Microsoft 365 Copilot ou un environnement d’IA privé ?
En bref
Microsoft 365 Copilot est pertinent si votre activité vit déjà dans Microsoft 365 : il exploite vos e-mails, documents et conversations Teams et tourne dans le cloud Microsoft. Un environnement d’IA propre l’emporte quand les données ne doivent pas quitter votre organisation, ou que vous refusez de dépendre d’un fournisseur américain. En 2025, Microsoft France a déclaré sous serment devant le Sénat ne pas pouvoir garantir que des données européennes ne soient jamais transmises aux autorités américaines.
Ce que Microsoft 365 Copilot fait bien
Copilot est intégré aux logiciels que les collaborateurs utilisent toute la journée : Outlook, Word, Excel, Teams. Il résume une réunion, rédige un brouillon à partir d’un fil d’e-mails ou cherche dans les documents auxquels l’utilisateur a déjà accès. Pour les organisations entièrement sur Microsoft 365, c’est un grand avantage : pas de nouvel environnement, pas de connexion supplémentaire.
Microsoft traite les données de Copilot dans son propre cloud, avec l’EU Data Boundary pour les clients européens, et n’utilise pas les données clients pour entraîner les modèles de base. C’est un niveau sans commune mesure avec un compte personnel sur un chatbot gratuit.
Les points de vigilance
Les droits d’accès deviennent visibles. Copilot trouve tout ce à quoi un utilisateur a accès. Des droits trop larges sur SharePoint et Teams, passés inaperçus pendant des années, deviennent soudain interrogeables. Un nettoyage des habilitations précède souvent un déploiement responsable.
Tous les risques ne sont pas levés. En décembre 2024, la coopérative néerlandaise SURF et la gestion stratégique des fournisseurs de l’État néerlandais (SLM Rijk) ont publié une analyse d’impact sur Microsoft 365 Copilot relevant quatre risques élevés. Après des améliorations de Microsoft, deux subsistaient en septembre 2025, jugés moyens : des données personnelles inexactes dans les réponses et la durée de conservation des données de diagnostic d’usage. SURF recommande un usage prudent, évalué cas par cas.
Le CLOUD Act. Microsoft est une société américaine soumise au CLOUD Act, qui permet aux autorités américaines d’exiger des données contrôlées par un fournisseur américain, même stockées en Europe. En juin 2025, le directeur juridique de Microsoft France a déclaré sous serment devant la commission d’enquête du Sénat qu’il ne pouvait pas garantir que les données de citoyens français ne seraient jamais transmises aux autorités américaines sans l’accord des autorités françaises. Il a ajouté que cela ne s’était pas produit en pratique. La qualification SecNumCloud de l’ANSSI exige d’ailleurs, depuis sa version 3.2, une protection contre les lois extra-européennes.
Copilot et IA privée côte à côte
| Microsoft 365 Copilot | Environnement d’IA propre (IA privée) | |
|---|---|---|
| Où tourne le modèle ? | Dans le cloud Microsoft | Sur votre propre nœud en salle serveur, ou dédié dans un datacenter européen |
| Qui traite le contenu ? | Microsoft, en tant que sous-traitant | Uniquement votre organisation |
| Juridiction | Fournisseur américain, soumis au CLOUD Act | Votre propre organisation |
| Modèles | Choisis par Microsoft | Modèles open-weight de votre choix (Llama, Mistral, Qwen) |
| Intégration à Microsoft 365 | Profonde, directement dans Outlook, Word et Teams | Par connecteurs et automatisations |
| Journalisation et visibilité | Via Microsoft Purview, dans les limites de la plateforme | Piste d’audit complète sous votre contrôle, avec export vers votre SIEM |
| Modèle de coût | Licence par utilisateur et par mois | Matériel et exploitation propres ; plus cher, mais pas par utilisateur |
Quand choisir l’un ou l’autre ?
Copilot convient si l’essentiel de votre activité se passe dans Microsoft 365, que vos données ne sont pas particulièrement sensibles et que vous avez déjà accepté la dépendance à Microsoft pour la messagerie et les documents.
Un environnement d’IA propre convient si vous travaillez avec des données qui ne doivent pas quitter votre organisation : données de santé (IA en santé), pièces couvertes par le secret professionnel (IA et avocats) ou données pour lesquelles votre superviseur encadre l’externalisation (IA et DORA). Et si vous voulez garder la main sur le choix des modèles et du fournisseur.
Ce n’est pas forcément l’un ou l’autre. Beaucoup d’organisations utilisent Copilot pour la bureautique courante et un environnement propre pour les processus aux données les plus sensibles. Chez werqly, cet environnement tourne sur votre propre nœud, administré via werqly AI Control. Votre DSI décide par rôle quel modèle et quelles données sont disponibles.
Questions fréquentes
Questions sur ce sujet
Microsoft 365 Copilot est-il conforme au RGPD ?
Copilot rend possible un usage conforme, mais pas automatiquement. Après des améliorations en 2025, SURF et SLM Rijk relevaient encore deux risques moyens : des données personnelles inexactes dans les réponses et la conservation des données de diagnostic. Une analyse d’impact propre et des droits d’accès assainis sont recommandés.
Les autorités américaines peuvent-elles accéder à nos données Microsoft 365 ?
En vertu du CLOUD Act, les autorités américaines peuvent contraindre un fournisseur américain à remettre des données qu’il contrôle, même stockées en Europe. Microsoft France a déclaré sous serment devant le Sénat en 2025 ne pas pouvoir l’exclure, en précisant que cela ne s’était pas produit en pratique.
Un environnement d’IA propre peut-il fonctionner avec Microsoft 365 ?
Oui. Un environnement d’IA propre peut se connecter à la messagerie, aux documents et à Teams, et vous pouvez créer des automatisations qui traitent des documents SharePoint. Le traitement par le modèle a alors lieu sur votre propre nœud.
Un environnement d’IA propre coûte-t-il plus cher que Copilot ?
En général, oui. Vous payez votre propre matériel et l’exploitation plutôt qu’une licence par utilisateur. Les organisations ne le choisissent pas pour économiser, mais parce que leurs données ne doivent pas quitter leur environnement et qu’elles refusent de dépendre d’un seul fournisseur.
Sources
- SURF — Privacy risks Microsoft 365 Copilot remain orange despite improvements (2025)
- ActuIA — Données sensibles et Cloud Act : Microsoft France admet ne pas pouvoir s’opposer à une injonction américaine
- ANSSI — Qualification SecNumCloud
- Microsoft — Données, confidentialité et sécurité pour Microsoft 365 Copilot
Cet article est une information générale, pas un conseil juridique. Les règles et les recommandations évoluent ; en cas de doute, consultez les sources citées ou votre juriste ou DPO.