AI 코딩 도구를 들이기 전, 팀이 먼저 답해야 할 다섯 가지 질문

AI 코딩 도구 도입을 논의하는 자리는 대개 "Cursor와 Copilot 중 뭐가 낫냐"는 비교로 시작한다. 그런데 각 도구의 공식 데이터 정책을 나란히 놓고 읽어 보면, 도구 선택보다 먼저 정해야 결과가 달라지는 질문들이 있다. 같은 도구라도 어떤 요금제, 어떤 계정으로 쓰느냐에 따라 코드가 모델 학습에 쓰이는지와 얼마나 오래 보관되는지가 바뀌기 때문이다. 이 칼럼은 도구 비교에 앞서 팀이 답해 두어야 할 질문 다섯 가지를 정리한다.

질문 1. 우리 코드와 프롬프트가 모델 학습에 쓰이는가

세 도구의 공식 문서를 보면 답은 "도구"가 아니라 "요금제와 설정"에 달려 있다. 2026년 9월 기준 공식 안내를 요약하면 다음과 같다.

GitHub는 공식 커뮤니티 공지에서 개인 요금제의 학습 사용 변경을 알리며, 거부 설정 위치를 Settings → Copilot → Features로 안내했다. Claude Code 데이터 정책도 소비자 요금제와 상업 요금제를 명확히 나눠 설명한다. 정책은 바뀔 수 있으므로 도입 결정 시점에 이 문서들을 다시 확인해야 한다.

질문 2. 얼마나 오래, 어디에 남는가

학습 여부와 보관 기간은 별개다. Claude Code 문서에 따르면 상업 요금제의 표준 보관 기간은 30일이고, 소비자 요금제는 학습을 허용하면 5년, 허용하지 않으면 30일이다. 무보관(Zero Data Retention)은 자격을 확인한 Enterprise 조직에 별도로 적용된다. 서버만 볼 일도 아니다. 같은 문서는 로컬 클라이언트가 세션 기록을 ~/.claude/projects/에 평문으로 기본 30일 저장하며 cleanupPeriodDays로 조정할 수 있다고 밝힌다. 공용 PC나 개발자 노트북 반출 규정이 있는 팀이라면 이 로컬 기록도 관리 대상에 넣어야 한다.

프롬프트 외에 나가는 데이터도 확인할 항목이다. 같은 문서에 따르면 사용 지표(metrics)에는 코드나 프롬프트, 파일 경로가 포함되지 않으며 DISABLE_TELEMETRY=1로 끌 수 있다. 반면 /feedback으로 보내는 보고에는 코드를 포함한 대화 기록이 담기고 5년간 보관된다. 사내 규정상 외부 전송을 최소화해야 한다면 DISABLE_FEEDBACK_COMMAND=1이나 불필요한 통신을 한 번에 막는 CLAUDE_CODE_DISABLE_NONESSENTIAL_TRAFFIC를 팀 설정 파일에 넣어 두는 방법이 있다.

Cursor의 데이터 사용 안내에는 놓치기 쉬운 문장이 있다. 자기 API 키를 쓰더라도 요청은 Cursor 백엔드를 거친다는 것이다. 최종 프롬프트 조립이 그곳에서 이뤄지기 때문이다. "우리 키를 쓰니 제3자를 거치지 않는다"는 가정은 이 도구에서는 성립하지 않는다.

질문 3. 개인 계정으로 쓰게 둘 것인가

질문 1과 2를 합치면 현실적인 결론이 나온다. 회사 코드를 개인 요금제 계정으로 다루면, 그 코드에는 소비자 약관이 적용된다. 팀원이 각자 개인 구독으로 도구를 쓰는 상태를 방치하면, 누구의 설정이 학습 허용인지 조직이 알 방법이 없다. 조직 요금제로 묶는 가장 큰 이유는 기능보다 이 통제권에 있다. 예산 때문에 개인 요금제를 허용해야 한다면 최소한 학습 거부 설정을 팀 규칙으로 정하고, 설정 화면 확인을 온보딩 절차에 넣는다.

질문 4. 어디서부터 시작할 것인가

도입 범위는 "누가 쓰나"보다 "어떤 저장소에서 쓰나"로 정하는 쪽이 판단하기 쉽다. 인증·결제·개인정보를 다루는 저장소는 뒤로 미루고, 내부 도구나 테스트 코드처럼 문제가 생겨도 되돌리기 쉬운 곳에서 시작한다. 파일럿 기간, 성공 기준, 예산 상한을 정하는 절차는 AI 코딩 어시스턴트 팀 도입 가이드에 정리해 두었다.

질문 5. 무엇은 절대 넣지 않을 것인가

도구가 제공하는 제외 기능은 생각보다 구멍이 많다. 예를 들어 Copilot의 콘텐츠 제외는 일부 채팅·에이전트 모드에 적용되지 않는다. 그래서 기능 설정과 별개로 "붙여 넣지 않을 데이터" 목록을 문장으로 합의해 두어야 한다. 운영 DB 덤프, 고객 개인정보, 비밀 키, 계약서 원문 정도가 출발점이다. 도구가 .env 같은 파일을 읽지 못하게 막는 설정과 실제 개인정보를 다루는 도구의 점검 항목은 바이브 코딩 사내 도구 보안 설정에서 이어서 다룬다.

도구 비교는 그다음이다

다섯 질문에 답하고 나면 도구 비교의 기준도 바뀐다. "자동완성이 더 똑똑한가"보다 "우리가 정한 요금제·보관·제외 조건을 이 도구가 관리자 설정으로 강제할 수 있는가"가 먼저 보이게 된다. 기능 차이는 몇 달이면 바뀌지만, 데이터가 어디에 남는지에 대한 결정은 되돌리기 어렵다. 이 칼럼에서 도구 비교보다 이 질문들을 앞에 두는 이유다.