Comprendre le modèle de sécurité de Microsoft Copilot

By Mirko Peters · 2026-02-12 · Updated 2026-07-29

Découvrez le modèle de sécurité de Microsoft Copilot, les autorisations Microsoft Graph, l’isolation des locataires, la protection des données, la gouvernance et les contrôles de l’IA responsable.

Automatically translated with AI from the original post. Read the English original

Le modèle de sécurité de Microsoft Copilot exige un scénario métier clairement défini, des limites d’accès et de données approuvées, ainsi qu’une responsabilité identifiée. Commencez par le résultat attendu, vérifiez les recommandations actuelles de Microsoft, testez le dispositif avec des utilisateurs représentatifs et documentez la décision avant de généraliser. Vous garderez ainsi une solution sécurisée, pragmatique et plus facile à maintenir dans Microsoft 365.

Modèle de sécurité de Microsoft Copilot : liste de contrôle pratique

• Définissez le scénario, le responsable et le résultat attendu.
• Validez les autorisations, la sécurité, la stratégie et l’impact sur les utilisateurs.
• Testez avec un pilote et documentez les décisions de support et de révision.

Consultez Microsoft Learn pour les recommandations actuelles.

Dernière révision : juillet 2026.

Lorsqu’on pense aux assistants IA en entreprise, la sécurité et la confidentialité doivent occuper le premier rang. Microsoft Copilot évolue au cœur de vos données : courriels, conversations, documents, tout y passe. Laisser n’importe quoi circuler librement dans cet environnement n’est pas envisageable pour la plupart des organisations, en particulier celles qui manipulent des informations sensibles et doivent gérer de fortes contraintes de conformité. C’est pourquoi Microsoft a conçu pour Copilot un modèle de sécurité structuré et multicouche, qui tient à distance les curieux de l’extérieur et veille à ce que les utilisateurs internes ne voient que ce qui leur est destiné.

Ce modèle de sécurité couvre chaque étape, depuis le traitement des requêtes jusqu’à la génération des réponses, en passant par le suivi des accès et l’application des stratégies de rétention des données, qui sont une véritable règle et non une simple suggestion. Les contrôles ne sont pas ajoutés après coup : ils sont intégrés dès la conception. Pour les équipes informatiques et les dirigeants, savoir précisément comment Copilot isole, chiffre et surveille les données offre de vraies raisons de dormir sereinement, ou du moins de prendre une pause déjeuner un peu plus courte.

Donc, que vous soyez responsable de la conformité, que vous redoutiez des fuites accidentelles ou que vous souhaitiez simplement que les données restent dans leur couloir, ce modèle de sécurité mérite un examen attentif. Considérez cette partie comme votre point de départ pour entrer dans le détail de l’architecture, de la gouvernance et de la conformité de Copilot : des éléments qui seront développés dans les sections suivantes.

Pourquoi la sécurité est essentielle avec Microsoft Copilot

Intégrer une IA comme Copilot dans votre organisation ne se résume pas à des réponses plus rapides ou à des synthèses automatisées : il s’agit de gérer de nouveaux risques. Copilot accède aux données métier stockées, ce qui signifie que si la sécurité est négligée, autant laisser les clés du bureau sous le paillasson. Le contenu généré par l’IA peut ouvrir la porte à des fuites de données : imaginez qu’il divulgue par erreur des informations sensibles ou qu’un utilisateur voie des éléments auxquels il n’est pas autorisé à accéder. Un tel incident n’est pas seulement embarrassant, c’est un véritable champ de mines en matière de conformité.

Un accès non autorisé n’est pas un scénario lointain. Si les contrôles fondés sur les rôles sont absents ou mal configurés, des collaborateurs (voire des personnes extérieures) peuvent consulter ce qu’ils ne devraient pas voir. Il existe aussi un risque que Copilot mélange accidentellement des informations personnelles et professionnelles, ce qui complique encore la surveillance des données réglementées. Les organisations qui traitent des dossiers de santé, des données financières, des documents juridiques ou des listes de clients ? Les enjeux sont encore plus élevés : une seule erreur peut entraîner des amendes considérables ou une perte de confiance.

C’est pourquoi la sécurité doit aller de pair avec le déploiement de Copilot. Les risques ne sont pas théoriques : ils apparaissent chaque jour à mesure que les entreprises adoptent l’IA générative. Si vous souhaitez approfondir les stratégies de défense concrètes, comme les autorisations Graph en moindre privilège, la prévention des pertes de données (DLP) et la surveillance proactive, consultez ces bonnes pratiques pour assurer la sécurité et la conformité de Copilot dans l’ensemble du cloud Microsoft. Négliger la sécurité coûte bien plus cher qu’un simple désagrément : il en va de la protection de votre entreprise, de votre réputation et de la confiance de toutes les personnes dont vous traitez les données.

Principes fondamentaux du modèle de sécurité de Microsoft Copilot

1. Accès à moindre privilège : Copilot n’accède qu’aux données que les utilisateurs sont déjà autorisés à consulter. Il ne peut pas atteindre les fichiers, courriels ou conversations qu’un utilisateur ne pourrait pas ouvrir manuellement. L’application des étendues Graph à moindre privilège limite strictement ce que Copilot peut toucher, ce qui réduit les fenêtres d’exposition.
2. Défense en profondeur : Aucun contrôle ne fonctionne isolément. La gestion des identités, la segmentation réseau, le chiffrement et la détection agissent ensemble à travers toute la pile, de sorte que si une couche est franchie, les autres tiennent la ligne.
3. Minimisation des données : Copilot se tient à l’écart des données dont il n’a pas besoin : les requêtes et les réponses ne sont pas conservées plus longtemps que nécessaire et ne sont jamais réutilisées pour l’entraînement. Limiter ce qui est traité réduit le périmètre d’impact si quelque chose venait à mal tourner.
4. Sensibilisation des utilisateurs et transparence : Microsoft ne se contente pas d’activer un interrupteur et de laisser Copilot agir sans contrôle. Il existe une journalisation d’audit, un historique d’utilisation et des moyens, pour les utilisateurs comme pour les administrateurs, de voir quelles données Copilot a consultées et à quel moment. Ces outils vous permettent de détecter les erreurs au plus tôt.
5. Conformité dès la conception : Les garde-fous réglementaires (Purview, DLP, journalisation et contrôles de stratégie, par exemple) font partie des fondations de Copilot, et non un ajout de dernière minute à des fins marketing. La conformité dès la conception signifie que les déployeurs assument la responsabilité au titre de textes tels que le règlement européen sur l’IA. Le système est donc conçu pour l’audit, la classification et la documentation continue dès le départ.
6. Surveillance continue et gouvernance : L’utilisation de Copilot est suivie, analysée et peut faire l’objet d’alertes en temps réel grâce à des outils tels que Microsoft Sentinel et Purview. Vous êtes ainsi informé de tout accès de données inhabituel et pouvez verrouiller les accès avant que la situation ne dégénère.

Architecture de Microsoft Copilot et couches de sécurité

Microsoft Copilot n’est pas simplement un chatbot greffé sur vos applications : c’est un moteur de décision propulsé par l’IA, qui accède aux sources de données de votre cloud Microsoft comme à celles de vos infrastructures sur site. Le modèle de sécurité n’est pas une réflexion après coup ; c’est un objectif de conception central, présent à chaque couche de l’architecture, depuis la façon dont les demandes de données sont délimitées jusqu’à la manière dont les services communiquent entre eux, en passant par l’isolation des opérations de Copilot d’un locataire à l’autre.

La sécurité est ainsi intégrée à chaque point de contrôle : les données ne franchissent jamais les frontières d’une entreprise, l’identité est vérifiée à chaque requête et chaque appel de service peut être audité et tracé. À la base de tout cela figurent des exigences strictes en matière de contrôle architectural : vous ne vous en remettez pas à une confiance aveugle ni n’espérez que tout se passe bien. Vous disposez au contraire de frontières programmées, appliquées par des stratégies et non par de simples (et vaines) intentions. Comme le montre une analyse approfondie de l’architecture de Copilot, cela permet de contenir les fuites de données, les stratégies inventées et les automatisations incontrôlées.

Nous allons examiner les couches spécifiques : la circulation de vos données au sein de Copilot, le contrôle des accès, la gestion du chiffrement et ce qui distingue l’usage de Copilot d’une organisation de celui d’une autre. Chaque couche n’est pas une simple contrainte technique ; c’est un verrou supplémentaire sur la porte, qui garantit que l’IA peut être puissante sans devenir une zone de non-droit en matière de sécurité.

Circulation des données et isolation dans Copilot

Dans Copilot, les données circulent au sein de frontières soigneusement définies. Les requêtes des utilisateurs sont traitées au cours de la session et vérifiées au regard de l’identité et des autorisations avant toute récupération d’informations. Les données du locataire (celles de votre entreprise) restent cloisonnées : Copilot ne puise pas d’informations chez d’autres entreprises et ne mélange pas les données clients. En coulisses, Microsoft isole les charges de travail au niveau du service et du calcul, ce qui prévient les fuites de données entre locataires.

Si vous étendez Copilot avec des agents personnalisés ou des sources de données, les garde-fous restent en place. Pour en savoir plus sur les intégrations sécurisées et des résultats d’IA d’entreprise plus précis, consultez cet aperçu de l’intégration sécurisée des données avec Copilot Studio et Teams Toolkit. L’isolation n’est pas négociable : c’est la règle, de la requête jusqu’à la réponse.

Contrôles d’identité et d’accès pour Copilot

• Authentification Azure Active Directory : Chaque session Copilot est liée à votre identité Microsoft, ce qui exclut tout accès anonyme ou non autorisé.
• Stratégies d’accès conditionnel : Les administrateurs utilisent l’accès conditionnel pour restreindre l’endroit et la manière d’utiliser Copilot, en fonction de l’appareil, de l’emplacement ou du niveau de risque.
• Préservation du contexte utilisateur : Copilot exécute toujours les requêtes au nom de l’utilisateur demandeur. Il ne contourne donc jamais les autorisations sur les fichiers et les boîtes aux lettres, et ne « s’octroie » pas de droits supplémentaires.
• Accès piloté par stratégie : Les stratégies définissent précisément les ressources auxquelles Copilot peut accéder. Elles peuvent être ajustées au niveau de l’application, du groupe ou du locataire, pour un contrôle d’accès précis.

Normes de chiffrement et protection des données

Microsoft Copilot chiffre toutes les données, en transit (avec TLS/SSL) comme au repos, à l’aide de clés gérées par Microsoft ou, dans certains cas, par vous-même (via des clés gérées par le client). Cela répond aux normes du secteur en matière de confidentialité, d’intégrité et de conformité. Qu’il s’agisse d’invites, de résultats ou de journaux de session, aucune donnée ne circule ni ne reste non chiffrée dans les environnements de Copilot. Cet engagement aide les organisations à se conformer à des réglementations telles que le RGPD, la HIPAA et à obtenir des certifications sectorielles.

Sécurité et segmentation de l’environnement Copilot

Microsoft sépare l’environnement d’exécution et de traitement de Copilot des autres locataires et services grâce à des frontières de réseau virtuel strictes et à une segmentation logique. L’accès réseau est isolé : les services sont délimités de manière à ne pas pouvoir communiquer avec des locataires, charges de travail ou services Microsoft 365 sans rapport, sauf autorisation explicite. Cette approche « tout segmenter » limite les déplacements latéraux des menaces : une compromission dans une zone ne se propage pas à une autre. C’est un peu comme des bureaux cloisonnés pour vos données : chacun dispose de son propre espace verrouillé, sauf indication contraire.

Pratiques de confidentialité de Copilot et confiance des utilisateurs

Pour de nombreuses organisations, faire confiance à Copilot avec leurs données se résume à une question : quel est le niveau de protection de la vie privée ? Microsoft a conçu Copilot en faisant de la confidentialité une valeur fondamentale, en définissant clairement ce qui relève de la sphère personnelle, ce qui relève de l’organisation, et la manière dont les informations restent confidentielles à chaque étape. Cela compte beaucoup, surtout si l’on considère les documents sensibles, les dossiers clients ou la propriété intellectuelle que Copilot peut traiter au quotidien.

Les outils de transparence permettent aux utilisateurs et aux administrateurs de voir précisément ce que Copilot consulte et ce qu’il fait de leurs données, ce qui renforce la confiance par la visibilité. Les stratégies contribuent à éviter que des données sensibles ne fuient et à garantir que les résultats de l’IA sont régis avec la même rigueur que vos fichiers sources. Les sections suivantes détaillent la manière dont Copilot distingue les artefacts personnels des artefacts organisationnels, ainsi que les contrôles de transparence et les options d’audit permettant d’affiner la confiance des utilisateurs.

En somme, les pratiques de confidentialité de Copilot ne sont pas de simples fonctionnalités techniques : elles font partie intégrante de la promesse de Microsoft de garder les données de l’organisation et des utilisateurs séparées, gouvernées et traitées avec soin. Si vous souhaitez déployer l’IA sans compromettre votre conformité ni la crédibilité auprès de vos utilisateurs, ces garde-fous de confidentialité sont indispensables.

Traitement des données personnelles et organisationnelles

Copilot répartit les données qu’il traite en deux catégories : les données personnelles (comme les informations de profil des utilisateurs ou les conversations) et les artefacts organisationnels (courriels, documents, bases de données). Les données personnelles sont traitées dans le respect de la vie privée et du consentement des utilisateurs : elles ne sont jamais exposées à d’autres utilisateurs ou administrateurs sans contrôles stricts. Les données organisationnelles sont traitées conformément aux paramètres de conformité et de confidentialité de votre entreprise, notamment en matière de résidence, de rétention et de stratégies DLP.

Cette séparation facilite le respect des lois sur la vie privée et simplifie la conformité : les conversations de votre équipe ne se mêlent pas aux données de l’entreprise, et les informations commerciales sensibles restent dans les limites juridiques que vous avez définies.

Transparence et contrôles utilisateur dans Copilot

• Historique des activités et des accès : Les utilisateurs et les administrateurs peuvent consulter des journaux indiquant ce à quoi Copilot a accédé et à quel moment, ce qui simplifie les enquêtes et les contrôles de conformité.
• Journaux d’utilisation des données : Copilot conserve des enregistrements sur l’utilisation et la récupération des données, ce qui favorise les pistes d’audit et la transparence.
• Paramètres de confidentialité : Les utilisateurs et le personnel informatique peuvent ajuster la visibilité, définir des limites sur ce à quoi Copilot peut accéder, et configurer des règles de sensibilité ou d’exclusion dans les centres d’administration et les paramètres propres à Copilot.
• Contrôles administrateur : Les administrateurs informatiques utilisent les tableaux de bord et PowerShell pour affiner les paramètres de Copilot en matière de conformité, de licences et de dépannage. Pour un guide plus complet, consultez la gestion des paramètres de Copilot dans les environnements Microsoft 365.

Normes de conformité et cadres réglementaires

• RGPD : Copilot s’aligne sur les exigences du Règlement général sur la protection des données en prenant en charge un consentement utilisateur robuste, la traçabilité et la résidence régionale des données.
• HIPAA : Pour le secteur de la santé, Copilot traite les données à l’aide de contrôles qui protègent les informations de santé protégées électroniques (ePHI) et favorisent la conformité avec le Health Insurance Portability and Accountability Act.
• SOC 1/2/3 : Les opérations de Copilot font régulièrement l’objet d’audits selon les System and Organization Controls, ce qui apporte de la transparence sur les rapports et une assurance sur la confidentialité, l’intégrité des processus et la sécurité.
• FedRAMP : Pour les entités gouvernementales américaines, Copilot respecte les normes du Federal Risk and Authorization Management Program en matière de sécurité du cloud, d’accès et de traçabilité.
• EU AI Act : Ce sont les déployeurs, et pas seulement Microsoft, qui portent la responsabilité de la classification des risques, de la documentation et de la surveillance continue. Contrairement à de nombreux outils autonomes, Copilot intègre des garde-fous d’entreprise. Pour en savoir plus, consultez cette analyse de l’approche « compliant by design » de Copilot.

Ces certifications de conformité ne sont pas de la poudre aux yeux : elles offrent une garantie juridique permettant de déployer Copilot dans des secteurs réglementés sans exposer indûment votre organisation à des risques.

Zero Data Retention et minimisation des données dans Copilot

Microsoft Copilot applique une stratégie stricte de non-conservation pour les requêtes et les réponses des utilisateurs finaux. Concrètement, vos données ne sont pas stockées au-delà des sessions actives et ne sont jamais réutilisées pour l’entraînement de l’IA, l’analyse ou d’autres usages secondaires. Chaque requête est traitée à nouveau à partir de zéro : rien n’est conservé « au cas où ».

Cette approche réduit la fenêtre d’exposition accidentelle et favorise la conformité réglementaire, en particulier pour les organisations qui doivent garantir que les données sensibles ou réglementées ne quittent jamais leurs propres systèmes ni ne sont retraitées ultérieurement.

Contrôles de sécurité pour le déploiement de Microsoft Copilot

Déployer Copilot dans votre organisation ne se résume pas à un simple interrupteur : les administrateurs informatiques et les équipes de sécurité disposent d’une boîte à outils complète de garde-fous, de stratégies et de bonnes pratiques pour maîtriser les risques. Ces contrôles déterminent la façon dont Copilot est utilisé, qui peut accéder à quoi et comment les actions sont suivies dans le temps.

Vous trouverez des outils permettant de configurer les accès et les rôles, de renforcer la journalisation d’audit, d’appliquer des stratégies de gouvernance et de gérer les connexions aux plug-ins tiers ou aux intégrations personnalisées. Il ne s’agit pas seulement de fonctionnalités techniques : elles font partie d’un cadre de gouvernance global qui permet de rendre Copilot productif, sûr et conforme à grande échelle. Si vous souhaitez limiter la confusion et réduire le nombre de tickets de support, investir dans une gouvernance structurée et dans la formation autour de Copilot, par exemple via un Copilot Learning Center centralisé, peut faire une réelle différence pour les utilisateurs comme pour les administrateurs.

Les sections suivantes détaillent ces contrôles et ces outils, afin que vous puissiez voir comment ils s’articulent pour vous offrir une supervision précise, une visibilité en temps réel et une adoption de Copilot hautement maîtrisée.

Gestion des accès et autorisations basées sur les rôles

• Autorisations utilisateur : les utilisateurs accèdent aux données en fonction de leur identité, et toute récupération de données ou action est limitée à ce qu’ils peuvent voir et faire dans Microsoft 365.
• Autorisations administrateur : les administrateurs peuvent configurer les paramètres de Copilot, consulter les journaux, gérer les plug-ins et traiter les tâches liées à la conformité ou au dépannage.
• Autorisations développeur : pour les plug-ins ou intégrations Copilot personnalisés, les développeurs sont limités par les périmètres définis par stratégie, et une approbation ainsi qu’une revue de code sont requises pour la plupart des déploiements.
• Application du RBAC : les stratégies de contrôle d’accès basé sur les rôles (RBAC) garantissent que les utilisateurs et les applications restent dans les privilèges qui leur sont attribués. Des stratégies d’atténuation, comme la limitation des rôles d’administrateur permanents et l’utilisation de l’accès juste-à-temps (JIT), empêchent les élévations de privilèges et réduisent la surface d’attaque.

Journalisation d’audit et surveillance de la sécurité

Copilot enregistre chaque action (quelles données ont été consultées, par qui et quand) à l’aide des journaux d’audit de Microsoft 365. Ces journaux alimentent Microsoft Purview et Sentinel, ce qui permet la détection des menaces en temps réel, les alertes de conformité et les investigations après incident. Purview vous aide à classifier, surveiller et protéger les données, tandis que les équipes de sécurité utilisent Sentinel pour configurer des alertes et automatiser les réponses. Pour approfondir la gouvernance des agents avec Microsoft Purview, consultez les stratégies avancées de gouvernance des agents Copilot.

Outils de gouvernance pour les environnements Copilot

Microsoft propose plusieurs outils pour appliquer la gouvernance de l’IA et des données autour de Copilot :

• Microsoft Purview — applique la prévention de la perte de données (DLP), la classification des données et l’étiquetage de confidentialité aux résultats de Copilot et aux flux de données des plug-ins.
• Les stratégies automatisées garantissent que les actions des utilisateurs, les licences et le RBAC (contrôle d’accès basé sur les rôles) restent conformes aux règles de l’entreprise.
• Defender et Purview DSPM renforcent la supervision en allant au-delà de la documentation statique : ils surveillent activement l’activité liée à Copilot et en assurent la gouvernance. Pour aller plus loin, consultez les bonnes pratiques de gouvernance de Microsoft Copilot.

Gérer les intégrations tierces et les plugins personnalisés

• Revues de sécurité : tous les plugins et intégrations personnalisés font l’objet de revues de code et d’autorisations, afin de s’assurer qu’ils n’introduisent pas de chemins d’accès inattendus.
• Périmètres d’autorisations à moindre privilège : chaque plugin ne reçoit que les autorisations minimales nécessaires à sa tâche, rien de plus. Cela évite le partage excessif de données et limite le risque de déplacement latéral.
• Validation continue : les intégrations sont revalidées régulièrement, en particulier lorsque les API ou les sources de données évoluent.
• Modèles de déploiement sécurisés : les plugins se connectent via Microsoft Graph ou les API REST de SharePoint, authentifiées par OAuth Entra ID. Ce point est détaillé dans la sécurité des plugins Copilot personnalisés.

Microsoft Security Copilot : une IA spécialisée dans la cybersécurité

Copilot ne se limite pas aux outils de productivité : il existe une version spécialisée, conçue spécifiquement pour les opérations de sécurité, appelée Microsoft Security Copilot. Cet assistant piloté par l’IA s’adresse aux professionnels de la cybersécurité et les aide à automatiser le tri des alertes, à rationaliser la réponse aux incidents et à renforcer la veille sur les menaces au sein des centres opérationnels de sécurité (SOC).

Security Copilot ne se résume pas à une automatisation sophistiquée : il réunit l’ensemble de la pile de sécurité Microsoft (Defender, Sentinel, etc.), ce qui permet aux équipes de détecter et de traiter les menaces plus rapidement, avec moins d’étapes manuelles. Il est doté de ses propres contrôles stricts de sécurité et de conformité, afin que vos données de menaces, journaux d’incidents et processus SOC restent confidentiels et protégés. Pour découvrir comment ces « analystes synthétiques » transforment le quotidien des équipes de sécurité, consultez comment Security Copilot transforme les playbooks des SOC.

Dans les sections suivantes, vous verrez comment l’architecture, les garanties de confidentialité, les outils de collaboration et les intégrations de menaces en temps réel de Security Copilot s’articulent pour former une couche de défense solide pour vos environnements critiques.

Principales fonctionnalités de Microsoft Security Copilot

• Détection des menaces : s’appuie sur des modèles d’IA pour faire remonter les activités suspectes et les alertes prioritaires, même dans des environnements très bruyants.
• Réponse aux incidents : automatise les étapes d’investigation et aide les équipes SOC à contenir rapidement les incidents grâce à des playbooks guidés, étape par étape.
• Automatisation des investigations : accélère l’analyse de l’historique des journaux et des artefacts afin d’identifier rapidement les causes racines et les déplacements latéraux.
• Intégration à la pile de sécurité : se connecte de manière transparente à Microsoft Defender, Sentinel, Purview et d’autres outils pour unifier la veille sur les menaces, gérer les accès et appliquer des contrôles fondés sur des stratégies.

Protection des données et confidentialité dans Security Copilot

Security Copilot applique une approche de confidentialité dès la conception : toutes les données d’investigation sont chiffrées au repos et en transit, et les journaux sont soumis à des stratégies de rétention zéro strictes, à l’image des pratiques en vigueur dans le reste de la famille Copilot. Ces contrôles le rendent adapté aux SOC qui traitent des données très réglementées ou classifiées : aucun trafic d’analyse ou d’investigation n’est stocké ni réutilisé pour l’entraînement de modèles. L’accès aux données de veille sur les menaces et aux données d’incidents est strictement limité et auditable à chaque étape.

Collaboration des équipes SOC et contrôles d’accès

Au sein de Security Copilot, la collaboration d’équipe repose sur un accès basé sur les rôles, une gestion des flux de travail fondée sur des stratégies et une séparation stricte des tâches. Les analystes de sécurité, les intervenants en réponse aux incidents et les chasseurs de menaces disposent chacun d’un accès défini aux artefacts, aux tableaux de bord et aux informations sur les menaces, ce qui réduit le risque d’exposition accidentelle de données ou d’abus de privilèges.

L’intégration de Data Security Posture Management (DSPM), de Microsoft Purview et de Defender XDR est essentielle pour replacer dans leur contexte les alertes générées par l’IA. Pour comprendre comment les équipes SOC peuvent suivre l’évolution rapide des incidents de sécurité liés à l’IA, consultez cette analyse des défis et des stratégies des SOC à l’ère de Copilot.

Surveillance continue et intégration du renseignement sur les menaces

Security Copilot analyse en temps réel la télémétrie de sécurité issue d’outils comme Defender et Sentinel. Il recherche en continu les signaux susceptibles de révéler des menaces, des exceptions de stratégie ou une dérive de configuration. Il automatise les playbooks de réponse, exploite les flux de renseignement sur les menaces en temps réel et s’intègre aux systèmes de suivi des incidents afin de réduire le délai de présence des attaquants dès qu’une activité suspecte apparaît.

Modèle de sécurité de Copilot dans les applications Microsoft 365

Voici maintenant le cœur du sujet : Copilot intervient directement dans les applications Microsoft 365 comme Word, Excel, Teams et Outlook. Il agit comme une couche placée au-dessus de vos données et de vos autorisations Microsoft 365 existantes. Cela signifie que toute stratégie de sécurité, de DLP ou de conformité déjà appliquée dans le cloud Microsoft est automatiquement héritée et appliquée par Copilot.

Le modèle couvre aussi bien les documents collaboratifs que les réunions Teams, les e-mails, les fichiers SharePoint et les notes OneNote. Cela étant, faire travailler Copilot sur vos documents impose de réaliser des audits, de revoir vos stratégies et de former vos collaborateurs plus régulièrement. Si vous souhaitez tout savoir sur la façon dont la portée et les risques de Copilot augmentent avec son intégration à la productivité, cette table ronde sur l’inclusion de Copilot dans Word, Excel, PowerPoint et d’autres applications détaille les enjeux de gouvernance et de conformité.

Nous allons maintenant détailler le fonctionnement des autorisations, la gestion de la collaboration sécurisée dans des applications comme Teams et SharePoint, ainsi que les outils mis à la disposition des administrateurs pour garder le contrôle.

Fonctionnement des autorisations dans Microsoft 365 Copilot

Copilot ne contourne ni ne remplace les autorisations appliquées aux fichiers ou aux boîtes aux lettres de Microsoft 365. Chaque requête s’exécute dans le contexte de l’utilisateur connecté : Copilot ne récupère et ne résume que les données auxquelles cet utilisateur aurait déjà accès manuellement (dans SharePoint, Outlook, etc.). Ce fonctionnement limite le risque d’exposition entre comptes ou équipes et empêche toute consultation non autorisée, même au sein d’un locataire partagé.

Garantir une collaboration sécurisée dans Teams et SharePoint

Dans les environnements collaboratifs comme Teams et SharePoint, Copilot respecte les autorisations existantes sur les groupes et les documents. Il ne restitue jamais les transcriptions de conversations ni les notes de réunion à des personnes situées en dehors des canaux ou des équipes autorisés. Les étiquettes de confidentialité, les règles DLP et les stratégies d’accès s’appliquent aux résultats produits par Copilot : les données et documents confidentiels restent protégés, même lorsqu’ils sont résumés ou recoupés pendant les réunions. Pour des conseils de mise en œuvre propres à Teams, consultez le déploiement de Copilot dans Microsoft Teams, réalisé dans les règles de l’art.

Outils d’administration pour gérer Copilot dans les applications Office

• Centre d’administration Microsoft 365 : définissez l’accès à Copilot, les licences et les restrictions au niveau des applications depuis un tableau de bord centralisé.
• Tableaux de bord d’utilisation : consultez l’activité des utilisateurs disposant de Copilot et leurs schémas d’accès lors de vos contrôles d’audit réguliers.
• Commandes PowerShell : pour un réglage fin des stratégies ou la gestion des licences en masse, PowerShell offre un contrôle direct et scriptable sur le déploiement de Copilot et son dépannage.
• Gestion des stratégies DLP et d’étiquetage de confidentialité : étendez les stratégies DLP et d’étiquetage de l’organisation aux résultats de Copilot, afin que la conformité et la gouvernance restent appliquées dans l’ensemble des applications de productivité.

Résidence et souveraineté des données dans Copilot

La résidence et la souveraineté des données sont au premier plan pour les organisations soucieuses de savoir où sont hébergées leurs informations, en particulier celles soumises à des exigences légales ou réglementaires strictes. Microsoft garantit que Copilot traite et stocke les données de l’organisation dans les périmètres géographiques définis, en fonction de la région de votre locataire Microsoft 365 ou dans le respect des lois américaines, européennes ou propres à certains secteurs.

Les données ne sont traitées que dans les centres de données Microsoft qui respectent les normes de conformité applicables. Aucun mélange transfrontalier de contenu n’est effectué, et toute la télémétrie opérationnelle ainsi que le traitement de l’IA respectent les frontières géographiques que vous avez choisies. Si votre organisation a besoin d’un stockage limité aux États-Unis (ou à l’UE) pour des raisons de résidence légale, Copilot fonctionne dans ces limites, ce qui évite les violations accidentelles de stratégies ou l’exposition géographique d’artefacts sensibles.

Ce contrôle ne porte pas seulement sur l’emplacement des données actives, mais aussi sur la manière dont elles sont sauvegardées, journalisées et récupérées. Les responsables informatiques, de la conformité et des risques peuvent ainsi être assurés que Copilot peut soutenir les flux de travail métier sans enfreindre les exigences en matière de souveraineté des données.

Sécurité et orchestration des agents Copilot

La prochaine frontière de l’IA sécurisée réside dans les environnements Copilot multi-agents. Il ne s’agit plus d’exécuter une seule instance de Copilot, mais d’orchestrer un ensemble d’agents spécialisés, souvent créés via Copilot Studio ou à l’aide de plug-ins personnalisés. Cela pose de nouveaux défis de gouvernance : s’assurer que les agents ne outrepassent pas leurs prérogatives, ne croisent pas les données et ne échappent pas à tout contrôle.

Le modèle de sécurité de Microsoft pour les agents Copilot repose largement sur l’isolation, les autorisations et des plans de contrôle déterministes, afin qu’aucun agent malveillant ne puisse sortir de son périmètre, exfiltrer des données ou contourner les pistes d’audit obligatoires. Des stratégies architecturales telles que l’autorité d’un agent principal, la gestion des états et le contrôle des accès fondé sur des stratégies sont adoptées pour que l’orchestration des agents passe à l’échelle en toute sécurité et de façon prévisible dans les environnements d’entreprise. Pour une mise en perspective sur les raisons pour lesquelles « il suffit de déployer des agents » ne suffit pas, consultez cette analyse approfondie du contrôle des agents Copilot multiples et des bonnes pratiques.

À suivre : des stratégies et conseils de configuration concrets pour isoler les agents Copilot, ainsi que des approches de sécurité rapides et efficaces pour les scénarios d’agents personnalisés.

Stratégies d’isolation des agents Copilot

Chaque agent Copilot fonctionne dans son propre environnement isolé, contrôlé dès l’étape de déploiement. Les stratégies d’isolation garantissent qu’un agent ne peut accéder ni à l’état ni aux données d’un autre agent, sauf autorisation explicite de la stratégie d’administration. En production, les agents ne sont promus depuis les environnements de développement qu’après examen et validation, ce qui ajoute une couche supplémentaire de gouvernance et de supervision.

Les administrateurs peuvent configurer des alertes, des seuils d’utilisation et n’autoriser la communication entre agents que pour des cas d’usage préapprouvés et documentés. Pour en savoir plus sur la maîtrise de la prolifération des agents sans désordre, consultez des stratégies pour garder les agents Copilot sûrs et conformes dans des déploiements réels de Microsoft 365.

Gouvernance et conseils de sécurité pour les agents personnalisés

• Définir des références de sécurité : Tous les agents personnalisés nécessitent des contrôles de base, notamment en matière d’identité, d’audit et de vérification des autorisations, avant leur passage en production.
• Exigences de validation : La validation du code et de l’intention est obligatoire, afin de garantir que les agents ne font que ce qui est prévu, et rien d’autre.
• Audits réguliers des agents : Les administrateurs examinent régulièrement les audits et les journaux des agents personnalisés afin de détecter toute dérive potentielle ou action non autorisée.
• Publication contrôlée : Ne faites passer les agents de l’environnement de test à la production qu’après documentation et revue par les pairs. Pour des conseils techniques sur le pipeline, consultez la création sécurisée de plug-ins Copilot personnalisés.

Surveillance et réponse aux incidents de sécurité Copilot

Quelles que soient les mesures de contrôle mises en place, une solide capacité de détection et de réponse est indispensable pour Copilot. Il s’agit de surveiller chaque accès aux données, de repérer les comportements anormaux et de réagir rapidement à tout signe suspect, qu’il s’agisse d’une mauvaise configuration, d’une extraction de données non autorisée ou d’indices d’exploitation active.

En intégrant Copilot aux plateformes de gestion des incidents de sécurité, aux alertes automatisées et aux tableaux de bord d’analyse, les équipes informatiques peuvent détecter les problèmes tôt et verrouiller les comportements à risque avant qu’ils ne s’aggravent. La réponse détaillée aux incidents repose sur la connaissance des outils à utiliser, la hiérarchisation des alertes et le suivi de playbooks adaptatifs qui s’intègrent à la pile de sécurité existante de votre organisation. Vous découvrirez ensuite les principaux outils recommandés par Microsoft pour surveiller l’usage de Copilot et gérer les incidents de manière efficace.

Outils de réponse aux incidents de sécurité Copilot

• Microsoft Sentinel Playbooks : automatisez la détection, l’alerte et la réponse face aux événements ou comportements suspects liés à Copilot.
• Intégration à Purview Analytics : exploitez la classification des données et les journaux d’utilisation pour signaler les actions d’IA à haut risque ou les transferts de données.
• Tableaux de bord d’utilisation de Copilot : suivez qui a fait quoi, quand et avec quelles données, afin de faciliter les enquêtes et les revues de conformité.
• Actions de mise en quarantaine automatisées : définissez des règles permettant de mettre en quarantaine des utilisateurs, des agents ou des plugins dès qu’un incident est détecté, afin d’enrayer les problèmes avant qu’ils ne se propagent.

Bonnes pratiques pour réduire les risques de sécurité liés à Copilot

1. Appliquer le principe du moindre privilège : examinez et restreignez les autorisations Graph de Copilot afin que les utilisateurs et les plugins ne voient que ce qui est nécessaire, ni plus, ni moins.
2. Ajuster régulièrement le RBAC : modifiez les attributions de rôles et mettez en place des workflows d’approbation stricts pour l’accès administrateur et développeur, afin de limiter les chemins d’élévation de privilèges.
3. Auditer tôt et souvent : configurez des alertes pour les demandes de données à haut risque, suivez l’utilisation de Copilot par rôle et examinez les journaux à la recherche d’activités anormales. Utilisez des outils automatisés (Sentinel, Purview) pour réduire le travail manuel.
4. Intégrer la gouvernance des données : appliquez les stratégies DLP, les étiquettes de confidentialité et les stratégies de classification des données aux données sources comme aux résultats de Copilot.
5. Déployer des playbooks de réponse aux incidents : préparez à l’avance Sentinel et les tableaux de bord analytiques pour une réaction rapide et des chemins d’escalade clairs dès qu’une activité risquée est détectée.
6. Former le personnel et les utilisateurs : proposez une formation continue et centralisée, à l’image d’un centre de formation Copilot géré (plus de conseils sur les bonnes pratiques ici), afin que les utilisateurs reconnaissent les données sensibles, connaissent leurs limites et repèrent les risques potentiels.

Les pièges courants de la sécurité de Copilot et comment les éviter

• Autorisations excessives : accorder à Copilot (ou à des plugins personnalisés) un accès étendu aux fichiers et aux sources de données peut entraîner des fuites de données accidentelles. Atténuation : appliquez des contrôles fondés sur le moindre privilège et examinez les périmètres d’accès de toutes les intégrations.
• Hygiène des données insuffisante : des bibliothèques SharePoint désorganisées, des autorisations défaillantes et des métadonnées obsolètes rendent les résultats de l’IA peu fiables ou révèlent des informations sensibles. Atténuation : réalisez des audits réguliers des métadonnées, imposez un étiquetage approprié et automatisez le nettoyage des autorisations. Pour aller plus loin, consultez les meilleurs conseils d’hygiène des données pour Copilot.
• Surveillance insuffisante de la prolifération des agents : des agents IA ou des plugins fantômes non suivis peuvent passer inaperçus avec des autorisations excessives. Atténuation : imposez des revues du code et de l’intention, mettez en place des pipelines allant du bac à sable à la production et activez des audits réguliers des agents.
• Gouvernance des données laxiste : sans DLP, Purview ni stratégies d’étiquettes de confidentialité, les résultats de Copilot peuvent échapper à la classification et à la supervision. Atténuation : intégrez la gouvernance à chaque étape et établissez une référence de base pour toutes les actions de l’IA.
• Négliger la sécurité de la collaboration : des équipes Teams ou des sites SharePoint trop partagés peuvent permettre à Copilot de diffuser des informations sensibles entre services. Atténuation : verrouillez l’accès des groupes et des invités, effectuez des audits de partage réguliers et exploitez des règles DLP adaptées à l’IA. Pour en savoir plus sur les fuites et les risques, consultez l’impact de la gouvernance des données sur Copilot.

Tendances futures de la sécurité de Copilot et de la gouvernance de l’IA

Alors que de plus en plus d’organisations déploient des copilotes IA, les cadres de sécurité devront suivre le rythme de l’augmentation des flux de données, de l’orchestration des agents et de l’évolution rapide des exigences de conformité. Gartner prévoit que, d’ici 2026, 75 % des grandes entreprises utiliseront des opérations de sécurité augmentées par l’IA, ce qui signifie que les contrôles doivent évoluer et s’adapter plus vite que jamais.

Les experts du secteur s’attendent à l’arrivée de fonctionnalités telles que la surveillance en temps réel de l’intention de l’IA, des stratégies d’exécution déterministes et un isolement renforcé entre les agents et les plugins. Les évolutions réglementaires, à l’image des lois spécifiques à l’IA aux États-Unis, dans l’UE et en Asie, continueront de relever la barre en matière de documentation, de traçabilité et de classification des risques pour chaque déploiement de Copilot. Microsoft mise fortement sur des innovations architecturales telles que les cadres d’agents principaux, les pipelines pilotés par stratégies et la gouvernance des données intégrée, qui promettent de rendre l’adoption de Copilot plus sûre, même à mesure que l’IA gagne en autonomie et s’intègre davantage aux flux de travail quotidiens.

Les retours d’expérience des premiers adoptants en entreprise montrent que associer des contrôles techniques robustes à une sensibilisation continue des utilisateurs porte ses fruits : moins d’incidents, une confiance accrue et une exposition juridique bien moindre à l’avenir.

Questions fréquentes sur le modèle de sécurité de Microsoft Copilot

• Copilot peut-il accéder à des données que les utilisateurs ne sont pas autorisés à consulter ? Non. Copilot fonctionne exclusivement dans le contexte de l’utilisateur connecté et ne synthétise ou ne récupère que les informations auxquelles celui-ci pourrait accéder directement, dans le respect de l’ensemble des autorisations existantes sur les fichiers et les boîtes aux lettres.
• Les contenus de Copilot (requêtes et réponses) sont-ils stockés pour l’entraînement de l’IA ? Non. Microsoft applique une stratégie stricte de non-conservation : les requêtes et les résultats ne sont ni journalisés, ni réutilisés pour améliorer les modèles.
• Quelles certifications de conformité Copilot respecte-t-il ? Copilot prend en charge le RGPD, HIPAA, SOC 1/2/3 et FedRAMP, et se présente comme « conforme dès la conception » au regard de l’AI Act européen. Consultez ce guide pour plus de détails sur les responsabilités juridiques.
• Les administrateurs peuvent-ils auditer les actions de Copilot ? Oui. L’utilisation de Copilot est consignée dans les journaux d’audit de Microsoft 365, intégrés à Purview et Sentinel pour la détection, l’analyse et les investigations forensiques.
• Comment les extensions tierces sont-elles sécurisées ? Toutes les extensions nécessitent une revue de code, une attribution des autorisations selon le principe du moindre privilège et une validation continue, afin d’empêcher tout accès non autorisé aux données ou toute élévation de privilèges.
• Copilot garantit-il la résidence des données ? Les données sont traitées et stockées conformément à la région Microsoft 365 ou aux paramètres de votre locataire, dans le respect des réglementations américaines et européennes selon les besoins.

Ressources pour approfondir vos connaissances sur la sécurité de Copilot

• Governed AI: Keeping Copilot Secure and Compliant — Autorisations Graph selon le principe du moindre privilège, DLP pour les résultats de l’IA et stratégies de supervision en conditions réelles.
• Deploy a Governed Copilot Learning Center — Formation centralisée et bonnes pratiques pour éviter la confusion et favoriser une adoption sûre.
• Advanced Copilot Agent Governance with Microsoft Purview — DLP Power Platform, périmètres Entra et recommandations de stratégies à l’échelle du locataire.

À écouter également

Si vous vous intéressez à Microsoft Copilot, à l’architecture de l’IA et à la gouvernance, ces épisodes apportent un éclairage pratique :

• Microsoft AI Agent Harness – Simply Explained — Découvrez comment un agent harness assure l’orchestration, les outils, l’évaluation, l’observabilité et les garde-fous nécessaires à des agents d’IA fiables.
• Azure AI Foundry – Simply Explained — Comprenez la plateforme Azure permettant de concevoir, évaluer, déployer et gouverner des solutions d’IA d’entreprise.
• RAG on Azure – Simply Explained — Voyez comment la recherche, l’ancrage, les autorisations et les citations améliorent les réponses de l’IA en entreprise.
• Microsoft Defender XDR – Simply Explained — Explorez les signaux de sécurité, les capacités d’investigation et de réponse qui soutiennent la gouvernance de l’IA.

🎧 À écouter également

• Identity Governance in Microsoft Entra

  Maîtrisez les contrôles d’accès, du cycle de vie et de la propriété.

• Microsoft Purview – Simply Explained

  Découvrez le contexte de protection et de gouvernance.

• Microsoft 365 Governance Operating Model

  Comprenez les décisions d’exploitation durables.

Liste de contrôle du modèle de sécurité de Microsoft Copilot : faits, avantages et compromis

• Définissez le résultat métier attendu, les responsables, la frontière des données, les dépendances et les critères de réussite.
• Comparez la sécurité, l’intégration, la gouvernance, le support, le coût et l’expérience utilisateur.
• Lancez un pilote avec des utilisateurs réalistes et documentez la décision avant de passer à grande échelle.

Définition : le modèle de sécurité de Microsoft Copilot est une approche structurée d’évaluation et d’exploitation permettant de choisir ou de gouverner une capacité technologique.

Avantages : des décisions plus claires, un contrôle renforcé et des résultats mesurables. Inconvénients : un effort d’analyse, une complexité de migration et des exigences de gouvernance continues.

Faits surprenants sur le modèle de sécurité de Microsoft Copilot

La meilleure option technique est souvent déterminée par les investissements existants en matière d’identité, de données, de collaboration et de gouvernance.

Erreurs courantes commises à propos du modèle de sécurité de Microsoft Copilot

Les équipes comparent souvent les fonctionnalités sans modéliser la responsabilité sur l’ensemble du cycle de vie, l’effort de migration, les autorisations et la capacité de support.

Principaux avantages du modèle de sécurité de Microsoft Copilot

Une approche structurée réduit les risques, améliore l’adoption et permet de justifier l’architecture retenue.

Questions fréquentes

Comment fonctionne le modèle de sécurité de Microsoft Copilot ?

Copilot s’appuie sur l’identité de l’utilisateur connecté et sur ses autorisations existantes pour récupérer le contexte pertinent, tandis que les contrôles du locataire, des services, de la conformité et de la gouvernance définissent l’expérience disponible.

Quelle plateforme est la meilleure pour un usage en entreprise ?

Évaluez la plateforme au regard des scénarios métier, de l’architecture d’identité, des obligations de conformité, des dépendances d’intégration et de la capacité d’exploitation, plutôt que sur la seule liste des fonctionnalités.

Comment l’intégration influence-t-elle la décision ?

Les investissements existants dans Microsoft 365, le cloud, les postes de travail, les RH, la sécurité et les applications peuvent modifier sensiblement la solution la mieux adaptée.

Quelles sont les erreurs courantes ?

Parmi les erreurs courantes figurent le choix fondé sur la notoriété de la marque, la négligence de la responsabilité sur le cycle de vie, la sous-estimation de la migration et l’absence de tests utilisateurs.

Comment évaluer la sécurité ?

Évaluez l’autorisation, l’accès privilégié, le chiffrement, la journalisation, la reprise après incident, la gestion des vulnérabilités et le risque lié aux tiers.

Quelle est l’importance de la gouvernance ?

Définissez les responsables, les stratégies, la fréquence des revues, les exceptions et les preuves afin que la plateforme reste maîtrisable après son déploiement.

Quels sont les principaux avantages ?

Les bénéfices peuvent inclure un contrôle d’accès renforcé, une collaboration améliorée, moins de frictions et une administration plus cohérente.

Quelles sont les principales limites ?

Le coût, la compatibilité avec les systèmes existants, la disponibilité régionale, les écarts fonctionnels et la complexité opérationnelle peuvent limiter les résultats.

Comment comparer les licences ?

Comparez les droits de base, les modules complémentaires, l’effort d’administration, le coût de migration et les exigences de support sur l’ensemble du cycle de vie.

Comment planifier la migration ?

Appuyez-vous sur un inventaire, la cartographie des dépendances, des tests par étapes, la validation des données, la communication et des critères de retour en arrière.

Comment former les utilisateurs ?

Expliquez la finalité, les processus modifiés, les bonnes pratiques de manipulation, le circuit de support et ce que les utilisateurs doivent vérifier eux-mêmes.

Comment revoir les autorisations ?

Appliquez le principe du moindre privilège, un accès basé sur des groupes lorsque c’est pertinent, des revues régulières et une responsabilité clairement attribuée.

Comment les utilisateurs externes influencent-ils la décision ?

Modélisez les scénarios d’invités, de partenaires, de partage externe et d’inter-locataires avant de prendre une décision de grande envergure.

Quel est un fait surprenant ?

La plateforme qui semble la plus performante dans une comparaison de fonctionnalités peut ne pas convenir si elle accroît la complexité opérationnelle.

Comment configurer la protection des données ?

Utilisez la classification, la prévention de la perte de données (DLP), les contrôles d’accès, la rétention, le chiffrement et la surveillance adaptés au risque lié à l’information.

Comment fonctionnent l’audit et la surveillance ?

Examinez les événements d’audit, les modifications de stratégies, les activités inhabituelles, les indicateurs d’adoption et les éléments relatifs aux incidents.

Comment concevoir un pilote ?

Choisissez des utilisateurs et des scénarios représentatifs, définissez des mesures de réussite et n’étendez le périmètre qu’après analyse des résultats.

Comment gérer les exceptions ?

Exigez un responsable, une justification, un contrôle compensatoire, une date d’expiration et une approbation pour chaque exception.

Que faut-il documenter ?

Documentez le périmètre, l’architecture, les responsables, les dépendances, les hypothèses, les tests, le support et la date de revue.

Comment la scalabilité influence-t-elle le choix ?

Utilisez des modèles standardisés, l’automatisation, les stratégies et une responsabilité claire pour rendre la croissance reproductible.

Comment évaluer le support ?

Comparez le support de l’éditeur, les compétences internes, les ressources communautaires, la procédure d’escalade et la transparence sur l’état des services.

Comment prendre en compte la confidentialité ?

Vérifiez les exigences de confidentialité liées au locataire, à la région, aux contrats, à la réglementation et au produit lui-même, à partir de la documentation à jour.

Comment mesurer l’adoption ?

Mesurez ensemble l’adoption, le taux d’achèvement, la qualité, les tickets de support, les constats de sécurité et les résultats métier.

Que se passe-t-il lorsque les exigences évoluent ?

Appliquez une gestion des changements, une évaluation d’impact, une communication et une revue planifiée, plutôt que de laisser les configurations dériver sans contrôle.

Comment traiter les systèmes hérités ?

Utilisez des connecteurs pris en charge, des limites d’intégration documentées et un plan pour les dépendances héritées non prises en charge.

Comment réduire le risque opérationnel ?

Automatisez les contrôles répétables, réduisez les accès directs et conservez des preuves opérationnelles pour les contrôles importants.

Quel est le modèle de déploiement le plus sûr ?

Commencez par un pilote circonscrit, vérifiez les contrôles, étendez le déploiement par vagues et suspendez-le si le risque ou la demande de support augmente.

À quelle fréquence la plateforme doit-elle être revue ?

Examinez régulièrement la plateforme et sa configuration, ainsi qu’après tout changement majeur de produit, d’activité, de réglementation ou de données.

Que faire lorsqu’un contrôle échoue ?

Limitez le périmètre, conservez les preuves, corrigez la cause, testez à nouveau et documentez la remédiation.

Où vérifier les recommandations actuelles ?

Consultez la documentation Microsoft Learn, la documentation produit à jour et les conditions du fournisseur pour les fonctionnalités prises en charge et leurs limites.