Créer un agent IA GRC avec Microsoft Purview, Power Automate et Copilot Studio : des rapports de conformité automatisés

Le reporting GRC (gouvernance, gestion des risques et conformité) reste dans de nombreuses organisations un travail artisanal. Des analystes copient des journaux d'audit dans Excel, multiplient les filtres et finissent avec des dizaines d'onglets de tableaux croisés dynamiques qui se contredisent. La conformité, censée protéger l'entreprise, devient alors un exercice fastidieux dont les chiffres sont périmés dès la semaine suivante.

Il existe une alternative : un agent GRC automatisé, construit sur la pile Microsoft. Microsoft Purview fournit les données d'audit, Power Automate orchestre les tâches et Copilot Studio rédige les rapports en langage naturel. Cet article explique comment il fonctionne et comment le construire, de la connexion aux journaux Purview jusqu'à la diffusion automatique des rapports.

Pourquoi le reporting GRC manuel atteint ses limites

Le reporting manuel naît d'une confusion entre documentation et compréhension. On extrait des données de Microsoft Purview, on les exporte, on les étale dans des feuilles de calcul et on appelle cela de la gouvernance. Or de nouvelles activités surviennent en permanence : les données changent et les graphiques les plus soignés ne reflètent plus la réalité. Les pistes d'audit, censées garantir la responsabilité, finissent par garantir surtout l'épuisement des équipes.

Le problème vient aussi de la manière dont Purview est utilisé. Beaucoup d'entreprises le traitent comme un coffre-fort que l'on n'ouvre qu'avant un audit. Les journaux y accumulent pourtant des volumes considérables d'informations sur qui a fait quoi, où et quand. Chaque entrée est un bloc JSON dense, difficilement lisible sans traitement. Les données abondent, mais personne ne peut vraiment les lire.

Qu'est-ce qu'un agent IA GRC ?

Il ne s'agit pas d'un copilote magique qui devinerait des réponses. C'est une automatisation structurée, fondée sur des règles et bâtie avec les outils de Microsoft. Elle repose sur trois composants, chacun responsable d'une partie du processus.

Purview : la mémoire

Microsoft Purview est la boîte noire de conformité. Il conserve les journaux d'audit, les données de classification et les événements de conformité. Chaque action dans Microsoft 365 y est enregistrée : partager un document, créer une politique, modifier une étiquette de rétention. Sans analyse du JSON imbriqué, on en tire pourtant peu de valeur.

Power Automate : le système nerveux

Power Automate est peu glamour mais discipliné. Il se déclenche à l'heure prévue, collecte les signaux, filtre le bruit et exécute chaque étape comme prévu. En cas de mauvaise configuration, le flux échoue, mais l'échec est consigné dans le détail.

Copilot Studio : la parole

Copilot Studio transforme des données structurées en récit. À partir d'un résumé structuré, par exemple un tableau JSON comptant les actions risquées par utilisateur, il produit des synthèses de risques en langage naturel. Il ne devine pas : il suit les règles du prompt que vous avez conçu.

Cette approche fonctionne parce qu'une grande partie des tâches de conformité relève de la reconnaissance de forme plutôt que du jugement : le texte avance le chiffre de 90 %. Le système ne cherche pas à penser comme une personne, il organise l'information plus efficacement. Là où un tableau de bord affiche, l'agent écrit, et il réduit ainsi l'écart d'interprétation. La pile est déterministe : vous définissez la logique, la fréquence, le périmètre et même le ton rédactionnel.

Construire le pipeline de données Purview

Avant de réfléchir, l'agent doit voir. Il lui faut un accès au segment pertinent des journaux d'audit Purview, ni plus, ni moins. Sans cette visibilité, on automatise l'aveuglement.

Extraction et périmètre

Deux voies sont possibles : le connecteur intégré de Purview, ou une action HTTP qui appelle directement l'API des journaux d'audit. Dans les deux cas, vous obtenez un flux de données sur tout ce qui s'est passé dans le tenant : partages de fichiers, changements de permissions, violations d'accès, connexions administrateur. Restreignez le périmètre dès le départ et ne retenez que les événements qui ont un impact réel sur la conformité.

Contrôle d'accès

Power Automate n'agit qu'avec les permissions qui lui sont accordées. Le compte de service doit disposer du rôle de lecteur de journaux d'audit dans Purview et pouvoir s'authentifier sans interruption liée à la MFA. Stockez les identifiants avec soin, dans Azure Key Vault ou via des références de connexion.

Filtrage et structuration

Personne n'a besoin de chaque accès à un fichier. Filtrez les véritables indicateurs de risque :

• connexion depuis un nouvel emplacement ;
• changement de rôle ;
• partage externe ;
• modification d'une politique d'étiquettes.

Le filtrage peut se faire dans la requête, via les paramètres de l'API, ou en aval dans Power Automate avec une logique conditionnelle. Ensuite, l'action « Analyser le JSON » avec un schéma issu d'un événement Purview convertit les blocs en colonnes exploitables : identifiant utilisateur, opération, charge de travail, adresse IP client. Certains champs apparaissent comme des tableaux même pour une valeur unique, d'autres sont imbriqués sur plusieurs niveaux. Les expressions de Power Automate permettent d'extraire le sens, et chaque extraction doit être testée sur de petits échantillons.

Stockage et planification

Conserver les données nettoyées donne à l'agent une mémoire à court terme et permet des comparaisons historiques sans solliciter Purview. SharePoint, Dataverse ou une base SQL conviennent selon le volume. Dataverse s'intègre mieux lorsque vous avez besoin de relations entre ensembles de données, tandis que SharePoint est plus simple mais moins performant au-delà de quelques milliers de lignes.

Pour la cadence, utilisez le déclencheur de récurrence : un résumé quotidien pour un environnement dynamique, hebdomadaire pour un écosystème plus calme. Réglez-le sur votre fuseau horaire plutôt que sur UTC, sauf si vous aimez recevoir vos rapports en pleine nuit.

Donner un cerveau à l'agent : la logique Power Automate

Power Automate n'est pas une IA : il n'improvise pas et n'oublie aucune étape. Cette rigidité est précisément ce qu'exige l'autonomie. La couche logique suit une séquence claire.

1. Déclencheur de récurrence, suivi d'un bloc d'initialisation avec variables, compteurs et tableaux (total des événements, risque élevé, date), qui servent de mémoire de travail.
2. Appel de Purview via le connecteur ou l'API HTTP.
3. Filtrage du tableau : on ignore par exemple les enregistrements dont le type d'utilisateur est un principal de service, et on ne garde que les opérations liées à la gouvernance des données ou aux changements de politique.
4. Suppression des doublons, fréquents dans les flux de journaux.
5. Regroupement par nom d'utilisateur principal et par opération, puis comptage par catégorie.
6. Attribution d'un niveau de risque à partir de seuils que vous définissez.

Les seuils donnent à l'agent son autonomie. Par exemple : à trois élévations de privilèges, le niveau de risque est élevé ; à un partage externe, il est moyen ; sinon, il est normal. Cette logique n'invente pas de sens, elle l'impose et remplace l'intuition par une clarté chiffrée. Des conditions imbriquées alimentent un tableau de risque élevé ou une file d'attente pour le niveau moyen. Si rien d'inhabituel n'apparaît, mieux vaut consigner explicitement « aucune anomalie » plutôt que de rester silencieux.

Chaque exécution doit laisser une trace : nombre d'événements traités, utilisateur le plus à risque, durée d'exécution, ainsi qu'un identifiant d'exécution et une version du flux. Ces métriques peuvent être diffusées vers un canal Teams ou une bibliothèque SharePoint de gouvernance. Si les seuils évoluent, les auditeurs peuvent ainsi retracer quelle logique a produit quel résultat.

Copilot Studio : apprendre à l'agent à rédiger les rapports

À ce stade, l'agent sait classer, compter et décider, mais il reste muet. Copilot Studio joue le rôle d'interprète entre le code et les comités : il transforme le JSON produit par Power Automate en paragraphes lisibles pour la direction et précis pour les auditeurs.

Définir les types de communication

On distingue généralement trois livrables : un résumé pour la direction, une annexe technique et des recommandations. La direction veut un paragraphe, les auditeurs des pistes de preuves, l'équipe informatique tous les champs. On crée un seul copilote, avec plusieurs prompts qui fixent chacun le ton, le format et le niveau de détail. Par exemple : résumer les risques principaux en langage clair, limiter à 5 points clés et suggérer une remédiation pour chacun ; ou produire une annexe technique listant chaque événement à haut risque sous forme de tableau.

Connecter Power Automate et Copilot Studio

Une action HTTP envoie la charge utile JSON structurée vers l'URL du point de terminaison du copilote, qui l'interprète selon le prompt système défini. L'appel est authentifié via Azure AD, de sorte que seul votre flux y accède. Le résultat est du texte : c'est votre rapport. Il ressemble à une note d'analyste, avec les utilisateurs concernés, les seuils dépassés, une recommandation par constat et la tendance globale.

Ingénierie de prompt et garde-fous

Spécifiez les titres exacts à utiliser (vue d'ensemble, conclusion clé, recommandation), sans quoi Copilot tentera d'impressionner par son style, voire par des emojis. Ajoutez des consignes : ton professionnel, pas de langage spéculatif, mesures quantifiées. La conformité repose sur la reproductibilité, pas sur la personnalité. Les variables de contexte permettent d'intégrer la date du rapport ou le nombre d'événements analysés, ce qui satisfait les auditeurs.

Distribution et validation

Deux branches du même flux assurent la diffusion : l'une publie le résumé dans un canal Teams, l'autre archive une version HTML complète dans SharePoint. La direction lit Teams, les auditeurs consultent l'archive, avec un contenu identique. Une condition vérifie enfin que la réponse de Copilot n'est pas vide ; si elle l'est, l'échec est consigné et le flux relance une fois. Le déroulé complet est : extraire, analyser, résumer, narrer, publier.

Erreurs fréquentes et pièges à éviter

• Un compte de service sans les bons droits. Sans le rôle de lecteur de journaux d'audit, l'agent ne voit rien et peut annoncer « zéro problème » : ce n'est pas de la conformité, c'est de l'aveuglement. L'automatisation n'exécute que ce qu'on lui donne.
• Un périmètre trop large. Extraire tout le flux d'audit rend le flux ingérable. Choisissez les événements qui comptent.
• Des extractions JSON non testées. Une petite erreur d'expression produit plus tard des résultats absurdes.
• Un fuseau horaire mal réglé. Un déclencheur en UTC peut livrer les rapports à des heures inadaptées.
• Aucune gestion des erreurs. L'API de Purview peut ralentir ou renvoyer une erreur de surcharge. Encadrez les appels HTTP d'une politique de réessai (trois tentatives avec recul exponentiel), consignez l'échec dans une table dédiée à la santé de l'automatisation et alertez dans Teams si les seuils dépassent les paramètres prévus. Les auditeurs ne pénalisent pas les erreurs, mais l'absence de documentation à leur sujet.
• Des prompts sans cadre ni versionnage. Versionnez le prompt système (V1, V1.1…) et enregistrez quelle version a produit quel rapport.

Points clés à retenir

• Répartissez les rôles : Purview pour les données, Power Automate pour l'orchestration, Copilot Studio pour la rédaction.
• Limitez le périmètre aux événements qui comptent vraiment pour la conformité.
• Vérifiez les permissions du compte de service et l'authentification sans interruption ; protégez les identifiants avec Azure Key Vault ou des références de connexion.
• Convertissez le JSON en variables structurées et testez chaque extraction sur de petits échantillons.
• Conservez les données nettoyées dans SharePoint, Dataverse ou SQL pour permettre des comparaisons historiques.
• Définissez des seuils explicites pour attribuer les niveaux de risque.
• Prévoyez réessais, journalisation des erreurs et alertes Teams.
• Encadrez Copilot par des titres imposés, un ton défini et des variables de contexte.
• Consignez identifiant d'exécution, version du flux et version du prompt pour garantir la traçabilité.

Conclusion

Un agent GRC construit avec Microsoft Purview, Power Automate et Copilot Studio fait passer la conformité de la documentation à l'orchestration. Purview collecte, Power Automate interprète, Copilot Studio résume, et les équipes obtiennent des rapports standardisés : mêmes seuils, mêmes métadonnées, provenance vérifiable. Les auditeurs peuvent alors évaluer le fond plutôt que le format, et les schémas de risque se lisent comme des tendances dans le temps plutôt que comme un chaos de tableurs. Le véritable gain n'est pas seulement la vitesse, c'est la régularité d'un processus qui ne dépend plus de l'effort de chacun.