GitHubは2026年10月8日、Copilot code reviewに組織課金と外部Copilotライセンス制御を追加しました。管理者が見るべき論点は2つです。レビュー費用を個人のCopilot枠で消費するのか、リポジトリ所有組織のAI Creditsに寄せるのか。そして、個人契約や別組織のライセンスを持つユーザーにレビュー依頼を許可するのかです。
この記事では、Copilot code reviewを使っている開発組織向けに、課金元、権限制御、予算上限、30日PoCの確認順を整理します。API対応やBalanced effortの既定値ではなく、10月8日に追加された課金・ライセンス制御だけに絞ります。
Copilot code reviewの運用設計やAI開発体制で迷う場合は、GitHub権限・予算・レビュー対象リポジトリを棚卸ししたうえで相談できます。
何が変わる？今回の発表の要点
今回の変更は、レビュー精度ではなく運用統制の更新です。GitHub Changelogでは、組織オーナーがCopilotライセンスを持つメンバーのcode review利用分を、本人のCopilot entitlementではなく、リポジトリ所有組織のコストセンターに課金できるようになったと説明されています。
もう1つは外部ライセンスの制御です。既定では、有料Copilotライセンスを持ち、対象リポジトリにアクセスできる人はレビューを依頼できます。新設定を有効にすると、組織またはEnterpriseが提供したCopilotライセンスを持つ承認済みユーザーに限定できます。
仕様表：Member課金とOrganization課金の違い
課金設定にはMemberとOrganizationの2つがあります。Memberは既定値で、レビュー依頼に関連するメンバー本人のCopilot entitlementを消費します。本人の枠や予算が尽きるとレビューは失敗します。小規模チームや個人単位で利用量を見たい場合は、このままでも運用できます。
Organizationを選ぶと、リポジトリを所有する組織側にCopilot code reviewの利用分を寄せられます。この設定にはAI Credits paid usageの有効化が必要です。部署別・プロダクト別にレビュー費用を管理したい企業では、組織課金のほうが監査しやすくなります。
GitHub Docsでは、code reviewのAI credits消費はモデル利用量や処理トークン数に依存し、レビュー本体のAI creditsと、agentic capabilitiesに使われるGitHub Actions minutesの2種類のコスト要素があると説明されています。
外部ライセンス制御：個人ライセンスをどう扱うか
外部Copilotライセンスとは、リポジトリを所有する組織またはEnterpriseが提供したものではないCopilotライセンスです。個人契約のCopilotや、別組織から付与されたCopilotが該当します。既定では、こうした外部ライセンスでもレビュー依頼が可能です。
新しい「Only allow Copilot code review to be triggered by authorized users」を有効にすると、承認されていないユーザーにはCopilotがレビュアー候補として出ず、API経由のレビュー要求も開始されません。組織レベルで有効にした場合、リポジトリ管理者が個別に無効化できません。
管理者チェックリスト：まず見るべき5項目
1つ目は、直近30日のレビュー依頼者です。社員、外部委託者、Bot、Copilot cloud agent由来のどれが多いかを確認します。2つ目は、AI Creditsの予算上限です。組織課金に切り替えるなら、月次上限とアラートを先に決めます。
3つ目はautomatic reviewの対象です。自動レビューを有効にしているリポジトリでは利用量が増えやすくなります。4つ目はLiteとBalancedの既定値です。セキュリティ感度の高いリポジトリはBalanced、日常的な小変更はLiteという使い分けが現実的です。
5つ目は、外部ライセンスを許可する範囲です。委託先にも個人Copilotでレビュー依頼を許可するのか、組織提供ライセンスだけに絞るのかを明文化します。重要リポジトリでは承認済みユーザーだけに限定する運用が説明しやすくなります。
30日PoC：小さく試す手順
最初の1週間は、3〜5リポジトリを選び、現状のレビュー依頼数、PRサイズ、失敗したレビュー、AI Credits消費を記録します。この時点では設定を変えず、Member課金のまま基準値を作ります。2週目にOrganization課金を1組織だけで有効化し、予算上限に近づいたときの挙動を確認します。
3週目は外部ライセンス制御を限定的に試します。業務委託者が多いリポジトリではレビュー依頼が止まる可能性があるため、対象ユーザーと代替手順を先に通知します。4週目は、レビュー失敗率、平均PRレビュー回数、AI Credits、Actions minutesを1枚の表にまとめます。
FAQ
Q. Organization課金にすれば、ライセンスを持たない人も使えますか？ A. それだけでは使えません。GitHub Docsでは、ライセンスなしメンバー向けの利用にはAI credits paid usageと、ライセンスなしメンバー利用を許可するサブポリシーの有効化が必要と説明されています。
Q. 外部ライセンス制御を有効にすると何が起きますか？ A. 承認されていない人にはCopilotがレビュアー候補として出ず、API review requestも開始されません。個人リポジトリでは、所有者または直接のコラボレーターだけがレビューを依頼できます。
Q. どの組織から切り替えるべきですか？ A. 自動レビューが多い組織、外部委託者が多い組織、AI Creditsの説明責任が重い組織から始めるのが安全です。全社一括ではなく30日PoCで差を見てから広げましょう。
まとめ：費用と権限を分けて設計する
今回の更新では、Member課金とOrganization課金は費用の帰属先を決める設定で、外部ライセンス制御は誰がレビューを起動できるかを決める設定です。管理者は、この2つを分けて設計する必要があります。
まずは30日間、対象リポジトリを絞ってレビュー依頼数、AI Credits、Actions minutes、外部ユーザーの依頼数を測りましょう。そのうえで、重要リポジトリは承認済みユーザーに限定し、費用は組織予算に寄せる運用に移すと説明責任を持ちやすくなります。
