GitHub Copilot och GDPR – så uppnår ni EU-residens

GitHub Copilot är på god väg att bli standardverktyg i svensk utveckling. Men för organisationer med GDPR-krav räcker standardkonfigurationen inte på långa vägar: EU-residens för Copilot kräver en specifik kedja av val – och det viktigaste av dem är avstängt som default.

Utgångsläget: github.com bor i USA

Vanliga github.com, där de flesta organisationer har sina repos, hostas i amerikanska Azure-regioner. Det gäller koden, ärendena och Copilot-trafiken. För många verksamheter är det hanterbart med rätt avtalsgrund och överföringsmekanism. Men för verksamheter som kräver att behandlingen sker i EU är det själva startpunkten som måste ändras. Även organisationer som aldrig fattat ett aktivt beslut om molnleverantör har i praktiken redan valt USA i och med github.com.

Vägen till residens: ghe.com och en ny organisation

EU-residens kräver GitHub Enterprise Cloud med data residency, som körs på ghe.com i stället för github.com. Det finns ingen in-place-uppgradering: ni behöver en ny organisation med Enterprise Managed Users (EMU), där identiteterna styrs från er egen identitetsleverantör, och därefter en migrering av repos, behörigheter, CI-flöden och integrationer.

Räkna med ett projekt, inte en inställning. Migrering av utvecklingsflöden påverkar hela teamets vardag, så planera med pilotgrupp och tydlig ordning för vilka repos som flyttas när. Sätt också en plan för det som inte flyttar: äldre organisationer har ofta år av ärenden, wikis och CI-historik som ska migreras, arkiveras eller avvecklas – och varje kategori är ett eget beslut.

Fällan: Copilot-policyn är av som standard

Här går flest fel. Residens-tenanten räcker inte för Copilot: policyn som begränsar Copilot till residens-kompatibla modeller är avstängd som standard. Utan den kan Copilot-anrop routas till modeller som behandlar data utanför regionen – och då lämnar er kod EU trots att ni betalar för residens.

Ett scenario som visar priset: en organisation flyttar till ghe.com, noterar EU-residens i sin DPIA och rullar ut Copilot till 80 utvecklare. Ingen aktiverar modellpolicyn. Varje kodförslag i månader har därmed behandlats utanför regionen, och avvikelsen upptäcks först vid nästa revision. Själva kontrollen tar minuter – efterarbetet med avvikelserapportering och omprövning tar betydligt längre.

Det som ligger kvar i USA – oavsett konfiguration

Även med en korrekt konfigurerad residens-tenant behandlas vissa flöden i USA:

• Telemetri – drift- och användningsdata.
• Fakturering – konto- och betalningsflöden.
• Secret scanning-validering – kontrollen av upptäckta hemligheter.

En detalj som förvånar många: GitHub ingår inte i Microsofts EU Data Boundary, trots ägarskapet. De här flödena går alltså inte att konfigurera bort – de ska in i er överföringsdokumentation som kvarvarande överföringar med tillhörande bedömning.

Skydden för er kod

Två åtaganden är centrala i avtalsbilden. På Business och Enterprise tränar GitHub inte på er kod. Och Customer Copyright Commitment – åtagandet där GitHub och Microsoft tar ansvar vid upphovsrättskrav mot Copilot-genererad kod – gäller bara om innehållsfiltren är aktiva och public code matching är satt till Block.

Tabellen fungerar som en minimikontroll före utrullning – varje rad går att verifiera i administrationen eller avtalet, och varje rad har fällt någon annan tidigare. Filtren är för övrigt inte bara en säkerhetsdetalj utan ett villkor för ersättningsskyddet – en avstängd inställning kan kosta er hela åtagandet den dag ett krav landar.

Bevaka listorna

Två saker ändras löpande: vilka modeller som är residens-kompatibla i EU och kreditvillkoren för premiumanvändning. Kontrollera aktuella listor före utrullning och vid varje större Copilot-förändring, och datera kontrollen i ert underlag. Utse en ägare för Copilot-styrningen som läser ändringsloggarna, uppdaterar policyerna och kan svara på revisorns frågor utan arkeologi.

Ska AI-stödd utveckling införas i en reglerad miljö är styrningen halva jobbet. Vi på Weapp arbetar dagligen med utveckling och integrationer där sådana krav ingår – hör av dig om ni vill ha en second opinion på er uppsättning.