以下每一点都是继续使用的合理理由，至少对企业的部分部门而言如此。
一个不加保留地承诺相同范围的“主权解决方案”，是在夸大其产品。欧洲和瑞士的套件覆盖邮件、文件、视频会议，有时还包括聊天。它们无法取代这一孤岛。
变更的成本并不仅限于订阅费用：培训、模板迁移、需要重新连接的集成、生产力下降的过渡期。如果离开的理由只是一句口号，那么没有任何东西能够弥补这一成本。
示例。 一家 25 人的会计师事务所使用带宏的 Excel 工作簿处理审计档案。整体离开 Microsoft 365 将是一个错误。真正有用的问题范围更窄：通用电子邮件以及与客户交换的文件，是否必须与这些工作簿留在同一个运营方那里？
Microsoft 是一家美国公司。对于符合条件的租户，EU Data Boundary 会将客户数据和假名化个人数据存放在欧盟或欧洲自由贸易联盟境内，但存在有文档说明的例外情况：支持服务、某些升级处理、可选功能。根据 Microsoft 的说法，Multi-Geo 租户不在其范围之内。这回答了“硬盘在哪里”这一问题的一部分。但它没有回答“谁可能在美国被强制提供其所控制的数据”这一问题。
源自 CLOUD Act 的条文（18 U.S.C. § 2713）针对的是服务提供商持有或控制的数据，包括位于美国境外的数据。而欧盟《通用数据保护条例》（GDPR）第 48 条规定，第三国要求披露个人数据的决定，只有在依据与欧盟或成员国之间现行有效的国际协定（例如司法协助条约）时才予以承认。因此，在欧洲经营的美国服务提供商可能处于两种法律之间，而具体案件的结果并非事先注定。
2025年6月10日，在法国参议院公共采购调查委员会上，Microsoft 法国公共事务与法律事务总监被问及，能否宣誓保证通过 Ugap 委托给 Microsoft 的法国公民数据，绝不会在未经法国当局明确同意的情况下，因美国政府的命令而被转交。他的回答是：“不，我无法保证这一点，但我要再次强调，这种情况至今从未发生过。”这句话的前后两半都很重要，每个管理层都会自行权衡。
接下来是数据传输的法律依据。截至2026年10月5日，充分性决定 (UE) 2023/1795 仍然有效。正如一些律师评论（DAC Beachcroft、WilmerHale）所指出的，该决定受到质疑；据 WilmerHale 称，欧盟普通法院于2025年9月3日驳回了一项撤销之诉，随后于2025年10月31日向欧盟法院提起了上诉。详情见保护企业免受 CLOUD Act 影响和GDPR 与 Microsoft 365。
因此，继续使用 Microsoft 365 并不是一个“不合规”的选择：数据处理协议（DPA）、数据驻留和数据传输记录可以为其提供书面依据。这是一个接受运营方同时受两种法律约束的选择。它属于管理层的决策，而不仅仅是 IT 部门的决策。
在法律层面。 运营方受欧洲法律管辖。合同由欧洲法院管辖。如果该运营方在数据持有方面不依赖美国集团，也不依赖美国分包商，那么 CLOUD Act 所规定的命令就不会针对它。它仍然受其所在国法律的约束：这是司法管辖权的变化，而不是豁免。请索取分包商清单（备份、支持、邮件发送）、访问数据的人员所在地，并了解由谁持有加密密钥。
在运营层面。 支持服务从结构上就不属于美国集团。视具体产品而定：托管于法国、德国或您自己的场所。同样视具体产品而定：可以只选用电子邮件服务。较窄的范围更便于在处理活动记录中描述，也更便于审计。
它不会自动带来的东西。 SecNumCloud 资质：这是 ANSSI 目录中一项具体的产品。自其标准 3.2 版（2022年）起，SecNumCloud 包含针对欧洲以外法律的保护要求（总部、资本控制、数据位置、人员）；宣传册上的一个词不能替代这些要求。它也不会带来同等的办公软件，或者对 Teams 的无感迁移。最后，软件开发商可能仍是外国公司（Zimbra 在美国开发）：合同必须写明软件开发商不会访问内容。
这一选择并非非此即彼。有三种常见的配置。
为某项业务保留一个 Microsoft 孤岛，迁出通用电子邮件。 一家拥有两个厂区的工业中小企业为财务部门和设计部门保留 Microsoft 365 许可证；车间、销售和行政部门则改用在欧洲运营的电子邮件和文件共享服务。此时需要处理两个目录、同一域名在两个系统之间的路由、交叉的日历邀请，以及一条书面规则：哪些数据放在哪里。常见的错误是让每个人随意自行选择。
保留套件，在前端部署过滤器。 如果关于运营方的决定尚未成熟，但网络钓鱼问题迫在眉睫，那么部署在 Exchange 前端的 MTA 可以在不触及邮箱的情况下过滤入站邮件。而内容仍然留在 Microsoft。这是一项安全措施，而不是更换运营方。
分阶段退出。 先迁移电子邮件，因为它基于标准协议；然后迁移文件；只要客户要求使用 Teams，就保留 Teams。每个阶段都要根据其结果进行评估，然后再启动下一阶段。从 Microsoft 365 迁移和不中断地迁移两个页面介绍了操作顺序。
| 如果以下陈述属实 | 方向 |
|---|---|
| 有团队使用高级 Excel 或 Power BI 进行生产工作 | 为这些团队保留 Microsoft 365 |
| 客户和供应商要求使用 Teams | 保留 Teams，或者坦然向他们提出另一种沟通渠道 |
| 一般需求是邮件、文件及其在线编辑、视频会议、CRM、电话 | 适合采用按需组合的欧洲套件 |
| 招标明确要求提供具备 SecNumCloud 资质的产品 | 在 ANSSI 目录中选择该产品，而不是选择使用“主权”一词的电子邮件服务 |
| 您希望在邮箱前端部署过滤器，而不离开 Exchange | 在 Microsoft 365 前端部署 MTA 即可。套件可以保留 |
| 管理层希望由一家欧洲公司持有日常邮件和文件 | 迁出通用电子邮件和文件，为有此需要的业务保留一个孤岛 |
| 租户为 Multi-Geo，或已启用 Copilot 和连接器 | 在得出数据驻留已足够的结论之前，先阅读 EU Data Boundary 的例外情况 |
| 母公司强制使用 Entra ID 及其应用 | 保留 Microsoft 365；这一问题应在集团层面处理 |
| 内部没有人能够管理服务器 | 选择负责运营服务的运营方，而不是需要自行安装的软件 |
如果在您的企业中有两条相互矛盾的陈述同时属实，答案几乎总是混合方案。
常见的错误是只让 IT 部门负责试用：他们验证的是技术，而不是用途。免费试用正是为此而设。
它可以在 GDPR 框架下使用。该条例并不禁止美国软件开发商；它要求有覆盖已启用服务的数据处理协议（DPA）、数据传输的法律依据，以及最新的处理活动记录。运营方的国籍是另一项独立的决策。参见GDPR 与 Microsoft 365。
不能。它描述的是某些数据存储和处理的位置。CLOUD Act 针对的是持有或控制数据的服务提供商，无论硬盘位于何处。
可以，只需为有需要的人员保留许可证。请事先核实日历、从电子邮件中安排的 Teams 会议以及共享邮箱将如何处理。
不是。SecNumCloud 是对 ANSSI 目录中某一具体产品的资质认定。在欧洲运营的电子邮件服务即使不具备该资质也可能是合适的，除非您的招标有此要求。
Klytic 是可选的欧洲解决方案之一，而不是唯一答案。它由法国公司 Dedicace Software 运营，适合希望组合使用电子邮件、文档（每个客户一个专属 Nextcloud 实例，而不是共享空间，提供共享、单人或多人在线编辑以及版本历史）、视频会议、CRM 和电话的企业。可托管于与适用司法管辖区相对应的任何地理区域（视所需服务的可用性而定），例如欧洲或毛里求斯，也可托管于客户自己的服务器上。
如果项目的目的是重新获得 Office，它就不适合：它无法取代高级 Excel、Power BI 或 Teams。Klytic 不具备 SecNumCloud 资质，而且法国运营商仍受法国法律约束。其他市场参与者的概况见2026 指南。
本页介绍的是一般性框架。它不构成法律意见。
2026年10月查阅。
