Activer Copilot n’est pas magique : contrats, licences, autorisations et gouvernance Purview dans Microsoft 365 (Doublage IA)

On entend souvent qu'il suffit d'activer Microsoft Copilot pour que la magie opère. C'est une erreur. En l'activant, vous connectez un grand modèle de langage au cœur des données de votre entreprise : Copilot associe les grands modèles de langage à votre contenu Microsoft Graph et aux applications Microsoft 365 que vous utilisez chaque jour. E-mails, discussions, documents : tout circule comme données d'entrée.

La vraie question n'est donc pas de savoir si cela fonctionne, mais ce que vous venez de libérer dans votre tenant. Quatre piliers sont en jeu : les contrats, les licences, la protection des données et la gouvernance technique. En oublier un, c'est construire un labyrinthe sans carte. Voyons comment ils s'articulent.

Contrats Microsoft 365 et Copilot : les règles du jeu sont écrites avant le premier clic

La console d'administration ressemble à un tableau de bord puissant, mais le véritable câblage se trouve dans les textes juridiques. Copilot est régi par les conditions de produits Microsoft et par l'addendum sur la protection des données (DPA). Ces documents définissent la résidence des données, les engagements de traitement et les obligations de confidentialité. Avant même d'activer une option, le contrat a déjà fixé le cadre.

Les conditions de produits déterminent ce que vous avez le droit de faire, où vos données peuvent être stockées et, surtout, à qui appartiennent les résultats générés par Copilot. Le DPA établit les contrôles de confidentialité, notamment autour du RGPD, et définit le rôle de Microsoft en tant que sous-traitant. Ces cadres ne sont pas des slogans de conformité : ils sont contraignants. Les ignorer ne vous dispense pas de les respecter, cela augmente seulement le risque de non-conformité.

Vous pouvez configurer avec soin vos étiquettes de rétention, vos politiques de chiffrement et vos permissions : si ces mesures ne s'alignent pas sur les engagements du DPA et des conditions de produits, vous restez exposé. Les contrats sont les obligations, les contrôles techniques sont les mécanismes d'application.

Données d'entreprise, entraînement du modèle, résidence et propriété des résultats

Microsoft entraîne-t-il son modèle avec vos données ?

C'est une crainte fréquente. La réponse contractuelle est non : les prompts, les réponses et les données Microsoft Graph utilisés par Copilot ne sont pas réinjectés dans les modèles de base de Microsoft. Cela est formalisé à la fois dans les conditions de produits et dans le DPA. Vos e-mails ne servent pas de matériau d'entraînement.

Où résident les données ?

La résidence des données n'a rien d'abstrait, et les régulateurs l'appliquent avec clarté. Les requêtes Copilot des clients de l'UE sont limitées à la frontière des données de l'UE. En dehors de l'UE, les requêtes peuvent transiter par des centres de données situés dans d'autres régions du monde. Tout cela est détaillé dans les conditions de produits.

Qui possède les résultats ?

Les contenus générés par Copilot, par exemple une présentation, vous appartiennent par défaut : les conditions de produits prévoient que le système d'IA renonce à toute revendication sur la propriété intellectuelle. Enfin, les notifications de violation de données, l'audit et le rôle de sous-traitant figurent dans le DPA.

Pour résumer par une image : les contrats sont le schéma de câblage d'un réseau électrique. Copilot n'est pas une simple prise, mais une partie de ce réseau, et l'interrupteur d'administration n'en est que le point de branchement final. Identité, permissions, chiffrement et rétention fonctionnent en aval de ce cadre.

Licences Copilot et contrôle d'accès basé sur les rôles (RBAC) : une licence n'est pas un passe-partout

Beaucoup voient la licence comme une clé magique. Or une licence Copilot ressemble plutôt à un permis de construire accompagné d'un videur : le permis définit ce qui peut exister, le videur contrôle qui passe. Les licences activent les fonctionnalités de Copilot, mais Copilot ne fait apparaître que les données auxquelles l'utilisateur a déjà accès via Microsoft Graph. Les autorisations sont appliquées par l'identité de votre tenant, et le RBAC reste en vigueur.

Copilot est un complément au plan Microsoft 365 existant : il n'est pas inclus dans les offres standards et doit faire l'objet d'une souscription. Attribuer une licence n'accorde pas de permissions, cela donne simplement la fonctionnalité dans Word, Excel, Outlook et le reste de la suite. Certaines fonctions exigent en outre des licences supplémentaires, comme Purview pour les contrôles de conformité ou les modules Defender pour la sécurité. Lancer Copilot sans connaître ces dépendances, c'est bâtir sur un échafaudage posé sur de la gélatine.

Le risque d'une distribution large sans contrôle des accès

Si vous distribuez largement des licences sans vérifier le RBAC, les utilisateurs pourront interroger tout ce à quoi ils ont déjà accès. Le stagiaire ne devient pas administrateur global, mais il peut faire remonter des documents sensibles laissés ouverts par erreur. Nul besoin d'intention malveillante : une barre de recherche et un accès hérité trop large suffisent.

Deux organisations illustrent la différence. La première applique l'« équité » : mêmes licences, même accès pour tous. Copilot plonge alors dans les bibliothèques de contrats, les dossiers RH et les fils d'e-mails de la direction, trop partagés par accident. La seconde aligne les licences sur les besoins et définit des zones strictes : la finance reste dans la finance, le marketing dans le marketing. Les utilisateurs trouvent Copilot tout aussi intelligent, mais il ne fait que refléter une architecture de l'information disciplinée.

Pensez aux licences comme à des passeports et aux rôles comme à des visas : ensemble, ils structurent les frontières.

Exposition des données : Copilot reflète vos permissions, pas celles de Microsoft

Microsoft 365 Copilot puise son contenu via Microsoft Graph et ne présente que les éléments pour lesquels l'utilisateur dispose au moins de droits de lecture. Il ne contourne pas les autorisations : il les reflète. Si les bibliothèques de votre équipe sont ouvertes à tous, Copilot les intégrera dans ses résumés ; si votre SharePoint est exposé par négligence, ces données apparaîtront dans ses brouillons. Copilot ressemble à un bibliothécaire à la mémoire parfaite : le classeur déverrouillé au sous-sol, que les humains oublient, il ne l'oublie pas.

Étiquettes de sensibilité

Les étiquettes de sensibilité ne sont pas décoratives. Lorsqu'une étiquette impose un chiffrement ou nécessite des droits d'extraction, Copilot ne traite le contenu que si l'utilisateur possède à la fois les droits de lecture et d'extraction. Sinon, il est bloqué. Les étiquettes sont aussi héritées : si Copilot génère une présentation à partir d'un fichier sensible, l'étiquette et ses protections s'appliquent automatiquement, sans intervention humaine.

Cadre réglementaire et résidence

Les régulateurs s'intéressent aux surfaces d'accès. Si votre configuration permet à des données personnelles d'apparaître via Copilot, votre conformité est compromise. Pour les clients européens, Microsoft achemine le traitement de Copilot via la limite de données de l'UE lorsque c'est nécessaire, mais les recherches web effectuées sur Bing ne sont pas couvertes par les garanties de la zone de données UE : elles suivent une politique de gestion des données distincte.

Persistance des invites et des réponses

Les invites, réponses et journaux d'activité de Copilot sont stockés dans la limite de services Microsoft 365, où rétention et suppression peuvent être gérées avec Purview, via la recherche de contenu et les politiques de rétention. Ils ne servent pas à entraîner les modèles de base.

Pour réduire le rayon d'impact : auditez les permissions, supprimez les groupes « tout le monde », puis lancez les évaluations Purview DSPM pour l'IA afin de repérer les fichiers et bibliothèques oubliés dans le partage excessif. Attention : Purview est un filtre, et un filtre ne fonctionne que si les données sont correctement classifiées au départ.

Admin center, Purview et Defender : un seul moteur de conformité

Cocher une case dans le centre d'administration Microsoft 365 revient à dire à un système de conformité intégré comment se comporter. Chaque outil a son rôle :

• Admin center : le système de contrôle du tenant. Il gère les attributions de licences, les paramètres de Copilot au niveau du tenant et l'activation des plugins.
• Purview : le contrôle douanier. Il classifie, étiquette et inspecte ce qui transite par Microsoft Graph, applique la rétention, déploie la DLP, identifie les risques avec le DSPM pour l'IA et consigne les actions dans des pistes d'audit.
• Defender : le bras armé de l'application. Microsoft Defender for Endpoint assure l'application à l'exécution, les alertes et la DLP sur les terminaux, bloque des actions risquées comme coller des données sensibles dans des outils d'IA tiers et interrompt le contenu Copilot lorsque les règles l'exigent.

Ces outils se chevauchent en permanence. Sans les étiquettes de Purview, le contenu circule sans classification ; sans Defender, les violations passent entre les mailles du filet. Si un utilisateur se plaint que Copilot est « en panne » parce que Defender a coupé une sortie contenant des numéros de compte classés restreints, ce n'est pas un bug : c'est la politique en action.

Gouvernance Copilot en pratique : les erreurs à éviter

Les politiques sur papier sont fragiles : on les diffuse, on organise une réunion, on proclame la victoire, et elles disparaissent sous les e-mails non lus. Une gouvernance qui n'est pas pilotée par le système n'en est pas une. Dire aux utilisateurs de ne pas partager de fichiers sensibles avec Copilot a autant de pouvoir dissuasif qu'un Post-it sur une assiette de biscuits.

Stolpersteine courants

• Voir la licence comme une clé magique plutôt que comme une fonctionnalité soumise au RBAC.
• Donner à tous les mêmes licences et le même accès, au nom de l'équité.
• Considérer admin center, Purview et Defender comme des outils isolés ou facultatifs.
• Laisser le contenu non étiqueté ou mal étiqueté, ce qui rend le filtre Purview inopérant.
• Ignorer les contrats (DPA, conditions de produits) et la résidence des données, y compris pour les recherches Bing.
• Compter sur la mémoire des employés plutôt que sur des règles appliquées par la plateforme.

La bonne approche consiste à encoder les règles dans la plateforme. Une politique DLP Purview ciblant l'emplacement de l'expérience Microsoft Copilot empêche Copilot de résumer ou de traiter un fichier hautement confidentiel, quelle que soit l'attitude de l'employé. L'étiquetage automatique et les étiquettes par défaut imposent la classification, les étiquettes de rétention appliquent des calendriers, la conformité des communications peut analyser les invites et réponses pour signaler des données inappropriées, et le DSPM pour l'IA trouve les données trop partagées avec des corrections en un clic. Ces outils n'exigent pas de la discipline : ils l'imposent.

La gouvernance a aussi une dimension organisationnelle : un conseil IA ou un centre d'excellence interfonctionnel, où juridique, sécurité, RH et informatique alignent les règles sur les contrôles techniques. Dans l'exemple de deux entreprises fictives, celle qui s'est contentée d'une directive d'une page a dû gérer une fuite après l'apparition de fichiers sensibles dans les résumés de Copilot, tandis que celle qui avait configuré Purview n'a rien eu à déplorer.

Les actions concrètes à mener dans votre tenant

• Avant de distribuer des licences, vérifier que le DPA et les conditions de produits sont bien documentés, et cartographier les engagements de résidence propres à chaque région.
• Attribuer les licences par groupe plutôt qu'une par une, avec RBAC, et auditer régulièrement l'appartenance aux groupes. Les licences Copilot ne s'étendent pas aux comptes invités interlocataires.
• Auditer les permissions et supprimer les groupes « tout le monde ».
• Activer la journalisation d'audit unifié dans Purview et le DSPM pour l'IA, puis appliquer les correctifs en un clic.
• Appliquer systématiquement les étiquettes de confidentialité, les associer à des politiques DLP Purview et à des règles de rétention pour les invites et réponses.
• Renforcer le périmètre avec l'accès conditionnel, l'authentification multifacteur et la DLP de Defender sur chaque appareil.
• S'appuyer sur la rétention, l'eDiscovery et la conformité des communications pour prouver l'application des règles et détecter les usages risqués.

Conclusion

Activer Copilot n'est jamais un simple geste d'activation de l'IA : c'est déclencher en même temps le droit, la politique et la sécurité. Copilot reflète fidèlement ce que vous avez construit : des permissions rigoureuses donnent des réponses disciplinées, le chaos donne du chaos. En vérifiant vos contrats, vos licences, vos accès et vos contrôles Purview, vous transformez l'IA d'une menace perçue en un levier fiable.