命令を受けて、フランス当局の明示的な同意なしに移転されることは決してないと宣誓のうえで保証できるかと問われました。その回答は、「いいえ、保証することはできません。しかし、繰り返しになりますが、これまでにそのようなことが起きたことはありません」というものでした。この文の前半と後半はどちらも重要であり、それぞれの経営陣がその重みを判断します。
残るのは移転の根拠です。2026年10月5日時点で、十分性認定（EU）2023/1795は有効です。法律事務所の解説（DAC Beachcroft、WilmerHale）が指摘しているとおり、この決定には異議が申し立てられています。WilmerHaleによれば、EU一般裁判所は2025年9月3日に取消訴訟を棄却し、2025年10月31日にEU司法裁判所へ上訴が提起されました。詳細はCLOUD Actから企業を守るおよびGDPRとMicrosoft 365で説明しています。
したがって、Microsoft 365を使い続けることは「非準拠」の選択ではありません。DPA、データ所在地、移転の記録によって、それを文書化できます。これは、2つの法に服する運用事業者を受け入れる選択です。それは情報システム部門だけでなく、経営陣が判断すべきことです。
法的な面。 欧州法に基づく運用事業者。欧州の裁判所が管轄する契約。この運用事業者が、データの保有について米国のグループにも、米国の処理者にも依存していなければ、CLOUD Actに基づく命令はこの運用事業者には向けられません。それでも自国の法律には服します。これは管轄の変更であって、免責ではありません。処理者の一覧（バックアップ、サポート、メール送信）、データにアクセスする人員の所在地、暗号鍵を誰が保有しているかを確認してください。
運用面。 構造上、米国のグループのものではないサポート。サービスによっては、フランス、ドイツ、または自社でのホスティング。これもサービスによっては、メールだけを導入できること。範囲が狭いほど、処理活動の記録への記載も監査も簡単になります。
自動的にはもたらされないもの。 SecNumCloud認定：これはANSSIのカタログに掲載された特定のサービスに対するものです。SecNumCloudは、その基準のバージョン3.2（2022年）以降、欧州域外の法に対する保護要件（本社、資本の支配、所在地、人員）を含んでいます。パンフレット上の一語がその代わりになることはありません。同等のオフィスソフトも、Teamsの目に見えない移行ももたらされません。最後に、ソフトウェアの開発元は外国企業である場合があります（Zimbraは米国で開発されています）。契約には、開発元がコンテンツにアクセスしないことを明記する必要があります。
選択は二者択一ではありません。よく見られる構成は3つあります。
特定の業務のためにMicrosoftの環境を一部残し、全社的なメールを移行する。 2つの拠点を持つ製造業の中小企業が、財務部門と設計部門のためにMicrosoft 365のライセンスを維持し、作業場、営業、管理部門は欧州で運用されるメールとファイル共有に移行します。その場合、2つのディレクトリ、2つのシステム間での同一ドメインのルーティング、相互のカレンダー招待、そしてどのデータをどこに置くかという文書化されたルールを整備する必要があります。よくある誤りは、各自にその場その場で選ばせてしまうことです。
スイートを使い続け、前段にフィルタを配置する。 運用事業者についての判断はまだ固まっていないが、フィッシング対策が急務である場合、Exchangeの前段に配置したMTAが、メールボックスに手を加えることなく受信メールをフィルタリングします。ただし、コンテンツはMicrosoftに残ります。これはセキュリティ対策であって、運用事業者の変更ではありません。
段階的に移行する。 標準プロトコルに基づいているメールを最初に、次にファイル、Teamsは顧客が求める限り残します。各段階は、次の段階に進む前にその結果で評価します。作業の順序は、Microsoft 365からの移行と停止させずに移行する方法のページで説明しています。
| 次の文が当てはまる場合 | 方向性 |
|---|---|
| 高度なExcelやPower BIで業務を行うチームがある | それらのチームについてはMicrosoft 365を維持する |
| 顧客や取引先がTeamsを求めている | Teamsを維持するか、別のチャネルを提案することを受け入れる |
| 全社的なニーズは、メール、ファイルとそのオンライン編集、ビデオ会議、CRM、電話である | 必要なサービスを選べる欧州のスイートが適している |
| 入札でSecNumCloud認定を明示的に受けたサービスが求められている | 「ソブリン」という言葉を使うメールサービスではなく、ANSSIのカタログからそのサービスを選ぶ |
| Exchangeから離れずに、メールボックスの前段にフィルタを置きたい | Microsoft 365の前段に配置するMTAで十分。スイートは使い続けられる |
| 経営陣が、日常のメールとファイルを欧州企業に保有させたいと考えている | 全社的なメールとファイルを移行し、それを必要とする業務のための環境を一部残す |
| テナントがMulti-Geoである、またはCopilotやコネクタが有効になっている | データ所在地で十分と結論づける前に、EU Data Boundaryの例外を確認する |
| 親会社がEntra IDとそのアプリケーションを求めている | Microsoft 365を維持する。この問題はグループのレベルで扱う |
| 社内にサーバーを管理できる人がいない | 自分でインストールするソフトウェアではなく、サービスを運用する運用事業者を選ぶ |
矛盾する2つの行が自社に当てはまる場合、答えはほぼ必ず併用シナリオです。
よくある誤りは、試用を情報システム部門だけに任せることです。情報システム部門が検証するのは技術であって、使い勝手ではありません。無料トライアルは、そのためにあります。
GDPRの枠組みの中で利用することは可能です。この規則は米国のソフトウェア開発元を禁止しているわけではありません。有効化したサービスをカバーするDPA、移転の根拠、最新の処理活動の記録を求めています。運用事業者の国籍は、それとは別の判断です。GDPRとMicrosoft 365を参照してください。
いいえ。それは一部のデータがどこで保存・処理されるかを示すものです。CLOUD Actは、ディスクの所在地にかかわらず、データを保有または管理する事業者を対象としています。
はい。必要な人のためにライセンスを維持すれば可能です。カレンダー、メールから予定したTeams会議、共有メールボックスがどうなるかを事前に確認してください。
いいえ。SecNumCloudは、ANSSIのカタログに掲載された特定のサービスを認定するものです。欧州で運用されるメールサービスは、入札で求められない限り、この認定がなくても適している場合があります。
Klyticは、選択可能な欧州のソリューションの1つであり、唯一の答えではありません。フランス企業であるDedicace Softwareが運用しており、メール、ドキュメント（共有スペースではなく、お客様ごとの専用Nextcloudインスタンス。共有、単独または複数人でのオンライン編集、バージョン履歴に対応）、ビデオ会議、CRM、電話を組み合わせたい場合に適しています。ホスティングは、必要なサービスが利用可能であることを条件に、適用される管轄に対応するあらゆる地域で、たとえば欧州やモーリシャス、あるいはお客様のサーバー上で行えます。
Officeと同じ環境を求めるプロジェクトには適していません。高度なExcel、Power BI、Teamsを置き換えるものではないからです。KlyticはSecNumCloud認定を受けておらず、フランスの事業者は引き続きフランス法に服します。その他の事業者の概要は、2026年版ガイドにまとめています。
このページは一般的な枠組みを説明するものです。法的助言を構成するものではありません。
2026年10月に参照。
