Le modèle d’autorisations de Copilot expliqué

By Mirko Peters · 2026-03-18 · Updated 2026-03-24

Sécurisez vos données dans Microsoft 365 Copilot grâce à l’IA ! Découvrez comment configurer et gérer les autorisations d’accès à l’utilisation de Copilot. Contrôlez l’accès des modèles d’IA dans votre locataire.

Automatically translated with AI from the original post. Read the English original

Comprendre le fonctionnement des autorisations de Microsoft 365 Copilot est essentiel si vous dirigez une entreprise ou si vous gérez l’informatique d’une organisation. Copilot n’est pas un simple complément d’IA : il s’intègre à l’ensemble de votre écosystème Microsoft 365 et exploite les documents, les courriels, les conversations et bien d’autres contenus. Vous devez donc savoir précisément qui peut accéder à quoi, comment les données sont protégées et comment les exigences de conformité sont satisfaites à chaque étape.

Ce guide présente les domaines essentiels : du modèle de sécurité de Copilot et de la gestion des rôles à la protection des données et aux stratégies d’audit. Que vous soyez chargé du déploiement de Copilot ou que vous cherchiez à satisfaire votre équipe de conformité, vous y trouverez des conseils pratiques sur la sécurité, les contrôles d’accès, les obligations réglementaires et l’extensibilité. L’objectif ? Faire en sorte que votre déploiement de Copilot soit à la fois performant et gouverné, afin que vous ne naviguiez jamais à l’aveugle.

• Un accès par défaut peut sembler plus large qu’attendu : les intégrations de Copilot demandent souvent des étendues au niveau du dépôt afin de proposer des suggestions en ligne sur l’ensemble du code, et pas seulement pour des fichiers individuels.
• Les autorisations sont organisées en couches : le consentement de l’utilisateur, les stratégies de l’organisation et les paramètres du dépôt peuvent tous influencer ce à quoi Copilot peut accéder, ce qui forme un modèle de contrôle à plusieurs niveaux.
• Les jetons à granularité fine se généralisent : les déploiements modernes de Copilot peuvent s’appuyer sur des jetons à courte durée de vie et à portée précise plutôt que sur des clés de longue durée, ce qui réduit le rayon d’impact en cas de compromission des identifiants.
• Certaines modifications d’autorisations peuvent être automatisées : les stratégies d’administration peuvent approuver ou refuser automatiquement l’accès des extensions par équipe ou par dépôt, ce qui permet aux administrateurs d’appliquer des règles sans intervention manuelle pour chaque demande d’application.
• La traçabilité est meilleure qu’on ne le pense souvent : des journaux détaillés peuvent indiquer quelles suggestions ont été générées et quels dépôts ont été consultés, ce qui permet de réaliser des contrôles de conformité et des analyses d’incidents.
• Une élévation temporaire est possible dans certaines configurations : les organisations peuvent configurer un accès élevé limité dans le temps pour les diagnostics ou les fonctionnalités avancées, après quoi les autorisations reviennent automatiquement à leur état initial.
• Les flux de données et l’apprentissage sont dissociés des écritures directes dans les dépôts : la génération de suggestions par Copilot peut utiliser la télémétrie et les métadonnées, tandis que les opérations d’écriture restent régies par le même modèle d’autorisations GitHub. Les suggestions ne se traduisent pas par des validations automatiques, sauf autorisation explicite.

Présentation des fonctionnalités de sécurité de Microsoft 365 Copilot

Lorsque vous autorisez Copilot à accéder à votre environnement Microsoft 365, vous ouvrez la porte à une IA capable de voir les données de votre entreprise, mais vous ne confiez pas pour autant vos clés à un inconnu. Les fonctionnalités de sécurité de Copilot sont au cœur de sa valeur pour l’entreprise : elles superposent les protections afin que seuls les utilisateurs de confiance puissent activer ses capacités, et uniquement sur les données qu’ils sont habilités à consulter.

La sécurité de Copilot s’intègre étroitement aux cadres d’authentification modernes, comme Microsoft Entra ID, les stratégies d’accès conditionnel et l’authentification multifacteur. Ces éléments travaillent ensemble pour vérifier que la personne qui interroge Copilot a bien le droit de le faire. Il s’agit de donner aux équipes la souplesse nécessaire pour collaborer et exploiter les informations, sans sacrifier la confidentialité ni l’intégrité de vos données. L’objectif final : des flux de travail sécurisés et efficaces, où chaque action de Copilot est suivie, surveillée et gouvernée conformément aux exigences de conformité de l’entreprise.

Cette couche de sécurité est importante non seulement pour bloquer les menaces, mais aussi pour permettre à vos équipes de travailler plus vite, tout en laissant les auditeurs et les responsables des risques dormir sur leurs deux oreilles. Si vous souhaitez approfondir la manière dont l’application du moindre privilège, la DLP et la surveillance s’articulent, je vous recommande cet article sur la gouvernance de la sécurité et de la conformité de Copilot, qui propose des stratégies concrètes. Et pour les profils attentifs à la gouvernance, vous trouverez davantage d’informations sur l’alignement des stratégies et du déploiement dans les bonnes pratiques de stratégie de gouvernance de Copilot.

Comprendre les mécanismes de sécurité et d’authentification de Copilot

Microsoft 365 Copilot s’appuie sur le processus d’authentification de base déjà utilisé dans votre environnement, y compris Microsoft Entra ID (anciennement Azure AD). Chaque session Copilot commence par une authentification de l’utilisateur : vérification du nom d’utilisateur, du mot de passe et, très souvent, d’un élément supplémentaire comme un code envoyé sur téléphone ou une application de sécurité (c’est l’authentification multifacteur, ou MFA). Cela empêche la plupart des attaques élémentaires de franchir la porte d’entrée.

Copilot s’appuie ensuite sur l’accès conditionnel, un ensemble de règles qui tient compte de facteurs comme l’état de santé de l’appareil, le profil de risque de l’utilisateur ou l’emplacement physique d’une tentative de connexion. L’authentification adaptative fait que les autorisations ne se limitent pas à un simple « oui ou non » : elles s’adaptent au contexte. Ainsi, si quelqu’un tente d’utiliser Copilot depuis un emplacement suspect, l’accès peut être bloqué ou soumis à une vérification supplémentaire.

Copilot s’intègre à l’ensemble de la pile de sécurité de Microsoft 365, en lien avec des fonctionnalités comme Microsoft Defender, Purview et les journaux d’audit. Cela garantit que l’accès est strictement réservé aux utilisateurs autorisés, et que l’activité passant par Copilot est également surveillée et journalisée. C’est cette intégration qui vous permet de définir des stratégies et de configurer des alertes en cas d’anomalie.

Si vous souhaitez découvrir des moyens concrets de combiner la protection contre les menaces de Defender et les contrôles pilotés par Purview, il vaut la peine de consulter ce guide de sécurité Microsoft 365. Pour des analyses plus approfondies sur l’accès conditionnel et la gouvernance de l’identité à grande échelle, découvrez le point de vue présenté ici : la boucle de sécurité de l’accès conditionnel Entra ID.

Contrôle d’accès basé sur les rôles et privilèges de Copilot

Les rôles et privilèges sont comme la carte et la boussole de Copilot : ils déterminent qui peut aller où et faire quoi dans votre paysage de données. Dans Microsoft 365 Copilot, tout repose sur le contrôle d’accès basé sur les rôles (RBAC), qui garantit que seules les personnes disposant des bons rôles professionnels et des habilitations de sécurité requises peuvent utiliser des fonctionnalités spécifiques de Copilot, et uniquement sur les données qui leur sont destinées.

Une configuration intelligente des rôles ne se contente pas de protéger les données : elle s’aligne aussi sur les stratégies de l’entreprise et les exigences réglementaires. Vous définissez les rôles en fonction des besoins métier, puis vous configurez les privilèges, en précisant qui peut accéder aux contenus sensibles, lancer certains types de requêtes ou se connecter à des applications intégrées. En échelonnant les niveaux d’accès, de la simple lecture jusqu’à la modification complète ou l’administration, vous limitez l’exposition inutile des données et vous appliquez le principe du moindre privilège.

Pour les organisations qui naviguent dans la jungle réglementaire, ou pour lesquelles le risque de sur-privilège est une source d’inquiétude permanente, la stratégie est claire : resserrer dès le premier jour l’attribution des rôles. Vous pouvez explorer des stratégies de gouvernance plus poussées pour Copilot et les agents IA, en consultant les bonnes pratiques en matière de stratégie d’IA responsable et de comités de gouvernance, ou en vous plongeant dans l’architecture du plan de contrôle décrite ici : sécuriser les agents IA grâce à la gouvernance.

Contrôles granulaires des autorisations et périmètre d’accès dans Copilot

Copilot n’est aussi intelligent (et sûr) que les autorisations que vous définissez. Les contrôles granulaires des autorisations descendent à un niveau de détail fin : non plus seulement « cet utilisateur peut-il accéder au CRM ? », mais « peut-il voir ces enregistrements ou ces champs précis dans le CRM ? ». Il ne s’agit pas uniquement de lecture ou d’écriture : il s’agit de contrôler les segments exacts de données que Copilot peut rechercher, résumer ou modifier, en reprenant les autorisations déjà définies au niveau des systèmes sous-jacents, comme Dynamics 365 ou Salesforce.

Pour les administrateurs informatiques, appliquer le principe du moindre privilège consiste à définir des stratégies qui limitent les capacités de Copilot à ce dont chaque rôle a besoin, ni plus, ni moins. Les autorisations couvrent aussi bien les bibliothèques de documents que des sites SharePoint entiers, et une correspondance intelligente garantit un accès tenant compte du contexte. Copilot n’accédera jamais aux données auxquelles l’utilisateur n’a pas déjà accès grâce à ses propres autorisations : vous ne risquez donc ni surprise, ni fuite de données cachées.

La sécurité au niveau des champs signifie, par exemple, que si un collaborateur ne doit pas voir les informations salariales dans les RH, Copilot ne fera pas remonter ces chiffres, même si quelqu’un le lui demande explicitement. L’héritage des rôles et la mise en correspondance des contextes garantissent que les actions de Copilot correspondent exactement aux accès de l’utilisateur à tout moment, et que le franchissement d’applications ou le changement de contexte ne crée pas de privilèges supplémentaires.

Si vous souhaitez renforcer la gouvernance ou sensibiliser vos utilisateurs, consultez les ressources sur les centres d’apprentissage Copilot centralisés, ou examinez comment les accès aux données et leur propriété alimentent une gouvernance Copilot solide grâce à cette analyse détaillée de la gouvernance.

Intégration de Microsoft Purview et de la gouvernance des données

Microsoft Purview est le moteur de la gouvernance des données de Copilot. Considérez-le comme la salle de contrôle des opérations : il journalise chaque action de Copilot et veille à ce que son utilisation reste dans les limites de vos exigences de conformité. L’intégration de Purview à Copilot permet aux organisations de définir et d’appliquer des stratégies qui suivent les données, quel que soit l’utilisateur de l’IA.

Avec Purview, vous savez précisément à quelles données Copilot accède, ce qui vous aide à démontrer votre conformité réglementaire et à repérer les lacunes bien avant l’arrivée des auditeurs. Les stratégies de prévention de la perte de données (DLP) de Purview, les étiquettes de confidentialité et les contrôles d’accès fonctionnent de concert avec Copilot pour que l’IA ne mette pas la main sur des données auxquelles elle ne devrait pas accéder. C’est un point de contrôle essentiel pour les organisations qui manipulent des données confidentielles ou fortement réglementées.

La mise en place de ces contrôles demande plus qu’un simple clic. Les stratégies doivent refléter votre profil de risque propre et distinguer ce qui est sensible de ce qui relève de l’activité courante. Si vous recherchez des étapes concrètes pour la gouvernance avancée des agents Copilot, consultez comment Purview sécurise Copilot et Power Platform. Vous aurez également intérêt à comprendre le fonctionnement des journaux d’audit, avec un guide pratique disponible ici : Microsoft Purview Audit pour l’activité des utilisateurs.

Confidentialité des données et conformité réglementaire dans Copilot

Si vous travaillez dans la finance, la santé ou pratiquement tout secteur réglementé, vous savez déjà que la confidentialité des données n’est pas facultative. Copilot a été conçu pour respecter des normes exigeantes telles que le RGPD et HIPAA, afin que les organisations puissent exploiter une productivité portée par l’IA tout en respectant la vie privée des utilisateurs, leurs droits juridiques et les limites réglementaires.

La clé réside dans la transparence et le contrôle. Microsoft fournit des cadres clairs sur la manière dont Copilot stocke, traite et gère les données. Ils comprennent la minimisation des données, un chiffrement robuste et une gestion rigoureuse des données sensibles, conformes à la fois à la réglementation européenne et américaine. Vous devrez également savoir où vos données sont hébergées, ce qui est crucial pour les entreprises internationales soumises à des lois imposant un stockage local des données ou limitant les transferts transfrontaliers.

L’approche de Microsoft combine stratégies, contrats et application technique, et donne aux responsables de la conformité et aux délégués à la protection des données les outils nécessaires pour démontrer, et non seulement promettre, que tout est mis en œuvre correctement. Pour un regard plus précis sur les dérives possibles de la conformité dans la réalité (et sur la manière de les gérer), consultez cet épisode sur la dérive de la conformité dans Microsoft 365. Et pour tirer le meilleur parti des architectures de données unifiées dans l’analytique et Copilot, découvrez comment Microsoft Fabric unifie la gouvernance des données et l’IA.

Confidentialité des données, RGPD et HIPAA dans Microsoft 365 Copilot

Microsoft 365 Copilot est conçu dès l’origine pour satisfaire des normes réglementaires strictes telles que le RGPD et HIPAA, afin de garantir la protection des données personnelles et sensibles des utilisateurs. Microsoft prend des engagements forts dans ses contrats de traitement des données, en limitant strictement la manière dont Copilot peut stocker, traiter ou partager les informations. Tout traitement de données par Copilot a lieu dans l’infrastructure cloud sécurisée de Microsoft, avec un chiffrement robuste appliqué aussi bien en transit qu’au repos.

La gestion des droits d’utilisation est une fonctionnalité essentielle : les organisations peuvent répondre aux demandes des personnes concernées (comme le « droit à l’effacement »), contrôler les accès et révoquer ou mettre à jour les autorisations de manière centralisée, conformément aux exigences réglementaires. Copilot respecte les étiquettes de confidentialité existantes, les stratégies DLP et la classification des données côté locataire. Les actions pilotées par l’IA restent donc toujours alignées sur votre dispositif de conformité. Chaque action de Copilot est journalisée, et toutes les données traitées par Copilot restent dans les limites de votre Microsoft 365, sauf configuration explicite contraire.

Si vous mettez en place une DLP ou si vous souhaitez appliquer une utilisation stricte des connecteurs dans les automatisations Power Platform, des ressources comme ce guide destiné aux développeurs qui gèrent les stratégies DLP peuvent vous aider. Pour une procédure pas à pas de configuration de la DLP dans Microsoft 365 et pour comprendre les gains de productivité apportés par Copilot, consultez comment configurer la DLP dans Microsoft 365.

Résidence des données et considérations de souveraineté

Copilot respecte les engagements de Microsoft 365 en matière de résidence et de souveraineté des données : vos données restent dans les régions ou les pays définis par les exigences réglementaires ou métier de votre organisation. Que vous ayez besoin de respecter les exigences de la limite de données de l’UE ou les lois locales de stockage, Copilot veille à ce que les contenus sensibles ne sortent pas de zones géographiques non autorisées.

Pour les grandes entreprises internationales ou les organisations de secteurs fortement réglementés, l’approche de localisation des données de Copilot contribue à satisfaire les obligations légales relatives au traitement et à la conservation des données. Des stratégies de gouvernance concrètes pour faire respecter la structure et les limites d’autorisations sont présentées dans ce guide sur la gouvernance de l’IA dans SharePoint.

Comment Copilot accède aux données de l’organisation et les protège

Copilot exploite les données de l’organisation via l’API Microsoft Graph, véritable tissu conjonctif reliant les charges de travail de Microsoft 365, comme Exchange, SharePoint, Teams et d’autres. Mais Copilot ne peut rien voir que l’utilisateur ne puisse déjà consulter lui-même. Vos modèles d’autorisation actuels, vos étiquettes de confidentialité et vos revues d’accès forment donc un périmètre sécurisé autour de chaque opération pilotée par Copilot.

Chaque requête adressée à Copilot est filtrée par des protocoles de sécurité des données rigoureux, avec une évaluation en temps réel des rôles des utilisateurs, de l’état de leur session et du contexte de l’appareil. Cette approche empêche les requêtes non autorisées, réduit le risque de fuite de données, y compris lorsque les fonctions d’IA sont utilisées à grande échelle. Toutes les transmissions de données sont chiffrées, et des autorisations just-in-time sont vérifiées avant chaque action.

La capacité à suivre et à examiner les flux de données (qui a demandé quoi à Copilot, et quand) vous donne la visibilité nécessaire pour vérifier la conformité et résoudre rapidement les incidents. Pour approfondir la gouvernance de l’accès aux données, les revues et les bonnes pratiques d’étiquetage de confidentialité, consultez l’analyse de la propriété et de la gouvernance. Si votre environnement s’étend à Azure, découvrez comment la gouvernance par stratégies et RBAC s’intègre aux clouds à l’échelle de l’entreprise dans la stratégie de gouvernance Azure pour l’entreprise.

Traitement et protection des données sensibles dans Copilot

La protection des données sensibles, comme les dossiers financiers, les informations de santé ou les documents juridiques, est au cœur de la conception de Copilot. Lorsque les utilisateurs interagissent avec Copilot, les étiquettes de confidentialité intégrées et les stratégies DLP signalent et restreignent automatiquement la manière dont ces données sont utilisées, partagées ou restituées dans les réponses de l’IA.

Microsoft applique la classification des données à plusieurs niveaux, afin d’empêcher l’exposition ou le mauvais usage de contenus confidentiels dans les résultats de Copilot. Les contrôles de stratégie permettent aux administrateurs de définir quels contenus sont considérés comme « sûrs » pour que Copilot puisse y accéder. Pour finaliser la configuration de la DLP ou concevoir une stratégie de classification des données, vous trouverez des recommandations dans ce générateur de stratégies DLP pour Power Platform.

Autorisation basée sur l’identité et accès conditionnel dans Copilot

L'autorisation fondée sur l'identité signifie que l'accès à Copilot est toujours directement lié à une personne réelle et vérifiée : aucun invité mystère ne peut se faufiler par les failles de la sécurité. Avec Microsoft Entra ID comme pilier, chaque requête Copilot est contrôlée au regard de l'identité de l'utilisateur, de son rôle et des évaluations contextuelles de risque avant que l'accès ne soit accordé.

Les stratégies d'accès conditionnel vous permettent de définir des règles en fonction de la conformité de l'appareil, de l'emplacement, du risque de connexion ou de l'état de la session. Vous souhaitez que Copilot ne soit disponible que sur des appareils gérés, ou uniquement à certaines heures ? Aucun problème. Ces règles peuvent inclure des exigences superposées, comme l'authentification multifacteur (MFA), qui oblige les utilisateurs à prouver leur identité au-delà d'un simple mot de passe. Cette approche adaptative réagit à l'évolution des menaces sans créer de friction pour les utilisateurs légitimes.

Les organisations qui maîtrisent l'accès conditionnel bénéficient à la fois de périmètres de sécurité plus solides et d'une expérience utilisateur plus fluide. Si vous êtes confronté aux failles liées à des exclusions trop larges ou si vous souhaitez en savoir plus sur la surveillance continue, ce guide sur les problèmes de confiance liés à l'accès conditionnel vaut le détour. Pour ceux qui sont aux prises avec la prolifération des stratégies ou la dette d'identité héritée, voici des conseils pratiques pour remédier à l'accès conditionnel Entra ID et le sécuriser.

Audit et surveillance de l'utilisation des autorisations de Copilot

L'audit et la surveillance de l'utilisation des autorisations de Copilot ne sont pas une simple case à cocher pour la conformité : c'est ainsi que les organisations détectent les accès surprivilégiés et repèrent les comportements inhabituels avant qu'ils ne deviennent un risque réel. Microsoft 365 met à disposition des journaux pour chaque session Copilot, détaillant qui a utilisé quelles données, quand et comment.

Avec Microsoft Purview Audit, vous pouvez suivre les accès aux données de Copilot jusqu'à des actions utilisateur précises et générer rapidement des rapports destinés aux régulateurs ou aux revues internes. Les fonctionnalités d'audit premium allongent en outre les durées de conservation, améliorent la détection des anomalies et déclenchent des alertes en cas de violation de stratégie, ce qui est essentiel dans les environnements réglementés ou les grandes entreprises.

La surveillance continue aide les équipes informatiques et de sécurité à identifier les schémas susceptibles de signaler un usage abusif, comme un utilisateur qui tente soudainement de télécharger de gros volumes de fichiers sensibles via Copilot. Si vous recherchez des conseils concrets pour auditer l'activité des utilisateurs, consultez comment auditer l'activité des utilisateurs avec Microsoft Purview. Pour ceux qui ont besoin d'intégrations ERP ou de plateformes auditables, les éclairages de cette analyse de l'auditabilité et de la conformité au niveau système compléteront utilement votre approche.

Fonctionnalités avancées de Copilot : Promptbooks, plug-ins et extensibilité

Ce qui distingue Microsoft 365 Copilot n'est pas seulement l'IA intégrée, mais la façon dont vous pouvez l'étendre grâce aux Promptbooks, aux plug-ins et aux intégrations avec les applications métier. Les Promptbooks permettent de standardiser les réponses et de mettre en avant les bonnes pratiques, tandis que les plug-ins permettent à Copilot d'extraire des données ou de déclencher des workflows depuis des systèmes externes à Microsoft 365.

L'extensibilité est une arme à double tranchant : elle génère des gains de productivité considérables, mais elle exige aussi une gouvernance rigoureuse. Les notebooks et les contenus d'IA dérivés doivent hériter des étiquettes de confidentialité et de limites de partage encadrées, sous peine de créer un « shadow data lake », c'est-à-dire un ensemble d'informations non suivies. Les stratégies par défaut, la limitation de durée et les points de contrôle de validation sont des outils pratiques pour assurer la sécurité.

Les organisations confrontées aux difficultés de gouvernance lors du déploiement de nouvelles fonctionnalités de Copilot trouveront un regard lucide sur l'atténuation des risques et le contrôle des agents IA dans cette analyse des risques de gouvernance liés aux notebooks Copilot. Lorsque les automatisations parallèles dépassent les stratégies, voici comment reprendre le contrôle grâce à un cadre pratique en 48 heures : Agentageddon: Agents Outpacing Governance.

Autorisations d'accès et administrateur Copilot : ressources complémentaires pour les administrateurs

Qu'est-ce que le modèle d'autorisations de Copilot et comment fonctionne-t-il dans votre locataire Microsoft 365 ?

Le modèle d’autorisations de Copilot définit la manière dont les agents Microsoft Copilot accèdent aux données et aux services de votre locataire Microsoft 365. Il offre des contrôles précis sur l’accès aux données utilisées par les copilotes, afin que les données ne soient traitées que selon les autorisations d’accès configurées et les contrôles sous-jacents. Les administrateurs peuvent gérer l’accès au moyen de paramètres basés sur les rôles, consulter les autorisations et définir des stratégies au niveau du locataire. Ainsi, les réponses de Copilot s’appuient uniquement sur les sources de données autorisées, comme OneDrive, SharePoint et d’autres services Microsoft 365 intégrés, tout en empêchant que des données ne circulent involontairement entre utilisateurs.

Comment gérer l’accès et les autorisations des utilisateurs pour Microsoft Copilot ?

Pour gérer l’accès et les autorisations des utilisateurs, un administrateur Copilot configure des rôles et des stratégies dans le locataire Microsoft 365 afin de contrôler les utilisateurs et les groupes autorisés à utiliser les fonctionnalités de Copilot. Cela inclut l’octroi ou la révocation d’autorisations d’accès aux sources de données, la définition des autorisations d’affichage, ainsi que l’utilisation des outils disponibles dans Microsoft Learn et le Centre d’administration pour gérer efficacement l’usage de Copilot. Vous pouvez également recourir aux API et aux paramètres au niveau du locataire pour automatiser les modifications d’autorisations et les intégrer aux systèmes existants de gestion des identités et des accès.

Quels sont les contrôles d’accès aux données utilisés par Copilot, et comment protègent-ils la confidentialité ?

Copilot combine plusieurs contrôles d’accès aux données utilisés et des contrôles sous-jacents, tels que l’accès basé sur les rôles, les paramètres de résidence des données et les autorisations au niveau des documents. Copilot ne présente que les données que l’utilisateur est déjà autorisé à consulter, et le modèle au sein de votre locataire Microsoft 365 respecte les autorisations d’accès existantes ainsi que les paramètres de stratégie de confidentialité. Ces mesures, associées aux mises à jour de sécurité et à la surveillance, limitent l’exposition de contenus sensibles et contribuent au respect d’exigences réglementaires comme le règlement européen sur l’IA (AI Act).

Copilot peut-il accéder à des sources de données externes, et comment ces autorisations sont-elles gérées ?

Copilot peut être configuré pour accéder à des sources de données externes, mais l’accès doit être explicitement autorisé par les administrateurs. Les connexions aux sources de données externes et aux API sont régies par les stratégies du locataire ainsi que par des ressources complémentaires qui décrivent la manière dont les connecteurs sont autorisés. Les administrateurs doivent examiner les implications en matière de stratégie de confidentialité, s’assurer que les contrôles de sécurité et de confidentialité sont appliqués, et surveiller la manière dont Copilot génère des réponses pouvant faire référence à des contenus externes, afin que les données d’entraînement et les entrées externes soient traitées conformément aux règles de l’organisation.

Comment le modèle d’autorisations de Copilot empêche-t-il que les réponses de Copilot ne circulent involontairement entre utilisateurs ?

Le modèle d’autorisations isole le contexte de chaque utilisateur en appliquant des autorisations d’affichage et des contrôles propres au locataire, de sorte que Copilot ne restitue que les données que chaque personne est autorisée à voir. Les agents de Microsoft 365 fonctionnent avec des périmètres d’accès liés à l’identité de l’utilisateur et à son appartenance à des groupes, tandis que les journaux et l’audit permettent de détecter et de corriger toute fuite potentielle. Ces protections, combinées aux garde-fous des composants LLM et classifieur, réduisent le risque que le contenu et le contexte d’un utilisateur apparaissent dans les réponses Copilot d’un autre utilisateur.

Quelles sont les responsabilités des administrateurs Copilot en matière de mises à jour de sécurité et de support technique ?

Les administrateurs Copilot doivent appliquer les mises à jour de sécurité, revoir régulièrement les autorisations d’accès et suivre les recommandations de Microsoft Learn ainsi que les canaux de support pour l’assistance technique. Ils doivent mettre en place des stratégies de revue périodique des personnes autorisées à utiliser Copilot, s’assurer que les intégrations avec les services Microsoft 365 sont sécurisées et tenir à jour la documentation des contrôles d’accès aux données utilisés. En cas de problème, les administrateurs se coordonnent avec le support technique Microsoft et suivent les bonnes pratiques recommandées afin de maintenir la conformité et la continuité opérationnelle.

Comment Copilot traite-t-il les données, et que dois-je savoir sur les données d’entraînement et les modèles d’IA ?

Les données avec lesquelles chaque personne interagit peuvent être utilisées de façon transitoire par les modèles d’IA pour générer les réponses de Copilot. Microsoft fournit toutefois une documentation sur la manière dont les données sont traitées et sur l’éventuelle utilisation de celles-ci pour l’entraînement des modèles. Les administrateurs doivent comprendre la différence entre les données utilisées pour générer une réponse immédiate et celles utilisées pour un entraînement à long terme, et configurer les paramètres afin de limiter l’utilisation des données d’entraînement lorsque la stratégie de confidentialité ou les exigences réglementaires l’imposent. Consultez Microsoft Learn et les guides de gouvernance pour plus de détails sur le comportement des LLM et le traitement des données.

Quels usages et scénarios de Microsoft 365 Copilot nécessitent des modifications du modèle d’autorisations par défaut ?

Certaines utilisations de Microsoft 365 Copilot, comme les copilotes à l’échelle de l’organisation, les copilotes qui agrègent plusieurs sources de données ou les nouveaux déploiements de copilotes, peuvent nécessiter une configuration personnalisée des autorisations. Par exemple, un agent copilote qui agrège des données RH ou des API externes peut exiger des contrôles supplémentaires, des règles de classification ou des stratégies renforcées au niveau du locataire. Les administrateurs doivent évaluer chaque scénario au regard des exigences réglementaires, s’assurer que seuls les accès autorisés aux données sensibles, telles que celles de OneDrive et de SharePoint, sont accordés, et documenter toute exception dans leur cadre de sécurité et de confidentialité.

Où puis-je trouver des ressources supplémentaires, de la documentation et des bonnes pratiques pour mettre en œuvre le modèle d’autorisations de Copilot ?

Les ressources complémentaires incluent Microsoft Learn, la documentation du Centre d’administration Microsoft 365 et les recommandations relatives à la gouvernance de Microsoft Copilot et de l’IA générative. Ces ressources expliquent comment gérer les accès, configurer les administrateurs de copilotes, intégrer les copilotes aux services Microsoft 365 et mettre en œuvre des API pour un contrôle précis. Pour une aide directe, contactez le support technique Microsoft et consultez les mises à jour de sécurité et les documents de conformité afin de vous assurer que votre mise en œuvre de Copilot répond aux besoins de votre organisation et aux exigences réglementaires.