GitHubは2026年10月12日、Copilotの利用状況などを記録する計測データについて、利用者の識別と収集設定の拡張を発表しました。企業管理者は、プロンプトなどの内容を収集せずにCopilotの活動を利用者にひも付けられます。
利用者の識別と、入力・応答の収集を分離
利用者の識別を制御する設定は、telemetry.capture.identityです。有効にすると、計測データを扱う仕組みであるOpenTelemetryのデータに、次の3属性が追加されます。
user.name：認証済みCopilotアカウント名。現時点ではGitHubログイン名です。process.user.name：ローカルOSのアカウント名です。host.name：ローカルマシン名です。
識別情報の収集は既定で無効です。既存の仮名化された利用者IDとは別扱いになります。情シスが収集を判断する際は、GitHub上の名前だけでなく、端末側のアカウント名とマシン名も対象になる点を確認する必要があります。
従来のcaptureContentは、内容収集をまとめて制御する設定として残ります。ただし、この設定では識別情報の収集は有効になりません。内容を集めるかどうかと、利用者を識別するかどうかは、分けて確認することが重要です。
内容収集は5区分、管理設定を優先
細かな収集制御は、Copilot CLI、GitHub Copilot app、Agent Hostを使うVS Codeセッションで利用できます。管理者は識別情報以外に、次の5区分を個別に制御できます。
prompts：利用者・システム・開発者のプロンプトと、対応する入力コンテキストです。responses：アシスタントの応答と、対応する推論内容です。toolArguments：生のツール引数、コマンド、ツールスキーマに加え、ツール、MCPサーバー、プラグイン、フックの識別子です。toolOutput：ツールの結果と、実行エラーの詳細です。policyDetail：サンドボックス内のファイルシステムパスなど、生のポリシー詳細です。
すべての収集区分は既定で無効です。一方、明示した管理設定値は、ローカル設定、開発用のSDK設定、環境変数より優先されます。利用者側の設定だけでなく、管理側が何を指定しているかを点検する必要があります。
GitHubは、プロンプト・ツール・ポリシーの収集にソースコードやパスが含まれ得ると説明しています。監査に必要な区分だけを有効にし、承認済みの収集先へ送るよう求めています。日本での提供は発表には書かれていません。
影響する会社・しない会社
- 影響する: Copilot CLIやGitHub Copilot app、Agent Hostを使うVS Codeセッションで、計測データの収集を管理する会社です。識別情報と内容の収集を別々に判断する対象になります。
- 影響する: 従来の
captureContentを使っている会社です。この設定は残りますが、識別情報は有効にならないため、利用者とのひも付けが必要かを別途確認します。
- 影響しない: Copilotを利用していない会社は、今回のCopilot計測設定を点検する直接の対象ではありません。
対象プランや版による条件、Agent Hostを使わないVS Codeセッションでの扱いは、発表には書かれていません。利用中の環境がすべて対象だとは決めつけず、確認事項として残します。
情シスが今日やること
以下は社内点検のための推奨手順です。発表には、変更期限や管理画面の操作経路は書かれていません。
- 今日の点検で、開発部門に利用環境を確認します。Copilot CLI、GitHub Copilot app、Agent Hostを使うVS Codeセッションの利用有無と、計測設定の管理担当者を整理します。
- 管理担当者と設定を確認します。
telemetry.capture.identityと従来のcaptureContentの値を記録し、5区分の収集で明示した管理設定がないかを点検します。ローカル設定だけを見て判断しないようにします。
- 収集を有効にする前に、開発部門と情報セキュリティ担当へ、収集候補の区分を知らせます。利用者識別だけが必要なのか、入力・応答・ツール情報まで必要なのかを、監査の目的に照らして決めます。
- 設定変更前に、データの送信先が社内で承認済みかを確認します。ソースコード、アカウント名、端末名、ファイルパスを含み得る点も伝え、必要な区分だけを有効にする方針を記録します。
