En janvier 2026, un bug référencé CW1226324 a permis à Copilot d’accéder aux dossiers Envoyés et Brouillons d’Outlook, y compris sur des messages marqués avec des étiquettes de confidentialité conçues précisément pour bloquer ce type d’accès automatique. Microsoft a déployé un correctif début février.

Celveo, plateforme de solutions cloud souveraines pour les PME de Suisse romande, a reçu plusieurs questions à ce sujet lors de diagnostics en début d’année. L’incident est révélateur d’une question plus large que la plupart des PME n’ont pas encore résolue : quand on active Copilot, à quelles données donne-t-on accès, et sous quel droit ces données circulent-elles ?

Ce à quoi Copilot accède concrètement

Copilot fonctionne via le Microsoft Graph, l’API centrale qui relie l’ensemble des services Microsoft 365. En pratique, cela signifie que Copilot peut interroger, résumer et croiser l’ensemble des données auxquelles l’utilisateur a accès dans son environnement de travail : emails, pièces jointes, fichiers OneDrive et SharePoint, conversations Teams, calendriers, contacts et historiques de réunion.

Ce n’est pas une fuite de données au sens technique. Copilot respecte les droits d’accès existants. Un collaborateur ne verra pas via Copilot ce qu’il n’avait pas le droit de voir directement. Le problème inverse est plus courant : dans beaucoup de PME, les droits d’accès aux fichiers SharePoint ou aux boîtes partagées sont mal configurés ou jamais revus depuis des années. Copilot hérite de ces droits, y compris des erreurs. Selon un rapport Gartner de janvier 2025, les problèmes de gouvernance et de sécurité des données sont le premier frein à l’adoption de Copilot dans les entreprises, avant le prix et la formation. Autrement dit, Copilot révèle les failles de gouvernance existantes plutôt qu’il n’en crée de nouvelles, mais il les amplifie.

Quand un utilisateur demande à Copilot d’analyser des emails reçus de clients ou de résumer un contrat signé avec un partenaire, les données de ces tiers sont traitées par l’outil. Ces tiers n’ont pas été informés que leurs correspondances seraient analysées par un système d’IA. C’est un point que la nLPD, entrée en vigueur en septembre 2023, rend pertinent : l’obligation d’information sur les traitements automatisés s’étend aux données de tiers inférées dans le cadre d’une relation commerciale.

Ce que Microsoft garantit, et ce qu’il ne garantit pas

Microsoft s’engage contractuellement à ne pas utiliser les données des abonnés enterprise pour entraîner ses modèles publics. C’est une garantie écrite dans le Data Processing Agreement et dans les conditions produit Microsoft 365 Copilot. Les prompts, les réponses et les données interrogées via Microsoft Graph ne servent pas à entraîner les LLM de base.

Ce que Microsoft ne garantit pas, c’est l’absence d’exposition au CLOUD Act. Copilot est un service d’une société américaine. La protection des données entreprise qu’il met en avant, conforme au RGPD et à la limite de données de l’UE, ne change pas la nature juridique de l’entité qui opère le service. Les autorités américaines peuvent émettre une demande d’accès à des données détenues par Microsoft sur la base du CLOUD Act, indépendamment des garanties contractuelles européennes.

En 2026, Microsoft revendique plus de 20 millions de licences Copilot payantes dans le monde, avec 12 % d’adoption parmi les PME, principalement dans les services professionnels et la technologie. En Europe, l’adoption progresse à un rythme que Gartner qualifie de « governance-conscious » : les entreprises européennes déploient plus lentement, en conditionnant l’activation à un audit de gouvernance préalable. C’est une approche que les PME suisses auraient intérêt à adopter comme standard, pas comme exception.

Trois vérifications à faire avant d’activer Copilot

La première est un audit des droits d’accès SharePoint et OneDrive. Si des fichiers RH, des contrats ou des données clients sont accessibles à des collaborateurs qui n’ont pas de raison professionnelle d’y accéder, Copilot héritera de ces droits. Selon un observateur du secteur qui suit 34 PME françaises sur l’adoption Copilot, 60 % des projets qui ont échoué ont sauté cette étape d’audit des permissions. Ce chiffre est cohérent avec ce que l’équipe Celveo observe lors de ses diagnostics en Suisse romande.

La deuxième est une vérification du DPA Microsoft 365 et de la résidence des données. Copilot a son propre périmètre de traitement, distinct de celui d’Exchange ou de SharePoint. Activer la résidence des données pour les emails ne couvre pas automatiquement le traitement Copilot. Les deux configurations doivent être vérifiées séparément dans le Microsoft 365 Admin Center.

La troisième, souvent oubliée, est une mise à jour des politiques de confidentialité de l’entreprise vis-à-vis de ses clients et partenaires. Dès lors que Copilot analyse des emails entrants ou des documents partagés par des tiers, ces tiers sont concernés par un traitement automatisé de leurs données. Une mention dans les conditions générales ou dans les emails de signature suffit dans la plupart des cas, mais elle doit exister. Lors d’un diagnostic chez un cabinet d’avocats vaudois de 10 collaborateurs qui envisageait d’activer Copilot pour résumer ses dossiers, l’équipe Celveo a relevé qu’aucun des contrats clients ne mentionnait le recours à des outils d’IA pour le traitement des pièces communiquées. Ce point a retardé l’activation de plusieurs mois, le temps de faire valider une clause par le bâtonnier.

Ce que Celveo recommande

Copilot est un outil puissant pour les PME qui ont une gouvernance des données saine. Pour les autres, il révèle des problèmes qu’elles avaient en partie ignorés jusqu’alors. Activer Copilot sur un environnement Microsoft 365 mal gouverné, c’est mettre un moteur de recherche très efficace sur des données qu’on n’aurait pas voulu exposer. Ce n’est pas Copilot le problème, c’est l’état de la gouvernance sous-jacente.

Pour les PME qui traitent des données sensibles et veulent éviter cette exposition structurelle, l’alternative est une suite qui n’indexe pas par défaut l’ensemble du contenu d’entreprise via un modèle IA. Euria, l’assistant IA d’Infomaniak intégré à kSuite, fonctionne différemment : il traite les données localement dans l’environnement suisse d’Infomaniak, sans transfert vers un modèle tiers américain. Ce n’est pas la même proposition fonctionnelle que Copilot, mais c’est une proposition sans exposition au CLOUD Act.

Si vous voulez évaluer si votre environnement Microsoft 365 est prêt pour Copilot, ou si vous préférez explorer une alternative souveraine, on peut faire le point en 30 minutes, sans engagement.