GitHub、Copilot新機能の初期有効化方針を発表

米GitHubは公式Changelogにおいて、企業向けプラン「GitHub Copilot（GitHubが提供するAIプログラミング支援ツール） Business」および「GitHub Copilot Enterprise」を対象に、一般提供（GA（一般提供（Generally Available）の略称で本番稼働を意味する））される新機能やサポートクライアント機能を一括制御する新しいグローバルデフォルトポリシーを発表しました。発効日である2026年10月22日までの28日間は管理者がポリシーを事前設定できる猶予期間となります。

管理者が選択可能な3つの設定オプション

エンタープライズ管理者は、管理画面の「AI Controls」ページ配下にある「Copilot」サブページから「Default policy for new features」の項目を開き、組織の統制方針に合わせて以下の3種類から選択できます。

ポリシー設定	動作内容	適した組織
Enabled	現在および将来の対象GA機能が、一般ユーザーに対しデフォルトで利用可能になる	新機能を迅速に現場開発者へ展開したい企業
Disabled	現在の対象機能は無効のまま維持され、将来の新機能も管理者による個別の有効化承認が必要	セキュリティ審査や利用規定を厳格に管理する企業
Let organizations decide	企業（Enterprise）傘下の各組織（Organization）管理者が個別に有効・無効を判断する	部門やプロジェクトごとに開発環境の自由度を委譲したい企業

このポリシーは、エンタープライズの「Features & clients」ページで管理される対象機能群のほか、「Agents」ページ上のCopilot Code Reviewポリシーや、Copilot内のMCP（Model Context Protocol）サーバーポリシーなどにも適用されます。

10月22日の発効ルールと既存設定の保護

2026年10月22日にポリシーが正式発効した際の移行ルールとして、GitHubは以下の原則を定めています。

• ​未設定機能の自動適用​: 管理者が明示的に設定を行わず「Unconfigured（未設定）」のまま放置されていた対象機能について、選択したグローバルデフォルト（有効・無効・組織判断）が一律で適用されます。
• ​個別設定の保護​: 管理者が過去に明示的に「有効」または「無効」に設定した機能については、今回のグローバルポリシーによって上書きされることはありません。
• ​プレビュー機能の扱い​: パブリックプレビュー段階の実験的機能は引き続きオプトイン方式が維持されます。プレビュー期間中に明示的にオプトインしていた機能が後にGAへ昇格した場合は、その選択状態が維持されます。

独自価値の整理（日本の読者への影響と推奨アクション）

日本の情シス（情報システム部門）やセキュリティ管理者にとって、この変更は社内ガバナンスに直結する重要なマイルストーンとなります。

• 10月22日までの設定確認が必須​: 何も設定を行わない場合、GitHub側の標準設定方針に従って新機能（外部MCPサーバー接続やコードレビューエージェントなど）が一般開発者に意図せず開放されるリスクがあります。
• ​セキュリティ要件との整合​: 機密コードを扱う金融機関や受託開発企業など、外部AIエージェントのアクセスを制限している組織は、発効日前に「Disabled」を選択するか、個別の対象機能を精査して明示的な無効化設定を行っておく必要があります。

分析・展望

編集部注: AI開発支援ツールは機能追加のペースが極めて早く、新機能のロールアウトのたびに個別の管理設定を要求すると、機能の陳腐化や管理者のオーバーヘッドが増大します。今回のGitHubの施策は、積極的な自動展開を望むアジャイルな組織と、変更管理を厳格に行いたいエンタープライズの双面に対応した妥協点といえます。

特にMCPサーバーやエージェント機能など、外部システムと自律的に連携する機能が拡充される中で、デフォルトの挙動をガバナンスの起点に据える動きは今後の標準になるとみられます。

引用元：The GitHub Blog