Não é possível habilitar o CodeQL em um repositório privado

Confirme se GitHub Advanced Security está habilitado

Em GitHub, acesse a página principal do repositório.
Abaixo do nome do repositório, clique em Configurações. Caso não consiga ver a guia "Configurações", selecione o menu suspenso , clique em Configurações.
Na seção "Segurança" da barra lateral, clique em Segurança de código e análise.
Role a tela até "GitHub Advanced Security".
Se houver um botão Habilitar associado e ativo, GitHub Advanced Security estará disponível nesse repositório, mas ainda não estará habilitado.
Se o uso de GitHub Advanced Security for bloqueado por uma política, o botão Habilitar ficará inativo e o proprietário da política será listado.

Nas configurações de "GitHub Advanced Security", clique no nome da empresa para exibir uma lista de usuários com acesso a fim de editar a política de controle de acesso ao GitHub Advanced Security. Para obter mais informações, confira "Como impor políticas para segurança e análise de código na empresa".
Siga a política de solicitação de acesso a recursos adicionais de sua empresa.