Atlassian이 여러분의 데이터를 학습에 사용합니다: GitLab으로 거부하세요 (새 탭에서 열림)

Atlassian은 2026년 8월 17일부터 Jira, Confluence 등 클라우드 제품의 메타데이터와 인앱 콘텐츠를 AI 서비스 학습에 기본적으로 활용할 예정이다. Free·Standard·Premium 고객은 메타데이터 수집을 끌 수 없고, Enterprise 고객만 옵트아웃할 수 있어 데이터 거버넌스와 규제 준수에 큰 부담이 생긴다. 글은 이러한 옵트아웃 기본 정책과 달리, GitLab은 요금제와 관계없이 고객 데이터를 수집하거나 AI 학습에 사용하지 않는 접근을 취한다고 설명한다.

Atlassian의 데이터 수집 정책 변경

• 수집 대상은 크게 두 가지다.
  • 메타데이터: 스토리 포인트, 스프린트 날짜, SLA 값, 작업 분류, Teamwork Graph 및 연결된 외부 앱의 운영 신호
  • 인앱 콘텐츠: Confluence 페이지, Jira 이슈 제목·설명·댓글 등 사용자가 작성한 내용
• Atlassian은 학습 전에 데이터를 비식별화하고 집계한다고 설명한다.
• 수집 데이터는 최대 7년 보관될 수 있다.
• 옵트아웃하면 인앱 데이터는 30일 이내 삭제되고, 관련 모델은 90일 이내 재학습된다고 안내한다.
• 고객 관리 암호화 키, Government Cloud, Isolated Cloud, HIPAA 적용 고객은 수집 대상에서 제외된다.

요금제에 따른 옵트아웃 문제

• 모든 클라우드 고객에게 데이터 수집이 기본 활성화된다.
• Free, Standard, Premium 고객은 메타데이터 수집을 비활성화할 수 없다.
• Enterprise 고객만 옵트아웃할 수 있으며, 최소 801명의 사용자가 필요하고 별도 가격이 적용된다.
• 결과적으로 데이터 보호가 기술 설정이 아니라 고비용 Enterprise 요금제로의 업그레이드 여부에 달려 있다.
• Atlassian이 과거에 밝혔던 “고객 데이터를 AI 서비스 학습이나 개선에 사용하지 않는다”는 입장과도 달라졌다.

비식별 메타데이터도 민감할 수 있는 이유

• 스토리 포인트, 스프린트 속도, SLA 지표는 개별적으로는 민감하지 않아 보일 수 있다.
• 그러나 장기간 축적하면 다음 정보를 추론할 수 있다.
  • 조직의 프로젝트 구조
  • 팀별 생산성과 성과 패턴
  • 릴리스 및 업무 처리 주기
  • 운영 방식과 병목 구간
• 데이터가 비식별화되더라도 여러 신호를 결합하면 조직의 운영 특성을 재구성할 수 있으므로, 비식별화가 곧 비민감성을 의미하지는 않는다.

Atlassian 생태계에서 커지는 데이터 범위

• Jira와 Confluence는 스프린트 계획, 버그 추적, 릴리스 관리, 보안 티켓, 사고 보고서, 내부 문서의 시스템 오브 레코드로 사용된다.
• Bitbucket과 Bamboo까지 함께 사용하면 다음 정보도 데이터 흐름에 포함될 수 있다.
  • 소스 코드 관련 메타데이터
  • CI/CD 구성
  • 프로젝트 계획과 기술 문서
• Teamwork Graph 커넥터를 통해 Slack, Figma, Google Drive, Salesforce, ServiceNow 같은 외부 서비스의 관계·활동 신호도 연결될 수 있다.
• 따라서 보안·컴플라이언스 팀은 Atlassian 제품 내부뿐 아니라 연결된 제3자 서비스까지 포함해 데이터 흐름을 검토해야 한다.
• Data Center·Server에서 Atlassian Cloud로 이전하려는 조직은 클라우드 전환과 AI 학습 데이터 제공 문제를 함께 판단해야 한다.

옵트아웃 기본 정책의 거버넌스 공백

• 약관 변경만으로 데이터 처리 방식이 바뀌면 고객이 직접 변경 사항을 발견하고 위험을 평가해야 한다.
• 다음 항목이 기존 계약 및 내부 정책과 일치하는지 확인해야 한다.
  • 데이터 처리 계약(DPA)
  • “메타데이터”의 정의
  • 제3자 앱에서 유입되는 데이터 범위
  • 보관 기간과 삭제 절차
  • AI 모델 재학습 및 삭제 방식
• 조직의 법무·보안팀이 민감하다고 판단하는 정보가 Atlassian의 “비민감 메타데이터” 정의와 다를 수 있다.

규제 산업이 재평가해야 할 사항

• 금융 서비스 기업은 SR 11-7, DORA 등에 따라 외부 기술 제공업체의 데이터 처리와 통제를 문서화하고 감사 가능하게 관리해야 한다.
• 공공 부문은 NIST 800-53과 FISMA에 따라 민감 데이터의 이동과 접근을 통제해야 한다.
• 의료 분야에서는 HIPAA에 따른 제3자 데이터 처리 검토가 필요하다.
• EU AI Act 적용 조직은 미국식 옵트아웃보다 유럽 규제 환경의 옵트인 동의 기대와 충돌할 가능성을 검토해야 한다.
• 기존에 Atlassian의 데이터 처리 방식을 평가했다면, “고객 데이터를 학습에 사용하지 않는다”에서 “기본적으로 사용한다”로의 변경은 공급업체 위험평가와 관련 문서의 갱신 사유가 된다.

GitLab의 대안적 접근

• GitLab은 고객 데이터에 대해 다음 원칙을 제시한다.
  • 고객 데이터 수집 없음
  • 고객 데이터로 AI 모델 학습 없음
  • 요금제와 관계없이 동일한 데이터 보호 원칙 적용
• 핵심 차이는 데이터 보호를 Enterprise 같은 특정 고가 요금제의 기능으로 제한하지 않는다는 점이다.
• 글은 CTO와 CISO가 AI 도입을 규제기관, 이사회, 고객에게 설명할 수 있어야 하며, 이를 위해 명확하고 조건 없는 데이터 처리 약속이 필요하다고 주장한다.

실용적인 대응

• 2026년 8월 17일 이전에 Atlassian 데이터 흐름과 연결 앱 목록을 재검토한다.
• Jira·Confluence의 콘텐츠뿐 아니라 Teamwork Graph가 가져오는 외부 서비스 메타데이터도 목록화한다.
• DPA, 개인정보 처리방침, 보안 정책, 규제 준수 문서를 변경된 정책과 대조한다.
• Enterprise 업그레이드, 예외 환경 사용, 플랫폼 이전 등 가능한 대응책의 비용과 위험을 비교한다.
• AI 기능을 도입할 때는 옵트아웃 가능 여부보다 처음부터 고객 데이터를 학습에 사용하지 않는 공급업체 정책을 우선 검토하는 것이 권장된다.