GitHub Copilot og GDPR: Sådan får I data residency i EU

GitHub Copilot er godt på vej til at blive et standardværktøj i softwareudvikling. Men for organisationer med GDPR-krav er standardkonfigurationen langtfra nok: Data residency i EU for Copilot kræver en bestemt kæde af valg, og det vigtigste af dem er slået fra som standard.

Udgangspunktet: github.com bor i USA

Det almindelige github.com, hvor de fleste organisationer har deres repos, hostes i amerikanske Azure-regioner. Det gælder koden, issues og Copilot-trafikken. For mange organisationer er det håndterbart med det rette aftalegrundlag og overførselsgrundlag. Men for organisationer der kræver at behandlingen sker i EU, er det selve udgangspunktet der skal ændres. Selv organisationer der aldrig har truffet en aktiv beslutning om cloududbyder, har i praksis allerede valgt USA med github.com.

Vejen til data residency: ghe.com og en ny organisation

Data residency i EU kræver GitHub Enterprise Cloud med data residency. Den kører på ghe.com i stedet for github.com. Der findes ingen in-place-opgradering: I skal bruge en ny organisation med Enterprise Managed Users (EMU), hvor identiteterne styres fra jeres egen identitetsudbyder, og derefter en migrering af repos, adgangsrettigheder, CI-flows og integrationer.

Regn med et projekt, ikke en indstilling. Migrering af udviklingsflows påvirker hele teamets hverdag, så planlæg med en pilotgruppe og en klar rækkefølge for hvilke repos der flyttes hvornår. Læg også en plan for det der ikke flytter: Ældre organisationer har ofte flere års issues, wikier og CI-historik der skal migreres, arkiveres eller udfases, og hver kategori er en beslutning for sig.

Fælden: Copilot-politikken er slået fra som standard

Her går det oftest galt. Residency-tenanten er ikke nok for Copilot: Politikken der begrænser Copilot til residency-kompatible modeller, er slået fra som standard. Uden den kan kald fra Copilot blive routet til modeller der behandler data uden for regionen, og så forlader jeres kode EU selvom I betaler for data residency.

Et scenarie der viser prisen: En organisation flytter til ghe.com, noterer data residency i EU i sin konsekvensanalyse vedrørende databeskyttelse (DPIA) og ruller Copilot ud til 80 udviklere. Ingen aktiverer modelpolitikken. I flere måneder er hvert eneste kodeforslag dermed blevet behandlet uden for regionen, og afvigelsen opdages først ved den næste revision. Selve kontrollen tager minutter. Efterarbejdet med afvigelsesrapportering og fornyet vurdering tager betydeligt længere.

Det der bliver i USA, uanset konfiguration

Selv med en korrekt konfigureret residency-tenant behandles visse flows i USA:

• Telemetri: drifts- og brugsdata.
• Fakturering: konto- og betalingsflows.
• Validering i secret scanning: kontrollen af fundne hemmeligheder.

En detalje der overrasker mange: GitHub er ikke omfattet af Microsofts EU Data Boundary, trods ejerskabet. Disse flows kan altså ikke konfigureres væk. De skal ind i jeres dokumentation af overførsler som resterende overførsler med tilhørende vurdering.

Beskyttelsen af jeres kode

To tilsagn er centrale i aftalebilledet. På Business og Enterprise træner GitHub ikke på jeres kode. Og Customer Copyright Commitment, tilsagnet hvor GitHub og Microsoft tager ansvaret ved ophavsretskrav mod kode genereret af Copilot, gælder kun hvis indholdsfiltrene er aktive og public code matching er sat til Block.

Tabellen fungerer som en minimumskontrol før udrulning. Hver række kan verificeres i administrationen eller i aftalen, og hver række har været en snublesten for andre før. Filtrene er i øvrigt ikke kun en sikkerhedsdetalje, men en betingelse for skadesløsholdelsen: En indstilling der er slået fra, kan koste jer hele tilsagnet den dag et krav lander.

Hold øje med listerne

To ting ændrer sig løbende: hvilke modeller der er residency-kompatible i EU, og kreditvilkårene for premiumbrug. Tjek de aktuelle lister før udrulning og ved hver større ændring af Copilot, og datér kontrollen i jeres dokumentation. Udpeg en ejer af Copilot-styringen der læser ændringsloggene, opdaterer politikkerne og kan svare på revisorens spørgsmål uden at skulle ud på arkæologisk udgravning.

Skal AI-understøttet udvikling indføres i et reguleret miljø, er styringen det halve arbejde. Hos Weapp arbejder vi dagligt med udvikling og integrationer hvor den slags krav indgår. Kontakt os hvis I vil have en second opinion på jeres opsætning.