Opérer Copilot de façon responsable

1.9 Responsible AI en entreprise

Dans une entreprise, l’usage responsable de Copilot ne concerne pas seulement les développeurs.

Il implique aussi :

• les admins GitHub ;
• les responsables sécurité ;
• les équipes compliance ;
• les tech leads ;
• les architectes ;
• les managers engineering.

Questions importantes à se poser

Avant de généraliser Copilot en entreprise :

• Quels utilisateurs ont accès à Copilot ?
• Quels repositories sont concernés ?
• Quels fichiers doivent être exclus ?
• Quelles policies doivent être appliquées ?
• Les développeurs sont-ils formés ?
• Les suggestions doivent-elles être revues ?
• Les logs d’audit sont-ils activés ?
• Les secrets sont-ils correctement protégés ?
• Les règles de code review sont-elles adaptées ?
• Les outputs IA peuvent-ils être utilisés dans ce contexte ?

Exemple entreprise

Une société possède un repository contenant :

/payment-system
/customer-data-export
/ml-fraud-detection
/internal-pricing-engine

Copilot peut être très utile, mais certains dossiers peuvent contenir :

• logique métier sensible ;
• règles anti-fraude ;
• données clients ;
• secrets ;
• algorithmes propriétaires.

Approche responsable :

• configurer les content exclusions ;
• limiter l’accès aux repos sensibles ;
• former les développeurs ;
• renforcer les reviews ;
• utiliser les policies Copilot ;
• surveiller via audit logs ;
• ne jamais copier-coller des données sensibles dans Copilot Chat.

1.11 Prompts responsables

Un prompt responsable est un prompt qui guide Copilot vers une réponse plus sûre, plus claire et plus contrôlée.

Mauvais prompt

Write an authentication system.

Trop vague.

Meilleur prompt

Write a secure authentication flow in Node.js using Express.
Use bcrypt for password hashing.
Use parameterized queries.
Do not hardcode secrets.
Store configuration in environment variables.
Include basic error handling.
Explain the security considerations.

Pourquoi c’est mieux ?

Parce que tu donnes :

• le langage ;
• le framework ;
• les contraintes de sécurité ;
• les mauvaises pratiques à éviter ;
• l’attente d’explication.

Exemple prompt pour cloud

Mauvais prompt :

Create an IAM policy for S3.

Meilleur prompt :

Create a least-privilege AWS IAM policy that allows read-only access to objects in a specific S3 bucket.
Avoid wildcard actions and wildcard resources.
Explain each permission.

Exemple prompt pour tests

Mauvais prompt :

Write tests for this function.

Meilleur prompt :

Write unit tests for this function using pytest.
Include normal cases, invalid inputs, boundary values, and edge cases.
Explain why each test is useful.

Exemple prompt pour refactoring

Mauvais prompt :

Refactor this code.

Meilleur prompt :

Refactor this code to improve readability and maintainability without changing behavior.
Keep the public function signatures unchanged.
Add comments only where they clarify non-obvious logic.