GitHub Copilotの費用管理は、2026年6月1日のAI Credits移行で「席数管理」だけでは足りなくなります。内部監査で先に確認したいのは、誰にライセンスを割り当てたか、設定やポリシーをいつ変えたか、追加利用をどの単位で止めるか、そして証跡を180日より長く残せるかです。GitHub公式ドキュメントを基に、Copilot監査ログで追える範囲と、部門別配賦まで含めた実務の設計ポイントを整理します。
1. 2026年6月1日までに押さえるべき変更点
GitHubは2026年6月1日から、Copilot BusinessとCopilot Enterpriseをusage-based billingへ移行します。Businessは1ユーザーあたり月1,900 AI Credits、Enterpriseは3,900 AI Creditsが含まれ、請求単位は1 AI credit = 0.01米ドルです。既存契約ユーザーには2026年6月1日から9月1日まで、Business 3,000、Enterprise 7,000のプロモーション枠もあります。つまり監査観点では、席数の棚卸しに加えて、追加利用を許可するか、予算超過時に止めるかを事前に決める必要があります。
2. 監査ログで追えること
GitHubの監査ログには、Copilotプランの設定変更、ポリシー変更、ユーザーへのライセンス付与や剥奪、そしてGitHub上でのエージェント活動が残ります。検索では action:copilot でCopilot関連イベントを一覧でき、例として action:copilot.cfb_seat_assignment_created を使えば新規席割り当てを追跡できます。agenticな動作は actor:Copilot で絞り込め、agent_session_id や action、user を確認できます。内部監査では「誰が設定を変えたか」「誰に席を配ったか」「エージェントがどの操作を起こしたか」の3点を最低限の証跡として押さえると運用しやすいです。
3. 監査ログで追えないこと
一方で、GitHub公式は監査ログにクライアント側セッションデータは含まれないと明記しています。つまり、ローカルでユーザーがCopilotへ送ったプロンプトや応答全文は、標準の監査ログだけでは取れません。Copilot CLIのイベントを自社ログへ送るcustom hooksのような追加設計が必要です。この差を理解せずに「監査ログがあるから十分」と判断すると、内部監査で求められる利用証跡と、GitHub標準で取れる操作証跡を混同します。監査要件が厳しい企業ほど、標準ログで足りる範囲と、別途SIEMや社内ログで補う範囲を切り分けるべきです。
4. 部門別配賦は usage report と budget 階層で設計する
部門別配賦を監査可能にするには、監査ログだけでなくusage reportと予算階層を組み合わせます。GitHubのusage reportは1日・1ユーザー・1モデル単位で出力され、aic_quantity と aic_gross_amount が含まれます。これをもとに開発、QA、情シスなどの利用傾向を集計し、Enterprise-level、Organization-level、Cost-center-level、User-levelの4段階予算へ割り当てるのが実務的です。特にCost center budgetsがあるので、「部署別配賦の集計単位」と「予算超過時の停止単位」を同じ設計にすると、監査で説明しやすくなります。
5. 内部監査で使えるチェックリスト
実務では、(1) Copilotライセンスの付与・剥奪イベントを月次で確認しているか、(2) action:copilot と actor:Copilot の検索条件を手順書化しているか、(3) 180日を超える証跡保管のためにSIEMへストリーミングしているか、(4) 追加利用を許可する予算と停止ルールを部署単位で明文化しているか、(5) usage reportのCSVを内部監査または経理に共有できる粒度で残しているか、の5点を見れば十分です。AI Credits移行前にこの5項目を固めておけば、値上げ対応と内部統制を別々に進める無駄を減らせます。
GitHub Copilotの予算管理や監査手順を社内ルールまで落とし込みたい場合は、 AI・Claude研修のご相談はこちら 。利用ルール、ログ設計、部門別配賦の運用まで一緒に整理できます。
6. FAQ
Q. Copilotの監査ログだけで、ユーザーが何をプロンプトしたかまで追えますか。 A. いいえ。GitHub公式では、標準の監査ログにローカルのクライアントセッションデータは含まれないとされています。必要なら追加の社内ログ設計が必要です。
Q. 部門別配賦はどこから始めればよいですか。 A. まずusage reportでユーザー別・モデル別の実績を取り、次にcost center budgetsとuser-level budgetsのどちらで止めるかを決めるのが安全です。集計単位と停止単位をそろえると、経理と監査の説明が簡単になります。
