GitHub、Copilotを米欧のデータ境界に収めFedRAMPまで通した

GitHubは coding copilot 導入の大きな障害だった compliance 問題を、ようやく実際のプロダクト設定に変えた。4月13日の changelog で、GitHub Copilot が US と EU の data residency をサポートし、inference processing と関連データを選択した geography の内部に留めると説明した。さらに米政府顧客向けには、model host と周辺 infrastructure が FedRAMP Moderate authorization standard を満たすという。

意味が大きいのは、これが保存場所だけの話ではないからだ。GitHubによれば、対象は Copilot の generally available 機能全体に及ぶ。agent mode、inline suggestions、chat、Copilot cloud agent、code review、pull request summaries、Copilot CLI まで、すべてが data-resident かつ compliance-certified な endpoint で処理される。つまり residency が一部機能だけの飾りではなく、開発 workflow 全体に適用できる policy になり始めた。

モデルの並びも重要だ。GitHubは launch 時点で GPT-5.4、Claude Sonnet 4.6、Claude Opus 4.6 など OpenAI と Anthropic のモデルを使えると明記した。一方で Gemini はまだ対象外だ。理由は GitHub の説明どおり、Google Cloud が data-resident inference endpoint をまだ提供していないためである。企業側から見ると、選択肢は増えたが完全ではない。特定モデルの挙動を前提に workflow を組んでいる team には、そこが実務上の差になる。

compliance の看板の裏には、はっきりした cost と governance の話もある。data-resident と FedRAMP の request には 10% の model multiplier 増がかかる。通常 1 premium request の処理が 1.1 になる計算だ。しかも policy は default で有効ではない。enterprise や organization の admin が Copilot 設定から明示的に有効化し、より狭い model set と追加コストを受け入れる必要がある。GitHubは、compliance は用意するが、その trade-off もきちんと見てほしいと示している。

今この更新が重いのは、AI coding tool が experimental な perk ではなく、regulated な engineering 環境へ入り込む本命ツールになりつつあるからだ。data residency と FedRAMP は派手な機能ではないが、public sector、financial services、healthcare、地理規制の厳しい multinational では導入可否を決める条件そのものだ。GitHubは Japan と Australia を 2026年後半の次の Proxima region として挙げた。Copilot 競争は、もはや model quality だけではなく、frontier model を enterprise-grade の policy 制御に包めるかどうかでも決まり始めている。