회사에서 내 GitHub Copilot 대화도 볼 수 있나?
10월 12일부터 Copilot은 사용자 식별과 프롬프트·응답 수집을 따로 켜고 끈다. 회사 라이선스로 쓰는 내 대화는 어떤 설정일 때 회사 서버에 쌓일까?
- 회사에서 제공한 라이선스인지보다 실제 클라이언트의 내용 수집 설정이 답을 가른다.
- 10월 12일 변경은 사용자 식별과 프롬프트·응답 수집을 따로 제어하게 했다.
- 내용 수집을 꺼도 사용량 정보까지 모두 없어지는 것은 아니다.
회사 라이선스만으로는 대화 수집 여부를 알 수 없다
지원 클라이언트에서 내용 수집을 켜고 회사 수집 서버로 보내도록 구성했다면, 회사는 프롬프트와 응답을 수집할 수 있다. GitHub Copilot의 사용량 대시보드와 별도로, 클라이언트가 작업 정보를 내보내는 OpenTelemetry 설정이 있기 때문이다.
사용량 지표는 도입률, 활동, 코드 생성 등의 현황을 보여준다. 관리자가 사용 횟수를 안다는 사실만으로 대화 원문까지 읽는다고 판단할 수는 없다. 반대로 사용량 화면에 대화가 없다는 사실이 회사의 별도 수집 서버에도 내용이 없다는 뜻은 아니다.
사용자 식별을 켜도 대화가 함께 수집되지는 않는다
GitHub의 10월 12일 발표는 사용자 식별과 내용 수집을 분리했다. identity는 인증한 Copilot 계정, 운영체제 사용자, 기기 이름을 작업 정보에 붙이는 설정이다. 프롬프트나 응답을 포함시키는 설정과는 다르다.
내용은 prompts, responses, toolArguments, toolOutput, policyDetail로 나뉜다. 질문·응답 외에도 도구에 전달한 명령, 실행 결과, 정책에 들어간 파일 경로 등이 수집 대상이 될 수 있다. 각 항목의 기본값은 꺼짐이며, 회사가 어떤 값을 지정했는지를 따로 봐야 한다.
따라서 프롬프트 수집만 꺼졌다는 설명으로 코드나 파일 내용이 전혀 수집되지 않는다고 결론 내릴 수도 없다. 켜진 도구 출력에 파일 내용이 포함되는 경우까지 구분해야 한다.
VS Code에서는 로컬 에이전트와 Agent Host를 구분한다
관리 설정 문서는 세부 수집 항목을 지원하는 대상으로 Copilot CLI, Copilot 앱, Agent Host를 사용하는 VS Code 세션을 명시한다. VS Code의 로컬 에이전트는 개별 내용 항목 대신 기존 captureContent 묶음 설정을 지원한다.
captureContent는 다섯 내용 항목을 함께 다루지만 사용자 식별을 활성화하지는 않는다. 같은 VS Code 화면을 쓴다는 이유만으로 다른 실행 방식의 설정 예제를 그대로 적용하면 수집 범위를 잘못 판단할 수 있다.
내 환경에서는 수집 항목과 전송 대상을 함께 확인한다
VS Code의 모니터링 안내에 따르면 설정에서 copilot otel을 검색할 수 있다. 여기서 모니터링 활성화 여부, captureContent, 수집 서버 주소인 endpoint를 확인한다. 관리형 배포에서는 회사 설정도 적용되므로 로컬 화면의 토글 하나만 보고 판단하지 않는다.
회사 담당자에게 확인할 질문도 구체적이어야 한다. 사용하는 클라이언트에서 어떤 수집 항목이 켜져 있고, 어디로 전송되며, 누가 그 저장소를 열 수 있는지가 핵심이다. 내용 수집을 끈 상태에도 모델 이름·토큰 수·처리 시간 같은 작업 정보는 남을 수 있다. 대화 수집 여부와 사용 사실의 기록 여부를 따로 확인해야 정확한 답을 얻는다.