Цей матеріал для тих, хто ухвалює ризикові рішення, а не обирає фічі. Закупівельники, юристи та фахівці з безпеки ставлять чотири питання перед релізом: хто платить, якщо згенерований код спричиняє IP-претензію? Де живуть промпти? Що бачать адміни в логах? Скільки насправді коштує 500 місць? Ми прочитали чинні умови GitHub Copilot, AWS Kiro, Cursor, Devin і Windsurf. Кожен термін звірено з офіційними сторінками станом на 26 вересня 2026 року. Це репортаж, а не юридична порада. Остаточні умови перевірте з вашим юристом.
Хто платить, якщо згенерований код спричиняє IP-претензію?
Коротко: Copilot дає безлімітне індемніті для немодифікованого виводу. Kiro покриває авторські претензії до виводу. Cursor прямо включає «Пропозиції» і виносить індемніті за межі ліміту зборів. Cognition виключає «Виводи» з індемніті стандартних умов і обмежує відповідальність.
Почнімо з брендів. П’ять брендів — це насправді чотири контракти. Cognition придбала Windsurf і 2 червня 2026 року перейменувала редактор на Devin Desktop. Devin і Windsurf тепер сидять на одній таблиці цін і в одному наборі умов. Це важливо для єдиної стратегії закупівлі.
По суті, у GitHub Copilot ключова зміна відбулася 3 квітня 2026 року. Раніше одна вимога в адмінці могла обнулити покриття, тепер вимога фільтра дублювання знята. Обмеженням лишається «немодифікований» вивід. Більшість коду змінюють перед мерджем, тож уточнюйте у юристів, коли правки виводять його поза покриття.
У AWS Kiro індемніті успадковано від AWS для генеративних сервісів. Воно без ліміту для авторських претензій до виводу, якщо ваші входи не порушують права і ви не вимикаєте фільтри. Безкоштовний рівень не покривається. Cursor у своїй MSA прямо називає «Пропозиції» і знімає індемніті з 12-місячного ліміту зборів. Водночас виключення діють, якщо позов спричинила модифікація або несанкціоноване поєднання, якщо фільтри вимкнені, або ви знали про ймовірне порушення.
Cognition — виняток. У MSA «Дані Клієнта» включають «Виводи», а «Дані Клієнта» виключені з індемніті. Отже, згенерований код поза стандартною обіцянкою. Суперліміт — удвічі від зборів за останні 12 місяців. На самосервісних платних рівнях індемніті діє лише для платних користувачів і має нижчий кап: більший із 6 місяців зборів або 100 доларів США. Будь-яке розгортання Devin чи Devin Desktop на підприємстві вимагає правок через замовлення.
«uncapped IP indemnification for unmodified outputs» і «Kiro offers indemnity for its output» — саме так описані межі двох ключових продуктів.
Де зберігаються промпти і як ними керувати?
У Copilot для Business і Enterprise промпти з IDE-чату й доповнень не зберігаються. Інші поверхні — github.com, мобільні застосунки і CLI — тримають промпти 28 днів. Дані взаємодії користувачів зберігаються два роки. Комерційні плани не йдуть у тренування. Для резидентності даних Enterprise Cloud дозволяє фіксувати інференс у США або ЄС, з надбавкою +10% до AI-кредитів і вужчим списком моделей.
У AWS Kiro за сторінкою захисту даних контент підприємства ніколи не використовують для поліпшення сервісу. Його зберігають у регіоні, заданому у вашому профілі Kiro. Інференс лишається в США або Європі, за винятком експериментальних моделей. Адміни можуть шифрувати дані ключами KMS під контролем клієнта. Це критично, коли безпека вимагає власного управління секретами.
Cursor з увімкненим Privacy Mode має нульові угоди зберігання з усіма провайдерами моделей і не тренується на вашому коді. Вміст файлів кешується тимчасово та шифрується ключами, згенерованими на клієнті. На публічних сторінках немає опції вибору регіону обробки клієнтом. Проте кожен запит все одно проходить через бекенд Cursor, тож цей шар лишається в ланцюжку обробки.
У Cognition MSA забороняє тренування на Даних Клієнта без письмової згоди. Customer Dedicated Deployment запускає devbox Devin у одноорендному VPC, з’єднаному через AWS PrivateLink. Водночас шар міркувань агента працює у хмарі Cognition. На самосервісних платних рівнях Cognition може тренуватися на Даних Клієнта, доки клієнт не відмовиться. У Teams відмовитися може лише адмін. Це варто врахувати для політик даних.
«IDE: not retained. Other surfaces: 28 days.» — такий баланс між зручністю і політикою зберігання в Copilot.
Що реально бачать адміни та як працює аудит?
У GitHub Copilot журнал аудиту на підприємстві фіксує події Copilot з міткою action:copilot. Активність агента йде як actor:Copilot і зберігається 180 днів. GitHub прямо вказує: промпти, надіслані локально, в аудит не потрапляють. Адміни також задають політики моделей, прев’ю-функцій та витрат. Це дозволяє поєднати контроль з приватністю.
В AWS Kiro є SSO через IAM Identity Center, Okta або Entra ID. Адміни можуть ввімкнути логування промптів та щоденні звіти активності. Обидва потрапляють у S3-бакет у межах акаунта клієнта AWS. Таким чином записи промптів залишаються під вашим контролем і в межах вашої юрисдикції даних.
Cursor у Teams дає SAML або OIDC SSO, командний Privacy Mode і аналітику використання. Але журнали аудиту, SCIM, контроль доступу до репозиторіїв і моделей та API відстеження AI-коду вимагають рівня Enterprise. Це означає, що повний набір корпоративних важелів з’являється лише у кастомному контракті.
У Cognition Teams доступна адмін-панель з аналітикою. SAML або OIDC SSO, централізовані адмін-контролі та VPC-розгортання — лише на Enterprise. Enterprise API відкриває ендпоінти журналів аудиту. Якщо вам потрібні суворі сліди подій та ізоляція мережі, розглядайте тільки Enterprise.
Скільки насправді коштує 500 місць на місяць і на рік?
Спискові ціни вказані за місяць у доларах США, до надлишкового використання і податків. Для Copilot Business $19 за місце означають $9 500 на місяць або $114 000 на рік за 500 місць. Але SAML SSO і резидентність даних потребують GitHub Enterprise Cloud. Тому реальна ціна часто дорівнює $40 за місце ($20 000/міс, $240 000/рік) або $60 з Copilot Enterprise ($30 000/міс, $360 000/рік) і 3 900 AI-кредитів на місце замість 1 900.
Для AWS Kiro Pro $20 за місце дають $10 000 на місяць і $120 000 на рік при 500 користувачах. У пакеті 1 000 кредитів на користувача, додаткові — по $0,04 за штуку. Рівні самосервісу покривають команди до 500 користувачів. Pro+ за $40 подвоює кредитний ліміт до 2 000 на користувача, індемніті таке саме, як у Pro. Це найпростіша траса до індемніті з SSO та журналами промптів у власному S3.
Cursor Teams коштує $40 за місце, тобто $20 000 на місяць або $240 000 на рік при 500 місцях. Проте бракує журналів аудиту і SCIM на цьому рівні. Enterprise — лише за кастомним прайсом, тож бюджет треба погоджувати окремо. Якщо ваші вимоги включають повний аудит і централізоване управління доступами, готуйтеся до переговорів.
У Cognition Teams (Devin, Devin Desktop) ціна $40 за місце плюс $80 командної плати. Але цей рівень обмежено 200 користувачами і має денні та тижневі квоти. Для 500 місць потрібен Enterprise з індивідуальним ціноутворенням. Пам’ятайте: над усіма місцями сидять два лічильники. З 1 червня 2026 року GitHub перевів Copilot на AI-кредити, де 1 кредит = $0,01. Kiro бере $0,04 за додатковий кредит, а «овериджі» в ентерпрайзі вимкнено за замовчуванням. Команди з важким агентним навантаженням мають моделювати саме використання, а не тільки місця.
Що покласти в RFP і як підсумувати ризики?
У RFP попросіть кожного вендора письмово підтвердити, чи лишається відредагований або повністю агентний код у межах індемніті. Для Cognition запропонуйте викреслити виключення «Дані Клієнта» щодо «Виводів» і підняти ліміт із 2x. Для Copilot уточніть, чи купуєте за умовами GitHub чи Microsoft Product Terms, бо керівний документ відрізняється. Вимагайте регіональних зобов’язань прямо в замовленні, а не лише на сторінці налаштувань.
Рахуйте 12 місяців агентного використання за реальним міксом моделей, а не тільки за «рядком місць». Пам’ятайте, що у Copilot індемніті без ліміту діє для немодифікованого виводу і без вимоги фільтра з 3 квітня 2026 року. Kiro — найдешевший шлях до індемніті, SSO і логів промптів під контролем клієнта на 500 місцях. Cursor називає «Пропозиції» у MSA і виносить індемніті за ліміт зборів. У Cognition стандартні умови виключають «Виводи», охоплюючи і Devin, і Windsurf.
Як перевіряти сценарії? Пройдіть кроками кейс індемніті, подивіться шлях промпта та порахуйте свої місця. Це допоможе побачити, де політика схлопується на правках коду, або де ланцюжок обробки виводить дані за бажаний регіон. Тільки так ви уникнете сюрпризів у продакшні.
І наостанок — це журналістське зведення умов на 26 вересня 2026 року, а не юридична порада. Перед підписанням проганяйте остаточні положення через вашу юридичну команду. Так ви переведете ризики в чіткі договірні зобов’язання й отримаєте контроль над даними.
На основі матеріалу source article.
