Copilot connecté avec votre compte professionnel ou scolaire bénéficie de la protection des données d’entreprise : le contrat de votre cabinet avec Microsoft couvre les prompts et les réponses, et ils ne servent pas à entraîner les modèles de fondation. Copilot connecté avec un compte Microsoft personnel relève des conditions grand public entre vous et Microsoft, et les documents des clients n’y ont pas leur place. Au travail, le problème le plus fréquent est le partage excessif : Copilot peut trouver n’importe quel fichier auquel vous avez déjà accès, y compris des fichiers partagés trop largement.
Deux Copilot sous un même nom
En octobre 2026, le produit professionnel anciennement appelé Microsoft 365 Copilot s’appelle Microsoft Copilot, et Microsoft 365 Copilot Chat est devenu Microsoft Copilot Chat. L’application grand public pour les comptes personnels s’appelle aussi Microsoft Copilot. Le nom ne vous dit donc pas lequel vous avez devant vous ; c’est le compte avec lequel vous êtes connecté qui le dit.
| Compte professionnel ou scolaire (Microsoft Entra ID) | Compte Microsoft personnel | |
|---|---|---|
| Conditions | Le Data Protection Addendum et les Product Terms de votre organisation ; Microsoft agit en tant que sous-traitant | Contrat de services Microsoft, conditions d’utilisation de Copilot et déclaration de confidentialité de Microsoft |
| Entraînement sur vos prompts | Non utilisés pour entraîner les modèles de fondation | Dépend de la version de l’application et de vos réglages (voir ci-dessous) |
| Qui peut voir l’historique | Journalisé dans le Microsoft 365 de votre organisation ; le service informatique peut le rechercher et l’auditer | Votre compte personnel ; votre cabinet n’y a pas accès |
| Étiquettes, conservation et DLP du cabinet | S’appliquent | Ne s’appliquent pas |
Pour l’application personnelle, les pages de Microsoft diffèrent selon la version. Pour l’ancienne application, la FAQ sur la confidentialité indique que les conversations, y compris les fichiers envoyés, peuvent servir à entraîner les modèles sauf si vous refusez, et sont conservées 18 mois par défaut. Pour la version de l’application publiée le 18 août 2026, la page sur l’historique d’activité de Microsoft indique que les prompts, les réponses et le contenu des fichiers ne servent pas à entraîner les modèles de fondation. Dans les deux cas, le contrat est conclu entre vous et Microsoft, pas entre votre cabinet et Microsoft. Les obligations de confidentialité de votre cabinet envers ses clients n’en font pas partie.
Comment savoir lequel vous utilisez
- Copilot Chat affiche un bouclier vert en haut, à côté du bouton « New Chat », quand la protection des données d’entreprise s’applique. Pas de bouclier : ne collez aucun élément d’un client.
- Cliquez sur l’icône de votre profil. Vous devez voir votre adresse e-mail professionnelle, pas une adresse personnelle Outlook.com, Hotmail ou Gmail.
- Edge peut garder un profil professionnel et un profil personnel ouverts en même temps. Copilot dans la barre latérale utilise le compte du profil dans lequel il s’exécute.
Ce à quoi Microsoft s’engage pour les comptes professionnels
La documentation de Microsoft sur la protection des données d’entreprise et sur les données, la confidentialité et la sécurité de Microsoft Copilot indique :
- Les prompts, les réponses et les données consultées via Microsoft Graph ne servent pas à entraîner les modèles de fondation.
- Les prompts et les réponses sont traités dans le périmètre du service Microsoft 365 et couverts par les mêmes conditions que les e-mails du cabinet dans Exchange et ses fichiers dans SharePoint.
- Copilot ne montre à un utilisateur que les données que cet utilisateur peut déjà ouvrir. Les fichiers chiffrés avec une étiquette de confidentialité exigent les droits VIEW et EXTRACT de l’utilisateur pour que Copilot puisse les utiliser, et un nouveau contenu créé à partir de fichiers étiquetés hérite de l’étiquette lorsque c’est pris en charge, selon la page sur l’architecture de protection des données.
- Les prompts et les réponses sont journalisés. Les administrateurs peuvent les retrouver avec les outils d’audit et d’eDiscovery et leur appliquer des stratégies de conservation. Les fichiers que vous envoyez à Copilot Chat sont stockés dans votre OneDrive.
Deux exceptions sont à connaître. Les recherches web partent vers Bing sous la forme de quelques mots générés à partir de votre prompt, sans identifiant d’utilisateur ni de locataire, et Bing les traite selon ses propres conditions, Microsoft agissant comme responsable du traitement indépendant. Et pour les cabinets de l’UE : l’EU Data Boundary ne couvre pas les requêtes de recherche web et, en octobre 2026, Microsoft indique que les modèles d’Anthropic disponibles dans Copilot en sont également exclus.
Ces engagements décrivent la façon dont Microsoft traite les données. Ils ne décident pas si vous pouvez envoyer les documents d’un client donné à un service d’IA. Cela dépend du contrat avec le client, de vos règles professionnelles et de la politique de votre cabinet.
Le vrai risque au travail : le partage excessif
Copilot n’obtient pas de nouveaux droits d’accès. Il s’exécute dans le contexte de sécurité de l’utilisateur qui pose la question. Le problème, ce sont les accès que les utilisateurs ont déjà sans l’avoir jamais remarqué.
Pensez à un dossier d’audit préalable d’un client partagé avec « Tout le monde sauf les utilisateurs externes » il y a des années, à un site RH que n’importe qui peut ouvrir avec le lien, ou à un fichier du OneDrive d’un associé envoyé à toute l’équipe. Avant Copilot, trouver ces fichiers demandait un effort. Désormais, un collègue demande « que sait-on de l’acquisition d’Acme ? » et Copilot peut citer un document dont il ignorait l’existence et qu’il n’aurait pas dû pouvoir ouvrir.
Il en va de même pour les e-mails. Avec une licence Microsoft Copilot, Copilot peut travailler sur votre boîte aux lettres, votre calendrier, vos conversations et vos fichiers. Un résumé de « tout ce qui concerne ce client » ramène tout ce que votre compte peut atteindre.
Ce que le service informatique peut faire
Microsoft documente plusieurs contrôles pour cela. Ceux dont dispose votre cabinet dépendent de ses licences.
| Contrôle | Ce qu’il fait |
|---|---|
| Rapports de gouvernance de l’accès aux données (SharePoint Advanced Management) | Repèrent les sites partagés largement ou contenant des données sensibles |
| Restricted Content Discovery | Exclut un site SharePoint de la recherche à l’échelle de l’organisation et des réponses de Copilot pendant la révision de ses autorisations. Il ne modifie pas les autorisations : les personnes qui ont accès peuvent toujours ouvrir les fichiers. |
| Restricted Access Control | Limite un site SharePoint ou un OneDrive aux membres de groupes choisis. Les autres ne peuvent pas ouvrir ses fichiers, même avec un ancien lien de partage, et Copilot ne leur montre pas ces fichiers. |
| Étiquettes de confidentialité | Marquent et chiffrent les fichiers confidentiels ; Copilot respecte les droits d’utilisation |
| Purview DLP pour Copilot | Empêche Copilot d’utiliser les fichiers et e-mails portant certaines étiquettes, refuse les prompts qui contiennent certains types de données sensibles et peut bloquer les recherches web pour ces prompts |
Une limite tirée de la documentation DLP de Microsoft : la DLP vérifie le texte saisi dans un prompt, mais ne peut pas analyser les fichiers envoyés directement dans le prompt. Un fichier client que vous joignez n’est pas vérifié.
Règles pour traiter les documents des clients
- Vérifiez le bouclier et votre compte professionnel avant de coller ou d’envoyer quoi que ce soit. S’il manque l’un des deux, arrêtez-vous.
- Ne mettez jamais de fichiers clients dans Copilot avec un compte personnel. Cela inclut l’application Copilot sur un PC personnel et la barre latérale d’Edge dans un profil personnel.
- Posez trois questions au service informatique. Copilot est-il autorisé pour les données des clients ? Quelles étiquettes de confidentialité appliquer aux fichiers clients ? Les recherches web sont-elles activées pour Copilot ?
- Étiquetez les fichiers clients. Une étiquette accompagne le fichier, et le contenu produit par Copilot à partir de ce fichier hérite de l’étiquette lorsque c’est pris en charge.
- Si Copilot vous montre un fichier que vous ne devriez pas voir, signalez-le. Prévenez le propriétaire du fichier ou le service informatique, et n’utilisez pas ce que vous avez lu. C’est le signe d’un problème d’autorisations plus large.
- Vérifiez le contrat avec le client. Certaines lettres de mission, certains accords de confidentialité et certaines politiques clients interdisent d’envoyer des données identifiantes à tout service d’IA. Copilot professionnel reste un service d’IA. Dans ce cas, donnez-lui une copie sûre dans laquelle les noms, adresses et numéros de compte sont remplacés par des marqueurs.
Pour une liste de vérifications plus complète, voir notre liste de contrôle de la confidentialité client pour l’IA. Si vous utilisez aussi ChatGPT, Claude ou Gemini, notre guide des réglages de données des outils d’IA compare leurs offres professionnelles. Si vous ne savez pas si le contrat d’un client autorise tout cela, demandez au juriste ou au délégué à la protection des données de votre cabinet avant de commencer.
Questions fréquentes
Copilot peut-il lire mes e-mails confidentiels ?
Copilot avec votre compte professionnel peut utiliser les e-mails de votre boîte aux lettres quand vous lui demandez quelque chose. Il ne peut pas ouvrir les boîtes auxquelles vous n’avez pas accès. Votre cabinet peut l’empêcher, via une stratégie DLP, d’utiliser les e-mails portant certaines étiquettes de confidentialité ou provenant d’expéditeurs externes ; l’option relative aux expéditeurs externes est en préversion en octobre 2026.
Mon employeur peut-il voir ce que je demande à Copilot ?
Avec un compte professionnel, oui. Les prompts et les réponses sont journalisés dans le Microsoft 365 de votre organisation, et les administrateurs peuvent les rechercher avec les outils d’audit et d’eDiscovery.
Le Copilot Chat gratuit au travail est-il couvert lui aussi ?
Oui, quand vous vous connectez avec votre compte professionnel. Microsoft indique que la protection des données d’entreprise est disponible dans Copilot Chat sans coût supplémentaire. Sans la licence payante Microsoft Copilot, sa portée sur vos données professionnelles est plus étroite : il travaille avec les fichiers que vous envoyez, le document que vous avez ouvert et, dans Outlook, votre propre messagerie et votre calendrier.
Une copie sûre rend-elle un document utilisable avec Copilot grand public ?
Elle réduit ce qui est exposé, mais la politique de votre cabinet peut tout de même interdire les comptes personnels pour tout travail. Vérifiez d’abord la politique.
ClientSafe crée la copie sûre sur votre PC : il remplace les noms, adresses, numéros de compte et d’identification des clients par des marqueurs tels que Person_1, et remet les vrais noms dans la réponse de Copilot. La détection n’est pas parfaite : vérifiez la liste avant de copier.