Copilot dans Microsoft 365 et secret professionnel : ce qui est protégé et ce qui ne l'est pas

Beaucoup de cabinets travaillent déjà dans Microsoft 365, et Copilot apparaît dans Word, Excel, Outlook et Teams. Peut-on l'utiliser avec des documents de clients ? Cela dépend de la version, de la configuration et de ce qu'on lui demande. Ce guide s'appuie sur la documentation publique de Microsoft, consultée en novembre 2026 ; vérifiez toujours les conditions de votre contrat.

Ce à quoi Microsoft s'engage

• Pas d'entraînement. Les requêtes, les réponses et les données consultées par Microsoft Graph ne servent pas à entraîner les modèles de base (Data, Privacy, and Security for Microsoft Copilot).
• Sous-traitant. La protection des données d'entreprise, l'addenda sur la protection des données et les conditions du produit s'appliquent aux requêtes et aux réponses, Microsoft agissant comme sous-traitant (Enterprise data protection).
• RGPD et EU Data Boundary. Microsoft indique que Copilot respecte les engagements déjà pris envers les clients professionnels de Microsoft 365, dont ces deux-là.
• Autorisations. Copilot ne montre à chaque utilisateur que les données qu'il peut déjà au moins consulter.

Les trois limites

1. Recherche Web

Quand la recherche Web est activée, Copilot génère des requêtes à partir de la demande et les envoie à Bing. Microsoft retire les identifiants de l'utilisateur et de l'organisation, mais ces requêtes suivent d'autres règles : Microsoft agit comme responsable indépendant, et ni l'addenda ni l'EU Data Boundary ne s'appliquent (documentation sur la recherche Web). Si la demande contient le nom d'un client, ce nom peut se retrouver dans la requête. L'administrateur peut désactiver la recherche Web.

2. Autorisations dans le cabinet

Copilot respecte les autorisations, donc il hérite de leurs erreurs. Si le dossier d'un client est partagé avec « tout le monde », n'importe quel employé peut en recevoir le contenu dans une réponse sans l'avoir cherché. Avant d'activer Copilot, revoyez les partages SharePoint et OneDrive, client par client.

3. Versions et modèles

Les engagements ci-dessus sont ceux du compte professionnel. Copilot gratuit avec un compte personnel relève d'autres conditions. Microsoft précise aussi que certains modèles sont fournis par OpenAI et Anthropic en tant que sous-traitants ultérieurs ; il est utile de savoir lesquels sont actifs chez vous.

Liste de contrôle pour le cabinet

1. Vérifier que tous utilisent Copilot avec le compte professionnel et la bonne licence.
2. Décider si la recherche Web reste activée et, si oui, interdire les noms et numéros de clients dans les demandes.
3. Revoir les autorisations des dossiers de clients.
4. Voir quels modèles et sous-traitants sont actifs.
5. Inscrire la règle dans la politique d'IA du cabinet.
6. Maintenir la révision humaine de tout ce qui part vers le client.

La place de Velado

Copilot sous licence convient bien au travail à l'intérieur de Microsoft 365. Velado sert au reste : quand vous voulez utiliser une autre IA, quand la demande a besoin de la recherche Web, quand le document part à l'extérieur ou quand le cabinet n'a pas de licence Copilot. Il remplace les identifiants par des codes sur votre ordinateur, et la réponse revient avec les données réelles. Vous pouvez l'essayer dans le navigateur et lire où vont les données quand vous utilisez l'IA.