0.3Sécurité & confidentialité des données
L'essentiel en 30 secondes
- Engagement « données d'entreprise » : dans Microsoft 365 Copilot, vos prompts et réponses ne servent pas à entraîner les modèles et restent traités dans le périmètre de votre tenant.
- Copilot voit ce que VOUS voyez : il n'ouvre aucune porte nouvelle, mais il éclaire les portes mal fermées — le vrai risque n°1, c'est l'oversharing (documents partagés « à tout le monde »).
- Étiquettes Purview respectées et propagées : un résumé d'un document Confidentiel hérite du même niveau — et rien de confidentiel ne va jamais dans un chatbot grand public.
Mini-cas filé — Hicham fait son autodiagnostic à Alger
Hicham, assistant administratif à Alger, s'apprête à utiliser Copilot sur de vrais dossiers : avant, il fait son autodiagnostic de sécurité. Il repère ses trois documents les plus sensibles (paie, contrats, données clients) et vérifie à qui ils sont réellement partagés dans OneDrive et SharePoint — il resserre un partage « toute l'organisation » hérité. Il relit la charte interne sur l'IA, note que les échanges peuvent être journalisés, et se fixe sa règle : données d'entreprise uniquement dans Microsoft 365 Copilot, jamais ailleurs. Son poste est sain avant le premier prompt interne.
Cas autonome de cette section : il revient dans le cours, le schéma, le script et le défi 48h de la section 0.3.
1. L'engagement « données d'entreprise »
Microsoft 365 Copilot repose sur un engagement contractuel clair : la protection des données d'entreprise. Vos prompts et les réponses ne sont pas utilisés pour entraîner les modèles, et les données sont traitées dans le cadre contractuel de votre tenant — les mêmes garanties que le reste de Microsoft 365. C'est la différence radicale avec un chatbot grand public : y coller des données confidentielles de l'entreprise est, dans la plupart des chartes, une faute professionnelle. Microsoft 365 Copilot, lui, reste dans le périmètre sécurisé de l'organisation. Hicham retient la frontière : dedans le tenant, protégé ; dehors, interdit pour le confidentiel.
2. Copilot voit ce que VOUS voyez
Le respect des permissions est absolu : Copilot n'accède qu'aux contenus auxquels votre compte a déjà droit. Il n'ouvre aucune porte nouvelle — mais il éclaire les portes mal fermées. Deux personnes obtiennent des réponses différentes du même Copilot, selon leurs droits. D'où le vrai sujet révélé par les déploiements : l'oversharing (sur-partage). Des documents partagés trop largement (« Tout le monde ») deviennent soudain trouvables via l'IA. Le risque n°1 n'est pas Copilot : c'est la qualité de vos partages internes. Hicham a compris : avant l'IA, le ménage des accès.
3. Étiquettes et cadre légal
Les étiquettes de confidentialité Microsoft Purview (Public, Interne, Confidentiel…) sont respectées par Copilot — et propagées aux contenus qu'il génère : un résumé d'un document Confidentiel hérite du même niveau. Côté cadre légal : Microsoft n'utilise pas vos prompts pour l'entraînement, mais votre employeur peut les journaliser à des fins de conformité (comme les mails). Référez-vous toujours à la charte interne — et n'oubliez jamais la règle d'or : rien de confidentiel dans un Copilot grand public. Hicham applique l'étiquette avant de diffuser tout contenu généré.
🔎 Exemple concret — 🔎 Exemple concret — Le document trop partagé
Un fichier de salaires du service d'Hicham a été partagé par erreur à « Tout le monde » il y a deux ans. Personne ne l'avait remarqué.
Avant Copilot : personne ne tombait dessus — il fallait connaître son emplacement exact.
Avec Copilot : « Quels sont les salaires de l'équipe ? » peut le faire remonter, car il est réellement accessible à tous.
La leçon : Copilot n'a rien piraté — il a révélé un partage mal fermé.Lecture : l'IA n'a ouvert aucune porte : elle a éclairé une porte laissée grande ouverte depuis deux ans.
Leçon : d'où les audits d'accès AVANT tout déploiement Copilot — le chantier est dans les partages.
Vocabulaire de la section
- Protection des données d'entreprise
- L'engagement Microsoft 365 Copilot : prompts et réponses non utilisés pour entraîner les modèles, données traitées dans le cadre contractuel du tenant.
Exemple simple : Les prompts d'Hicham sur les dossiers internes restent dans le périmètre de son organisation.
Ce que ce n'est pas : une promesse qui couvrirait aussi les chatbots grand public.
Réflexe : données d'entreprise = uniquement dans Microsoft 365 Copilot.
- Respect des permissions
- Copilot n'accède qu'aux contenus auxquels VOTRE compte a déjà droit : il n'ouvre aucune porte nouvelle — mais il éclaire les portes mal fermées.
Exemple simple : Hicham et sa cheffe obtiennent des réponses différentes du même Copilot, selon leurs droits.
Ce que ce n'est pas : un accès administrateur universel à tous les documents.
Réflexe : si l'IA montre trop, chercher le partage mal fermé, pas le bug.
- Oversharing (sur-partage)
- Documents partagés trop largement (« Tout le monde ») : le risque n°1 révélé par les déploiements Copilot.
Exemple simple : Le fichier de salaires d'Alger, ouvert à toute l'organisation depuis deux ans.
Ce que ce n'est pas : une attaque informatique contre Microsoft 365.
Réflexe : auditer les partages larges avant tout usage intensif de l'IA.
- Étiquettes de confidentialité
- Labels Microsoft Purview (Public, Interne, Confidentiel…) : Copilot les respecte et les propage aux contenus générés.
Exemple simple : Le résumé du dossier « Confidentiel » d'Hicham hérite du même niveau.
Ce que ce n'est pas : de simples noms de dossiers sans effet.
Réflexe : étiqueter avant de générer, vérifier avant de diffuser.
- Copilot gratuit / grand public
- Hors du cadre entreprise : n'y collez JAMAIS de données confidentielles de l'entreprise.
Exemple simple : Hicham n'y tape que des exemples neutres, jamais un dossier de paie.
Ce que ce n'est pas : un espace aussi protégé que le tenant de l'organisation.
Réflexe : devant un chatbot public, demander « est-ce diffusable ? » avant de coller.
En pratique — En pratique — Faire son autodiagnostic de sécurité
- Repérez vos 3 documents les plus sensibles (paie, contrats, données clients) : à qui sont-ils réellement partagés ? Faites comme Hicham à Alger.
- Dans OneDrive ou SharePoint, vérifiez les partages « Tout le monde » ou « Toute l'organisation » sur vos dossiers : resserrez si besoin.
- Relisez la charte interne sur l'usage de l'IA : que dit-elle du Copilot grand public et de la journalisation ?
- Fixez-vous la règle personnelle : aucune donnée d'entreprise dans un chatbot hors du tenant, jamais.
Script prêt à dire — rassurer sur le cadre, alerter sur les partages (30 s)
« Bonne nouvelle : dans Microsoft 365 Copilot, nos prompts n'entraînent pas les modèles et restent dans notre tenant — et l'IA ne voit que ce que chacun a le droit de voir. Mais elle révèle les partages mal fermés : un document ouvert à tout le monde devient trouvable. Comme Hicham, j'ai vérifié mes trois dossiers sensibles et resserré un partage trop large. Avant de déployer, on audite les accès avec la DSI. »
À dire en montrant le schéma des trois garanties ; finir sur l'action : l'audit des partages.
Modèle copier-coller — tester ses partages (si 365)
Prompt 1 (test de sur-partage — compte pro, dans Microsoft 365 Copilot) :
Quels documents récents mentionnent le dossier des primes ? Liste-les avec leurs emplacements.
→ Tout résultat trop largement accessible = partage à resserrer.
Prompt 2 (règle personnelle à se recopier) :
Ma règle : données d'entreprise uniquement dans Microsoft 365 Copilot (compte pro). Jamais de confidentiel dans un chatbot grand public.Sans licence 365
Hicham en gratuit : pas de test interne possible — il applique l'autodiagnostic manuel (vérification des partages OneDrive/SharePoint) et la règle du « jamais de confidentiel dehors ».
Avant déploiement
Équipe d'Alger candidate au 365 : lancer le prompt 1 sur deux dossiers sensibles pilotes, lister les partages larges trouvés, et faire valider le resserrage par la DSI avant généralisation.
Télétravail
À domicile sur appareil personnel : vigilance doublée — compte pro uniquement dans les applications de l'organisation, jamais de copie de dossiers internes vers des outils personnels.
Nouvel arrivant
Premier mois au poste : demander la charte IA, repérer qui administre les partages, et recopier la règle personnelle avant le premier prompt sur un dossier réel.
✓ Bonnes pratiques
- Auditez les partages « Tout le monde » avant tout déploiement : c'est là que se cachent les vraies fuites.
- Appliquez les étiquettes de confidentialité Purview : Copilot les respecte et les propage automatiquement.
- Vérifiez le niveau de confidentialité d'un contenu généré avant de le diffuser.
✗ Pièges fréquents
- Coller des données d'entreprise dans un Copilot grand public : faute professionnelle dans la plupart des chartes.
- Croire que Copilot « pirate » des documents : il ne montre que ce à quoi vous avez déjà droit.
- Déployer Copilot sans auditer les partages en amont : l'IA révèle alors les documents mal partagés.
Points clés à retenir
- Microsoft 365 Copilot : pas d'entraînement des modèles sur vos données, traitement dans le périmètre du tenant.
- Copilot voit ce que VOUS voyez : le vrai sujet est la qualité de vos partages internes.
- Données d'entreprise dans un chatbot grand public = faute professionnelle dans la plupart des chartes.
- Les étiquettes de confidentialité (Purview) encadrent aussi les contenus générés par l'IA.
Défi 48h — appliquez demain
Faites votre autodiagnostic comme Hicham : 3 documents sensibles, partages vérifiés dans OneDrive/SharePoint, charte relue — et recopiez votre règle personnelle au-dessus de votre écran.
- Je peux expliquer l'engagement « données d'entreprise » en une phrase.
- J'ai vérifié les partages de mes 3 documents les plus sensibles.
- Ma règle personnelle « jamais de confidentiel hors tenant » est écrite et appliquée.
Questions fréquentes
Mes prompts sont-ils lus par Microsoft ou mon employeur ?
Microsoft ne les utilise pas pour entraîner les modèles. Côté employeur : les interactions Copilot peuvent être journalisées à des fins de conformité (comme les mails) — référez-vous à la charte interne.
Copilot peut-il divulguer un document confidentiel à un collègue ?
Non par lui-même : le collègue n'obtiendra jamais via Copilot un contenu auquel ses droits ne donnent pas accès. Le danger vient des documents MAL partagés en amont — d'où les audits d'accès avant déploiement.
Où les données confidentielles de l'entreprise peuvent-elles aller ?