Tutoriel entreprise · RGPD et IA générative
Microsoft 365 Copilot répond aux questions de vos salariés en puisant dans leurs courriels, leurs fichiers OneDrive, les sites SharePoint et les conversations Teams. Il ne crée aucun accès : il s’appuie sur les droits que chaque salarié possède déjà. Un dossier RH partagé par erreur avec toute l’entreprise en 2019 devient ainsi consultable en une question.
Ce tutoriel s’adresse à la direction, au DPO, à la DSI, aux RH et aux utilisateurs. Il couvre la gouvernance, les réglages Microsoft, la préparation technique, les règles d’usage et le suivi, avec les obligations du RGPD, du Code du travail et de l’AI Act.
En bref
Avant d’activer une seule licence, vérifiez qui a accès à quoi.
- Les droits d’accès SharePoint, OneDrive et Teams sont le premier chantier.
- Le flex routing et les modèles Anthropic peuvent faire traiter vos données hors de l’Union européenne, et ces réglages sont actifs par défaut sur les tenants européens créés après le 25 mars 2026.
- L’AIPD, l’information des salariés et la consultation du CSE précèdent la mise en service.
Qui êtes-vous ?
Chaque rôle a ses étapes. Cliquez sur le vôtre pour y aller directement.
Direction et DPOGouvernance, registre, AIPD, contratDSI et RSSIRéglages, droits, étiquettes, journauxRH et CSEInformation, consultation, formationSalariéRègles d’usage et quiz
Quel Copilot utilisez-vous ?
Trois offres portent le nom Copilot, et elles ne traitent pas les données de la même façon. La protection des données d’entreprise de Microsoft s’applique dès que le salarié se connecte avec son compte professionnel Microsoft Entra.
| Offre | Accès à vos documents | Données de l’entreprise |
|---|---|---|
| M365 Copilot | Oui, via Microsoft Graph, dans la limite des droits du salarié. Licence payante. | Autorisé après les étapes ci-dessous |
| Copilot Chat | Fichiers que le salarié dépose et contenus web. Compte professionnel. | Autorisé avec les règles d’usage |
| Grand public | Aucun. Compte Microsoft personnel. | Interdit |
Ce que vous voyezEn haut de Copilot Chat, un bouclier vert ou la mention « Protégé » à côté du nom de compte.
Ce que cela signifieLa conversation relève des engagements contractuels de Microsoft pour les entreprises : prompts conservés dans votre tenant, aucun entraînement des modèles de fondation.
Comment vérifierCliquez sur l’icône de profil : l’adresse affichée doit être l’adresse professionnelle. Une adresse outlook.com ou hotmail.com signale le Copilot grand public.
Comment Copilot lit vos documents
Le parcours d’une question tient en quatre temps. Le salarié saisit sa demande dans Word, Outlook ou Teams. Copilot cherche dans Microsoft Graph les contenus que ce salarié peut ouvrir. Le modèle rédige la réponse. La demande et la réponse sont enfin conservées dans un dossier masqué de la boîte Exchange du salarié, où l’audit, l’eDiscovery et les règles de conservation Purview s’appliquent.
1. La questionposée dans Word, Outlook ou Teams
2. Les droits d’accèstout ce que le salarié peut ouvrir dans SharePoint, OneDrive et TeamsPoint de contrôle
3. La réponserédigée à partir de ces contenus
4. La conservationprompt et réponse gardés dans Exchange, visibles dans Purview
Chaque interaction crée une donnée personnelle nouvelle : le texte de la demande, la réponse et l’identité de l’utilisateur. Elle entre dans le registre, dans la politique de conservation et dans le périmètre du droit d’accès.
Les réglages qui font sortir vos données de l’UE
Microsoft s’engage à traiter les données de ses clients européens dans l’EU Data Boundary. Deux réglages du centre d’administration ouvrent pourtant des exceptions, et ils sont activés par défaut sur les tenants européens créés après le 25 mars 2026. Pour un tenant plus ancien, Microsoft invite l’administrateur à vérifier lui-même l’état du réglage.
Flex routing
Ce que vous voyezUne option nommée « Flex routing during peak load periods », réglée sur « Allow flex routing during periods of peak load ».
Ce que cela signifiePendant les pics de demande, les prompts, les réponses et les données de contexte peuvent être traités aux États-Unis, au Canada ou en Australie. Des identifiants pseudonymisés peuvent y être stockés.
Le bon réglage« Do not allow flex routing ». Microsoft indique qu’avec ce choix l’inférence reste dans l’EU Data Boundary, même en période de forte demande.
Comment vérifierConnectez-vous au centre d’administration Microsoft 365 avec le rôle Administrateur IA, puis suivez le chemin :
Copilot › Paramètres › Afficher tout › Flex routing during peak load periods
Copilot › Paramètres › Afficher tout › Flex routing during peak load periods
Modèles Anthropic
Ce que vous voyezUn réglage « Copilot in M365 apps with Anthropic models » activé, dans la rubrique des fournisseurs d’IA sous-traitants.
Ce que cela signifieDans Word, Excel et PowerPoint, Copilot peut utiliser les modèles d’Anthropic, dont le traitement a lieu hors de l’EU Data Boundary. Anthropic agit comme sous-traitant de Microsoft, sous le Data Protection Addendum.
Le bon réglageDésactivé, tant que votre AIPD n’a pas analysé ce transfert et que la direction ne l’a pas accepté par écrit.
Comment vérifierMême centre d’administration, même rôle :
Copilot › Paramètres › Afficher tout › AI providers operating as Microsoft subprocessor
Copilot › Paramètres › Afficher tout › AI providers operating as Microsoft subprocessor
Un traitement maintenu dans l’Union ne supprime pas l’exposition au droit américain liée à la nationalité de l’éditeur. Ce risque résiduel, souvent résumé par le Cloud Act, figure dans l’AIPD, en particulier quand des données de santé sont en jeu.
Les étapes du déploiement
Les étapes suivent l’ordre conseillé. Ouvrez le détail de celles qui vous concernent.
1. Gouvernance et cas d’usage
DirectionDPORSSI
La CNIL recommande de partir de besoins concrets et d’encadrer l’outil par une charte qui distingue les usages autorisés des usages interdits.
Voir le détail de l’étape
- Désigner un référent Copilot et un comité restreint : DPO, RSSI ou DSI, un représentant RH, un représentant métier.
- Lister service par service les cas d’usage visés et les usages exclus.
- Lancer un pilote sur un groupe réduit, sur des espaces dont les droits ont déjà été revus.
2. Registre, base légale et AIPD
DPO
Le déploiement constitue un traitement à part entière, à inscrire au registre avant l’ouverture.
Voir le détail de l’étape
- Fiche de registre « Assistance à la production documentaire par IA générative », avec les prompts, les réponses et les journaux comme catégories de données. L’évaluation des salariés est exclue des finalités.
- Base légale : intérêt légitime (article 6.1.f) pour une entreprise privée, avec une mise en balance écrite ; mission de service public (article 6.1.e) pour une collectivité.
- AIPD avant la généralisation : un usage innovant et des salariés en situation de dépendance réunissent deux critères des lignes directrices européennes. Elle couvre les accès excessifs, les transferts, la conservation des prompts et le risque de surveillance.
3. Information des salariés et CSE
RHDPO
Les salariés doivent savoir ce que l’outil conserve et qui peut le consulter.
Voir le détail de l’étape
- Mettre à jour la notice d’information (articles 13 et 14 RGPD) : finalités, conservation des prompts, accès possibles des administrateurs lors d’un audit.
- Aucune information concernant personnellement un salarié ne peut être collectée par un dispositif qui n’a pas été porté préalablement à sa connaissance (article L1222-4 du Code du travail).
- Consulter le CSE avant la mise en service : l’introduction d’une nouvelle technologie et les moyens de contrôle de l’activité relèvent de sa consultation (articles L2312-8 et L2312-38).
4. Contrat et transferts
DPOService juridiqueDSI
Le contrat Microsoft et les réglages de localisation se tranchent avant toute licence.
Voir le détail de l’étape
- Vérifier que le contrat intègre les Product Terms et le Data Protection Addendum, qui couvrent Copilot et Copilot Chat.
- Désactiver le flex routing et les modèles Anthropic, sauf décision documentée dans l’AIPD.
- Consigner dans le registre la date et l’auteur de chaque choix.
5. Revue des droits d’accès
DSIRSSI
Ce chantier conditionne tous les autres : un espace partagé trop largement devient interrogeable le jour même de l’activation.
Voir le détail de l’étape
- Lancer l’évaluation des risques de Purview (DSPM) et les rapports de gouvernance des accès de SharePoint Advanced Management, inclus dans les licences Copilot.
- Repérer les sites ouverts à « Tout le monde », les liens « Toute personne de l’organisation », les invités périmés et les sites sans propriétaire.
- Faire valider les membres de chaque site par son propriétaire, supprimer les liens trop larges et rétablir l’héritage des permissions.
6. Exclusions, étiquettes et DLP
DSIRSSI
Les contenus sensibles sont retirés du champ de Copilot pendant la remédiation.
Voir le détail de l’étape
- Activer Restricted Content Discovery sur les sites RH, paie, direction, contentieux et santé. Microsoft précise que ce réglage empêche la découverte par Copilot sans modifier les droits existants. Chaque site exclu reçoit un propriétaire et une date de revue.
- Définir des étiquettes de confidentialité Purview (Public, Interne, Confidentiel, Très confidentiel) et l’étiquetage automatique des données sensibles. Un fichier chiffré ne se résume que si l’utilisateur possède les droits EXTRACT et VIEW.
- Créer une stratégie DLP sur l’emplacement « Microsoft 365 Copilot » qui bloque les contenus « Très confidentiel ».
7. Conservation, audit et tests
DSIDPO
Les interactions doivent avoir une durée de vie connue et leurs journaux un accès encadré.
Voir le détail de l’étape
- Créer dans Purview une stratégie de conservation sur l’emplacement des expériences Copilot, avec une durée inscrite au registre. Douze mois couvrent la plupart des besoins d’audit ; une durée plus longue se justifie par écrit.
- Activer l’audit Purview, qui retrace les interactions et les éléments consultés, et réserver l’accès aux journaux à des personnes nommément habilitées.
- Sur un compte de test aux droits standards, poser des questions visant la paie, les dossiers RH ou la santé, et vérifier qu’aucune réponse n’en restitue.
8. Formation et règles d’usage
RHTous les salariés
Depuis le règlement (UE) 2026/1744, dit Omnibus IA, en vigueur le 27 juillet 2026, l’entreprise prend des mesures pour favoriser la maîtrise de l’IA de son personnel, sans devoir garantir un niveau individuel.
Voir le détail de l’étape
- Former chaque population (utilisateurs, managers, administrateurs), faire signer la charte et tenir un registre des sessions.
- Conditionner l’attribution de la licence au suivi d’une courte session sur les règles d’usage.
- Rappeler les réflexes : compte professionnel, vérification de chaque réponse dans les documents cités, aucune diffusion telle quelle.
- Si Copilot restitue un document qu’un salarié ne devrait pas voir, celui-ci ne le diffuse pas et prévient le DPO : une violation de données se qualifie dans les 72 heures (article 33 RGPD).
9. Cas particuliers
Tous
Certains contenus et certaines réunions appellent des règles propres.
Voir le détail de l’étape
- Santé et article 9 : sites exclus, étiquette « Très confidentiel » et DLP par défaut. Faites confirmer par écrit à Microsoft que les traitements Copilot entrent dans le périmètre de son certificat HDS.
- Ressources humaines : Copilot n’évalue, ne classe et ne sélectionne aucun salarié ni candidat (article 22 RGPD). Ces usages relèvent du haut risque de l’AI Act à compter du 2 décembre 2027.
- Réunions Teams : annoncer Copilot et la transcription en début de séance, et les désactiver pour les entretiens individuels, le CSE, les instances disciplinaires et les échanges médicaux.
- Droit d’accès : les prompts mentionnant une personne entrent dans le périmètre de l’article 15 ; l’eDiscovery Purview permet de les retrouver.
- Agents et connecteurs : chacun crée un traitement nouveau, validé par le DPO avant publication.
Que faire selon votre situation
Choisissez la situation qui ressemble à la vôtre.
Copilot est déjà activé et rien n’a été fait
- Ouvrez le centre d’administration et désactivez le flex routing et les modèles Anthropic.
- Activez Restricted Content Discovery sur les sites RH, paie, direction et santé.
- Lancez la revue des droits, puis l’AIPD, en informant le CSE et les salariés.
Un salarié a obtenu un document qu’il n’aurait pas dû voir
- Demandez-lui de ne pas le diffuser et de noter la question posée.
- Prévenez le DPO : il qualifie la violation et décide d’une notification à la CNIL dans les 72 heures.
- Corrigez les droits du site concerné et retrouvez dans l’audit Purview les autres accès au même contenu.
Vous traitez des données de santé
- Gardez ces sites exclus de Copilot jusqu’à la fin de l’AIPD.
- Obtenez de Microsoft la confirmation écrite du périmètre HDS.
- Associez le médecin responsable ou le référent santé à l’analyse.
Un salarié utilise Copilot avec son compte personnel
- Rappelez l’interdiction prévue par la charte et faites supprimer les contenus déposés.
- Évaluez avec le DPO si des données personnelles ont été exposées.
- Bloquez l’accès au Copilot grand public depuis les postes gérés.
Vous voulez créer un agent Copilot Studio
- Décrivez la finalité, les sources connectées et les utilisateurs.
- Faites valider le projet par le DPO et créez la fiche de registre.
- Testez l’agent avec un compte aux droits standards avant de le publier.
Quiz : puis-je le demander à Copilot ?
Pour chaque situation, ouvrez la réponse qui vous semble juste.
Question 1 sur 6
Résumer le compte rendu de la dernière réunion d’équipe dans Teams, connecté avec votre compte professionnel.
Oui, c’est permis
Bien vu. Contenu interne, accès légitime, compte professionnel : l’usage entre dans la charte. Relisez le résumé avant de le diffuser.
Non, c’est interdit
Pas tout à fait. La bonne réponse est « Oui, c’est permis ». Contenu interne, accès légitime, compte professionnel : l’usage entre dans la charte. Relisez le résumé avant de le diffuser.
Question 2 sur 6
Coller le tableau des salaires de votre service dans Copilot grand public pour calculer une moyenne.
Oui, si le tableau ne quitte pas votre poste
Pas tout à fait. La bonne réponse est « Non, c’est interdit ». Copilot grand public est interdit pour toute donnée professionnelle, et des salaires d’un service restent identifiants même sans les noms.
Non, c’est interdit
Bien vu. Copilot grand public est interdit pour toute donnée professionnelle, et des salaires d’un service restent identifiants même sans les noms.
Oui, en retirant les noms
Pas tout à fait. La bonne réponse est « Non, c’est interdit ». Copilot grand public est interdit pour toute donnée professionnelle, et des salaires d’un service restent identifiants même sans les noms.
Question 3 sur 6
Demander à Copilot « Quels collègues sont en arrêt maladie ce mois-ci ? »
Oui, Copilot ne montre que ce que vous pouvez déjà voir
Pas tout à fait. La bonne réponse est « Non, c’est interdit ». Rechercher des données de santé sur des collègues est interdit. Si Copilot répond, le document est surpartagé : signalez-le au DPO.
Non, c’est interdit
Bien vu. Rechercher des données de santé sur des collègues est interdit. Si Copilot répond, le document est surpartagé : signalez-le au DPO.
Question 4 sur 6
Faire classer par Copilot les 40 candidatures reçues et ne recevoir que les 5 premières.
Oui, si un recruteur valide la liste finale
Pas tout à fait. La bonne réponse est « Non, c’est interdit ». Le tri automatique écarte 35 personnes sans examen humain réel. L’article 22 du RGPD l’encadre, et l’AI Act classe ces usages à haut risque.
Non, c’est interdit
Bien vu. Le tri automatique écarte 35 personnes sans examen humain réel. L’article 22 du RGPD l’encadre, et l’AI Act classe ces usages à haut risque.
Question 5 sur 6
Envoyer tel quel à un client un courriel rédigé par Copilot.
Oui, Copilot connaît le dossier
Pas tout à fait. La bonne réponse est « Non, il faut le relire et le vérifier ». Une réponse générée peut contenir une erreur plausible. La CNIL recommande de ne jamais reproduire telles quelles les sorties de ces systèmes.
Non, il faut le relire et le vérifier
Bien vu. Une réponse générée peut contenir une erreur plausible. La CNIL recommande de ne jamais reproduire telles quelles les sorties de ces systèmes.
Question 6 sur 6
Activer Copilot pendant un entretien annuel d’évaluation pour en faire le compte rendu.
Oui, avec l’accord du salarié
Pas tout à fait. La bonne réponse est « Non, Copilot reste désactivé ». Les entretiens individuels font partie des réunions où Copilot et la transcription sont désactivés par la charte.
Non, Copilot reste désactivé
Bien vu. Les entretiens individuels font partie des réunions où Copilot et la transcription sont désactivés par la charte.
Voir le barème du score
6 sur 6 Vos réflexes sont solides : vous pouvez utiliser Copilot sur des documents internes.
4 ou 5 Relisez l’étape 8 et la charte d’usage de votre entreprise.
3 ou moins Demandez une session de formation avant de recevoir votre licence.
La check-list avant mise en service
La mise en service n’intervient qu’une fois chaque point validé et signé par le DPO et le RSSI.
Gouvernance
☐Cas d’usage autorisés et interdits validés · Comité
☐Fiche de registre créée · DPO
☐AIPD réalisée et avis du DPO rendu · DPO
☐CSE consulté · RH
☐Notice d’information des salariés à jour · RH, DPO
☐Contrat Microsoft (Product Terms, DPA) vérifié · Service juridique
Réglages et sécurité
☐Flex routing désactivé ou justifié dans l’AIPD · DSI
☐Réglage des modèles Anthropic tranché et consigné · DSI, DPO
☐Droits SharePoint, OneDrive et Teams revus · DSI
☐Sites sensibles exclus de Copilot · DSI
☐Étiquettes de confidentialité et DLP actives · RSSI
☐Conservation des interactions configurée · DSI
☐Audit Purview activé, journaux encadrés · RSSI
☐Tests de restitution réalisés · RSSI
Utilisateurs
☐Charte diffusée et formation suivie par chaque titulaire · RH
Le suivi dans le temps
Microsoft fait évoluer Copilot chaque mois, et de nouveaux réglages arrivent souvent activés par défaut. Le suivi suit un rythme simple.
Chaque moisLire les annonces du centre de messages Microsoft 365 qui concernent Copilot.
Chaque trimestreRevoir les sites exclus, les alertes DLP et les incidents signalés.
Chaque annéeMettre à jour l’AIPD et en rendre compte dans le rapport annuel du DPO.
Questions fréquentes
Microsoft utilise-t-il nos prompts pour entraîner ses modèles ?
Non. Sous la protection des données d’entreprise, Microsoft s’engage à ne pas utiliser les prompts et les réponses pour entraîner ses modèles de fondation. Cet engagement figure dans le Data Protection Addendum ; il ne règle ni la question des accès internes ni celle du lieu de traitement.
Copilot peut-il voir un document que le salarié ne peut pas ouvrir ?
Non. Copilot respecte les droits existants. Le risque vient des documents que le salarié peut ouvrir sans le savoir, parce qu’ils ont été partagés trop largement.
Faut-il une AIPD pour Copilot ?
Le déploiement réunit au moins deux critères européens : un usage innovant et des personnes en situation de dépendance, les salariés. La CNIL recommande d’associer le DPO et de réaliser une AIPD pour l’IA générative.
Combien de temps garder les prompts ?
La durée se fixe dans le registre et se configure dans Purview. Douze mois couvrent la plupart des besoins d’audit ; au-delà, la durée doit être justifiée.
Un salarié peut-il demander à voir les prompts qui le concernent ?
Oui. Le droit d’accès de l’article 15 porte aussi sur les interactions Copilot qui le mentionnent. L’eDiscovery Purview permet de les retrouver.
DPO FRANCEUn DPO pour relire votre AIPD CopilotUn DPO du réseau DPO FRANCE vous assiste dans la relecture et la validation de votre AIPD, de votre charte d’usage et de vos réglages Microsoft, et vous indique les priorités.Être rappelé par un DPO
Sources
- CNIL, Les questions-réponses de la CNIL sur l’utilisation d’un système d’IA générative, 18 juillet 2024
- Microsoft Learn, Flex routing (EU and EFTA), mis à jour le 3 novembre 2026
- Microsoft Learn, transferts partiels permanents hors de l’EU Data Boundary, mis à jour le 9 octobre 2026
- Microsoft Learn, Copilot in Microsoft 365 apps with Anthropic models
- Microsoft Learn, architecture, protection des données et audit de Microsoft 365 Copilot
- Microsoft Learn, conservation des prompts et réponses Copilot
- Microsoft Learn, FAQ Copilot Chat et protection des données d’entreprise
- Code du travail, article L1222-4, code.travail.gouv.fr
- Règlement (UE) 2024/1689 sur l’intelligence artificielle, EUR-Lex