Charte Microsoft Copilot en entreprise : risques, réglages et règles pour votre TPE

Tout dépend du compte. Connecté avec un compte professionnel Microsoft 365 (Entra ID), Copilot bénéficie de la « protection des données d'entreprise » : vos requêtes, réponses et fichiers ne servent pas à entraîner les modèles, et Microsoft agit en sous-traitant sous son contrat de protection des données. Connecté avec un compte Microsoft personnel, vos conversations peuvent servir à l'entraînement tant que vous ne vous y opposez pas. Le piège propre à Copilot est ailleurs : il retrouve tout ce que l'utilisateur a le droit de voir, y compris un dossier mal protégé.

Vérifié en octobre 2026 sur les pages officielles de Microsoft · éditeur : Microsoft (États-Unis)

Faire le diagnostic gratuit Sensibiliser mes salariés

Microsoft Copilot en entreprise : l'essentiel

Noms actuels: Microsoft Copilot (ex-Microsoft 365 Copilot) et Microsoft Copilot Chat (ex-Microsoft 365 Copilot Chat)
Entraînement (compte professionnel): Non : requêtes, réponses et données Microsoft 365 ne servent pas à entraîner les modèles
Entraînement (compte personnel): Possible, avec un refus à tout moment ; conversations conservées 18 mois par défaut
Accord de traitement (DPA): Microsoft Products and Services Data Protection Addendum, Microsoft sous-traitant
Frontière de données de l'UE: Copilot est couvert, sauf les requêtes de recherche web et certains modèles tiers
Coût pour une entreprise Microsoft 365: Copilot Chat inclus ; Copilot intégré aux applications en licence payante

Les offres de Microsoft Copilot et ce qu'elles changent pour vos données

Copilot avec un compte Microsoft personnel

Particuliers

Vos conversations peuvent servir à entraîner les modèles, avec une possibilité de refus à tout moment. Une relecture humaine peut avoir lieu et ne peut pas être refusée. Aucun contrat de traitement pour l'entreprise.

Microsoft Copilot Chat

Entreprises sous Microsoft 365

Inclus sans surcoût pour les organisations abonnées à Microsoft 365, avec un compte professionnel. Protection des données d'entreprise : pas d'entraînement, DPA, frontière de données de l'UE.

Microsoft Copilot (licence)

Entreprises sous Microsoft 365

Licence payante en option. Copilot travaille alors dans Word, Excel, Outlook et Teams, avec accès à vos courriels et fichiers — et donc à tout ce que chaque utilisateur peut ouvrir.

Microsoft utilise désormais le nom « Copilot » pour l'offre grand public comme pour l'offre professionnelle, et une même application accepte les deux types de comptes. Dans votre charte, raisonnez par type de compte, pas par nom de produit.

Les réglages à vérifier dans Microsoft Copilot

1
Vérifier le type de compte connecté
La même application accepte un compte Microsoft personnel et un compte professionnel. Vérifiez que chaque salarié est connecté avec son adresse professionnelle : avec un compte personnel, aucune des garanties professionnelles ne s'applique.
2
Corriger les droits d'accès avant de déployer
Copilot ne restitue que ce que l'utilisateur a au moins le droit de consulter, mais il le retrouve en une question. Le guide de déploiement de Microsoft commence d'ailleurs par la correction du partage excessif : vérifiez les droits des dossiers paie, RH et direction dans SharePoint et OneDrive.
3
Décider de l'accès au web
Quand Copilot interroge le web, les requêtes envoyées à Bing sortent du contrat de traitement et de la frontière de données de l'UE ; Microsoft y agit en responsable de traitement. L'administrateur peut encadrer cet accès.
4
Passer en revue la mémoire et les agents
La personnalisation (mémoire) est activée par défaut, et les règles de conservation Purview ne s'y appliquent pas. Certains agents gratuits peuvent être disponibles par défaut : l'administrateur choisit ceux qu'il autorise.

Les fonctionnalités de Microsoft Copilot qui exposent vos données

Le partage excessif

Un dossier « Tout le monde » oublié dans SharePoint devient trouvable par une simple question : salaires, entretiens annuels, projets de licenciement. C'est le risque numéro un d'un déploiement Copilot.

La recherche web

Les requêtes générées vers Bing ne sont couvertes ni par le contrat de traitement ni par la frontière de données de l'UE. Une question qui contient un nom de client part sur le web.

La mémoire

Activée par défaut, elle retient des éléments d'une conversation à l'autre, et échappe aux règles de conservation que vous avez configurées dans Purview.

Le compte personnel sur un poste professionnel

La même application accepte un compte personnel et un compte professionnel. Un salarié connecté au mauvais compte perd toutes les garanties sans s'en apercevoir.

Les clauses à ajouter à votre charte IA pour Microsoft Copilot

À reprendre telles quelles ou à adapter. Aucune loi n'impose une charte IA, mais c'est la façon la plus simple de fixer les règles par écrit et de prouver la sensibilisation de vos équipes (article 4 de l'AI Act).

01Copilot ne peut être utilisé pour le travail qu'avec le compte professionnel Microsoft 365 de l'entreprise. L'utilisation d'un compte Microsoft personnel pour des informations professionnelles est interdite.
02Avant tout déploiement de Copilot, les droits d'accès aux dossiers partagés sont vérifiés, en particulier les dossiers RH, paie, direction et clients. Ils sont revus [chaque année / à chaque arrivée ou départ].
03Les questions posées à Copilot avec accès au web ne contiennent aucun nom de client, de salarié ou d'information confidentielle.
04Les agents Copilot et les fonctions de mémoire ne sont activés qu'avec l'accord de [nom du responsable].
05Toute production de Copilot destinée à un client ou à une publication est relue et vérifiée par un salarié, qui en reste responsable.

Le modèle de charte IA complet Comprendre la charte IA

5 règles à donner à vos salariés qui utilisent Microsoft Copilot

Vérifiez que vous êtes connecté avec votre compte professionnel avant de poser une question à Copilot.
Si Copilot vous montre un document que vous ne devriez pas voir, ne l'utilisez pas et signalez-le : c'est un problème de droits d'accès.
Pas de nom de client ni d'information confidentielle dans une question qui part sur le web.
Relisez les résumés de réunion et de courriels : Copilot peut omettre ou déformer un point important.
Ne laissez pas un agent envoyer un courriel ou modifier un fichier sans vérifier le résultat.

Une sensibilisation qui laisse une trace

La formation gratuite de Chartia couvre ces règles en six courts chapitres et un quiz de dix questions. Chaque salarié repart avec une attestation nominative : la preuve écrite de votre démarche au titre de l'article 4.

Lancer la formation gratuite

Sources

Pages officielles consultées et vérifiées en octobre 2026. Les éditeurs modifient régulièrement leurs offres et leurs réglages : vérifiez le libellé exact dans votre compte.

Chartia est un outil documentaire et ne délivre pas de conseil juridique individualisé. Chartia n'est affilié à aucun des éditeurs cités ; les noms de produits appartiennent à leurs propriétaires respectifs.

Les autres outils et le guide complet

Par métier : Cabinet comptable · Recrutement et RH · Courtier en assurance · Syndic de copropriété

Microsoft Copilot est-il bien encadré chez vous ?

Le diagnostic gratuit vous dit en 2 minutes quelles obligations IA s'appliquent à votre entreprise, et ce qu'il manque à votre cadre.

Faire le diagnostic gratuit

Questions fréquentes

Copilot utilise-t-il nos données pour s'entraîner ?

Pas avec un compte professionnel : Microsoft indique que les requêtes, les réponses et les données accessibles via Microsoft 365 ne servent pas à entraîner les modèles. Avec un compte personnel, les conversations peuvent servir à l'entraînement, avec une possibilité de refus.

Copilot Chat est-il gratuit pour une entreprise ?

Microsoft l'inclut automatiquement pour les organisations abonnées à Microsoft 365, avec un compte professionnel. Le Copilot intégré à Word, Excel, Outlook et Teams reste une licence payante en option.

Les données Copilot restent-elles en Europe ?

Pour les clients européens, Microsoft présente Copilot comme un service couvert par sa frontière de données de l'UE, avec des exceptions : les requêtes de recherche web envoyées à Bing et certains modèles fournis par des sous-traitants tiers.

Quel est le principal danger de Copilot dans une PME ?

Le partage excessif : Copilot retrouve tout ce que l'utilisateur a le droit d'ouvrir. Un dossier mal protégé devient accessible en une question. Vérifier les droits d'accès avant le déploiement est la première mesure à prendre.