GitHub aktiviert neue Copilot-Funktionen künftig standardmäßig – Admins müssen jetzt entscheiden

GitHub ändert bei Copilot Business und Enterprise eine unscheinbare, aber wichtige Voreinstellung: Ab dem 22. Oktober 2026 folgen allgemein verfügbare und bislang nicht konfigurierte Funktionen einer globalen Standardrichtlinie. Diese steht zunächst auf "Enabled". Wer nichts ändert, kann damit neue oder bisher offene Copilot-Funktionen automatisch für Nutzer freischalten.

Das ist kein großes Modell-Release. Für Unternehmen ist es trotzdem eine der praktisch folgenreicheren Copilot-Änderungen dieser Woche. Denn GitHub verschiebt die Ausgangslage von bewusstem Freigeben zu laufendem Kontrollieren.

Was GitHub konkret ändert

Administratoren können die neue Richtlinie bereits unter den AI Controls konfigurieren. Zur Wahl stehen drei Varianten: Funktionen standardmäßig aktivieren, standardmäßig deaktivieren oder die Entscheidung an Organisationen delegieren. Wirksam wird die Richtlinie am 22. Oktober. Explizit gesetzte Einzelentscheidungen bleiben erhalten, Preview-Funktionen bleiben Opt-in.

Der Geltungsbereich ist breiter, als der Name vermuten lässt. Er umfasst nicht nur Funktionen auf der Seite "Features & clients", sondern auch die Richtlinie für Copilot Code Review und MCP-Server in Copilot. GitHubs Dokumentation sagt außerdem klar: Die neue Funktionsrichtlinie ist standardmäßig aktiviert. Unkonfigurierte, berechtigte Funktionen werden ohne Eingriff am Stichtag freigeschaltet.

Für Modelle existiert bereits eine eigene Default-Richtlinie. Bestimmte Ausnahmen bleiben unabhängig davon deaktiviert, darunter Pre-GA- und Open-Weight-Modelle sowie Modelle außerhalb bestimmter Datenhaltungsvereinbarungen. Das ist wichtig: Ein globales "Enabled" ist kein Freifahrtschein für alles, aber es ist auch keine fein granulare Governance.

Das eigentliche Thema ist der Betriebsmodus

GitHub optimiert auf schnelle Verfügbarkeit. Aus Produktsicht ist das nachvollziehbar: Nutzer bekommen neue allgemein verfügbare Fähigkeiten ohne jedes Mal auf einen Administrator warten zu müssen. In regulierten oder sicherheitssensiblen Umgebungen kehrt sich der Nutzen jedoch um. Dort sind neue Agentenfunktionen, Code Reviews oder MCP-Verbindungen nicht bloß Komfortoptionen, sondern zusätzliche Datenwege und Handlungsmöglichkeiten.

Die praktische Konsequenz lautet deshalb nicht pauschal "alles deaktivieren". Unternehmen sollten bewusst festlegen, welcher Standard zu ihrem Risikoprofil passt. Ein kleines Team mit kurzen Entscheidungswegen kann neue GA-Funktionen automatisch zulassen und Ausnahmen gezielt sperren. Größere Organisationen sollten eher "Disabled" oder "Let organizations decide" wählen und die Freigabe an klare Verantwortlichkeiten knüpfen.

Das passt zu zwei anderen Copilot-Entwicklungen dieser Woche: Die lokale Sandbox reduziert Risiken bei Agentenaktionen, ersetzt aber keine Richtlinien. Und OpenTelemetry macht Copilot-Agenten beobachtbarer, verhindert aber keine ungewollte Aktivierung. Sandbox, Telemetrie und Policy gehören zusammen: begrenzen, beobachten, freigeben.

Was Admins bis zum 22. Oktober tun sollten

Erstens: In den AI Controls prüfen, wie viele berechtigte Richtlinien noch auf "Unconfigured" stehen. Zweitens: Den globalen Default ausdrücklich setzen, statt die Produktvorgabe stillschweigend zu übernehmen. Drittens: Code Review und MCP separat bewerten, weil beide Funktionen über reine Vorschläge im Editor hinausreichen. Viertens: Einen festen Review-Takt für neue GA-Funktionen definieren.

Die Änderung ist ein Signal für die nächste Phase von KI-Werkzeugen im Unternehmen. Governance darf nicht mehr nur beim Einkauf oder beim ersten Rollout stattfinden. Wenn Plattformen Funktionen fortlaufend ergänzen, wird Konfigurationspflege zu einem dauerhaften Betriebsprozess.

Quellen: GitHub Changelog vom 24. September 2026 · GitHub-Dokumentation zur Standardverfügbarkeit

Hinweis: Dieser Beitrag wurde mit Unterstützung von KI erstellt und redaktionell geprüft.