COPILOT AUDIT · AI ACT ART. 26 · NIS2 · BETA

Bewijs dat je Copilot-uitrol in orde is — zonder een tweede DPIA te schrijven.

Wij plukken seat-bezetting + audit-log uit GitHub's eigen admin API, hashen usernames bij ingest, en bundelen het maandelijks in een Ed25519-getekend evidence pack. Voor wanneer compliance of HR vraagt: 'wie heeft Copilot, wanneer geactiveerd, wanneer voor het laatst gebruikt, welke instellingen zijn er gewijzigd, door wie?'

Open in dashboard →Setup-gids

Waarom dit nodig is

Onder AI Act art. 26 ben je 'deployer' van een algemene AI — Copilot.

Als je bedrijf Copilot Business of Enterprise heeft, is GitHub de 'provider' van het AI-systeem (zij maakten het model), maar JIJ bent de 'deployer' (jij rolt het uit aan je medewerkers). Art. 26 legt deployers verplichtingen op:

Medewerkers informeren dat hun werk door AI ondersteund wordt (art. 26 lid 7).
Een logbook bijhouden van significant gebruik — niet elke autocomplete, maar wel seat-toewijzingen, beleids-wijzigingen, deactivaties (art. 26 lid 6).
Periodiek beoordelen of het gebruik nog in lijn is met de instructies van de provider.
Bij een ernstig incident: rapporteren binnen 15 dagen (art. 26 lid 5 verwijst naar art. 73).

Wij leveren de logging-input. Jij blijft verantwoordelijk voor het oordeel.

Hoe het werkt

Een PAT, één klik, een uur later eerste data.

Mint een GitHub PAT

In github.com → Settings → Developer settings → Fine-grained tokens. Scopes: manage_billing:copilot · read:audit_log · read:org. Geef hem 90 dagen (we waarschuwen 7 dagen voor expiry).

Plak in monsys

Dashboard → Copilot Audit → '+ Org verbinden'. Wij verifiëren direct of het token werkt (HTTP probe op /orgs/{org}). PAT wordt AES-256-GCM versleuteld voordat het in de DB landt — niet meer leesbaar via API.

Eerste pull binnen 1 uur

Onze worker draait elk uur: pull alle seats (snapshot), pull nieuwe audit-events (cursor-paginatie, alleen 'action:copilot.*'). Usernames worden SHA256-gehasht; alleen een 4-teken prefix blijft voor display.

Maandelijks evidence pack

Op de 1e van elke maand kan je een getekend evidence pack downloaden — gzipped tarball met seats.jsonl + events.jsonl + manifest.json + manifest.sig. Audit verifieert offline met je auditer, zelfde verifier als AI observability.

Wat we wel/niet bewaren

Privacy by default. Hashed by default.

WEL bewaard

SHA256-hash van GitHub username (deterministisch — zelfde user → zelfde hash)
Eerste 4 tekens van username + '…' voor display (jan…)
Plan-type (business / enterprise), assigning team, editor (VSCode/JetBrains), laatste activiteit timestamp
Audit-event type, occurred_at, gefilterde payload (zonder PII-velden)

NIET bewaard

Volledige username, e-mailadres, weergave-naam — gedropt bij ingest
Code-suggesties, prompts, completions — Copilot bewaart die zelf, niet wij
IP-adressen van waar Copilot wordt gebruikt — niet in GitHub's admin API
Welke files een dev open had — privé bij de dev, niet in audit-log

Pricing

€1 per seat per maand. Eerlijk en lineair.

Gebaseerd op het gemiddelde seat-aantal over de maand (dagelijkse snapshot, gemiddelde). Tenant zonder verbonden org betaalt niets. Tier 'Standard' van AI observability hoeft niet — Copilot Audit is een aparte add-on.

Voorbeeld: 30 seats in januari, 35 in februari → factuur jan €30, feb €35.

Maandelijks via dezelfde Stripe-factuur als je server-monitoring + AI observability. Aparte line item 'monsys.ai Copilot Audit — N seats × €1.00'.

Open dashboard →Volledige setup-gids in docs