GitHub Copilot
DSGVO-Compliance
Datenverarbeitung
GitHub gibt an, dass personenbezogene Daten in der lokalen Region, in den Vereinigten Staaten und in anderen Ländern gespeichert und verarbeitet werden können, in denen GitHub-Tochtergesellschaften, verbundene Unternehmen oder Unterauftragsverarbeiter tätig sind. Die öffentliche Liste der Unterauftragsverarbeiter von GitHub weist KI-Inferenz und damit verbundene Verarbeitungsvorgänge in den Vereinigten Staaten, Kanada, Belgien, Deutschland, Island und Singapur aus, abhängig vom jeweiligen Anbieter. Es wurde keine GitHub-Copilot-Dokumentation gefunden, die eine ausschließlich in der EU erfolgende Verarbeitung für die Inferenz garantiert.
Für Copilot Business und Copilot Enterprise gibt GitHub an, dass Kundendaten nicht zum Training von KI-Modellen verwendet werden und durch den GitHub-Auftragsverarbeitungsvertrag (AVV) geschützt sind. In der allgemeinen Datenschutzerklärung von GitHub heißt es, dass personenbezogene Daten aufbewahrt werden, solange das Konto aktiv ist und soweit dies für vertragliche, rechtliche, streitbeilegungsbezogene und durchsetzungsbezogene Zwecke erforderlich ist. Konkrete Copilot-bezogene Telemetriebeispiele in der Dokumentation umfassen eine Aufbewahrungsfrist von 90 Tagen für Aktivitäts-/Authentifizierungsmetriken und eine Aufbewahrungsfrist von 28 Tagen für Telemetriedaten zu benutzerdefinierten Modellen, wenn diese optionale Funktion aktiviert ist.
GitHub gibt an, dass Kundendaten aus Copilot Business oder Copilot Enterprise nicht zum Training von KI-Modellen verwendet werden. In der Dokumentation zum Modell-Hosting heißt es, GitHub habe mit OpenAI für Copilot, mit Anthropic für allgemein verfügbare Funktionen und mit xAI für Grok Code Fast 1 Vereinbarungen zur Null-Datenspeicherung getroffen; Google erklärt, dass Prompts/Antworten nicht zum Training seiner Modelle verwendet werden. Für individuelle Copilot-Free-/Pro-/Pro+-Tarife gibt GitHub an, dass es ab dem 24. April 2026 Interaktionen, einschließlich Eingaben, Ausgaben, Code-Snippets und zugehörigem Kontext, für das Modelltraining verwenden kann, mit einer persönlichen Opt-out-Einstellung.
Zertifizierungen & EU-KI-Verordnung
Keine Zertifizierungen angegeben.
GitHub erklärt öffentlich, dass es den Responsible AI Standard von Microsoft befolgt, die Implementierung am NIST AI Risk Management Framework ausrichtet und für seine KI-Produkte eine Responsible AI Impact Assessment sowie Sicherheits- und Datenschutzprüfungen abgeschlossen hat. Es wurde keine Aussage aus einer Primärquelle gefunden, die ausdrücklich eine Konformität von GitHub Copilot mit dem EU AI Act beansprucht.
Verifizierung
- https://docs.github.com/en/copilot ↗
- https://docs.github.com/en/enterprise-cloud@latest/copilot/get-started/plans ↗
- https://docs.github.com/en/enterprise-cloud@latest/copilot/get-started/resources-for-approval ↗
- https://docs.github.com/en/enterprise-cloud@latest/copilot/reference/ai-models/model-hosting ↗
- https://docs.github.com/en/site-policy/privacy-policies/github-general-privacy-statement ↗
- https://docs.github.com/en/site-policy/privacy-policies/github-data-protection-agreement ↗
- https://docs.github.com/en/site-policy/privacy-policies/github-subprocessors ↗
- https://docs.github.com/en/copilot/reference/metrics-data ↗
- https://docs.github.com/en/copilot/how-tos/manage-your-account/manage-policies ↗
- https://docs.github.com/en/enterprise-cloud@latest/copilot/managing-copilot/managing-github-copilot-in-your-organization/customizing-copilot-for-your-organization/creating-a-custom-model-for-github-copilot ↗
- https://docs.github.com/en/organizations/managing-organization-settings/upgrading-to-the-github-customer-agreement ↗
- https://github.com/trust-center ↗
GitHub stellt einen öffentlichen AVV, eine Datenschutzerklärung und eine Liste der Unterauftragsverarbeiter bereit, und für Daten von Copilot Business/Enterprise wird ausdrücklich angegeben, dass diese nicht für das Training von KI-Modellen verwendet werden. GitHub garantiert jedoch öffentlich keine ausschließlich auf die EU beschränkte Inferenz für Copilot, und die offengelegten KI-Unterauftragsverarbeiter/Auftragsverarbeiter umfassen mehrere Nicht-EU-Länder, insbesondere die Vereinigten Staaten. Für Copilot konnte aus einer aktuellen Primärquelle keine produktspezifische Sicherheitszertifizierung bestätigt werden; Zertifizierungen bleiben daher leer.