Activer Copilot dans Microsoft 365 : que vérifier avant ?
Voir un exemple de dossier rempli (gratuit, 32 pages) →
Partages, étiquettes, contrat, réunions Teams, tableaux de bord, CSE et AI Act : ce qu’une PME doit régler avant ses premières licences Microsoft Copilot.
À jour au 17 septembre 2026 — AI Act & PME
Avant d’attribuer la première licence, vérifiez surtout qui peut ouvrir quoi. Microsoft Copilot (nouveau nom de Microsoft 365 Copilot) ne contourne pas les droits d’accès : il peut retrouver et résumer ce que chaque utilisateur peut déjà voir dans ses e-mails, Teams, SharePoint et OneDrive, sauf protections ajoutées par l’entreprise (chiffrement, DLP, découverte restreinte). Un dossier de paie partagé par erreur avec toute l’entreprise devient trouvable en une question. Côté données, Microsoft agit comme sous-traitant, s’engage à ne pas entraîner ses modèles de fondation sur vos contenus et garde le trafic des utilisateurs européens dans son périmètre européen, avec deux exceptions à connaître. Le reste vous revient : informer les salariés, consulter le CSE avant le pilote dès 50 salariés, encadrer les résumés de réunion et les tableaux de bord qui peuvent servir à contrôler l’activité, prendre des mesures de maîtrise de l’IA. Copilot n’est pas, en soi, un système d’IA à haut risque.
Check-list gratuite. Faites le point en 15 minutes sur les 10 points AI Act et RGPD à vérifier dans votre PME. Ouvrir la check-list →
Ce que Copilot voit réellement
Attention aux noms. Selon la documentation de Microsoft mise à jour le 18 août 2026, Microsoft 365 Copilot s’appelle désormais Microsoft Copilot, et Microsoft 365 Copilot Chat, Microsoft Copilot Chat ; certains écrans gardent l’ancien nom. Cet article vise la licence Microsoft Copilot (ou Microsoft Copilot Business, réservée aux abonnements Business jusqu’à 300 utilisateurs et dotée des mêmes fonctionnalités selon Microsoft), qui interroge les contenus de l’entreprise ; Copilot Chat, inclus sans supplément dans les abonnements éligibles, s’appuie sur le web et sur ce que l’utilisateur lui fournit, sans chercher de lui-même dans les contenus de l’entreprise ; il peut toutefois accéder aux e-mails, à l’agenda et à certains fichiers de l’utilisateur dans Outlook, ou à des contenus internes via des agents payants à l’usage. Les offres sont comparées dans ChatGPT, Copilot, Gemini : quelle offre pour vos données ?
Copilot s’appuie sur les contenus de Microsoft Graph : e-mails, conversations, documents, agenda, réunions. Selon Microsoft, il ne fait apparaître que ce que l’utilisateur a au moins le droit de consulter ; à vous de régler les autorisations.
Le risque n’est pas une faille, mais une surexposition (« oversharing ») soudain visible. Un dossier partagé avec « Tout le monde sauf les utilisateurs externes », un lien « Anyone » oublié : autant de contenus qu’un salarié n’aurait jamais cherchés, et que Copilot peut citer en réponse à une question anodine. Microsoft l’écrit lui-même : par défaut, SharePoint règle le partage sur l’option la plus permissive.
C’est d’abord un sujet RGPD : l’article 32 impose une sécurité adaptée au risque, compte tenu notamment de « l’accès non autorisé » aux données. Des bulletins de paie accessibles à tous ne passent pas ce test, avec ou sans Copilot.
Le document est gratuit. Vous n’avez pas à le rédiger. Le modèle de politique d’usage de l’IA reprend les neuf clauses d’une politique d’usage, déjà rédigées. Vous saisissez votre raison sociale, vos outils autorisés et votre responsable désigné ; le document se met en forme, vous l’imprimez ou vous l’enregistrez en PDF. Sans installation, sans compte à créer.
Essayer le modèle — remplir et voir le document →
ou recevoir le modèle complet, gratuitement
Gratuit. Une adresse email suffit pour le recevoir.
Les données : ce que Microsoft s’engage à faire
Contrat. L’usage professionnel de Microsoft Copilot et de Copilot Chat relève du Products and Services Data Protection Addendum (DPA) et des Product Terms, Microsoft agissant comme sous-traitant (article 28 du RGPD). La dernière version du DPA, du 22 mai 2026, existe en français.
Entraînement. Prompts, réponses et données consultées via Microsoft Graph ne servent pas à entraîner les modèles de fondation. Les retours facultatifs des utilisateurs peuvent servir à améliorer Copilot, pas ces modèles.
Localisation. Pour les utilisateurs de l’Union, le trafic reste dans la limite de données de l’UE (EU Data Boundary). Deux exceptions : les requêtes de recherche web envoyées à Bing, pour lesquelles Microsoft est responsable de traitement indépendant et que ni le DPA ni cette limite ne couvrent ; et les modèles d’Anthropic, actuellement exclus de la limite. Leur réglage général est désactivé par défaut dans l’Union, mais un réglage distinct, qui fait d’Anthropic le modèle par défaut de Copilot dans Word, Excel et PowerPoint, est activé par défaut pour les environnements Microsoft 365 de l’Union créés après le 25 mars 2026 ; pour les plus anciens, Microsoft renvoie au centre de messages.
Conservation. Prompts et réponses sont stockés. L’administrateur peut fixer leur durée de conservation dans Microsoft Purview et les rechercher avec l’eDiscovery ; chaque utilisateur peut supprimer son historique, mais ce qui s’affiche à l’écran ne reflète pas fidèlement ce qui est conservé.
Selon la fonction
| Fonction | Point de vigilance | Mesure |
|---|---|---|
| Copilot dans Word, Outlook, PowerPoint, Excel | Travaille sur le fichier ouvert, où qu’il soit stocké, et peut interroger le web ; erreurs plausibles | Usages autorisés écrits, relecture humaine avant envoi, recherche web ouverte ou fermée par la stratégie « Allow web search in Copilot » |
| Recherche dans les documents de l’entreprise (Copilot en mode travail, Copilot Search) | Surexposition : tout contenu mal partagé devient trouvable, RH et finance compris | Audit des partages, découverte de contenu restreinte le temps de corriger, chiffrement par étiquette ou DLP |
| Résumé de réunion Teams | Propos des salariés conservés ; avec le réglage par défaut, Copilot ne fonctionne qu’avec une transcription enregistrée | Valeur de la stratégie de réunion choisie, outil annoncé aux participants, durée de conservation fixée |
| Transcription | Trace de qui a dit quoi, réutilisable pour contrôler ou évaluer ; AIPD probable si systématique | Transcription au cas par cas, finalité écrite, aucun usage disciplinaire non annoncé |
| Tableaux de bord d’usage (rapport d’utilisation Copilot, Copilot Dashboard de Viva Insights, audit Purview) | Activité suivie par salarié ; prompts et réponses consultables par les administrateurs habilités (eDiscovery, DSPM for AI) : moyen de contrôle de l’activité possible | Noms masqués, taille minimale de groupe, liste courte des personnes habilitées, CSE consulté (L. 2312-38) |
| Agents (agents dans Copilot, agents tiers, Channel Agent in Teams) | Conditions propres à chaque agent tiers ; l’agent de canal peut résumer des éléments que certains membres du canal ne peuvent pas ouvrir | Liste d’agents autorisés dans le centre d’administration, agent de canal désactivé si besoin, inscription au registre |
Salariés et CSE : ce qu’impose le Code du travail
Copilot n’est pas un outil de surveillance, mais plusieurs fonctions renseignent sur chaque salarié : prompts, transcriptions, rapports d’usage. Dans sa fiche du 9 juillet 2026 sur le contrôle de l’activité des personnes employées, la CNIL pose trois conditions cumulatives : justification et proportionnalité, passage devant les représentants du personnel, information des salariés. Elle rappelle qu’une surveillance permanente est en général jugée excessive.
Informer chaque salarié, quel que soit l’effectif : « Aucune information concernant personnellement un salarié ne peut être collectée par un dispositif qui n’a pas été porté préalablement à sa connaissance » (article L. 1222-4). Précisez ce qui est conservé, combien de temps et par qui c’est consultable.
Rester proportionné. Aucune restriction aux droits des salariés qui ne soit justifiée par la tâche et proportionnée au but (article L. 1121-1). Parcourir les prompts d’un salarié sans motif précis serait difficile à justifier.
Consulter le CSE dès 50 salariés sur « l’introduction de nouvelles technologies » (article L. 2312-8, II, 4°) et, « préalablement à la décision de mise en œuvre », sur les moyens permettant un contrôle de l’activité des salariés (article L. 2312-38). Un tableau de bord d’usage ou l’accès aux prompts peuvent en relever s’ils permettent de suivre des personnes.
Consulter avant le pilote. Le 14 février 2025, dans une décision de première instance rendue en référé et connue par le commentaire du cabinet Capstan (n° 24/01457), le tribunal judiciaire de Nanterre a suspendu le déploiement d’outils d’IA jusqu’à la fin d’une consultation du CSE que l’employeur avait engagée : une phase « pilote » où un logiciel était déjà ouvert à tous les salariés constituait, selon lui, une première mise en œuvre. Le tribunal ne s’est pas prononcé sur le caractère obligatoire de la consultation. Seuils et procédure : Charte IA et CSE : faut-il le consulter, et comment ?
Une analyse d’impact (AIPD) n’est pas systématique pour un assistant comme Copilot, mais la décision est à documenter. Elle devient probable si vous transcrivez systématiquement les réunions ou exploitez des données d’usage individuelles : la liste de la CNIL vise la surveillance constante de l’activité des employés. Dans ses questions-réponses du 18 juillet 2024, la CNIL estime que la mise en œuvre d’un système d’IA générative doit être précédée d’« une analyse des risques et d’une stratégie de gouvernance claire » ; elle recommande d’associer le délégué à la protection des données et, le cas échéant, de réaliser une AIPD. Méthode : Outil d’IA : quand l’AIPD est-elle obligatoire ?
AI Act : ce qui s’applique vraiment
Pas de haut risque par défaut. Copilot est un assistant généraliste. Pour l’emploi, l’annexe III vise les systèmes destinés au recrutement ou aux décisions sur la relation de travail, notamment pour « suivre et évaluer les performances et le comportement » des personnes (point 4, b). Microsoft dit d’ailleurs restreindre, dans certains scénarios, les évaluations de la performance ou de l’état émotionnel d’un salarié tirées de ses communications. Utiliser Copilot pour noter ou classer des salariés change l’analyse : voir Évaluer ses salariés avec l’IA : ce qui est permis.
Article 26 : seulement pour un usage à haut risque. Les obligations du déployeur (notice, contrôle humain, journaux, information des représentants des travailleurs et des salariés) ne visent que les systèmes à haut risque, et s’appliqueront pour ceux de l’annexe III à partir du 2 décembre 2027.
Article 4 : la maîtrise de l’IA, dès maintenant. Depuis le règlement (UE) 2026/1744, entré en vigueur le 27 juillet 2026, les déployeurs « prennent des mesures pour favoriser le développement de la maîtrise de l’IA par leur personnel ». Le texte précise que cette obligation ne les contraint pas « à garantir un niveau spécifique de maîtrise de l’IA par un individu ». Pour Copilot : expliquer ce qu’il retrouve, pourquoi vérifier ses réponses, ce qu’on ne lui demande pas. Voir Former ses salariés à l’IA : ce qu’exige l’article 4.
Article 50 : selon ce que vous publiez. Depuis le 2 août 2026, une image, un son ou une vidéo générés avec Copilot et constituant un hypertrucage (pouvant passer pour authentique) doivent être signalés. De même pour un texte généré par IA et publié pour informer le public sur des questions d’intérêt public, sauf si le texte a fait l’objet d’une relecture humaine ou d’un contrôle éditorial et qu’une personne physique ou morale assume la responsabilité éditoriale de sa publication. Un texte interne, non publié, n’est pas visé par cette seconde obligation.
Avant d’activer : 7 vérifications
Cartographier les partages. Dans le centre d’administration SharePoint, lancez l’évaluation de la gestion de contenu (Content Management Assessment) et les rapports de gouvernance de l’accès aux données : partages avec toute l’organisation, liens de partage, sites accessibles par utilisateur. Corrigez d’abord RH, paie, direction et juridique. Selon Microsoft, ces fonctions de SharePoint Advanced Management sont accessibles dès qu’une licence Microsoft Copilot est attribuée, mais sa page de prérequis ne cite pas les abonnements Business : faites confirmer par votre revendeur.
Protéger ce qui doit l’être. Une étiquette de confidentialité ne bloque pas Copilot à elle seule : il ne restitue un contenu chiffré que si l’utilisateur a le droit d’extraction (EXTRACT, « copier »), et une stratégie de protection contre la perte de données (DLP) de Microsoft Purview peut l’empêcher de résumer les éléments portant certaines étiquettes. L’étiquette d’un site n’est pas héritée par ses fichiers. En attendant, la découverte de contenu restreinte (Restricted Content Discovery) limite la remontée d’un site dans Copilot sans modifier ses droits ; Restricted SharePoint Search, l’ancienne solution, ne peut plus être activée depuis le 31 juillet 2026. Attention aux licences : selon la description de service de Microsoft Purview, la stratégie DLP qui empêche Copilot de traiter des fichiers et e-mails n’est incluse ni dans les abonnements Microsoft 365 Business ni dans Microsoft 365 E3 (il faut E5 ou un module Purview), et l’étiquetage manuel n’y est cité, côté Business, que pour Business Premium. Faites vérifier ce que couvre votre abonnement.
Trancher les exceptions. Décidez si la recherche web reste ouverte : sans configuration de la stratégie « Allow web search in Copilot », elle reste en principe disponible. Vérifiez l’état des modèles tiers dans le centre d’administration Microsoft 365 (Copilot, Paramètres, « AI providers operating as Microsoft subprocessors ») : certains sont actifs par défaut. Les modèles OpenAI exploités par OpenAI le sont depuis le 24 juillet 2026 pour les clients éligibles, dans la limite de données de l’UE ; ceux d’Anthropic, qui en sortent, peuvent l’être dans Word, Excel et PowerPoint. Les modèles d’Anthropic relèvent en principe du DPA de Microsoft, Anthropic agissant comme sous-traitant, sauf les modèles « with Data Retention », désactivés par défaut et soumis aux conditions d’Anthropic. Arrêtez la liste des agents autorisés.
Fixer la conservation et l’accès aux interactions. Activez l’audit, fixez (si votre licence le permet : Microsoft ne cite que les combinaisons E3 ou E5 avec Copilot) une durée de conservation des prompts et réponses dans Purview et limitez les personnes habilitées à les consulter. Microsoft indique, à propos de ses outils de conformité Purview, que ces interactions peuvent être suivies pour chaque utilisateur : un moyen de contrôle potentiel de l’activité.
Choisir le réglage des réunions Teams. Dans les stratégies de réunion, le paramètre Copilot vaut par défaut « Activé avec transcription enregistrée requise » (On with saved transcript required) : Copilot n’y fonctionne qu’avec une transcription conservée. La valeur « Activé » (On) propose par défaut l’option « Uniquement pendant la réunion », sans transcription sauvegardée, les prompts et réponses pouvant toutefois être conservés selon vos règles Purview. Information des participants : Enregistrer et résumer une réunion avec l’IA : les règles.
Encadrer les tableaux de bord. Dans le rapport d’utilisation de Copilot du centre d’administration Microsoft 365, les noms sont masqués par défaut, mais un administrateur peut les afficher : laissez-les masqués sauf besoin documenté. Sur ses pages d’adoption et d’impact, le Copilot Dashboard de Viva Insights ne présente des mesures par groupe que pour les groupes atteignant une taille minimale : 10 personnes par défaut, et au moins 5 si vous la modifiez depuis le centre d’administration Microsoft 365. Écrivez à quoi servent ces chiffres (suivre l’adoption, pas évaluer quelqu’un) et qui les voit.
Informer, consulter, documenter. Note d’information aux salariés, CSE consulté dès 50 salariés, registre des traitements et registre des systèmes d’IA, politique d’usage à jour, AIPD si nécessaire.
Pendant le pilote
Un petit groupe, une durée fixée. Microsoft recommande lui-même un pilote restreint et un plan de communication. Si le CSE doit être consulté, il l’est avant.
Chercher ce qui ne devrait pas sortir. Faites poser par une personne habilitée (administrateur ou DPO, tenue à la confidentialité), plutôt que par les testeurs eux-mêmes, des questions sensibles : salaires, licenciement, arrêt maladie, projet de cession. Un document inattendu signale un partage à corriger : ne le diffusez pas, corrigez l’accès. Vérifiez ensuite, avec l’audit Purview comme le conseille Microsoft, que les contenus restreints ne remontent plus.
Former avant d’ouvrir la licence. Une courte session : ce que Copilot retrouve, erreurs plausibles, relecture, données à ne pas saisir, usage en réunion. Gardez une trace datée.
Tenir un journal. Réponses erronées, contenus sensibles découverts, questions des salariés : la base de votre décision.
Mesurer sans surveiller. Questionnaire aux testeurs et indicateurs agrégés, pas de classement individuel des utilisateurs.
Après le pilote
Élargir par vagues, service par service, en retirant la découverte de contenu restreinte une fois les droits corrigés.
Refaire l’évaluation. Microsoft suggère de relancer l’évaluation de la gestion de contenu tous les 30 jours : de nouveaux partages excessifs apparaissent en continu.
Suivre chaque nouveauté. Nouvel agent, nouveau modèle, nouvelle fonction de réunion, parfois activés par défaut (surveillez le centre de messages) : chacun peut justifier de revoir le registre, l’AIPD ou l’information du CSE.
Idées reçues
« Copilot donne accès à des documents confidentiels. » Non, en principe. Il ne montre que ce que l’utilisateur peut déjà ouvrir : un document sensible qu’il trouve était déjà accessible. Exception signalée par Microsoft : l’agent de canal Teams peut résumer des éléments que certains membres du canal ne peuvent pas ouvrir.
« Une étiquette “Confidentiel” suffit. » Non. Sans chiffrement qui retire le droit de copie ni stratégie DLP, Copilot peut résumer le document pour toute personne autorisée à l’ouvrir.
« Microsoft entraîne son IA avec nos documents. » Non, selon ses engagements : prompts, réponses et données Graph ne servent pas à entraîner les modèles de fondation. Les requêtes envoyées à Bing relèvent d’autres règles (Microsoft y est responsable de traitement), mais les Product Terms prévoient qu’elles ne servent pas non plus à entraîner les modèles de fondation.
« Moins de 50 salariés : rien à faire côté personnel. » Non. En principe, pas de consultation du CSE sur ces sujets, mais l’information préalable des salariés et la proportionnalité valent pour toutes les entreprises.
Le modèle de politique d’usage — gratuit
Les neuf clauses d’une politique d’usage de l’IA, déjà rédigées. Vous saisissez votre raison sociale, vos outils autorisés et votre responsable désigné ; le document se met en forme, vous l’imprimez ou vous l’enregistrez en PDF. Sans installation, sans compte à créer.
Gratuit. Une adresse email suffit pour le recevoir.
Le kit de conformité — 199 €
Le kit vous aide à inscrire Microsoft Copilot dans votre registre des systèmes d’IA, à fixer ses usages autorisés dans votre politique d’usage de l’IA et à informer le personnel par la note d’information.
Vous renseignez votre raison sociale et la liste de vos outils. Vous choisissez vous-même la catégorie de risque de chaque usage — interdit, haut risque, risque limité, risque minimal, ou « Je ne sais pas encore — à faire vérifier » — à l’aide d’un rappel des règles. Le kit met ensuite en forme votre politique d’usage de l’IA, dont les neuf clauses sont complétées avec les informations que vous avez saisies, votre registre des systèmes d’IA, votre journal des usages sensibles et votre note d’information au personnel.
Pas encore prêt ? Faites l’auto-diagnostic en 3 minutes ou commencez par la check-list AI Act gratuite : 10 points à vérifier en 15 minutes.
La newsletter. Un numéro tous les quinze jours : une question de conformité IA traitée avec les textes applicables et leurs dates, chaque affirmation sourcée. Gratuite, sans publicité. Lire le premier numéro — « Le premier risque de l’IA en entreprise n’est pas européen ».
À lire ensuite
Sources
Microsoft Learn — Data, Privacy, and Security for Microsoft Copilot (mise à jour le 18 août 2026, en anglais ; traduction automatique en français)
Microsoft Learn — Enterprise data protection in Microsoft Copilot and Microsoft Copilot Chat et Data, privacy, and security for web search in Microsoft Copilot and Microsoft Copilot Chat (mises à jour le 18 août 2026, en anglais)
Microsoft — Products and Services Data Protection Addendum (DPA) (version du 22 mai 2026 ; page consultée le 17 septembre 2026)
Microsoft Learn — Anthropic models in Microsoft Online Services (mise à jour le 10 septembre 2026, en anglais)
Microsoft Learn — Copilot in Microsoft 365 apps with Anthropic models et OpenAI as a subprocessor in Microsoft Online Services (en anglais, consultées le 17 septembre 2026)
Microsoft Learn — License options for Microsoft Copilot (18 août 2026) et Set up Microsoft Copilot and assign licenses (consultée le 17 septembre 2026), en anglais
Microsoft Learn — Configure a secure and governed foundation for Microsoft Copilot (en anglais, consultée le 17 septembre 2026)
Microsoft Learn — Préparez-vous pour Microsoft Copilot avec la gestion avancée de SharePoint (20 août 2026), Restrict discovery of SharePoint sites and content (15 septembre 2026), Restricted SharePoint Search, SharePoint Advanced Management features in Microsoft Copilot licenses et Prerequisites for SharePoint Advanced Management (18 août 2026)
Microsoft Learn — Considerations for Microsoft Purview to manage Microsoft 365 Copilot and Channel Agent in Teams for security and compliance (30 juin 2026), Microsoft Purview data security and compliance protections for Microsoft 365 Copilot and other generative AI apps et Learn about retention for Copilot & AI apps (consultée le 17 septembre 2026), en anglais
Microsoft Learn — Gérer Microsoft Copilot dans les réunions et événements Teams (consultée le 17 septembre 2026)
Microsoft Learn — Microsoft Copilot Usage Report (18 août 2026) et Manage settings for the Microsoft Copilot Dashboard (consultée le 17 septembre 2026), en anglais
Légifrance — Code du travail : article L. 1121-1 et article L. 1222-4 (en vigueur depuis le 1er mai 2008), article L. 2312-8 (depuis le 25 août 2021), article L. 2312-38 (depuis le 1er janvier 2018)
Règlement (UE) 2016/679 (RGPD), articles 28, 32 et 35, texte publié par la CNIL (consulté le 17 septembre 2026)
CNIL — Travail, ressources humaines : le contrôle de l’activité des personnes employées (9 juillet 2026)
CNIL — Les questions-réponses de la CNIL sur l’utilisation d’un système d’IA générative (18 juillet 2024)
Règlement (UE) 2024/1689 (AI Act), version consolidée au 27 juillet 2026 intégrant le règlement (UE) 2026/1744 : articles 3, 4, 26, 50 et 113, annexe III (consulté le 17 septembre 2026)
Capstan — Consultation du CSE et IA : un juge des référés ordonne la suspension du projet ! (25 mars 2025), sur TJ Nanterre, 14 février 2025, n° 24/01457
Rédigé par Adrien Bano, fondateur d’IA en Règle. Nous ne sommes pas avocats : cet article a été préparé avec l’aide d’outils d’IA et vérifié sur les textes officiels cités.
Cet article a un but d’information générale, établi d’après les textes en vigueur au 17 septembre 2026 ; il ne constitue pas un conseil juridique.
