Jira 데이터 몰래 쓴다고?

전 세계 30만 개 이상 기업이 사용하는 Jira와 Confluence. 그 안에 담긴 프로젝트 일감, 스프린트 데이터, 문서 본문이 곧 AI 학습 재료로 쓰인다. Atlassian이 조용히 바꾼 데이터 정책의 실체를 파헤쳤다.

무엇이 바뀌나 — Rovo AI 학습용 데이터 수집 기본 활성화

수집 대상: 메타데이터 + 인앱 데이터

Atlassian이 수집하려는 데이터는 크게 두 가지로 나뉜다. 첫째, 메타데이터다. Confluence 페이지의 가독성 점수, 복잡도 등급, 페이지 간 의미 유사도 점수, Jira 이슈의 스토리 포인트, 스프린트 종료일, SLA 값 등이 포함된다. 겉보기엔 민감하지 않아 보이지만, 이 데이터만으로도 팀의 업무 속도, 프로젝트 난이도, 서비스 품질 수준을 추론할 수 있다.

둘째, 인앱 데이터다. 이쪽이 더 심각하다. Confluence 페이지 제목과 본문 전체, Jira 이슈 제목·설명·댓글, 커스텀 이모지 이름, 상태 이름, 워크플로 이름까지 수집 범위에 들어간다. 사실상 팀이 매일 작성하는 모든 텍스트가 대상이다.

요금제별 옵트아웃 가능 여부

가장 논란이 되는 부분은 요금제에 따라 거부 권한이 달라진다는 점이다. 무료·스탠다드 요금제는 메타데이터 수집을 거부할 수 없다. 인앱 데이터는 기본 활성화 상태지만 수동으로 끌 수 있다. 프리미엄 요금제는 인앱 데이터가 기본 비활성화지만 메타데이터는 여전히 옵트아웃 불가다. 오직 엔터프라이즈 요금제만 메타데이터와 인앱 데이터 모두 기본적으로 꺼져 있다.

7년 보관, 90일 잔존 — 삭제해도 사라지지 않는 데이터

데이터 보존 정책의 실체

Atlassian은 수집한 데이터를 최대 7년간 보관한다고 명시했다. 옵트아웃을 신청하거나 계정을 삭제해도, 이미 학습에 사용된 데이터는 즉시 제거되지 않는다. 옵트아웃 후 실제 데이터 제거까지 30일, 모델 재학습을 통한 완전 반영까지 최대 90일이 소요된다. 즉, 한번 수집된 데이터는 사실상 3개월간 AI 모델 안에 남아있을 수 있다.

예외 대상은 누구인가

다행히 완전 면제 대상도 있다. 고객 관리형 암호화(Customer-Managed Encryption) 사용자, Atlassian Government Cloud, Isolated Cloud, HIPAA 준수 환경, 그리고 특정 정부·금융 서비스 고객은 수집 대상에서 완전히 제외된다. 하지만 이런 환경을 갖추려면 대부분 엔터프라이즈급 비용이 필요하다.

Rovo AI는 뭐길래 — Atlassian의 AI 전략

Rovo와 Rovo Dev

이번 데이터 수집의 목적은 Atlassian의 AI 제품인 Rovo와 Rovo Dev의 성능 향상이다. Rovo는 Confluence와 Jira 전반에 걸쳐 검색, 요약, 자동화 기능을 제공하는 AI 어시스턴트다. Rovo Dev는 개발 워크플로에 특화된 버전으로, 코드 리뷰 지원과 이슈 분류 자동화 등을 담당한다.

Atlassian 입장에서는 고객 데이터로 모델을 미세 조정해야 각 조직에 맞춤화된 검색·추천 결과를 제공할 수 있다. 문제는 그 과정에서 고객의 명시적 동의 없이 옵트인(opt-in)이 아닌 옵트아웃(opt-out) 방식을 택했다는 점이다.

SaaS 업계의 데이터 활용 트렌드

Atlassian만의 문제가 아니다. 2026년 들어 주요 SaaS 기업들이 기존 고객 데이터를 AI 학습에 활용하려는 움직임이 가속화되고 있다. Salesforce, Notion, Slack 등도 유사한 정책을 검토 중이거나 이미 시행하고 있다. 차이점은 투명성과 통제권의 수준이다. Atlassian의 경우 요금제에 따라 거부 권한 자체가 제한된다는 점에서 비판의 강도가 높다.

지금 당장 해야 할 것 — 실무 대응 가이드

8월 17일 전 체크리스트

첫째, 현재 사용 중인 Atlassian 요금제를 확인하라. 무료·스탠다드라면 인앱 데이터 수집 설정을 수동으로 비활성화해야 한다. 관리자 설정(Admin Settings) > 데이터 공유(Data Sharing) 메뉴에서 조정할 수 있다. 둘째, Jira 이슈나 Confluence 문서에 고객 개인정보, NDA 대상 정보, 내부 보안 관련 내용이 포함되어 있다면 별도 감사를 진행하라. 셋째, 엔터프라이즈 플랜 업그레이드를 검토하거나, 대안 도구(Linear, Notion, GitHub Issues 등) 전환을 고려하라.

한국 기업 특화 고려사항

한국 개인정보보호법상 제3자 제공 시 정보주체 동의가 필요하다. Jira 이슈에 고객명, 연락처, 민원 내용 등이 포함된 경우 Atlassian의 AI 학습 활용은 법적 이슈가 될 수 있다. 정보보호 담당자와 법무팀 검토를 8월 전에 마무리할 것을 권한다.

관련 글

• AI Agents Conquered Every Enterprise — Then Chaos Hit
• How Anthropic Quietly Dethroned OpenAI
• 같은 날 같은 걸 냈다…OpenAI와 Google 사이에 무슨 일이?
• 개발자 뇌가 퇴화하는 진짜 이유…

출처

1. gHacks — Atlassian Will Collect Jira and Confluence Data by Default to Train AI Models
2. kepano (X) — Atlassian data policy opt-out deadline August 17, 2026
3. byteiota — Atlassian AI Training Data Default: Opt-Out by Tier (2026)