Microsoft 365 Copilot et RGPD : vos données restent-elles dans l'UE ?
En bref
Microsoft 365 Copilot n'utilise ni les prompts, ni les réponses, ni les données de l'entreprise pour entraîner des modèles, et il est couvert par le contrat de sous-traitance (DPA) de Microsoft. Les données relèvent de l'EU Data Boundary, mais les nouveaux clients de l'UE peuvent voir leurs requêtes traitées hors de l'UE en période de pointe (flex routing), ce qu'un administrateur peut désactiver. Copilot voit tout ce à quoi l'utilisateur a accès dans Microsoft 365 – les droits sur les fichiers et les e-mails sont donc aussi importants que l'IA elle-même.
Le plus grand risque, ce sont les accès, pas l'IA
Copilot trouve et résume ce que l'utilisateur peut voir. Si un salarié a accès à un dossier de fiches de paie, Copilot peut aussi s'en servir dans une réponse. La première étape consiste donc à faire le ménage dans les droits – une bonne pratique au regard du RGPD, de toute façon.
Quand les données viennent d'autres systèmes
Si Copilot doit travailler sur une liste de clients, une pile de CV ou un export du logiciel de paie, le plus sûr est que les noms ne suivent pas. Avec GoalCube, les données sont chargées dans l'UE et Copilot ne reçoit que des codes. La réponse avec les vrais noms ne s'affiche que chez vous.
| Client | Ville | Objet | |
|---|---|---|---|
| Camille Martin | camille.martin@exemple.fr | Lyon | Remboursement |
| Julien Lefebvre | julien.lefebvre@exemple.fr | Lille | Livraison |
| Nathalie Dubois | nathalie.dubois@exemple.fr | Nantes | Réclamation |
| Thierry Peeters | thierry.peeters@example.com | Liège | Livraison |
| Léa Moreau | lea.moreau@exemple.fr | Bordeaux | Remboursement |
Demande Bonjour, je m'appelle Camille Martin. J'ai renvoyé la commande 7012345678 il y a deux semaines, mais je n'ai toujours pas été remboursée. Merci de faire le virement sur FR76 3000 4012 3400 0101 2345 678. Cordialement, Camille
| Client | Ville | Objet | |
|---|---|---|---|
| [PERSON_1] | [EMAIL_1] | [STED] | Remboursement |
| [PERSON_2] | [EMAIL_2] | [STED] | Livraison |
| [PERSON_3] | [EMAIL_3] | [STED] | Réclamation |
| [PERSON_4] | [EMAIL_4] | [STED] | Livraison |
| [PERSON_5] | [EMAIL_5] | [STED] | Remboursement |
Demande Bonjour, je m'appelle [PERSON_1]. J'ai renvoyé la commande [ID_1] il y a deux semaines, mais je n'ai toujours pas été remboursée. Merci de faire le virement sur [IBAN_1]. Cordialement, [PERSON_1]
Camille Martin et Léa Moreau attendent un remboursement et doivent recevoir une réponse aujourd'hui. Thierry Peeters attend son colis depuis 10 jours. Proposition de réponse à Camille Martin : « Bonjour Camille Martin, merci pour votre patience. Votre remboursement est en cours et sera sur votre compte sous 5 jours ouvrés. »
[PERSON_1] et [PERSON_5] attendent un remboursement et doivent recevoir une réponse aujourd'hui. [PERSON_4] attend son colis depuis 10 jours. Proposition de réponse à [PERSON_1] : « Bonjour [PERSON_1], merci pour votre patience. Votre remboursement est en cours et sera sur votre compte sous 5 jours ouvrés. »
| Candidat | Né(e) le | N° d'identification | Employeur | Expérience |
|---|---|---|---|---|
| Sophie Laurent | 1985-03-12 | 2 85 03 69 123 456 78 | Bois du Rhône SAS | 12 |
| Nicolas Bernard | 1992-11-02 | 1 92 11 59 350 123 45 | Logistique Flandres SARL | 4 |
| Claire Janssens | 1988-06-21 | 88.06.21-284.37 | Métaux de Wallonie SA | 9 |
| Pierre Schmit | 1979-01-30 | 1979013012345 | Pharma Moselle SA | 18 |
CV Sophie Laurent a 12 ans d'expérience en budget et reporting mensuel chez Bois du Rhône SAS. Elle a déployé un nouvel ERP et encadre une équipe de trois personnes. Contact : sophie.laurent@exemple.fr.
| Candidat | Né(e) le | N° d'identification | Employeur | Expérience |
|---|---|---|---|---|
| [PERSON_1] | 40–49 ans | [ID_1] | [VIRKSOMHED_1] | 12 |
| [PERSON_2] | 30–39 ans | [ID_2] | [VIRKSOMHED_2] | 4 |
| [PERSON_3] | 30–39 ans | [ID_3] | [VIRKSOMHED_3] | 9 |
| [PERSON_4] | 40–49 ans | [ID_4] | [VIRKSOMHED_4] | 18 |
CV [PERSON_1] a 12 ans d'expérience en budget et reporting mensuel chez [VIRKSOMHED_1]. Elle a déployé un nouvel ERP et encadre une équipe de trois personnes. Contact : [EMAIL_1].
Sophie Laurent et Claire Janssens ont plus de 5 ans d'expérience et devraient être convoqués en entretien ; interrogez Claire Janssens sur son expérience des ERP. Nicolas Bernard a 4 ans d'expérience ; il en faut 5. C'est une personne qui décide.
[PERSON_1] et [PERSON_3] ont plus de 5 ans d'expérience et devraient être convoqués en entretien ; interrogez [PERSON_3] sur son expérience des ERP. [PERSON_2] a 4 ans d'expérience ; il en faut 5. C'est une personne qui décide.
| Fournisseur | Contact | Compte | Échéance |
|---|---|---|---|
| Composants Atlantique SAS | François Girard | FR76 1820 6000 4512 3456 7890 123 | 2027-01-31 |
| Hébergement Ardennes SA | Isabelle Wouters | BE71 0961 2345 6769 | 2026-12-31 |
| Précision Lorraine SARL | Antoine Roux | FR76 3000 3021 9800 0501 2345 618 | 2028-06-30 |
| Cartonnages Moselle Sàrl | Mathilde Weber | LU28 0019 4006 4475 0000 | 2027-03-31 |
Conditions Composants Atlantique fournit des composants spéciaux pour le Projet Azur. Le prix est révisé chaque année selon l'indice des prix à la consommation plus 3 %. La responsabilité est plafonnée à 10 % de la valeur annuelle du contrat. Contactez François Girard pour toute modification.
| Fournisseur | Contact | Compte | Échéance |
|---|---|---|---|
| [VIRKSOMHED_1] | [PERSON_1] | [IBAN_1] | 2027-01-31 |
| [VIRKSOMHED_2] | [PERSON_2] | [IBAN_2] | 2026-12-31 |
| [VIRKSOMHED_3] | [PERSON_3] | [IBAN_3] | 2028-06-30 |
| [VIRKSOMHED_4] | [PERSON_4] | [IBAN_4] | 2027-03-31 |
Conditions [VIRKSOMHED_1] fournit des composants spéciaux pour le [PROJEKT_1]. Le prix est révisé chaque année selon l'indice des prix à la consommation plus 3 %. La responsabilité est plafonnée à 10 % de la valeur annuelle du contrat. Contactez [PERSON_1] pour toute modification.
Composants Atlantique SAS est reconduit automatiquement s'il n'est pas résilié avant le 31 octobre. Il est important pour un projet interne : renégociez le prix plutôt que de résilier. Cartonnages Moselle Sàrl est aussi reconduit automatiquement ; la date limite est le 31 décembre.
[VIRKSOMHED_1] est reconduit automatiquement s'il n'est pas résilié avant le 31 octobre. Il est important pour un projet interne : renégociez le prix plutôt que de résilier. [VIRKSOMHED_4] est aussi reconduit automatiquement ; la date limite est le 31 décembre.
Comment faire
- Faites le ménage dans les accès.Copilot peut trouver tout ce à quoi le salarié a accès. Vérifiez les dossiers partagés et SharePoint.
- Désactivez le flex routing si les données doivent rester dans l'UE.Un administrateur peut le désactiver.
- Étiquetez les documents sensibles.Utilisez les étiquettes de confidentialité, pour que Copilot les respecte.
- Enregistrez l'usage.Surtout si Copilot sert aux RH ou sur des données clients.
- Pseudonymisez quand l'IA doit travailler sur des données venant d'autres systèmes.Avec GoalCube, Copilot ne reçoit que des codes.
Ce que dit la loi
- Articles 25 et 32 du RGPD
- Protection des données dès la conception et sécurité appropriée – y compris la gestion des accès.
- Articles 44 à 46 du RGPD
- Un traitement hors de l'UE exige une base.
Questions et réponses
Microsoft s'entraîne-t-il sur nos données ?
Non. Selon Microsoft, les prompts, les réponses et les données de l'entreprise dans Microsoft 365 Copilot ne servent pas à entraîner les modèles de fondation.
Qu'est-ce que le flex routing ?
La possibilité, pour les nouveaux clients de l'UE, de voir leurs requêtes Copilot traitées hors de l'UE en cas de forte affluence. Un administrateur peut le désactiver.
Copilot peut-il s'utiliser avec GoalCube ?
Oui, via des agents dans Copilot Studio. Les licences nécessaires ne sont pas encore confirmées, et Copilot est encore en test.
Sources
- Microsoft : Data, privacy and security for Microsoft 365 Copilot
- Microsoft : Copilot flex routing
- Microsoft : EU Data Boundary
Rédigé par La rédaction GoalCube. Dernière mise à jour 11 octobre 2026. GoalCube vous aide à respecter l’AI Act et le RGPD. Ce n’est pas un conseil juridique.
Soyez parmi les premiers.
Le lancement est prévu en novembre 2026. Inscrivez-vous : nous vous contacterons dès que vous pourrez commencer.