Copilot et l’AI Act européen

By Mirko Peters · 2025-11-21 · Updated 2026-07-22

Comprendre les responsabilités liées à Copilot et à l’AI Act européen, y compris les obligations du déployeur, la gouvernance, la gestion des risques, la transparence et la supervision humaine.

Automatically translated with AI from the original post. Read the English original

Vous pensez peut-être que la conformité dès la conception (Compliant by Design) vous permet de relâcher votre vigilance. Cette idée peut pourtant exposer votre organisation à des risques. L’AI Act européen vous confère une responsabilité réelle. Le fournisseur n’est pas le seul responsable. De nombreux responsables informatiques et conformité s’inquiètent des assistants IA. Ils craignent que l’IA ne présente des données à des personnes qui ne devraient pas y avoir accès. Microsoft Copilot 365 s’appuie sur de solides contrôles d’accès basés sur les rôles. Ces fonctionnalités sont utiles, mais elles ne constituent qu’un point de départ. Imaginez qu’un utilisateur demande à Copilot de résumer des fichiers confidentiels. Êtes-vous certain que vos paramètres protègent toutes les données ?

Points clés

• Familiarisez-vous avec l’échelle des risques de l’AI Act européen. Votre cas d’usage de l’IA détermine votre niveau de conformité. Le fournisseur ne le décide pas à votre place.

• Utilisez les fonctionnalités de conformité de Copilot. Assurez-vous de les configurer correctement. Les paramètres par défaut ne respectent pas forcément les règles européennes.

• Consignez chaque étape lorsque vous utilisez l’IA. Une bonne tenue des registres vous aide à démontrer que vous respectez la réglementation. Cela peut vous aider à éviter de lourdes amendes.

• Sensibilisez vos équipes à la sécurité et à la conformité de l’IA. Chacun doit savoir quoi faire et connaître les règles d’utilisation des outils d’IA.

• Vérifiez et mettez régulièrement à jour votre plan de conformité. Restez informé des nouvelles règles. Cela vous permet de continuer à respecter la loi.

L’échelle des risques de l’AI Act européen expliquée

Catégories de risques et cas d’usage

Vous devez comprendre l’échelle des risques de l’AI Act européen avant de déployer un outil d’IA. L’Acte classe les systèmes d’IA en quatre niveaux de risque. Chaque niveau s’accompagne de règles différentes que vous devez respecter. Voici un tableau simple qui présente le fonctionnement de cette échelle :

Vos obligations augmentent à mesure que vous montez dans l’échelle. Si vous utilisez Copilot ou ChatGPT pour des tâches simples, comme la rédaction de courriels, vous relevez de la catégorie risque minimal ou limité. Si vous les utilisez pour le recrutement, l’évaluation de solvabilité ou des conseils de santé, vous entrez dans le domaine du risque élevé. Vous devez alors respecter davantage de règles et tenir des registres plus précis.

Pourquoi le cas d’usage compte plus que le fournisseur

Vous pensez peut-être que le fournisseur ou le modèle détermine votre niveau de risque. C’est faux. La manière dont vous utilisez l’IA fixe votre niveau de risque. Vous devez définir des cas d’usage et des exigences clairs. Vous devez documenter le problème que vous souhaitez résoudre et vérifier que l’IA est la bonne réponse. Vous devez aussi évaluer les risques liés aux résultats et les contrôles de qualité. Demandez-vous comment vous utiliserez les résultats de l’IA et ce qui pourrait mal tourner.

Voici quelques exemples :

• Si vous utilisez Copilot pour résumer des notes de réunion, vous êtes exposé à un risque limité.

• Si vous utilisez ChatGPT pour aider à décider qui obtient un prêt, vous êtes exposé à un risque élevé.

• Si vous développez votre propre IA de notation sociale, vous êtes exposé à un risque inacceptable.

Concentrez-vous sur votre cas d’usage, et non uniquement sur la marque ou le modèle. Les fonctionnalités Compliant by Design vous aident, mais vous devez tout de même associer votre usage de l’IA au bon niveau de risque et respecter les règles.

Compliant by Design – l’échafaudage de conformité de Copilot

Fonctionnalités intégrées pour la conformité

Lorsque vous utilisez Copilot dans Microsoft 365, vous bénéficiez d’un bon point de départ. La plateforme met à votre disposition de nombreux outils pour protéger vos données. Ces outils fonctionnent ensemble pour vous aider à respecter la réglementation. Vous trouverez les principaux dans le tableau ci-dessous :

Ces outils aident Copilot à s’inscrire dans une démarche Compliant by Design. Ils vous permettent de gérer les données, de contrôler qui peut y accéder et de surveiller ce qui se passe. Vous n’avez pas besoin de tout construire vous-même. Vous pouvez les utiliser comme base de votre plan de conformité.

Astuce : Copilot n’utilise pas vos requêtes ni ses réponses pour entraîner ses modèles. Cela protège la confidentialité de vos données et réduit les risques.

Ce que les déployeurs doivent encore configurer

Vous ne pouvez pas vous contenter des paramètres par défaut. Vous devez apporter des modifications pour que Copilot respecte les règles de l’EU AI Act. Compliant by Design vous aide à démarrer, mais c’est à vous de mener le travail à son terme. Les régulateurs exigent des preuves, pas de simples promesses.

Voici les étapes pour renforcer votre conformité :

1. Vérifiez et corrigez les autorisations dans SharePoint, OneDrive et Teams avant d’activer Copilot. Supprimez les accès dont les utilisateurs n’ont pas besoin.

2. Appliquez le principe du moindre privilège. Vérifiez les listes de groupes et les paramètres de partage. Ne laissez voir à chacun que ce dont il a besoin.

3. Envisagez l’acquisition de licences E5 si vous souhaitez une meilleure protection des données pour les utilisateurs qui manipulent des données personnelles.

4. Formez vos utilisateurs. Expliquez-leur que Copilot respecte vos règles en matière de données. Assurez-vous que chacun sait ce que Copilot peut et ne peut pas faire.

Vous devez définir des étiquettes de confidentialité Purview et des règles DLP pour Copilot. Vous devez déterminer la durée de conservation des données et vérifier les journaux d’audit. Vous devriez limiter la recherche SharePoint pour éviter un partage excessif. Vous devez consigner vos évaluations des risques et conserver la trace de vos actions.

Compliant by Design ne signifie pas que le travail est terminé. Vous devez montrer comment vous avez utilisé ces outils dans votre propre environnement. Les régulateurs veulent des preuves. Vous devez démontrer que vous avez configuré, surveillé et documenté vos démarches de conformité.

ChatGPT et Azure OpenAI – Bring Your Own Governance

Lacunes de conformité de ChatGPT public

Utiliser ChatGPT public représente un défi majeur. Copilot intègre des contrôles, mais ChatGPT n’en propose pas. Vous devez définir vos propres règles et vos propres contrôles de sécurité. De nombreuses organisations l’ont appris à leurs dépens.

Prenez l’exemple de la municipalité de Tromsø. Des responsables ont utilisé l’IA pour rédiger la majeure partie d’un rapport. Personne n’a vérifié l’exactitude des faits avant sa diffusion. Le rapport contenait de fausses informations. Cette erreur a nui à leur réputation et a entraîné des problèmes au travail. Sans règles solides, le contrôle est facile à perdre.

Voici quelques problèmes courants à corriger :

• Aucun enregistrement automatique des requêtes ni des réponses n’est effectué.

• Aucun mécanisme intégré ne permet d’empêcher les fuites de données ni d’étiqueter les données sensibles.

• Aucun avertissement ni aucune étiquette ne signale les contenus produits par l’IA.

• Aucune vérification humaine n’est prévue pour les résultats importants.

• Aucun moyen clair ne permet de limiter l’accès ou de contrôler l’emplacement de stockage des données.

Vous devez corriger ces problèmes vous-même. L’EU AI Act exige que vous montriez comment vous gérez les risques, que vous consigniez vos choix et que vous conserviez les traces correspondantes.

Azure OpenAI comme solution intermédiaire

Azure OpenAI vous offre davantage de contrôle que ChatGPT public. Vous pouvez utiliser des comptes professionnels, définir qui peut l’utiliser et surveiller les actions des utilisateurs. Vous disposez de journaux plus complets et pouvez conserver les données au sein de votre entreprise. Ces outils vous aident à respecter certaines exigences de l’EU AI Act.

Mais l’essentiel du travail vous incombe toujours. Vous devez :

1. Réaliser une analyse d’impact relative à la protection des données (AIPD) pour chaque usage que vous en faites.

2. Tenir un registre des activités de traitement.

3. Mettre en place des règles pour prévenir les fuites de données et définir la durée de conservation des données.

4. Vérifier les journaux et contrôler les résultats.

5. Former les utilisateurs à un usage sûr de l’IA et au respect des règles.

Azure OpenAI vous aide à démarrer, mais vous devez mener le projet à son terme. Vous devez apporter des preuves, avec des traces claires et des contrôles. L’EU AI Act n’accepte pas les promesses : vous devez démontrer ce que vous avez fait.

Kit de survie des déployeurs pour l’EU AI Act

Vous avez besoin d’un plan simple pour respecter les règles de l’EU AI Act. Ce kit vous aide à vous organiser. Il propose des étapes concrètes, des outils et des conseils pour Copilot, ChatGPT et Azure OpenAI. Utilisez-le pour protéger votre organisation et montrer aux régulateurs que la conformité vous importe.

Classification des risques et documentation

Commencez par recenser vos systèmes d’IA et leurs usages. Vous devez savoir où l’IA est utilisée et ce que fait chaque système. Suivez ces étapes pour classer et documenter les risques :

1. Consignez chaque outil et chaque modèle d’IA que votre entreprise utilise, développe, importe ou commercialise en Europe.

2. Déterminez si votre entreprise est fournisseur, déployeur, importateur ou distributeur pour chaque système.

3. Vérifiez si l’EU AI Act s’applique à chaque système ou modèle.

4. Attribuez à chaque cas d’usage de l’IA un niveau de risque : inacceptable, élevé, limité ou minimal.

5. Examinez les contrats et vérifiez les détails des services d’IA.

6. Établissez ou mettez à jour votre plan de gouvernance de l’IA afin qu’il respecte les règles de l’AI Act.

7. Consignez tout changement apporté aux systèmes ou modèles d’IA.

Vous devez consigner chaque étape que vous franchissez. Si vous ne tenez pas de bons registres, vous risquez de lourdes amendes.

Les déployeurs qui ne documentent pas ce qu’ils font au titre de l’AI Act peuvent s’exposer à de sérieux ennuis, comme des amendes de 7,5 millions d’euros pour défaut de communication d’informations complètes aux autorités de régulation, même si leurs choix en matière de risques sont pertinents.

Configurer Purview, la DLP et les accès

Vous devez mettre en place des contrôles stricts pour protéger vos données. Utilisez Purview, la prévention des pertes de données (DLP) et les contrôles d’accès pour répondre aux exigences de l’AI Act. Le tableau ci-dessous présente ce dont vous avez besoin :

Regroupez vos règles DLP par besoins courants. Veillez à ce que vos règles appliquent en priorité les actions les plus strictes. Vérifiez fréquemment les journaux d’audit et les rapports DLP pour contrôler le respect des règles.

Journalisation, transparence et supervision humaine

Vous devez suivre l’usage de l’IA et garder une grande clarté. Les autorités de régulation veulent voir comment vous contrôlez et surveillez vos systèmes. Appliquez ces bonnes pratiques :

Ajoutez des étiquettes claires à tout contenu produit par l’IA. Utilisez des pieds de page ou des filigranes pour indiquer quand l’IA a contribué à un fichier ou à un message. Faites vérifier par une personne les décisions importantes, notamment en matière de recrutement ou de scoring de crédit.

Formation et politiques internes

Vous devez apprendre à votre équipe à utiliser l’IA en toute sécurité. Élaborez des règles solides et une formation pour tous. Veillez à ce que tous les collaborateurs connaissent leur rôle et les règles.

• Proposez une formation adaptée à chaque profil, comme les utilisateurs métier, les administrateurs et les responsables de la conformité.

• Partagez les règles sur les usages de l’IA autorisés et interdits.

• Utilisez des invites et des paramètres favorisant la conformité, par exemple demander à Copilot d’afficher ses sources ou d’ajouter des notes de révision.

• Adaptez vos règles à mesure que l’AI Act évolue.

Vous pouvez utiliser des outils intégrés pour aider les utilisateurs à apprendre leur métier. Fournissez des guides expliquant la différence entre les modèles d’IA à usage général et les systèmes. Proposez des kits de démarrage avec modèles et listes pour faciliter la conformité.

Plan d’action à 30, 60 et 90 jours et communication interne

Vous avez besoin d’un calendrier pour finaliser vos travaux de conformité. Voici un plan d’action simple :

Les 30 premiers jours :

• Recensez tous les systèmes d’IA et leurs cas d’usage.

• Attribuez les rôles et les niveaux de risque.

• Commencez à rédiger la DPIA et le RoPA.

Les 60 jours suivants :

• Configurez Purview, la DLP et les contrôles d’accès.

• Activez l’audit et la surveillance.

• Lancez la formation des principales équipes.

Les 90 derniers jours :

• Révisez et mettez à jour les règles.

• Testez les contrôles humains et les étiquettes claires.

• Préparez les preuves à présenter aux autorités de régulation.

Partagez ce message avec votre équipe :

Nous utilisons des outils d’IA selon une approche « Compliant by Design ». Chacun doit respecter nos nouvelles règles et suivre la formation. Nous suivrons, contrôlerons et consignerons chaque étape afin de respecter les règles de l’AI Act.

Utilisez ce kit pour élaborer un plan de conformité solide. Vous protégerez ainsi votre groupe et aiderez chacun à utiliser l’IA de manière appropriée.

Ne vous contentez pas de faire confiance à « compliant by design ». Vous devez prouver que vous respectez les règles. L’AI Act vous confie des obligations claires. En cas de non-respect, vous vous exposez à de lourdes amendes, pouvant atteindre 15 millions d’euros ou 3 % du chiffre d’affaires mondial total de votre entreprise.

La gouvernance de l’IA est essentielle. Vous devez surveiller la façon dont vous utilisez l’IA. Il vous faut un responsable désigné et des étapes reproductibles. Vérifiez régulièrement vos outils d’IA. Configurez vos outils de conformité et consignez tout ce que vous faites. Appuyez-vous sur les règles pour renforcer la confiance envers votre entreprise et assurer la sécurité de l’IA.

Questions fréquentes

Que signifie « conforme dès la conception » pour Copilot ?

« Conforme dès la conception » signifie que Copilot intègre des outils natifs pour vous aider à respecter la réglementation. Vous devez néanmoins les configurer, les contrôler et démontrer votre conformité. Vous ne pouvez pas vous fier uniquement aux fonctionnalités de l’éditeur.

Faut-il réaliser une AIPD pour Copilot ou ChatGPT ?

Oui. Vous devez réaliser une analyse d’impact relative à la protection des données (AIPD) pour chaque cas d’usage de l’IA. Cette démarche vous permet d’identifier les risques et de montrer aux autorités de régulation que vous prenez la protection de la vie privée au sérieux.

Comment prouver la conformité au règlement européen sur l’IA ?

Vous devez tenir des registres, mettre en place des contrôles et conserver les journaux. Les régulateurs veulent des preuves, pas de simples promesses. Utilisez les journaux d’audit, la documentation des risques et les registres de formation comme éléments probants.

Peut-on utiliser ChatGPT public pour des tâches à haut risque ?

Non. ChatGPT public ne dispose pas de contrôles intégrés pour les tâches à haut risque. Vous devez ajouter vos propres vérifications de sécurité. Pour les usages sensibles, privilégiez des outils dotés de solides fonctionnalités de conformité.

Quelle est l’erreur la plus fréquente des déployeurs ?

Beaucoup pensent que les outils de l’éditeur suffisent à les rendre conformes. Vous devez configurer, surveiller et documenter l’ensemble du dispositif. Les preuves l’emportent toujours sur les promesses.

Écoutez aussi

Si vous vous intéressez à le règlement européen sur l’IA et Microsoft Copilot, ces épisodes apportent un éclairage pratique sur la mise en œuvre, l’architecture, la sécurité et la gouvernance :

• Gouvernance de Microsoft Teams – L’illusion du contrôle — Découvrez comment la propriété, les stratégies et les décisions sur le cycle de vie conditionnent la fiabilité des opérations Microsoft 365.
• Microsoft AI Agent Harness – Simply Explained — Comprenez l’orchestration, les garde-fous, l’évaluation et l’observabilité des flux de travail dotés d’IA.
• Azure AI Foundry – Simply Explained — Découvrez comment les solutions d’IA d’entreprise sont conçues, évaluées, déployées et gouvernées.
• Microsoft Defender XDR – Simply Explained — Reliez les choix de mise en œuvre à la visibilité de sécurité, à l’investigation et à la réponse.