Copilot arrive dans Microsoft 365 : faut-il faire le ménage dans les partages avant de l'activer ?

Le scénario en bref

Exemple, inventé pour illustrer. Une PME fictive de vingt-cinq personnes active Copilot de Microsoft 365 pour gagner du temps sur les comptes rendus et les mails. La deuxième semaine, un commercial demande à Copilot : « Quelles sont les fourchettes de salaire chez nous ? » Copilot répond, chiffres à l'appui, et cite sa source : un fichier Excel des salaires rangé dans le dossier « Direction ».

Personne n'a piraté quoi que ce soit. En 2022, ce dossier avait été partagé avec un lien valable pour « toutes les personnes de l'organisation », le temps qu'un stagiaire aide à préparer la paie. Le lien n'a jamais été retiré. Avant Copilot, il fallait chercher précisément ce fichier ou connaître ce dossier pour tomber dessus. Avec Copilot, il suffit de poser la bonne question.

Copilot fait vraiment gagner du temps, mais il révèle en quelques secondes les partages trop larges accumulés depuis des années. Le bon moment pour les ranger, c'est avant de l'activer.

Copilot ne pirate rien : il retrouve ce qui était déjà ouvert

Copilot de Microsoft 365 (Microsoft le renomme progressivement « Microsoft Copilot ») est un assistant d'IA intégré à Outlook, Teams, Word, Excel et aux espaces de fichiers de votre entreprise (SharePoint et OneDrive). Il répond aux questions en allant chercher dans vos mails, vos réunions et vos documents.

Microsoft l'écrit noir sur blanc : Copilot ne montre que les données de l'organisation qu'un utilisateur a au minimum le droit de consulter. Il ne donne aucun accès nouveau. Autrement dit, il n'ouvre aucune porte : il allume la lumière dans toutes les pièces dont la porte était déjà ouverte, y compris celles que vous aviez oubliées.

Version de base ou licence payante : ce que Copilot peut lire

Tout le monde ne voit pas le même Copilot. Selon la documentation de Microsoft, la version de base, incluse dans les abonnements Microsoft 365 éligibles, répond surtout à partir d'internet et des documents qu'on lui donne. La licence payante, elle, va chercher dans l'ensemble de vos données Microsoft 365.

Dans tous les cas, Microsoft indique que Copilot respecte les permissions existantes. Le ménage dans les partages est donc utile dès aujourd'hui, et il devient indispensable le jour où vous achetez des licences payantes.

Les portes laissées ouvertes que l'on retrouve partout

Dans son guide de préparation à Copilot, Microsoft demande de repérer en priorité les sites trop partagés, sans propriétaire, inactifs ou contenant des données sensibles. En pratique, dans une PME ou un cabinet, ce sont presque toujours les mêmes situations :

• Les liens « Toute personne disposant du lien » : n'importe qui ayant reçu le lien ouvre le document, sans se connecter. Microsoft précise qu'on ne peut alors pas savoir qui y a accès.
• Les liens « Personnes de votre organisation » : si le lien est transféré, il fonctionne pour n'importe quel collègue. Pratique pour un document d'équipe, risqué pour les salaires ou les dossiers patients.
• Le groupe « Tout le monde sauf les utilisateurs externes » : ajouté à un site ou à un dossier, il donne l'accès à tous les comptes de l'entreprise. Microsoft recommande de le retirer des sites sensibles.
• Les sites sans propriétaire ou abandonnés : un ancien projet, un ancien associé, un dossier de 2018. Personne ne les surveille, mais Copilot les lit pour tous ceux qui y ont accès.
• Les exceptions dossier par dossier : un dossier dont on a changé les droits à la main ne suit plus les règles du site qui le contient. Microsoft parle de « rupture d'héritage » des permissions : c'est souvent là que se cachent les surprises.

Les invités externes comptent aussi : un comptable, un ancien prestataire ou un laboratoire ajouté un jour comme invité garde son accès tant qu'on ne le retire pas. Microsoft précise même que si l'on coupe le partage externe puis qu'on le rallume, les invités retrouvent leur accès.

Cabinet de santé : un dossier vu par la mauvaise personne, c'est une fuite de données

Pour un cabinet médical, dentaire ou de kinésithérapie, l'enjeu dépasse le malaise interne. Le RGPD, tel que le rappelle l'Autorité de protection des données, définit une violation de données personnelles comme une violation de la sécurité qui entraîne, de manière accidentelle ou illicite, notamment la divulgation non autorisée de données ou l'accès non autorisé à ces données.

• Ce qui compte comme une fuite : un accès par une personne qui n'aurait pas dû voir le document, même sans malveillance. Par exemple, un compte rendu de consultation qu'une personne de l'accueil découvre par Copilot.
• Le délai : notifier l'Autorité de protection des données dans les meilleurs délais, si possible dans les 72 heures.
• L'exception : pas de notification si la fuite ne présente probablement aucun risque pour les patients.

Dans sa brochure sur l'IA et le RGPD, l'Autorité cite d'ailleurs, pour les données de santé, des contrôles d'accès stricts qui limitent les personnes autorisées à consulter et à modifier les données des patients. C'est exactement ce qu'il faut vérifier avant d'activer Copilot.

Le plan en quatre semaines avant d'activer

Inutile de tout bloquer ni de tout auditer d'un coup. Voici un ordre de marche réaliste pour une structure de 5 à 50 personnes. Votre prestataire informatique fait la partie technique ; la direction tranche qui doit voir quoi.

Le réglage du lien proposé par défaut compte beaucoup : Microsoft décrit l'option « Personnes spécifiques » comme la plus restrictive. Les liens « Toute personne » peuvent aussi être limités à la lecture seule et obligés d'expirer après un nombre de jours choisi, selon les paramètres de partage décrits par Microsoft.

Si Copilot est déjà activé

Pas de panique, et pas besoin de tout couper. Le guide de Microsoft prévoit des protections provisoires : on cache temporairement les sites sensibles aux recherches de Copilot, le temps de corriger leurs droits, puis on lève cette protection. Selon Microsoft, une partie de ces outils (la gestion avancée de SharePoint) est incluse avec la licence Copilot ; d'autres dépendent de votre abonnement Microsoft 365. Ensuite, on applique le même plan que ci-dessus.

Ce que vous pouvez faire lundi matin

1. Noter les cinq dossiers que personne d'autre que vous ne devrait voir : salaires, contrats, litiges, comptabilité, dossiers patients.
2. Ouvrir chacun d'eux dans SharePoint ou OneDrive, cliquer sur « Gérer l'accès » et regarder qui y figure. Un « Tout le monde » ou un lien ouvert à toute l'organisation est à retirer.
3. Demander à votre prestataire la liste des liens « Toute personne disposant du lien » encore actifs et celle des invités externes.
4. Nommer un responsable pour chaque espace partagé : c'est lui qui dira, deux fois par an, si les accès sont encore justes.
5. Prévoir un pilote : deux ou trois personnes testent Copilot avec des questions comme « montre-moi les salaires » ou « quels patients ont rendez-vous demain », pour vérifier ce qui remonte.

Les règles du jeu pour l'équipe

Le ménage technique ne suffit pas : l'équipe doit savoir ce qu'on attend d'elle. Depuis le 2 février 2025, le règlement européen sur l'IA demande aux entreprises qui utilisent un système d'IA de prendre des mesures pour que leur personnel en comprenne le fonctionnement et les risques. La Commission européenne précise qu'aucun certificat n'est exigé : une courte formation interne, dont on garde une trace, permet de montrer que la démarche a été faite.

Trois messages simples à faire passer :

• Copilot voit ce que vous voyez. Si une réponse affiche un document que vous ne devriez pas voir, ne le diffusez pas : signalez-le à la direction ou au prestataire, c'est une porte à fermer.
• Copilot peut se tromper. Microsoft rappelle que ses réponses ne sont pas garanties exactes à 100 % : on relit avant d'envoyer.
• On partage avec des personnes, pas avec « tout le monde ». Pour un document sensible, le bon réflexe est le lien « Personnes spécifiques ».

Côté confidentialité, Microsoft indique que les questions, les réponses et les données consultées ne servent pas à entraîner ses modèles d'IA. La vraie question n'est donc pas « Microsoft lit-il nos données ? », mais « nos collègues peuvent-ils lire des données qui ne les concernent pas ? ».

Bien préparé, Copilot fait gagner du temps sur les mails, les comptes rendus et les recherches de documents. Quelques semaines de rangement suffisent pour en profiter sans mauvaise surprise.

Préparer l'arrivée de Copilot→