GitHub Copilot en entreprise

Risque de base

Faible 10

• Éditeur américain (États-Unis), soumis au Cloud Act +10

Avant de savoir comment vos équipes s'en servent. Dans Lanterne, il monte avec les comptes personnels, les données sensibles confiées, les droits accordés et le nombre de personnes, et descend quand l'entreprise l'autorise et l'encadre.

Ce que nous recommandons

• Microsoft vend une offre entreprise : la préférer aux comptes personnels, l'autoriser dans la charte, et vérifier ses conditions (entraînement sur vos données, conservation, hébergement).
• Il lit du code source : préciser dans la charte ce qui peut lui être confié, et préférer une offre qui n'entraîne pas ses modèles sur votre code.

Ce que disent les conditions de l'éditeur

• Certifications · Entreprise : Copilot Business et Enterprise inclus dans le dernier rapport SOC 2 Type 2 et dans le périmètre de la certification ISO 27001 de GitHub. source, lue le 23 octobre 2026
• Contrat de traitement (DPA) · Entreprise : GitHub agit surtout comme sous-traitant pour Copilot Business et Enterprise, encadré par son Data Protection Agreement (DPA). source, lue le 23 octobre 2026
• Durée de conservation · Entreprise : Business et Enterprise : saisies et sorties non conservées par défaut dans l'IDE et le CLI ; jusqu'à 28 jours pour les autres usages.
  Données d'usage : deux ans. Journaux de l'agent de codage : durée de vie du compte. source, lue le 23 octobre 2026
• Entraînement sur vos données · Gratuite : Depuis le 24 avril 2026, les interactions Copilot Free, Pro et Pro+ peuvent servir à entraîner les modèles, sauf refus dans les paramètres.
  Annoncé le 25 mars 2026. Ceux qui avaient déjà refusé gardent ce choix. source, lue le 23 octobre 2026
• Entraînement sur vos données · Individuelle payante : Offres individuelles (Free, Pro, Pro+, Max) : prompts, suggestions et extraits de code utilisables pour l'entraînement ; refus possible dans les paramètres. source, lue le 23 octobre 2026
• Entraînement sur vos données · Équipe : GitHub n'utilise pas les données de Copilot Business ou Copilot Enterprise pour entraîner des modèles.
  Couvertes par le Data Protection Agreement de GitHub. source, lue le 23 octobre 2026

Comment Lanterne le repère

• Dans le navigateur, par le réseau (DNS, proxy, pare-feu) : copilot-proxy.githubusercontent.com.
• Par programme, quand une application appelle api.githubcopilot.com, githubcopilot.com.
• Sur les notes de frais et relevés de carte, à son libellé.
• Quand il est autorisé avec un compte Microsoft ou Google, ou installé comme extension.
• Par le questionnaire anonyme, qui dit à quoi il sert et avec quelles données.