Copilot 365 et RGPD : où vont vraiment vos données ?

« Si on active Copilot, est-ce que nos données partent chez Microsoft ? Est-ce qu'elles nourrissent ChatGPT ? » Ce sont les premières questions qu'on nous pose, et elles sont parfaitement légitimes — d'autant plus dans les secteurs sensibles (finance, santé, secteur public) où nous intervenons. Cet article démêle le vrai du faux, en s'appuyant sur la documentation officielle de Microsoft et sur notre pratique terrain d'intégrateur.

Ce que Microsoft garantit (et c'est documenté)

Microsoft prend plusieurs engagements clairs dans sa documentation officielle, applicables aux clients professionnels et publics :

• Aucun entraînement sur vos données. Vos invites, les réponses et les données récupérées via Microsoft Graph ne servent pas à entraîner les modèles de base sous-jacents, y compris ceux utilisés par Copilot.
• Protection des données commerciales. Copilot bénéficie des mêmes engagements de confidentialité, sécurité et conformité (dont le RGPD) que les autres services Microsoft 365 entreprise.
• EU Data Boundary. Pour les clients de l'UE, certaines données sont traitées et stockées au sein de l'UE et de l'AELE.
• Permissions respectées. Copilot n'accède qu'aux contenus que l'utilisateur est déjà autorisé à voir. Il ne crée aucune nouvelle autorisation.

Sources : documentation Microsoft Learn « Données, confidentialité et sécurité pour Microsoft 365 Copilot » (2026). Vérifiez toujours la version à jour, les politiques évoluant régulièrement.

Le vrai risque n'est pas Microsoft. C'est le sur-partage.

Voici le point le plus important, et le plus mal compris. Copilot ne contourne aucun contrôle de sécurité : il respecte scrupuleusement les permissions existantes. Mais il agit comme un amplificateur.

C'est pourquoi plus de 80 % des dirigeants placent la fuite de données parmi leurs premières préoccupations au moment de déployer l'IA générative. Et c'est pourquoi, chez Cabinet M, la gouvernance précède toujours le déploiement — jamais l'inverse.

Responsabilité partagée : qui fait quoi ?

C'est le cœur du sujet RGPD. Au sens de l'article 28, Microsoft est sous-traitant ; votre entreprise est responsable de traitement. La frontière est nette :

Et le Cloud Act ? La question de la souveraineté

C'est une inquiétude fréquente, que nous traitons systématiquement dans nos propositions. Le Cloud Act est une loi américaine permettant, sous conditions judiciaires strictes, à une autorité US de demander l'accès à des données détenues par un fournisseur de droit américain. Ce n'est ni une surveillance automatique, ni un transfert systématique.

Microsoft y oppose plusieurs mesures d'atténuation : l'EU Data Boundary (données de l'UE traitées et stockées dans l'UE/AELE depuis 2023), le chiffrement, et — pour les cas les plus sensibles — des options de chiffrement côté client (Customer Key, Double Key Encryption) qui gardent les clés hors de portée du fournisseur. La souveraineté n'est donc pas un tout-ou-rien : elle se pilote, niveau par niveau, selon votre exposition.

Notre méthode : sécuriser avant d'activer

Concrètement, voici comment nous préparons un déploiement Copilot conforme et sûr, en nous appuyant sur les outils natifs de Microsoft 365 — sans surcouche externe :

• Corriger le sur-partage — audit des accès SharePoint/OneDrive, rapports de gouvernance, révision des permissions héritées et des sites orphelins.
• Poser des garde-fous — étiquettes de confidentialité et chiffrement automatique via Microsoft Purview, blocage du partage externe sur les contenus sensibles.
• Sécuriser les accès — MFA obligatoire (Microsoft Authenticator), accès conditionnel, habilitations gérées par Entra ID.
• Tracer et gérer le cycle de vie — journalisation Purview de toutes les actions, politiques de rétention et suppression automatique à échéance légale.
• Documenter — charte IA, registre des usages et, si besoin, analyse d'impact (AIPD), pour aligner RGPD et AI Act.

Le rappel qui vaut de l'or : Copilot 365 ≠ IA grand public

La distinction est capitale. Un collaborateur qui colle un document confidentiel dans un ChatGPT gratuit personnel n'a aucune des garanties ci-dessus. Avec Copilot 365, les données restent dans le tenant sécurisé de l'entreprise et ne nourrissent pas l'IA publique. C'est exactement pour cela que nous recommandons toujours de privilégier Copilot 365 pour tout traitement de données internes, et d'encadrer — via la charte IA — l'usage des outils grand public.

Questions fréquentes

Valentin Malfilâtre — Cabinet M
Activateur France Num référencé · Microsoft for Startups · Déploiements Copilot sécurisés (Purview, Entra ID, EU Data Boundary) à Lyon et partout en France.

Découvrir notre offre Conseil & Audit IA →