Microsoft Copilot et RGPD : les contrôles du DPO

Déployer Copilot dans Microsoft 365 peut rendre immédiatement exploitables des documents jusque-là peu consultés. Si un dossier RH est partagé trop largement, l’assistant ne corrige pas cette permission. Un usage professionnel peut être autorisé après avoir défini sa finalité, encadré les traitements et contrôlé la configuration. Le DPO conseille ; la direction décide et la DSI met en œuvre les mesures. Une licence professionnelle ne remplace pas ces arbitrages.

Ce guide vise les usages professionnels de Microsoft Copilot dans Microsoft 365 et de Copilot Chat pour les organisations. La documentation utilise désormais ces noms, tout en conservant parfois « Microsoft 365 Copilot ». Les autres produits portant le nom Copilot demandent leur propre examen. Microsoft, données et confidentialité de Copilot.

Délimiter le contrat et les traitements

Pour les offres professionnelles couvertes, Microsoft présente les prompts et réponses comme soumis au DPA et aux conditions produits, avec un rôle de sous-traitant. Son engagement prévoit qu’ils ne servent pas à entraîner les modèles de fondation. Les contrôles disponibles varient néanmoins selon les abonnements. Il faut conserver les versions contractuelles applicables à votre achat et vérifier les fonctions effectivement déployées. Microsoft, protection des données d’entreprise.

Cela ne prouve pas, à soi seul, que chaque traitement de la PME est licite. Définissez sa finalité, sa base légale, les personnes concernées et les informations nécessaires. Un résumé de réunion et un classement de candidats doivent être examinés séparément. Pour le contrat, utilisez les points de contrôle de l’article 28 du RGPD. RGPD, art. 5(1)(b)–(c) et 6(1) ; art. 28(1) et (3).

Examinez aussi chaque agent ou connecteur ajouté : données consultées, action possible, destinataire, contrat et droits accordés. La documentation Microsoft demande expressément de consulter les conditions et la politique de confidentialité des agents. L’autorisation de l’assistant principal ne vaut pas autorisation de toutes ses extensions. Microsoft, protection des données d’entreprise, agents.

Corriger les accès avant d’attribuer les licences

Copilot s’appuie sur les permissions de l’utilisateur. Il peut donc faire ressortir un document accessible dont celui-ci ignorait l’existence. Contrôlez les sites SharePoint, liens de partage, invités et groupes donnant accès aux dossiers RH, juridiques ou commerciaux. Microsoft, permissions et protection des données.

Préparez un pilote avec quelques profils représentatifs : salarié, manager, RH et invité, si ce dernier appartient au périmètre. Utilisez des dossiers fictifs pour vérifier ce que chacun peut obtenir. Corrigez les droits à la source et consignez les résultats. Pour les réunions et canaux, coordonnez ces choix avec la gouvernance RGPD de Teams.

Une étiquette de sensibilité ne bloque pas automatiquement Copilot. Microsoft propose des règles DLP spécifiques pour exclure certains fichiers ou courriels étiquetés du traitement ; l’élément peut toutefois rester cité dans une réponse. Leur couverture doit être vérifiée : les invitations de calendrier ne sont pas prises en charge par cette règle. Microsoft Purview, DLP pour Copilot.

Autre limite documentée : le contrôle des informations sensibles dans les prompts ne scanne pas le contenu des fichiers téléversés directement dans ces prompts. Le guide précise aussi quelles fonctions sont encore en préversion. Vérifiez donc la licence, la disponibilité et le scénario réel avant de promettre un blocage complet. Même documentation, fichiers téléversés et disponibilité.

Vérifier la résidence et le routage effectifs

Au 27 septembre 2026, trois points justifient une vérification explicite dans l’administration :

Le flex routing permet une inférence hors EU Data Boundary lors des pics. Microsoft l’annonce activé par défaut pour les tenants éligibles créés après le 25 mars 2026 ; pour les tenants antérieurs, la documentation renvoie au centre de messages. L’administrateur peut modifier ce choix. Le stockage régional au repos et le lieu de l’inférence doivent être distingués. Microsoft, flex routing.

Les modèles Anthropic utilisés dans Word, Excel ou PowerPoint sont actuellement exclus de l’EU Data Boundary, même lorsqu’Anthropic agit comme sous-traitant ultérieur de Microsoft. Le réglage propre à ces applications et le réglage global ne se confondent pas. Vérifiez la situation de votre tenant et archivez la configuration choisie. Microsoft, modèles Anthropic dans les applications.

Pour chaque transfert pertinent, identifiez le destinataire, les données et le mécanisme applicable, puis les vérifications nécessaires. Une certification DPF ne couvre pas automatiquement tout acteur ou tout flux de la chaîne. Notre guide des transferts de données fournit cette méthode. RGPD, art. 44, 45(1) et 46(1).

Examiner Bing séparément

Lorsque la recherche web est active, Copilot produit une requête dérivée de la demande. Microsoft précise qu’elle ne contient pas normalement le prompt ou le document entier, mais peut reprendre des éléments de leur contenu. L’absence des identifiants du compte ne rend donc pas chaque recherche anonyme : un nom mentionné dans le texte peut rester significatif. Microsoft, fonctionnement des recherches web.

Pour ces requêtes Bing, Microsoft agit comme responsable de traitement ; le DPA et l’EU Data Boundary ne s’appliquent pas. Des engagements particuliers des conditions produits subsistent. Décidez quels usages peuvent rechercher sur le web et quels dossiers doivent rester dans le périmètre documentaire autorisé. Microsoft, traitement des requêtes générées.

Gérer conversations, documents et mémoire

L’absence d’entraînement n’équivaut pas à l’absence de conservation. Les interactions peuvent être conservées pour l’historique et la conformité. Les politiques de rétention et les mesures de gel peuvent maintenir des données après leur disparition de l’interface ; Microsoft recommande de vérifier le résultat avec les outils de conformité. Microsoft, conservation Copilot.

La mémoire et la personnalisation, documentées en préversion, demandent un contrôle distinct. Les politiques et étiquettes de rétention Purview ne s’appliquent pas à la mémoire. Supprimer une conversation ne supprime pas automatiquement les souvenirs enregistrés ; désactiver leur utilisation ne les efface pas non plus. Prévoyez les opérations de suppression et les responsabilités avant d’autoriser cette fonction pour des données personnelles. Microsoft, gestion de la mémoire.

Définissez enfin le sort des documents produits et partagés hors de la conversation. Un compte rendu exporté constitue une nouvelle copie à gérer dans son emplacement de destination.

Formaliser la décision avec le DPO

L’AIPD est obligatoire si le traitement est susceptible d’engendrer un risque élevé. Aucun seuil légal de cinquante licences Copilot ne déclenche à lui seul cette obligation. Examinez notamment l’évaluation des personnes, les données sensibles, l’échelle et les croisements ; documentez la conclusion. RGPD, art. 35(1), (3), (4) et (7).

Une décision exclusivement automatisée produisant un effet juridique ou similaire significatif appelle l’examen de l’article 22 ; toute aide rédactionnelle n’entre pas dans ce régime. Le contrat de travail ne justifie pas automatiquement une notation par IA. RGPD, art. 22(1)–(4).

En France, examinez également les consultations du CSE applicables, notamment dans les entreprises d’au moins cinquante salariés pour l’introduction de nouvelles technologies ou les moyens permettant un contrôle de l’activité. Informez préalablement les salariés des dispositifs recueillant des informations les concernant. Code du travail, art. L2312-8, L2312-38 et L1222-4.

La décision écrite doit préciser les usages autorisés, exclusions, réglages, responsable de chaque action et événements imposant une revue. Le modèle de charte IA permet ensuite d’expliquer ces choix aux utilisateurs.

Cas pratique : autoriser un usage limité après un pilote

Scénario entièrement fictif, sans essai réel du produit. Un bureau d’études français de 90 salariés veut aider six chefs de projet à préparer des synthèses documentaires. Il utilise Microsoft Copilot avec les licences professionnelles appropriées, dans un tenant éligible à l’EU Data Boundary créé en juin 2026, sans Multi-Geo. Le périmètre exclut les dossiers RH, le classement des salariés et les agents tiers.

Le dossier examiné par la direction distingue documentation fournisseur, clauses applicables à l’abonnement et résultats du contrôle interne. Dans cette fiction, le DPO a analysé l’intérêt légitime pour la préparation des synthèses : contacts professionnels limités, besoin de coordination documenté, absence de notation des personnes et validation humaine des textes. L’information des personnes et les consultations applicables sont préparées avant mise en œuvre. Le fondement ne s’étend pas à tous les documents auxquels un utilisateur pourrait accéder.

Les arbitrages inscrits au dossier

Ces choix limitent le projet ; ils ne constituent pas une configuration obligatoire pour toutes les entreprises. Par exemple, refuser le routage flexible ne règle pas à lui seul tous les transferts liés aux autres fonctions. L’administrateur doit consigner le réglage réellement appliqué et sa portée, pas simplement l’intention du comité de pilotage.

Le résultat qui impose de reporter l’ouverture

Le contrôle utilise des noms et documents inventés. Une cheffe de projet obtient le contenu d’un faux entretien annuel stocké dans un site SharePoint partagé avec tout le personnel. Le pilote est suspendu pour les usages documentaires prévus. Ajouter à la charte « ne pas interroger les dossiers RH » laisserait le droit d’accès excessif en place.

La DSI retire le groupe trop large, examine les permissions propres au fichier et les liens de partage, puis contrôle l’accès direct avec le profil de la cheffe de projet. Elle reprend ensuite les demandes représentatives dans Copilot. Dans le scénario corrigé, le faux entretien n’est plus accessible à ce profil, tandis que les documents de projet autorisés restent utilisables. Les contrôles, leur date et leur périmètre sont conservés ; ils ne garantissent pas l’absence de toute autre erreur de partage.

Si le contenu restait accessible ou si l’administrateur ne pouvait expliquer le résultat, l’usage concerné resterait suspendu. Les comptes habilités pourraient poursuivre un travail manuel dans les seuls espaces dont les accès sont établis. Une exposition réelle de données, contrairement à ce jeu fictif, appellerait aussi une analyse d’incident.

Autoriser puis réexaminer

La direction autorise finalement le périmètre des six chefs de projet sur avis documenté du DPO, après correction et contrôle. Elle demande un nouvel examen avant l’ajout d’un agent, la réactivation de Bing, un changement de modèle ou l’extension aux RH. Le responsable métier vérifie aussi les synthèses : une réponse accessible peut néanmoins être inexacte ou contenir des informations inutiles au destinataire final.

Ce qu’il faut retenir

• Vérifiez les contrats et les fonctions activées dans votre environnement professionnel.
• Corrigez les permissions documentaires avant le déploiement.
• Contrôlez séparément routage flexible, modèles tiers et recherche Bing.
• Distinguez la rétention des conversations, la mémoire et les documents exportés.

FAQ

Une licence professionnelle suffit-elle pour être conforme ?

Elle fournit un cadre contractuel et des fonctions utiles. La licéité des usages, les droits d’accès, l’information des personnes et les durées restent à organiser par l’entreprise.

Une étiquette « confidentiel » empêche-t-elle toute analyse ?

Pas par son seul intitulé. Vérifiez les permissions, le chiffrement et les règles DLP effectivement configurées, puis leur couverture pour le type de contenu utilisé.

Faut-il une AIPD pour toute utilisation de Copilot ?

Non. Il faut examiner le traitement concret et les critères applicables. Une AIPD devient obligatoire lorsqu’un risque élevé est probable ; un usage déjà analysé doit être réexaminé si son risque évolue. RGPD, art. 35(1) et (11).

Recevez nos analyses pratiques de conformité dans la newsletter.

À propos de l’auteur. Thiébaut Devergranne est docteur en droit privé, titulaire du CAPA et fondateur de Legiscope. Il travaille depuis plus de vingt ans sur le droit des technologies et la protection des données.