Surveiller l’activité de Copilot pour les équipes de sécurité

By Mirko Peters · 2026-04-16 · Updated 2026-07-28

Découvrez comment les équipes de sécurité peuvent surveiller l’activité de Copilot grâce à la gouvernance, aux revues d’accès et à des processus d’investigation concrets pour Microsoft 365.

Automatically translated with AI from the original post. Read the English original

Réponse rapide : surveiller l’activité de Copilot consiste à combiner l’audit, l’identité, la protection des données et les processus opérationnels de Microsoft 365 afin de comprendre comment le travail assisté par l’IA est utilisé. Commencez par définir des questions de gouvernance claires, identifier les bons responsables des données et formaliser un processus de revue documenté, plutôt que de considérer la surveillance comme un contrôle technique isolé.

L’IA ne frappe plus à la porte : elle est déjà assise à la table, rédige des e-mails, fouille dans les lecteurs partagés et analyse les données sensibles de vos utilisateurs. Microsoft Copilot, qui promet des gains de productivité spectaculaires, soulève aussi une nouvelle série de questions en matière de sécurité et de conformité. Pour les équipes de sécurité, le principe « faire confiance, mais vérifier » devient moins une maxime qu’une nécessité, car les actions pilotées par l’IA peuvent se produire plus vite et à bien plus grande échelle que ne le ferait jamais une erreur humaine.

Ce guide aborde le grand défi : comment faire en sorte que Copilot reste utile sans devenir une source incontrôlée de fuites de données ? Vous découvrirez le modèle de sécurité propre à Copilot, son intégration à Microsoft 365 et, surtout, les techniques et bonnes pratiques de détection, de surveillance et de conformité. Du suivi des chemins d’accès à l’application des contrôles de stratégie, nous passons en revue ce qu’il faut savoir pour garder la maîtrise des risques émergents liés à l’IA tout en restant productif. Entrons dans le vif du sujet.

Comprendre la sécurité de Microsoft Copilot dans les environnements d’entreprise

Si vous travaillez depuis assez longtemps dans la sécurité d’entreprise, vous savez que chaque nouvelle technologie apporte son lot de risques, sous une forme différente. Ce qui rend Microsoft Copilot unique, ce n’est pas seulement sa rapidité de raisonnement, mais le fait qu’il raisonne à partir des données les plus sensibles de votre organisation. Copilot est profondément intégré à l’écosystème Microsoft 365 et dispose d’une visibilité privilégiée sur les fichiers, les e-mails, les agendas et des centaines de points d’interaction avec les données. Ce n’est pas une application de plus ajoutée à votre parc : elle est au cœur de vos processus métier.

La principale différence tient à l’étendue des droits dont dispose Copilot pour accéder aux données. Il agit avec l’identité de chaque utilisateur, ce qui signifie que sa visibilité et ses actions ne sont aussi bien verrouillées que vos autorisations et stratégies existantes. Mais, contrairement à un humain, Copilot peut traiter, restituer et synthétiser de grandes quantités d’informations à une vitesse qui dépasse les modèles de menaces traditionnels.

Pourquoi tout cela compte-t-il pour les équipes de sécurité ? D’abord, chaque requête adressée à Copilot peut ouvrir une fenêtre sur des données confidentielles de l’entreprise : les enjeux liés à des contrôles d’accès robustes, à une surveillance active et à la conformité prennent donc une dimension nettement supérieure. Vous ne surveillez pas seulement les erreurs humaines, mais aussi le partage excessif « utile » qu’un outil intelligent peut provoquer. Comprendre les fondements de la conception de sécurité de Copilot est la première étape vers une véritable stratégie de défense en profondeur. Pour aller plus loin dans la sécurisation de Copilot et l’application du principe de moindre privilège, consultez cet aperçu pratique : Governed AI: Keeping Copilot Secure and Compliant.

Et si vous cherchez à comprendre le pourquoi de la gouvernance, des contrats et des contrôles techniques avant même d’activer Copilot, une analyse pertinente se trouve ici : Copilot Governance: Policy or Pipe Dream?.

Qu’est-ce que la sécurité de Microsoft Copilot ?

La sécurité de Microsoft Copilot désigne l’ensemble des contrôles, pratiques et technologies qui protègent la manière dont Copilot interagit avec les données de l’entreprise. Dans un contexte professionnel, Copilot s’exécute avec les mêmes droits d’accès que les utilisateurs qui l’invoquent, en puisant du contenu dans les e-mails, les fichiers, les conversations Teams et d’autres ressources de l’entreprise. Ce fonctionnement fait de Copilot un précieux allié de productivité, mais transforme aussi chaque requête d’IA en point d’exposition potentiel des données.

Le modèle de sécurité couvre la protection des données (veiller à ce que les informations sensibles ne fuient pas), la confidentialité (contrôler la manière dont les données personnelles et réglementées sont consultées ou traitées) et la conformité (répondre aux obligations sectorielles telles que le RGPD et HIPAA). Au fond, la sécurité de Copilot consiste à s’assurer que la commodité offerte par l’IA ne se paie pas par une perte de contrôle sur vos informations les plus précieuses.

Contrôles de sécurité de Microsoft Copilot et autorisation basée sur l’identité

Copilot s’intègre étroitement aux contrôles de sécurité de Microsoft 365 et applique les accès via une autorisation basée sur l’identité. En clair : si un utilisateur peut accéder à une donnée, Copilot le peut aussi, ni plus, ni moins. L’accès conditionnel, les autorisations basées sur les rôles et les stratégies Microsoft Purview contribuent tous à faire respecter ces limites. Ces contrôles garantissent que Copilot ne peut pas contourner les stratégies de sécurité ni voir des données auxquelles les utilisateurs eux-mêmes n’ont pas accès.

L’autorisation basée sur l’identité signifie que Copilot agit comme un prolongement de l’utilisateur, en reflétant en temps réel ses autorisations. Cela signifie également que des lacunes dans la conception des autorisations ou des processus de consentement OAuth insuffisamment solides peuvent accroître les risques. Pour empêcher les attaquants d’exploiter ces voies d’identité, en particulier via l’hameçonnage par consentement OAuth, il est judicieux de consulter les conseils présentés dans Entra ID OAuth Consent Attack Explained et de vous assurer que vos stratégies d’accès conditionnel ne laissent pas de failles invisibles, comme le montre Conditional Access Policy Trust Issues.

Récupération de données d’entreprise par Copilot via Microsoft Graph

Maintenant, si vous vous demandez comment Copilot « sait » ce qu’il sait, la réponse est, presque à chaque fois, Microsoft Graph. Il s’agit de la couche API que Microsoft 365 utilise pour exposer les données des utilisateurs aux applications, et Copilot emprunte cette voie pour extraire des e-mails, des fichiers, des conversations, des documents SharePoint et bien d’autres données encore. En substance, Copilot construit sa magie d’IA en assemblant les données des applications accessibles à l’utilisateur, le tout via cette plateforme Graph unifiée.

Pour les équipes sécurité et conformité, comprendre le rôle de Microsoft Graph permet de mieux cerner les limites de ce que Copilot peut ou ne peut pas voir. Il ne contourne pas les contrôles et n’accède pas aux recoins obscurs de votre réseau : il est soumis aux autorisations et à la gouvernance que vous avez déjà mises en place. Mais la gestion de ces éléments est plus délicate qu’il n’y paraît : des autorisations Graph trop larges ou des droits d’accès mal configurés peuvent faire de Copilot un super-utilisateur involontaire.

L’enjeu ne se limite pas à des enregistrements individuels, mais porte sur l’impact cumulé de l’accès inter-applications, de la conservation du contexte et de la synthèse riche des données dans chaque réponse de Copilot. C’est pourquoi une gouvernance finement ajustée est essentielle. Vous trouverez des indications plus approfondies sur la distinction entre accès et propriété, ainsi que sur l’impact concret sur la sécurité de Copilot, dans cet article sur la gouvernance des accès aux données.

Comment Copilot Enterprise récupère les données avec Microsoft Graph

Copilot récupère les données d’entreprise via les API Microsoft Graph, en utilisant l’identité et les autorisations de l’utilisateur actif. Lorsqu’un utilisateur émet une commande Copilot, par exemple « Résume tous les e-mails RH de la semaine passée », Copilot interroge Microsoft Graph, ne récupère que les informations que cet utilisateur peut normalement voir, et les transmet à son modèle de langage pour analyse ou réponse.

Les autorisations Graph sont héritées des rôles et des appartenances aux groupes des utilisateurs. Si les autorisations sont définies de manière trop large, par exemple en accordant l’accès à « toutes les boîtes aux lettres » via Graph, Copilot pourrait renvoyer involontairement des contenus sensibles en dehors du périmètre de l’utilisateur. Ce sont précisément ces paramètres hérités, parfois trop permissifs, qui suscitent des inquiétudes quant au partage excessif. Les contrôles natifs de Microsoft 365 sont puissants, mais sans une conception de gouvernance réfléchie, il est facile de surestimer le niveau réel de verrouillage. Pour un retour à la réalité, cet épisode sur l’illusion de la gouvernance dans Microsoft 365 est à écouter absolument.

Récupération de données inter-applications et conscience du contexte liée à Copilot

L’une des forces les plus importantes de Copilot, et une source d’inquiétude pour de nombreux spécialistes de la sécurité, est sa capacité à extraire et à assembler des données provenant de plusieurs applications Microsoft 365 en une seule requête. Demandez à Copilot de « Résumer la dernière négociation avec le client X », et il pourra faire référence simultanément aux invitations de calendrier, aux conversations Teams et aux documents SharePoint. Copilot conserve le contexte de l’utilisateur tout au long de ces réponses et veille à ne jamais puiser dans des données auxquelles l’utilisateur n’est pas autorisé à accéder.

Cette capacité transversale peut décupler la productivité, mais elle amplifie aussi les risques si les frontières de contexte ne sont pas bien définies. Une conscience solide du contexte dans Copilot permet d’éviter les fuites de données, à condition que les connecteurs d’applications, les contrôles DLP et les stratégies du locataire soient appliqués comme autant de garde-fous. Pour approfondir l’isolation, les stratégies DLP et la gouvernance avancée des agents, consultez la gouvernance avancée des agents Copilot avec Microsoft Purview.

Identité, accès et modèles d’autorisation dans la sécurité de Copilot

L’essentiel tient en une phrase : dans l’univers de Copilot, l’identité et les accès sont primordiaux. Copilot ne fonctionne pas en vase clos ; il agit comme un « multiplicateur d’identité », ce qui signifie que son accès aux données et aux services dépend entièrement des autorisations des utilisateurs qui l’utilisent. Cela bouleverse les anciennes habitudes : désormais, chaque appartenance à un groupe mal revue, chaque autorisation SharePoint obsolète, chaque autorisation OAuth tierce accordée ne constitue plus seulement une contrainte de gestion, mais une porte potentielle par laquelle Copilot peut passer.

Avec la montée des plug-ins, des connecteurs Graph et des agents Copilot Studio personnalisés, le risque ne se limite pas à Microsoft 365. Chaque intégration peut devenir une voie d’entrée pour le shadow IT et pour une extension involontaire de l’accès aux données. C’est pourquoi les revues régulières des identités non humaines, des identités de service et des identités de charge de travail sont plus importantes que jamais. Pour comprendre pourquoi des contrôles d’identité solides sont indispensables, et en quoi les comptes de service traditionnels sont loin d’égaler des identités de charge de travail conçues à cet effet, consultez ce guide pratique sur les identités de charge de travail.

Astuce : traitez Copilot comme un collaborateur pour renforcer la sécurité

Une bonne règle empirique ? Traitez Copilot comme un nouvel collaborateur fraîchement intégré : avec prudence et une supervision régulière. Comme Copilot reflète les autorisations des utilisateurs, si vous laissez grandes ouvertes d’anciennes autorisations ou si vous laissez gonfler les appartenances aux groupes, vous remettez les clés de l’IA tout autant qu’à vos collaborateurs. L’application stricte du principe de moindre privilège, le maintien d’appartenances aux groupes réduites au strict nécessaire et l’audit des accès privilégiés sont aussi essentiels pour Copilot que pour tout nouvel employé.

Comités de gouvernance, conseils de surveillance et pratiques d’IA responsable ne sont pas très séduisants, mais ce sont eux qui maîtrisent le chaos lié à l’IA. Si vous souhaitez un état des lieux réaliste sur la manière dont les agents d’IA alimentent les risques du shadow IT, et sur les moyens simples de retrouver de la visibilité, consultez ces ressources sur les comités de gouvernance et la gouvernance des agents d’IA. En bref : ne laissez pas Copilot devenir, par accident, votre prochain risque d’initié.

Mesures de surveillance renforcées pour l’usage de Copilot et les schémas d’accès

La confiance, certes, c’est bien. Mais lorsqu’il s’agit de Copilot, et plus généralement de l’IA en entreprise, vous avez besoin de vérification et de visibilité. Surveiller l’activité de Copilot ne consiste pas à traquer un comportement « incontrôlé », mais à accumuler suffisamment de signaux pour détecter les mauvaises configurations, les fuites de données accidentelles ou les requêtes suspectes avant qu’elles ne s’aggravent. Avec Copilot qui relie utilisateurs, flux de travail et informations sensibles à une vitesse machine, la surveillance continue devient l’une de vos meilleures défenses.

Les journaux que vous collectez, la manière dont vous analysez l’usage de Copilot et les règles de détection que vous déployez comptent beaucoup, d’autant que les acteurs malveillants savent de mieux en mieux se fondre dans un travail quotidien assisté par l’IA. Surveillez les schémas d’accès inhabituels : horaires atypiques, demandes d’agrégation de données anormales ou tentatives répétées d’accès à des contenus restreints. Croiser les signaux de l’activité IA avec la supervision SOC plus large permet de transformer le bruit en informations exploitables.

Pour des conseils pratiques sur l’audit des actions des utilisateurs, en particulier avec Purview Audit et la rétention prolongée, consultez How to Audit User Activity with Microsoft Purview. Et si vous voulez voir comment une surveillance de conformité continue et en temps réel réduit les fenêtres de risque, ne manquez pas Monitoring Compliance in Microsoft Defender for Cloud.

Déploiement de règles de détection et de classeurs pour la détection des menaces liées à Copilot

1. Utiliser Microsoft Sentinel pour ingérer les journaux de Copilot : Connectez vos journaux d’audit Purview et toute télémétrie spécifique à Copilot à Microsoft Sentinel. Ces journaux fournissent une piste détaillée des requêtes, des accès aux données et des détails des sessions Copilot. Assurez-vous d’utiliser au minimum Purview Audit (Premium) afin d’obtenir des signaux détaillés et une conservation prolongée, utile à des fins réglementaires ou forensiques.
2. Créer des requêtes de détection personnalisées pour les schémas liés à l’IA : Créez des règles d’analyse Sentinel qui signalent les usages inhabituels de Copilot. Recherchez les accès atypiques, comme les téléchargements volumineux, l’activité en dehors des heures ouvrées ou les tentatives de synthèse de contenus restreints. Croisez ces signaux avec des références plus larges issues de UEBA (User and Entity Behavior Analytics) afin de repérer non seulement les activités « malveillantes », mais aussi les activités « étranges », qui ne correspondent pas à la norme.
3. Développer des classeurs pour les tableaux de bord opérationnels : Configurez des classeurs personnalisés pour visualiser l’usage de Copilot, l’enchaînement des requêtes et les tendances d’accès aux données. Mettez en correspondance les invites et les réponses pour comprendre les intentions, et corrélez-les avec les sources de données sous-jacentes. Les classeurs facilitent la détection des tentatives répétées de contournement des règles DLP ou des étiquettes de confidentialité, ainsi que des schémas d’exfiltration « lents et discrets » qui échapperaient aux alertes classiques.
4. Réduire la fatigue liée aux alertes grâce au filtrage du bruit : Ne noyez pas votre équipe sous les alertes : affinez vos règles de détection pour éviter les faux positifs. Concentrez-vous sur les signaux riches en contexte, comme les utilisateurs qui sondent de façon répétée des sujets sensibles ou qui exploitent les plugins de Copilot pour agréger des données provenant de plusieurs domaines. Tirez les leçons des erreurs liées aux stratégies DLP « attrape-tout » trop larges : ajustez vos règles en fonction de votre profil de risque, comme expliqué dans cet épisode sur la réelle puissance de DLP.
5. Imposer un étiquetage par défaut pour les résultats de Copilot : Les données générées par l’IA, en particulier à partir de Notebooks ou de plugins, n’héritent pas toujours des étiquettes de confidentialité d’origine ni des pistes d’audit. Imposez des stratégies de classification et de rétention, comme décrit dans The Hidden Governance Risk in Copilot Notebooks, afin d’empêcher la création de « lacs de données parallèles » dérivés qui échappent à la surveillance de la conformité.

Obligations réglementaires et considérations de conformité liées à Copilot

Utiliser Copilot en entreprise implique de faire face à un niveau d’attention inédit de la part de vos auditeurs, de votre service juridique et, soyons réalistes, de votre conseil d’administration. Lorsque l’IA peut accéder à des données réglementées, il faut tenir compte de tout, depuis le « droit à l’oubli » du RGPD jusqu’aux clauses de confidentialité de HIPAA. Copilot transforme la manière dont les données circulent, et la rapidité de cette circulation, ce qui peut brouiller les frontières en matière de résidence, de souveraineté et de référentiels de conformité sectoriels.

L’enjeu est que Copilot peut être un atout ou un risque en matière de conformité, selon la solidité de votre configuration de la prévention des pertes de données (DLP), des étiquettes de confidentialité et des pistes d’audit. Bonne nouvelle : inutile de réinventer la roue. Microsoft Purview et Microsoft 365 proposent des contrôles de stratégie permettant de gouverner aussi bien les données existantes que le contenu généré par l’IA. Vous devrez toutefois vérifier que ces technologies s’étendent suffisamment pour suivre les schémas d’accès de Copilot, qui traversent les applications et s’appuient sur l’IA.

Si vous souhaitez mettre en place un écosystème conforme aux exigences d’audit et réglementaires autour de Copilot, inspirez-vous des stratégies présentées dans Building Your Purview Shield et du guide Governing AI and Keeping Copilot Secure and Compliant. Vous y trouverez les bonnes pratiques relatives à la propriété, à la gestion du cycle de vie et à l’alignement des équipes sécurité, juridique et RH pour couvrir tous les aspects.

Utiliser les étiquettes de confidentialité et la DLP pour gouverner les données sensibles dans Copilot

• Définir et appliquer les étiquettes de confidentialité : Utilisez Microsoft Purview pour créer des étiquettes de confidentialité et des règles d’étiquetage automatique. Ainsi, tout le contenu, y compris les synthèses générées par l’IA ou les résultats des notebooks, reçoit la classification appropriée pour garantir sa visibilité et sa protection.
• Configurer les stratégies de prévention des pertes de données (DLP) : Mettez en place des règles DLP pour surveiller, bloquer ou restreindre les requêtes Copilot qui tentent d’accéder à des types de données sensibles, de les synthétiser ou de les exporter (par exemple des données financières, des données personnelles réglementées ou des informations médicales). Segmentez les stratégies DLP par environnement de connecteurs et par type de données afin de maîtriser les risques de contamination croisée, comme détaillé dans ce guide de stratégie Microsoft Purview.
• Auditer et surveiller les flux de contenu pilotés par l’IA : Activez l’audit avancé pour enregistrer les interactions avec Copilot, la création de données dérivées et les déplacements de données de bout en bout. Cela vous aide à repérer les points de fuite et facilite les demandes de découverte électronique ou les enquêtes réglementaires.
• Bloquer les connecteurs à haut risque et les plugins personnalisés : Limitez la portée de Copilot en bloquant les connecteurs HTTP et personnalisés au niveau de la stratégie du locataire. Cette étape est essentielle pour prévenir une exfiltration de données accidentelle ou délibérée et pour faire respecter les frontières du locataire.
• Réviser et tester la DLP régulièrement : Ne configurez pas votre DLP une fois pour toutes. Exécutez des tests basés sur des scénarios pour vérifier que les stratégies détectent aussi bien les déplacements de données directs qu’indirects pilotés par l’IA, comme expliqué dans le guide consacré à la mise en place de la DLP dans Microsoft 365.

Bonnes pratiques pour la configuration, l’intégration et la gestion continue de Security Copilot

Protéger les données sensibles de l’entreprise tout en permettant aux équipes de tirer le meilleur parti de Copilot exige une approche stratégique : il ne s’agit pas seulement de technologie, mais aussi de personnes, de processus et de culture. Votre déploiement de Copilot doit être irréprochable : configuré de manière sécurisée, étroitement intégré aux outils de gouvernance et de conformité, et soutenu par un cycle de contrôles et d’ajustements réguliers.

Votre feuille de route doit couvrir le déploiement initial jusqu’à l’exploitation courante. Commencez par un modèle de déploiement et d’autorisations bien documenté. Assurez-vous que les bons rôles, des opérations de sécurité jusqu’à la conformité, sont impliqués pour détecter les cas limites et les dérives de stratégie. Après la mise en production, surveillez l’usage réel de Copilot à l’aide de tableaux de bord, de journaux d’audit et d’une détection proactive des menaces, afin de ne pas vous contenter de réagir aux incidents mais de les anticiper.

Une boucle de rétroaction est précieuse : les utilisateurs, les administrateurs et les équipes de sécurité ont besoin de canaux simples pour signaler les anomalies, proposer des améliorations et suivre les modifications. Cela ne renforce pas seulement votre posture de sécurité : cela facilite également l’adoption, réduit la confusion et permet à tout le monde d’avancer dans la même direction. Pour la formation et les pistes d’amélioration continue, ce guide sur la mise en place d’un Centre d’apprentissage Copilot gouverné peut vous aider à fixer les attentes et à améliorer l’expérience des utilisateurs.

Si vous réfléchissez à la manière d’appliquer de véritables contrôles au moment de l’action (plutôt qu’après coup, une fois les erreurs commises), consultez les recommandations sur la séparation du plan d’expérience et du plan de contrôle dans la sécurisation des agents IA grâce aux bonnes pratiques de gouvernance.

Points clés et questions fréquentes sur la surveillance de l’activité de Copilot

• Établir la référence de l’activité normale : Comprenez et modélisez les requêtes et les schémas d’accès typiques de Copilot selon les rôles afin de détecter rapidement les anomalies.
• Auditer les autorisations et les plugins : Passez régulièrement en revue qui, et quoi, est autorisé à utiliser Copilot, y compris les intégrations tierces et les plugins.
• Appliquer les stratégies à chaque niveau : Utilisez la DLP, les étiquettes de confidentialité et la surveillance à chaque point d’accès : utilisateur, charge de travail, connecteur et plugin.
• Préparer les investigations : Assurez-vous que les journaux de Copilot sont inaltérables, complets et faciles à exporter pour les revues de conformité ou les analyses forensiques.
• Question fréquente : Copilot élargit-il l’accès des utilisateurs ? Non. Copilot reprend les autorisations de chaque utilisateur qui l’invoque. En revanche, des lacunes dans les autorisations héritées ou des accès accordés à des tiers peuvent involontairement élargir sa visibilité ; examinez-les et ajustez-les régulièrement.

Liste de contrôle pour la surveillance de l’activité de Copilot

• Définissez les questions de sécurité, de conformité et d’adoption auxquelles la surveillance doit répondre.
• Confirmez les responsables de l’audit, de l’identité, des données et de la réponse aux incidents.
• Passez en revue les contrôles d’accès et de protection des données qui influencent les sources sur lesquelles Copilot peut s’appuyer.
• Documenter les étapes d’investigation et d’escalade avant qu’un incident ne survienne.
• Faire valider les constats avec les équipes Confidentialité et Juridique lorsque c’est nécessaire.

Questions fréquentes

Copilot surveille-t-il uniquement une tâche de sécurité ?

Non. Une surveillance efficace exige que la sécurité, la conformité, les propriétaires de données et les responsables de l’adoption s’accordent sur ce que constitue un usage correct et un usage risqué.

Quel est le premier contrôle à examiner ?

Commencez par les identités et l’accès aux données. Copilot respecte les autorisations existantes : une information trop largement exposée reste donc un sujet de gouvernance.

🎧 À écouter également

• Microsoft Security Copilot – Simply Explained présente le contexte des opérations de sécurité qui sous-tend l’investigation assistée par l’IA.
• Microsoft Purview Information Protection – Simply Explained explique la couche de classification et de protection qui favorise une utilisation plus sûre de Copilot.
• Identity Governance in Entra constitue l’étape suivante pour examiner le modèle d’accès qui détermine les résultats de Copilot.

Dernière révision : juillet 2026.