GitHub Copilot en entreprise : licences, formation et gouvernance

GitHub Copilot est l'assistant de code de GitHub : il travaille dans l'éditeur, sur GitHub.com et en ligne de commande, et n'a rien à voir avec la licence Microsoft 365 Copilot qui sert Word, Outlook ou Teams. En entreprise, on le déploie avec une formule Copilot Business (19 dollars par siège et par mois) ou Copilot Enterprise (39 dollars), parce que seules ces formules donnent les politiques d'organisation, l'exclusion de contenu et les journaux d'audit. Une formation GitHub Copilot utile apprend surtout à relire, tester et sécuriser ce que l'outil produit, pas à écrire des prompts plus longs.

GitHub Copilot ou Microsoft 365 Copilot : quelle différence ?

Les deux produits partagent un nom, pas un usage. Microsoft classe GitHub Copilot parmi les offres licenciées indépendamment, sans licence Microsoft 365 Copilot requise. Notre page formation Copilot, consacrée à Microsoft 365 Copilot, traite donc d'un autre sujet que celui-ci.

Pour le volet bureautique, notre page pilier sur Microsoft Copilot en entreprise détaille les licences et les prérequis.

Quelles formules GitHub Copilot existent en octobre 2026 ?

GitHub propose sept formules. La consommation se mesure en GitHub AI Credits : un crédit vaut 0,01 dollar, et le coût d'une interaction dépend du modèle et des jetons consommés. Les complétions de code et les « next edit suggestions » ne sont pas décomptées et restent illimitées sur les formules payantes.

Trois points comptent pour une DSI. D'abord, les crédits Business et Enterprise sont mutualisés : 100 sièges Business donnent un pool de 190 000 crédits, et l'usage au-delà est facturé 0,01 dollar le crédit. Ensuite, l'usage payant au-delà du pool est activé par défaut ; pour l'interdire, un administrateur doit désactiver la politique « AI credits paid usage ». Enfin, Copilot n'est pas disponible pour GitHub Enterprise Server : une forge hébergée en interne ne suffit pas.

Point sous-estimé : les données. Selon la FAQ de GitHub, les interactions des abonnés individuels (Free, Pro, Pro+) peuvent servir à entraîner ses modèles, sauf s'ils s'y opposent dans leurs paramètres. GitHub déclare ne pas utiliser les données Business et Enterprise pour l'entraînement. Un développeur qui travaille sur le code de l'entreprise avec son abonnement Pro personnel sort donc du cadre que vous croyez maîtriser.

Mode agent, cloud agent : qu'est-ce qui change ?

GitHub distingue deux agents. Le mode agent fonctionne dans l'IDE : il lit les fichiers, modifie plusieurs fichiers et lance des commandes dans l'environnement local du développeur, qui valide le résultat. Il est inclus dans toutes les formules, y compris Free.

Le Copilot cloud agent (anciennement « coding agent ») travaille en arrière-plan dans un environnement cloud éphémère, à partir d'une issue ou d'une conversation, puis propose une pull request. GitHub encadre ce fonctionnement par défaut :

• seuls les utilisateurs ayant un droit d'écriture sur le dépôt peuvent le déclencher ;
• il ne pousse que sur une branche copilot/ et reste soumis aux protections de branche ;
• ses pull requests en brouillon doivent être relues et fusionnées par un humain, et la personne qui a lancé la tâche ne peut pas l'approuver ;
• les workflows GitHub Actions ne tournent qu'après approbation ;
• son accès à Internet est restreint par un pare-feu, et il contrôle son code avec CodeQL, le secret scanning et la base d'avis de sécurité de GitHub.

Les organisations peuvent aussi activer des agents tiers, Anthropic Claude et OpenAI Codex, sur les mêmes dépôts. La logique de déploiement rejoint celle que nous décrivons pour Claude Code dans une banque : périmètre restreint, revue humaine obligatoire, traces conservées.

Formalisez les traces attendues dans un registre de preuves des actions d’un agent pour pouvoir relier une modification de code à sa demande, ses permissions et sa validation.

Quels réglages d'administration activer avant d'ouvrir les licences ?

Dans les paramètres Copilot de l'organisation, les onglets Policies et Models décident de ce que les utilisateurs peuvent faire. Dans une entreprise, les politiques se fixent d'abord au niveau de l'entreprise ; si un utilisateur reçoit une licence de deux organisations configurées différemment, c'est en général la politique la moins restrictive qui s'applique. Vérifiez ce point avant d'empiler les attributions.

• Fonctionnalités et agents : décidez explicitement pour Copilot CLI, le cloud agent, la revue de code, les serveurs MCP et les fonctionnalités en préversion. Le cloud agent peut être ouvert à une liste précise d'organisations.
• Modèles autorisés : activez modèle par modèle et fixez la politique de disponibilité par défaut des nouveaux modèles, sinon chaque sortie peut s'ouvrir sans arbitrage.
• Filtre de code public : la politique « Block suggestions matching public code » bloque les suggestions qui reproduisent du code public ; à défaut, la référence affiche le dépôt d'origine et sa licence. GitHub indique que l'indemnisation en propriété intellectuelle couvre les suggestions non modifiées lorsque ce filtrage est activé. C'est une question contractuelle : faites-la valider par votre juriste, cet article ne constitue pas un conseil juridique.
• Exclusion de contenu : propriétaires d'organisation et administrateurs de dépôt peuvent rendre des fichiers invisibles pour Copilot. Lisez les limites : la fonction n'est pas prise en charge dans les modes Edit et Agent de VS Code, ne s'applique pas aux liens symboliques et peut laisser passer des informations sémantiques fournies par l'IDE. Elle ne remplace pas un coffre à secrets.
• Journaux d'audit : ils enregistrent les changements de politiques, les attributions de licences et l'activité des agents sur GitHub.com, mais pas les prompts envoyés localement. Ils sont conservés 180 jours ; diffusez-les vers votre SIEM.
• Budgets : plafonds par utilisateur, par centre de coûts et par entreprise, pour éviter qu'une poignée de sessions d'agent n'épuise le pool.

Ces réglages relèvent d'une démarche plus large : voir les sept bonnes pratiques de gouvernance des agents IA.

Que doit couvrir une formation GitHub Copilot utile ?

L'erreur classique consiste à former à l'outil : raccourcis, démonstration, prompts spectaculaires. En production, ce qui compte est la discipline autour du code généré :

• Revue de code assistée : lire une pull request produite par un agent, exiger des explications, savoir quand refuser. La revue Copilot donne un deuxième avis, pas l'approbation.
• Tests : faire écrire les tests avant ou avec le code, vérifier qu'ils échouent quand il le faut, ne pas laisser l'agent ajuster le test au code.
• Sécurité et dépendances : contrôler chaque dépendance ajoutée, lire les alertes de code scanning, connaître les limites de l'exclusion de contenu.
• Secrets : jamais de clé dans un prompt ni dans un fichier ouvert, gestion par variables protégées et secret scanning.
• Contexte et prompts : instructions personnalisées au niveau du dépôt et de l'organisation, fichiers de prompts partagés, découpage des tâches confiées à un agent.
• Limites : code public et licences, choix du modèle selon la tâche, coût en crédits d'une longue session d'agent.

Un parcours sérieux s'adapte à la pile technique et aux règles internes, comme nos formations IA sur mesure.

Comment mesurer l'adoption sans métriques vaniteuses ?

GitHub fournit un tableau de bord sur 28 jours, des API et un export brut. Les données arrivent sous deux jours complets, dépendent de la télémétrie de l'IDE et excluent Copilot Chat sur GitHub.com et GitHub Mobile.

Deux indicateurs sont piégeux. Le taux d'acceptation mesure qu'une suggestion a été prise, pas qu'elle était juste. Les lignes de code ajoutées, que GitHub présente lui-même comme une vue « directionnelle », récompensent le volume. Plus parlants :

• les cohortes d'adoption proposées par GitHub, qui distinguent l'utilisateur occasionnel de celui qui délègue des tâches à des agents ;
• le délai de fusion des pull requests, lu à côté de vos propres signaux de qualité : retours arrière, incidents, alertes de sécurité ;
• la consommation de crédits par équipe, rapportée au budget ;
• les sièges inactifs, à réattribuer.

Questions fréquentes

Faut-il une licence Microsoft 365 Copilot pour utiliser GitHub Copilot ? Non. Microsoft classe GitHub Copilot parmi les produits licenciés indépendamment, qui ne nécessitent pas de licence Microsoft 365 Copilot (Premium). Les deux se gèrent dans des consoles distinctes.

Copilot Business ou Copilot Enterprise : lequel choisir ? Business coûte 19 dollars par siège et par mois avec 1 900 crédits IA par utilisateur, Enterprise 39 dollars avec 3 900 crédits. Les deux incluent cloud agent, revue de code, politiques d'organisation, exclusion de contenu et journaux d'audit. Enterprise suppose GitHub Enterprise Cloud ; le choix se fait surtout sur le volume d'usage d'agents attendu.

Les développeurs peuvent-ils utiliser leur abonnement Copilot Pro sur le code de l'entreprise ? C'est déconseillé. Les formules individuelles n'offrent ni politiques d'organisation, ni exclusion de contenu, ni indemnisation, et GitHub peut utiliser leurs interactions pour l'entraînement sauf opposition. L'abonnement individuel est d'ailleurs annulé dès l'attribution d'un siège Business ou Enterprise.

Les journaux d'audit enregistrent-ils les prompts des développeurs ? Non. Ils tracent les changements de licences, de politiques et l'activité des agents sur GitHub.com, pendant 180 jours. Les prompts envoyés depuis l'IDE ou la CLI n'y figurent pas ; il faut une solution spécifique pour les collecter.

Sources

• Plans for GitHub Copilot — formules, prix, crédits IA et fonctionnalités par formule
• GitHub Copilot · Plans & pricing — FAQ sur l'indemnisation et l'usage des données pour l'entraînement
• Usage-based billing for organizations and enterprises — mutualisation des crédits, usage payant activé par défaut, budgets
• GitHub Copilot policies for enterprises and organizations — hiérarchie et conflits de politiques
• Content exclusion for GitHub Copilot — périmètre et limites de l'exclusion de contenu
• Reviewing audit logs for GitHub Copilot — contenu et durée de conservation des journaux
• Risks and mitigations for GitHub Copilot cloud agent — garde-fous du cloud agent
• What is Microsoft Copilot? — périmètre de Microsoft 365 Copilot et licence indépendante de GitHub Copilot