Copilot Code Review: API-Steuerung und drei Prüfmodelle

GitHub hat am 6. November 2026 eine ganze Reihe von Änderungen an Copilot Code Review veröffentlicht, also an der KI-Prüfung, die Copilot an deinen Pull Requests vornimmt. Drei Punkte sind für kleine Teams besonders interessant: Die Einstellungen lassen sich jetzt per API verwalten, Reviews zeigen ihre Kosten in AI Credits, und Kommentare legen offen, worauf sie sich stützen. Alle Angaben: Stand November 2026.

Was passiert ist

Laut GitHub-Changelog vom 6. November 2026 lassen sich die Einstellungen von Copilot Code Review jetzt über die REST- und die GraphQL-API steuern, von Enterprise-Richtlinien bis hinunter zum einzelnen Repository. Das Update gilt für die Tarife Copilot Pro, Pro+, Max, Business und Enterprise.

Dazu kommen mehrere sichtbare Änderungen (Changelog):

• Reviews mit der Stufe Balanced arbeiten jetzt mit drei Prüfmodellen. Ein weiteres Modell führt deren Ergebnisse zusammen.
• Sessions des Code-Review-Agenten zeigen die verbrauchten AI Credits eines Reviews an.
• Kommentare nennen die Skills, MCP-Server und Custom Instructions, die Copilot als Quellen gemeldet hat.
• Die Review-Übersicht ist kompakter: Ergebnisse stehen oben, Effort-Stufe und Umfragen wandern in eine Fußzeile.
• Die Repository-Regel „Automatically request Copilot code review“ bekommt eine Bypass-Liste. Wer darauf steht, bekommt keine automatischen Reviews.
• Fehlgeschlagene oder abgelaufene Reviews werden einmal automatisch wiederholt. Ist das bevorzugte Modell nicht verfügbar, kann Copilot auf ein anderes geeignetes Modell ausweichen.

Wie lässt sich Copilot Code Review per API steuern?

Was du per API einstellen kannst, hängt von der Ebene ab (Changelog, GitHub Docs):

Ebene	Was du steuern kannst
Enterprise	Code Review für alle Organisationen an- oder abschalten oder die Entscheidung den Organisationen überlassen
Organisation	Aktivierung, Standard-Effort-Stufe, Runner-Konfiguration. Vom Enterprise gesetzte Werte lassen sich nicht überschreiben
Repository	Effort-Stufe und ob Reviews Custom Instructions und MCP-Server nutzen

Die REST-API akzeptiert dieselben Effort-Stufen wie die Weboberfläche. Antworten auf Organisations- und Repository-Ebene listen auf, welche Stufen dir zur Verfügung stehen (Changelog).

Ein Haken bei der Anmeldung: Die Endpunkte für Enterprise und Organisation unterstützen weder GitHub Apps noch Fine-grained Personal Access Tokens. Repository-Endpunkte unterstützen beides. Zum Lesen brauchst du dort die Berechtigung Administration: read, zum Ändern Administration: write. Classic Personal Access Tokens brauchen Admin-Rechte am Repository (Changelog).

Was ändert sich bei den Prüfmodellen?

Die Dokumentation kennt drei Effort-Stufen (GitHub Docs):

• Lite: die Standardprüfung.
• Balanced: tiefere Analyse bei komplexer Logik, sicherheitsrelevantem Code und Änderungen über mehrere Services hinweg. Diese Stufe ist voreingestellt.
• Max: die gründlichste Prüfung mit mehreren Modellen, die auf starkes Schlussfolgern ausgelegt sind.

Neu ist, dass schon die voreingestellte Stufe Balanced drei Modelle parallel prüfen lässt und ein viertes deren Funde zusammenführt (Changelog). Welche Modelle das sind, nennt GitHub nicht. Wenn du wissen willst, wie Copilot an anderer Stelle Modelle selbst auswählt, findest du das in meinem Artikel zu Copilot Fusion und der automatischen Modellwahl.

Über eine Obergrenze („Maximum review effort“) kannst du außerdem festlegen, dass Repositories nicht über eine bestimmte Stufe hinausgehen (GitHub Docs).

Was kostet die automatische Review?

Konkrete Preise pro Review nennt GitHub in diesen Quellen nicht. Zwei Dinge sind aber dokumentiert:

Höhere Stufen kosten mehr. Balanced- und Max-Reviews verbrauchen mehr AI Credits als Lite und können etwas mehr GitHub-Actions-Minuten kosten (GitHub Docs).

Wer zahlt, ist einstellbar. In Organisationen läuft ein Review standardmäßig über das Copilot-Kontingent des Mitglieds. Ist das aufgebraucht, schlägt das Review fehl. Alternativ trägt die Organisation die Kosten. Dafür muss die bezahlte Nutzung von AI Credits aktiviert sein, ein Budget ist optional (GitHub Docs).

Neu ist, dass du die verbrauchten AI Credits jetzt direkt in der Review-Session siehst (Changelog).

Worauf stützt sich ein Review-Kommentar?

Copilot kann beim Prüfen auf Skills, MCP-Server und Custom Instructions zurückgreifen, also auf Zusatzwissen, angebundene Werkzeuge und eure eigenen Regeln. Kommentare zeigen jetzt an, welche davon Copilot als Quelle gemeldet hat. Wo die Metadaten vorhanden sind, steht auch die genutzte Effort-Stufe dabei. Außerdem sind Reviews und Kommentare von Copilot über eigene Attributionsfelder erkennbar (Changelog).

Was hinter Skills steckt, erkläre ich in Agent Skills wechseln zur Linux Foundation.

Dateien, die Copilot übersprungen oder wegen Content-Ausschlüssen nicht geprüft hat, stehen jetzt gesammelt unter „Files not reviewed“, mit Dateinamen und verlinktem Grund (Changelog).

Was es für dich bedeutet

Für kleine Teams heißt das vor allem: Du siehst, was eine Review kostet und worauf sie sich stützt.

Effort-Stufe bewusst wählen. Balanced ist voreingestellt und kostet mehr AI Credits als Lite. Schau dir die Credits in den ersten Sessions an und entscheide pro Repository: Für Login, Zahlungen oder Kundendaten lohnt sich die tiefere Prüfung eher als für eine Landingpage.

Abrechnung klären, bevor Reviews ausfallen. Läuft die Review über das Kontingent einzelner Mitglieder, schlägt sie fehl, sobald das leer ist. Wenn euch die automatische Prüfung wichtig ist, ist die Abrechnung über die Organisation mit einem Budget die verlässlichere Wahl.

Bypass-Liste nutzen. Bots oder Personen, deren Pull Requests keine automatische Review brauchen, kannst du jetzt ausnehmen. Das spart Credits. Wenn bei euch etwa Dependabot regelmäßig Pull Requests öffnet, hilft dir dazu mein Artikel zu Dependabot Agent Skills und Updates per Pull Request.

Kommentare gegen eure Regeln prüfen. Wenn ein Kommentar ausweist, welche Custom Instructions er genutzt hat, merkst du schneller, ob eure Regeln greifen oder ob Copilot sie ignoriert.

API nur, wenn du mehrere Repositories verwaltest. Für ein, zwei Projekte reicht die Weboberfläche. Die API lohnt sich, wenn du viele Repositories einheitlich einstellen willst. Beachte die Token-Grenzen: Auf Organisationsebene brauchst du einen Classic Token, Fine-grained Tokens funktionieren dort nicht.

Eine KI-Review ersetzt keinen Menschen, der versteht, was der Code tun soll. Sie findet aber Fehler, die beim schnellen Durchsehen untergehen. Und wenn du dir noch unsicher bist, welches Werkzeug du fürs Programmieren nimmst, findest du einen Überblick in Welche KI ist am besten zum Programmieren?

Quellen

• GitHub Changelog: Copilot code review: API management and review overview updates (6. November 2026)
• GitHub Docs: Configure Copilot code review

Häufige Fragen

Für welche Copilot-Tarife gilt das Update?

Laut GitHub-Changelog vom 6. November 2026 für Copilot Pro, Pro+, Max, Business und Enterprise.

Welche Review-Stufen gibt es bei Copilot Code Review?

Die Dokumentation nennt drei Stufen: Lite, Balanced und Max. Voreingestellt ist Balanced. Balanced und Max verbrauchen mehr AI Credits als Lite.

Kann ich Copilot Code Review mit einem Fine-grained Token per API steuern?

Nur auf Repository-Ebene. Die Endpunkte für Enterprise und Organisation unterstützen laut Changelog weder GitHub Apps noch Fine-grained Personal Access Tokens.

Wer zahlt die AI Credits für ein Copilot-Review in einer Organisation?

Standardmäßig das Copilot-Kontingent des Mitglieds. Ist es aufgebraucht, schlägt das Review fehl. Alternativ kann die Organisation die Kosten übernehmen, dafür muss die bezahlte Nutzung von AI Credits aktiv sein.