Comment Copilot accède aux données dans Microsoft 365 : architecture, sécurité et gouvernance expliquées

Par Mirko Peters · 2026-03-15 · Mis à jour 2026-03-24

Découvrez comment Microsoft 365 Copilot exploite vos données grâce à une protection des données de niveau entreprise. Explorez l’utilisation des données externes et apprenez à travailler avec Microsoft 365 Copilot.

Traduit automatiquement par IA à partir de l'article original. Lire l'original en anglais

Si vous vous demandez ce qui se passe en coulisses de Microsoft 365 Copilot, vous êtes au bon endroit. Copilot pour Microsoft 365 ne se résume pas à fournir des réponses rapides ou à rédiger un e-mail. C’est un assistant IA complexe qui puise dans les données de votre organisation, interagit avec plusieurs services et fonctionne en respectant des règles strictes de sécurité et de conformité des données.

Il est essentiel de comprendre l’architecture sous-jacente de Copilot : comment il se connecte à vos données, ce à quoi il est autorisé à accéder et comment il protège l’ensemble. Avec l’intérêt croissant pour la productivité assistée par l’IA, comprendre ces mécanismes vous permet de déployer Copilot en toute sécurité dans votre entreprise. Ce guide détaille l’intégration des données de Copilot, ses fonctionnalités de confidentialité, la manière dont il respecte les autorisations et ses contrôles de cycle de vie, afin que vous sachiez exactement à quoi vous attendre, et ce qu’il faut surveiller, avant de le déployer auprès de vos utilisateurs.

Au fil de l’article, nous aborderons des éléments essentiels tels que la conformité, les stratégies d’accès, les pratiques d’IA responsable et la manière dont les réponses et les interactions de Copilot sont traitées. À la fin, vous disposerez des clés pour prendre des décisions avisées sur la place de Copilot dans la gouvernance de l’information et la stratégie numérique de votre organisation.

1. Par requête, et non en masse : Copilot n’indexe pas l’intégralité de votre locataire dans un référentiel unique ; il récupère les données pertinentes au cas par cas, ce qui limite l’exposition inutile de documents et de messages.
2. Utilise Microsoft Graph comme point de contrôle : Copilot appelle les API Microsoft Graph pour localiser et récupérer les données ; l’accès suit donc les mêmes autorisations et stratégies d’accès conditionnel déjà appliquées aux autres applications Microsoft 365.
3. Respecte les droits et le contexte : les données transmises à Copilot sont filtrées selon les droits de l’utilisateur, l’appartenance aux groupes, les étiquettes de confidentialité et les paramètres de partage. Copilot ne peut pas voir le contenu qu’un utilisateur n’est pas autorisé à consulter.
4. Les modèles de pertinence des requêtes s’exécutent côté serveur : le classement par pertinence et la récupération ont lieu sur les serveurs Microsoft avant la génération des réponses. Les réponses de Copilot reflètent donc des résultats préfiltrés et classés, et non des extractions brutes de contenu.
5. Exposition transitoire aux LLM, avec contrôles : le contenu utilisé pour générer les réponses peut être traité par de grands modèles de langage, mais Microsoft applique des garde-fous (limites d’isolement, contrôles de télémétrie et limites de conservation), et les clients peuvent opter pour des modes de traitement des données plus stricts.
6. Les limites des connecteurs et des applications s’appliquent : les données provenant de connecteurs ou d’applications tierces ne sont consultées que si le connecteur est configuré et autorisé. Copilot n’accède pas automatiquement à l’ensemble des services intégrés sans connexion et autorisations explicites.
7. Auditabilité et visibilité pour les administrateurs : chaque accès de Copilot aux données est journalisé et peut être examiné via les outils d’audit et de conformité de Microsoft 365, ce qui permet aux administrateurs de suivre quels contenus ont été consultés et pourquoi.

Au cœur de l’architecture d’accès aux données de Microsoft 365 Copilot

Commençons par poser le cadre de la manière dont Microsoft 365 Copilot exploite les données de votre organisation. D’une manière générale, Copilot est intégré directement à l’écosystème Microsoft 365 : lorsque vous formulez une demande, par exemple un résumé des réunions Teams récentes ou l’analyse d’un grand nombre d’e-mails, Copilot récupère les données pertinentes auprès des sources adéquates, tout en respectant vos autorisations existantes.

Il ne s’agit pas pour autant d’un accès sans contrôle. Copilot s’appuie sur plusieurs couches soigneusement conçues, notamment les connecteurs et l’API Microsoft Graph, pour acheminer vos données en toute sécurité. Imaginez le câblage de vos bureaux sur le réseau électrique, mais avec des disjoncteurs et des compteurs intelligents dans chaque pièce : chaque connexion et chaque appel d’API respecte des limites de sécurité, des stratégies et des règles d’accès strictes.

Derrière chaque réponse de Copilot, des modèles d’intégration et des contrôles basés sur des stratégies veillent à ce que les bonnes données parviennent à destination, sans franchir aucune frontière organisationnelle. Ces contrôles garantissent que, que vos données se trouvent dans SharePoint, OneDrive, Outlook ou dans un système tiers, Copilot ne récupère que ce que vous êtes autorisé à consulter.

L'véritable magie de l'architecture réside dans la facilité avec laquelle on peut l'étendre. La conception de Copilot permet d'ajouter de nouveaux connecteurs et des scénarios d'intégration avancés, ce qui permet aux organisations d'exploiter davantage leurs données sans affaiblir leur gouvernance ni leur sécurité. C'est ce que nous allons examiner ensuite, en commençant par la manière dont les connecteurs gèrent tous ces éléments en mouvement, et par le rôle de l'API Microsoft Graph, qui sous-tend chaque transaction.

Comprendre les connecteurs Copilot et l'intégration des données

1. Les connecteurs Copilot font office de passerelles entre Copilot et les différentes sources de données de Microsoft 365.

• Considérez les connecteurs standard comme les grands axes qui relient Copilot aux destinations principales, comme SharePoint, Exchange et Teams. Ils sont intégrés et gérés par Microsoft.
• Les connecteurs de la galerie étendent la portée de Copilot en se branchant sur des systèmes de partenaires ou de tiers approuvés. Ils offrent des chemins prédéfinis pour intégrer en toute sécurité des applications métier, des CRM ou des référentiels documentaires.
• Les connecteurs personnalisés offrent aux organisations une flexibilité maximale. Ils permettent de créer des connexions vers des applications métier ou des référentiels de données hérités, afin que Copilot puisse fournir des réponses contextualisées à partir de vos jeux de données spécifiques.

1. L'intégration des données via les connecteurs est toujours régie par les stratégies de l'organisation : Copilot ne sort jamais du périmètre défini.

• Tout accès aux données est soumis aux contrôles d'accès basés sur les rôles, aux étiquettes et aux stratégies de conformité définis dans votre locataire.
• Les outils d'intégration prennent en charge le mappage, la transformation ou le masquage des données lorsque certaines sources sont soumises à des exigences supplémentaires de confidentialité ou de sécurité.

1. Les scénarios concrets d'utilisation des connecteurs vont de l'extraction de données RH pour automatiser l'intégration des nouveaux collaborateurs, à l'exploitation de données financières pour préparer un audit, en passant par l'intégration avec des outils externes de gestion de projet.

• Les connecteurs spécialisés ou personnalisés entrent en jeu lorsque les solutions prêtes à l'emploi ne suffisent pas. Par exemple, pour agréger des journaux de conformité, intégrer des plateformes SaaS de niche ou automatiser la production de rapports au sein de filiales fédérées.

1. La sécurité et la conformité sont intégrées au modèle des connecteurs.

• Tout accès par un tiers fait l'objet d'un examen de gouvernance, et les transferts de données sont journalisés pour garantir leur auditabilité.
• Pour des stratégies de gouvernance complètes, consultez des approches comme celles détaillées dans cet aperçu de la stratégie de gouvernance de Copilot.

1. L'extensibilité est au cœur de la stratégie des connecteurs : de nouveaux connecteurs et intégrations peuvent être introduits à mesure que les besoins métier évoluent, tout en garantissant la conformité grâce à des contrôles basés sur des modèles et à un cadre de connecteurs géré.

Pour les organisations qui recherchent une adoption de Copilot reproductible et gouvernée, une approche centralisée, comme un centre d'apprentissage Copilot, peut aider à limiter les difficultés de support et à maîtriser la prolifération des connecteurs, comme expliqué ici.

API Microsoft Graph : la fondation de données centrale de Copilot

L'API Microsoft Graph est la passerelle la plus importante utilisée par Copilot pour interagir avec les données de Microsoft 365. Il s'agit d'une interface sécurisée et unifiée qui fournit les données des utilisateurs et de l'organisation provenant de services comme Exchange, SharePoint, Teams, OneDrive, et bien d'autres.

Lorsque vous soumettez une requête à Copilot, celui-ci interroge l'API Graph, qui vérifie les informations auxquelles vous êtes autorisé à accéder. L'API Graph ne se contente pas de transmettre des données : elle vérifie qui vous êtes, ce que vous avez le droit de voir, et ne renvoie que les éléments, tels que les courriels, les réunions, les documents ou les conversations Teams, correspondant à vos autorisations.

Copilot s'appuie sur les couches d'authentification et d'autorisation de l'API Graph, y compris la prise en charge de l'authentification multifactorielle, de l'accès conditionnel et des autorisations déléguées ou d'application. Cette configuration rigoureuse garantit que Copilot ne sort jamais des limites d'accès existantes de l'organisation.

Chaque récupération de données s'effectue via une requête documentée et auditable, afin que les administrateurs puissent retracer exactement ce qui a été consulté, par qui et quand. L'API prend en charge des autorisations granulaires, ce qui permet à Copilot de n'extraire que ce qui est nécessaire à votre requête, et jamais davantage. Copilot bénéficie également d'une synchronisation en temps réel ou quasi réel, afin que les réponses reflètent les modifications les plus récentes, répondant ainsi aux besoins des entreprises en matière de rapidité et de précision.

Cette intégration étroite avec la gouvernance réelle de Microsoft 365 est essentielle. Si les autorisations ou les stratégies d’étiquetage des données évoluent au niveau du locataire, Copilot les respectera immédiatement, puisqu’il dépend de l’API Graph. Pour approfondir l’équilibre critique entre propriété et accès dans les scénarios Copilot, consultez cet aperçu de la gouvernance de Microsoft 365.

Normes de sécurité et de confidentialité des données dans Microsoft 365 Copilot

La confidentialité et la sécurité des données sont intégrées à Copilot dès sa conception. Avant même que Copilot ne traite les données de votre organisation, celles-ci sont déjà encadrées par des contrôles de sécurité d’entreprise et des outils de confidentialité performants. Copilot applique de manière proactive l’approche de défense en profondeur de Microsoft, en veillant à ce que chaque demande de données soit à la fois chiffrée et étroitement journalisée.

Il ne s’agit pas seulement de chiffrement technique : il s’agit de faire de Copilot un acteur fiable dans les environnements réglementés, où la confidentialité, la conformité et la détection des contenus protégés sont essentielles. Lorsque Copilot récupère, traite et restitue des informations, il utilise des canaux chiffrés et des contrôles d’accès stricts. Les informations sensibles font l’objet d’un examen renforcé, grâce à des fonctionnalités telles que les accès régis par des stratégies, les étiquettes de confidentialité et la détection dynamique des données confidentielles ou réglementées.

Alors que des réglementations comme le RGPD et les exigences de résidence des données deviennent de plus en plus complexes, Copilot suit le rythme en respectant à la fois les obligations légales et la localisation géographique de vos données. Ainsi, lorsque Copilot interagit avec vos informations en arrière-plan, vous n’avez pas à craindre que des données franchissent des limites non autorisées ou échappent aux cadres réglementaires.

Chaque étape du parcours des données dans Copilot est auditée, applicable et alignée sur les outils de conformité sur lesquels votre équipe informatique s’appuie déjà. Si vous êtes responsable du déploiement de Copilot dans votre environnement, vous voudrez savoir comment fonctionnent concrètement ces contrôles intégrés, comment Copilot répond aux exigences de conformité certifiée et quelles protections auditables sont disponibles pour les régulateurs ou les équipes de sécurité. Pour une discussion ciblée sur la sécurisation des autorisations de Copilot, consultez ce guide de sécurité de Copilot.

Garantir la confidentialité et la sécurité des données dans Copilot

1. Chiffrement des données au repos et en transit.

• Toutes les informations traitées par Copilot sont chiffrées à l’aide de protocoles robustes, aussi bien pendant leur transfert entre les services que pendant leur stockage dans les centres de données de Microsoft.
• Cela concerne les requêtes de discussion, les courriels, les documents et les résultats générés par l’IA que Copilot prépare pour les utilisateurs.

1. Détection des contenus protégés et application des étiquettes de confidentialité.

• Copilot respecte directement les étiquettes de confidentialité de Microsoft Purview, qui signalent et protègent les informations confidentielles ou réglementées.
• Si une requête ou un document source contient du contenu protégé, Copilot applique automatiquement les contrôles appropriés, ce qui réduit le risque d’exposition accidentelle.

1. Contrôle d’accès basé sur les rôles et régi par des stratégies.

• Copilot ne contourne jamais les stratégies de prévention des pertes de données (DLP) et de contrôle d’accès de votre locataire : il les renforce, en filtrant ses réponses en fonction de ce que chaque utilisateur est autorisé à voir.
• Les moteurs de stratégies se placent entre Copilot et vos données principales, constituant une dernière ligne de défense contre la surexposition de contenus sensibles.

1. Surveillance continue et détection des menaces.

• Copilot s’appuie sur Microsoft Defender, Purview et Sentinel pour la protection contre les menaces et la surveillance en temps réel, en signalant ou en bloquant automatiquement les activités suspectes.
• Cela protège les interactions des utilisateurs, même si quelqu’un tente de contourner les garde-fous par des techniques d’ingénierie de requêtes astucieuses ou une tentative d’exfiltration de données.

1. Audit centré sur l’utilisateur et transparence.

• Chaque interaction avec Copilot, y compris qui a posé quelle question, à quel moment et quelles données ont été consultées, est journalisée et peut être auditée ultérieurement, ce qui aide les organisations à résoudre les problèmes ou à démontrer leur conformité lors des audits.

Besoin de plus de détails sur la configuration de la DLP et de Purview pour Copilot ? Ce guide d’initiation à la DLP de Microsoft 365 propose des conseils pratiques à l’intention des équipes informatiques. Pour des conseils concrets sur la sécurisation de l’expérience utilisateur tout en restant protégé, consultez les stratégies présentées dans ce guide de sécurité de Microsoft 365.

Conformité réglementaire de Copilot, résidence des données et limite des données de l’UE

• RGPD et conformité mondiale : Copilot est conçu pour aider les organisations à respecter les principales réglementations internationales, avec des contrôles stricts sur le traitement des données personnelles et la gestion des droits des utilisateurs.
• Résidence et souveraineté des données : Copilot respecte les stratégies de résidence des données : vos données restent donc dans la région géographique choisie, ce qui est essentiel pour les secteurs réglementés et les entreprises multinationales.
• Frontière de données de l’UE : pour les organisations situées dans l’UE, Copilot respecte les engagements de Microsoft en matière de Frontière de données de l’UE, en traitant et en stockant les données exclusivement au sein des juridictions de l’UE afin de satisfaire aux exigences légales régionales.
• Audit et documentation : Chaque interaction avec Copilot peut être examinée à l’aide des journaux d’audit et des tableaux de bord de conformité, ce qui favorise la transparence de l’organisation, conformément aux bonnes pratiques de surveillance de la conformité dans Microsoft 365.
• Architecture de conformité certifiée : Copilot hérite du large éventail de certifications de conformité et de la documentation de Microsoft 365, ce qui permet aux organisations d’avoir l’assurance de leur couverture réglementaire.

Contrôle d’accès et gestion des autorisations dans l’accès aux données de Copilot

Le contrôle d’accès est la colonne vertébrale de la stratégie de données de Copilot. Chaque fois que Copilot accède à vos données, il applique les mêmes règles d’autorisation et les mêmes contrôles d’identité auxquels votre organisation fait confiance pour Microsoft 365. Il ne s’agit pas d’une porte dérobée : vous disposez d’un assistant numérique aussi rigoureux que votre administrateur le plus strict.

Au cœur de ce dispositif se trouve l’identité : Copilot s’intègre directement à Microsoft Entra ID (anciennement Azure AD) pour l’authentification. Avant même d’examiner un document ou une conversation, il vérifie qui vous êtes, si votre appareil est conforme, quelles stratégies d’accès conditionnel s’appliquent et si vous avez récemment passé avec succès l’authentification multifacteur (MFA).

Le contrôle d’accès basé sur les rôles est au premier plan. Copilot tient compte de votre rôle, de vos appartenances à des groupes et de vos autorisations attribuées ; il ne renverra donc que les informations que vous pouvez déjà voir si vous les recherchez vous-même. Les administrateurs disposent d’une visibilité à plusieurs niveaux et d’outils leur permettant d’appliquer les contrôles de stratégie, d’auditer l’activité et de définir précisément la manière et le moment où Copilot interagit avec votre patrimoine de données.

La valeur concrète de cette approche réside dans un contrôle constant et prévisible : il n’y a pas de surprise si votre posture de conformité est solide. Pour approfondir les pièges des stratégies d’accès trop larges, consultez cette discussion sur les problèmes de confiance liés à l’accès conditionnel : en savoir plus sur les bonnes pratiques de l’accès conditionnel. Et si vous souhaitez découvrir des stratégies pour construire des boucles de stratégies Entra ID évolutives, les conseils de cet épisode valent le détour.

Accès conditionnel, authentification et autorisations de données dans Copilot

1. Chaque session Copilot commence par des contrôles d’accès conditionnel.

• Avant que Copilot ne traite une requête, il confirme votre identité à l’aide de Microsoft Entra ID, en évaluant la conformité de l’appareil, les risques de connexion, l’emplacement de l’utilisateur et d’autres facteurs.
• Les stratégies d’accès conditionnel peuvent restreindre l’accès à Copilot à certaines heures, depuis certains appareils ou à partir de certains niveaux de risque, afin que les réponses sensibles ne tombent pas entre de mauvaises mains.

1. L’authentification multifacteur (MFA) est imposée.

• Si votre organisation exige l’authentification multifacteur, les expériences Copilot sont protégées par des contrôles obligatoires : aucun raccourci possible si votre session n’est pas sécurisée.
• Cela limite considérablement le risque qu’un compte compromis accède aux puissants outils d’accès aux données de Copilot.

1. Des autorisations granulaires basées sur les rôles limitent l’accès aux données.

• Copilot n’a pas de passe-partout. Ses réponses dépendent de vos droits d’utilisateur, de vos privilèges et de vos affectations de groupes dans Microsoft 365.
• Même si un utilisateur interroge Copilot, il ne peut accéder à rien qu’il n’est pas déjà autorisé à consulter dans Outlook, Teams, SharePoint ou tout autre système connecté.

1. Chaque transaction est auditable.

• Toutes les interactions avec Copilot sont journalisées pour un examen ultérieur, ce qui permet à votre équipe de sécurité de repérer les problèmes, de remonter aux demandes suspectes ou de prouver rapidement sa conformité lors des audits.

1. Contrôles d’administration supplémentaires pour une protection avancée.

• Les organisations peuvent mettre en place des approbations de workflow, des privilèges à durée limitée ou exiger un consentement administrateur pour certaines fonctionnalités de Copilot, comme l’explique le guide consacré à l’atténuation des attaques par consentement OAuth.
• Une sécurité granulaire de Dataverse et au niveau des champs, associée à une gestion automatisée d’Entra ID, permet de combler les failles d’accès externe, comme le détaille cet aperçu de la sécurité Dataverse.

Comment Copilot traite les requêtes des utilisateurs et les données de réponse

• Lorsque vous saisissez une requête, Copilot en interprète le sens et récupère les données en utilisant vos autorisations, sans jamais dépasser ce que vous êtes autorisé à voir.
• Les requêtes des utilisateurs et les réponses de Copilot sont en règle générale éphémères : elles sont traitées en mémoire et ne sont pas conservées à long terme, sauf si votre organisation active explicitement la journalisation d’audit.
• Les données à court terme (telles que les sessions de discussion actives ou l’historique des requêtes) peuvent être mises en cache brièvement pour des raisons de performance, puis supprimées ou anonymisées conformément aux stratégies de rétention et de suppression robustes de Microsoft 365.
• Les journaux conservés à des fins de conformité ou d’auditabilité sont stockés selon les paramètres de rétention de votre organisation et peuvent être purgés si nécessaire, en cohérence avec les politiques de confidentialité plus larges.
• Ces garanties assurent que vos échanges avec Copilot restent privés, confidentiels et conformes aux normes de protection des données en vigueur en entreprise.

IA responsable, injection de requêtes et sécurité du contenu dans Copilot

L’IA responsable n’est pas un simple argument marketing pour Copilot : c’est un ensemble de règles vivantes et de bonnes pratiques d’ingénierie. Copilot est conçu pour protéger vos données et votre entreprise contre les erreurs, les usages détournés ou les abus caractérisés. Alors que des assistants d’IA comme Copilot deviennent centraux dans les espaces de travail, la confiance, la fiabilité et les limites éthiques occupent le premier plan.

L’un des risques majeurs pour les systèmes pilotés par l’IA est l’injection de requêtes, par laquelle des utilisateurs malveillants tentent de manipuler les réponses ou d’extraire des informations sensibles. Copilot y répond grâce à plusieurs couches de sécurité, en vérifiant en permanence les schémas de requêtes suspects, les termes bloqués et les violations des limites liées aux contenus protégés. En cas d’anomalie, les mécanismes de protection de Copilot entrent en action pour l’interrompre ou signaler l’événement.

Les couches stratégiques et techniques travaillent de concert : elles analysent automatiquement les contenus et appliquent des garde-fous en temps réel. Mais cela ne s’arrête pas là : la surveillance continue, les revues d’audit et les mises à jour régulières contribuent à garantir que le comportement de Copilot reste responsable et résistant aux menaces émergentes. Pour les organisations qui souhaitent pérenniser leurs déploiements d’IA, un comité de gouvernance dédié et des tableaux de bord de l’IA responsable peuvent aider à prévenir les défaillances silencieuses et à maintenir la conformité, comme le décrit ce guide des bonnes pratiques de gouvernance de l’IA.

Vous craignez que Copilot ne devienne un risque de « shadow IT » ? Des contrôles stratégiques, des identités d’agents à périmètre restreint et des garanties de conformité en couches y contribuent, selon les recommandations partagées ici. Et lorsqu’il s’agit de grandes réglementations de conformité comme le règlement européen sur l’IA, de bons comités de gouvernance, à l’image de ceux évoqués ici, constituent le dernier rempart contre le chaos incontrôlé de l’IA.

Mettre en œuvre l’IA responsable et se prémunir contre l’injection de requêtes

• Surveillance des requêtes en temps réel et défenses contre l’injection.
• Copilot analyse automatiquement les soumissions des utilisateurs à la recherche de schémas suspects ou de tentatives de contournement des contrôles de stratégie, en temps réel.
• S’il détecte un risque d’injection de requêtes ou de contenu protégé, les réponses sont filtrées, bloquées ou signalées pour examen.
• Application continue des stratégies d’IA.
• Les règles de sécurité du contenu, l’héritage des étiquettes de confidentialité et la journalisation d’audit sont appliqués par défaut, afin que les résultats générés par l’IA restent dans les limites de la conformité.
• Par exemple, les Blocs-notes Copilot sont désormais traités comme du contenu de premier plan, avec étiquetage et contrôles par défaut, comme le souligne ici.
• Supervision administrative proactive et revue.
• Les administrateurs peuvent surveiller l’activité de Copilot grâce à des tableaux de bord dédiés et à des journaux d’audit, ce qui permet de repérer ou de prévenir les risques émergents avant qu’ils ne s’aggravent.
• Des revues régulières et des stratégies de rétention de données à durée limitée comblent les failles susceptibles de transformer des contenus dérivés en véritable casse-tête de conformité.
• Apprentissage continu et mises à jour rapides.
• Les modèles et les filtres de contenu de Copilot sont mis à jour en continu pour faire face aux nouvelles menaces et aux exigences de conformité à mesure qu’elles apparaissent.

Rétention, suppression et cycle de vie des contenus traités par Copilot

Si vous cherchez à garder vos données bien ordonnées et conformes, la manière dont Copilot gère les contenus qu’il génère et stocke revêt une grande importance. Lorsque vous posez une question à Copilot ou que vous le sollicitez pour résumer, analyser ou rédiger un contenu, ces interactions (les requêtes et les réponses qui en résultent) ne disparaissent pas comme par enchantement. Ces données suivent un cycle de vie complet, depuis le moment où vous cliquez sur « Envoyer » jusqu’à leur suppression, ou leur conservation selon les règles de votre organisation.

Par défaut, Microsoft conçoit Copilot pour ne stocker que le minimum nécessaire, pendant la durée la plus courte possible. La plupart des requêtes et des réponses sont traitées en temps réel et ne sont pas conservées à long terme, sauf si elles sont liées à des données Microsoft 365, comme les journaux de discussion ou les documents. Mais ne partez pas du principe d’une suppression automatique : tout élément stocké reste soumis aux stratégies de rétention et de conformité configurées dans votre environnement.

Les organisations soumises à des exigences de gouvernance strictes, ou évoluant dans des secteurs soumis à des réglementations contraignantes comme le RGPD, disposent d’options supplémentaires. Vous pouvez définir précisément la durée de conservation des données d’interaction de Copilot, paramétrer des durées de rétention personnalisées, voire automatiser la purge des données, ce qui facilite la démonstration de la conformité et la gestion des audits. La gestion des informations mises en cache et des extraits générés par l’IA dans Copilot est également étroitement contrôlée, conformément aux normes établies de cycle de vie des données de Microsoft 365.

Disposer des bons outils de suivi et d’audit est tout aussi important, surtout si vous devez un jour démontrer où les données sont allées ou qui a accédé à quoi. Des fonctionnalités comme Microsoft Purview Audit aident les organisations à garder le contrôle de l’activité des utilisateurs et des contenus générés par l’IA, et rendent tout le parcours des données, de la requête jusqu’à la purge finale, transparent et entièrement sous votre contrôle.

Questions fréquentes : fonctionnement de Microsoft 365 Copilot et protection des données avec Microsoft Copilot

Comment Microsoft Copilot accède-t-il aux données de Microsoft 365 ?

Microsoft Copilot accède aux données par l’intermédiaire des services Microsoft 365, en envoyant des requêtes authentifiées à Microsoft Graph et, le cas échéant, à l’index sémantique pour Copilot. Copilot fonctionne dans la limite de service de Microsoft 365 et interroge les données du locataire auxquelles l’utilisateur est autorisé à accéder, en combinant les signaux provenant de Microsoft Teams, SharePoint, Exchange, OneDrive et d’autres expériences connectées dans Microsoft 365.

Copilot peut-il accéder à des données externes au locataire Microsoft 365 ?

Copilot ne peut utiliser des données externes que si les administrateurs activent des connecteurs ou des intégrations qui font entrer ce contenu externe dans le locataire, par exemple à l’aide des connecteurs Microsoft Graph ou d’un mécanisme d’ingestion tiers. Les données conservées en dehors de la limite de service Microsoft 365 ne sont pas automatiquement utilisées par Microsoft 365 Copilot, sauf si elles sont exposées dans le locataire via des connecteurs ou des API pris en charge.

Quel rôle jouent Microsoft Graph et les connecteurs Microsoft Graph dans l’accès de Copilot ?

Les données accessibles via Microsoft Graph constituent le principal moyen par lequel Copilot et Microsoft 365 Copilot récupèrent les données des utilisateurs et de l’organisation dans Microsoft 365. Utilisez les connecteurs Microsoft Graph pour indexer des sources externes dans l’index sémantique du locataire pour Copilot, afin que Copilot puisse interroger ces informations dans le cadre de ses réponses. Si les connecteurs Microsoft Graph ne sont pas utilisés, Copilot ne voit pas ces référentiels externes.

Copilot respecte-t-il les contrôles d’accès basés sur les rôles et les autorisations existants dans Microsoft 365 ?

Oui. Copilot s’appuie sur le même modèle de contrôle d’accès que les autres services Microsoft 365 : l’utilisateur n’est autorisé à accéder aux données que s’il en a l’autorisation. Les contrôles d’accès basés sur les rôles existants dans Microsoft 365 et les paramètres au niveau du locataire appliqués dans le Centre d’administration Microsoft 365 déterminent les données de l’entreprise auxquelles Copilot peut accéder lors de la génération des réponses.

Comment les données circulent-elles lorsque Copilot génère une réponse ?

Le flux de données commence par une demande de l’utilisateur adressée à Copilot (par exemple, dans Copilot Chat ou dans Microsoft Teams). Copilot interroge l’index sémantique de Copilot et appelle Microsoft Graph pour récupérer le contenu pertinent dans l’ensemble des services Microsoft 365. Le traitement s’effectue au sein du service Microsoft 365. Copilot renvoie ensuite des réponses qui combinent des données personnelles et organisationnelles auxquelles l’utilisateur est autorisé à accéder, dans le respect des engagements de conformité de Microsoft 365.

Qu’en est-il de la confidentialité, de la conformité et des réglementations comme le RGPD ?

Microsoft 365 Copilot et Microsoft respectent les engagements de conformité de Microsoft 365, notamment la prise en charge de cadres réglementaires tels que le Règlement général sur la protection des données (RGPD). La résidence des données, la rétention, les journaux d’audit et les contrôles d’administration disponibles dans le Centre d’administration Microsoft 365 aident les organisations à gérer les données des utilisateurs et à satisfaire leurs obligations légales et réglementaires lors de l’utilisation des fonctionnalités de Copilot.

Les administrateurs peuvent-ils contrôler ou activer des fonctionnalités de Copilot telles que Copilot Pro ou Copilot Chat ?

Oui. Les administrateurs peuvent activer Copilot, Copilot Pro et Copilot Chat via des stratégies et des licences dans le Centre d’administration Microsoft 365. Ils contrôlent quels utilisateurs peuvent utiliser Copilot, si des sources de données externes sont connectées, et le fonctionnement des expériences connectées dans Microsoft 365 au sein de l’organisation, dans le respect des conditions d’utilisation et des mises à jour de sécurité de l’organisation.

Comment Copilot fonctionne-t-il avec Microsoft Teams et les autres applications collaboratives ?

Copilot s’intègre à l’ensemble de Microsoft 365, y compris Microsoft Teams, afin de proposer une assistance contextuelle à partir des données utilisateur et du contenu des équipes. Lorsqu’il est utilisé dans Teams, Copilot respecte les autorisations de Teams ainsi que la limite de service Microsoft 365, de sorte qu’il n’accède qu’aux conversations, fichiers et contenus de canaux auxquels l’utilisateur est autorisé à accéder.

L’index sémantique de Copilot est-il nécessaire pour utiliser le contenu de l’entreprise ?

L’index sémantique de Copilot améliore la pertinence en indexant le contenu de l’organisation pour les requêtes en langage naturel. Bien que Copilot puisse accéder directement aux données via Microsoft Graph, l’utilisation de l’index sémantique et des connecteurs Microsoft Graph l’aide à trouver et à synthétiser plus efficacement les données de l’entreprise dans Microsoft 365, lorsque les administrateurs choisissent d’activer ces fonctionnalités.

Les données et la télémétrie de Microsoft Graph sont-elles utilisées pour d’autres services Microsoft ?

Les données consultées via Microsoft Graph sont utilisées par de nombreux services Microsoft 365 pour proposer des expériences connectées. La télémétrie et l’utilisation de Microsoft Graph sont soumises aux stratégies de confidentialité et de conformité de Microsoft. Toutefois, les données Microsoft Graph qui ne sont pas destinées à Copilot peuvent être exclues : Copilot n’utilise pas les données Microsoft Graph, sauf si le locataire a activé l’accès et si l’utilisateur est autorisé à accéder à ce contenu.

Comment les organisations peuvent-elles en savoir plus ou obtenir des conseils sur l’utilisation de Copilot avec Microsoft 365 ?

Les organisations peuvent consulter Microsoft Learn et la documentation du Centre d’administration Microsoft 365 pour obtenir des instructions détaillées sur l’activation de Copilot et l’utilisation des connecteurs Microsoft Graph, comprendre la protection des données et configurer les paramètres existants de Microsoft 365. Les administrateurs doivent examiner leurs engagements de conformité envers Microsoft 365 et mettre à jour leurs stratégies avant de déployer Copilot à l’ensemble du locataire.