Comment les administrateurs informatiques configurent Microsoft Copilot avec la protection des données d'entreprise

Les administrateurs informatiques d'entreprise peuvent prémunir les conversations sur Microsoft Copilot contre les fuites de données, la rétention non autorisée et l'entraînement des modèles d'intelligence artificielle en appliquant la Protection des données d'entreprise (Enterprise Data Protection, EDP) via l'authentification Microsoft Entra ID et les stratégies de gouvernance Microsoft 365.

La protection des données d'entreprise (auparavant appelée Protection des données commerciales ou CDP) est un ensemble de garanties contractuelles et techniques inclus sans surcoût pour les organisations détenant des licences Microsoft 365 éligibles. Dès lors qu'un collaborateur se connecte avec son compte professionnel ou scolaire Microsoft Entra ID (anciennement Azure AD), l'EDP s'active automatiquement. Dans ce cadre, les invites (prompts) et les réponses générées demeurent confinées dans la limite de service du locataire (tenant) Microsoft 365, sont chiffrées au repos comme en transit, et ne peuvent contractuellement ni techniquement servir à entraîner les modèles linguistiques fondamentaux (LLM) de Microsoft ou d'OpenAI.

Cette protection repose néanmoins entièrement sur l'identité du compte connecté. Si un employé utilise Copilot sans s'identifier ou via un compte Microsoft personnel (MSA), la session bascule sous les conditions grand public, où les conversations sont susceptibles d'être conservées ou utilisées pour le perfectionnement des modèles. Il incombe donc aux administrateurs informatiques d'imposer l'authentification Entra ID, de verrouiller les règles du navigateur, d'encadrer la recherche web et de paramétrer la gouvernance dans Microsoft Purview.

1. Fonctionnement de la protection des données d'entreprise (EDP)

Selon la nature du compte utilisé lors de la connexion, Microsoft Copilot opère sous des régimes juridiques et des architectures techniques radicalement différents :

Garanties de sécurité sous l'EDP

• Isolement du locataire et chiffrement : Les requêtes et les réponses sont traitées à l'intérieur du périmètre de sécurité Microsoft 365. Les flux sont sécurisés par TLS 1.2+ et les données stockées sont protégées par BitLocker et le chiffrement de service.
• Aucun entraînement des modèles d'IA : Microsoft s'engage à ne pas exploiter les invites des utilisateurs, les réponses formulées ou les documents lus via Microsoft Graph pour entraîner ses modèles d'IA fondamentaux.
• Stockage de conformité sur l'architecture Exchange : Les interactions de chat d'entreprise sont conservées dans la boîte aux lettres Exchange Online de l'utilisateur, ce qui permet d'appliquer des stratégies d'archivage, de suppression automatique ou de conservation légale.
• Statut de sous-traitant (DPA) : L'avenant DPA engage la responsabilité de Microsoft en tant que sous-traitant, garantissant la conformité avec le RGPD, la norme ISO/IEC 27018 et les engagements de la frontière des données de l'UE (EU Data Boundary).

2. Licences requises et prérequis

La protection des données d'entreprise est incluse sans coût supplémentaire dans la majorité des abonnements commerciaux et éducatifs :

• Abonnements Entreprise : Microsoft 365 E3, E5, F1, F3 ; Office 365 E1, E3, E5, F3
• Abonnements Business : Microsoft 365 Business Basic, Business Standard, Business Premium
• Secteur Éducation : Microsoft 365 A3, A5 ; Office 365 A1, A3, A5 (corps professoral et étudiants éligibles)
• Teams autonome et secteur public : Teams Enterprise, Teams Essentials et environnements GCC

Les utilisateurs dotés d'une licence Microsoft Copilot (auparavant complément Microsoft 365 Copilot) bénéficient des mêmes garanties de protection EDP, tout en accédant aux données internes de l'entreprise (fichiers SharePoint, courriels, réunions) grâce à l'indexation sémantique de Microsoft Graph.

3. Guide de configuration étape par étape pour les administrateurs

Pour sécuriser l'usage de Copilot à l'échelle de toute l'entreprise, les administrateurs doivent configurer quatre niveaux de gouvernance :

+-----------------------------------------------------------------------------------+
|                        1. Couche d'identité et d'accès réseau                     |
|  - Affecter licences M365 -> Autoriser copilot.cloud.microsoft -> Tenant Restrictions|
+-----------------------------------------------------------------------------------+
                                         |
                                         v
+-----------------------------------------------------------------------------------+
|                     2. Stratégies de postes et navigateur Edge                    |
|  - Connexion obligatoire (BrowserSignin = 2) -> Filtrage domaine (RestrictSigninToPattern)|
|  - Accès au contexte de page (EdgeEntraCopilotPageContext)                        |
+-----------------------------------------------------------------------------------+
                                         |
                                         v
+-----------------------------------------------------------------------------------+
|                    3. Système de contrôle Copilot et recherche Web                |
|  - Paramètres Centre d'administration M365 -> Stratégie Allow web search in Copilot|
+-----------------------------------------------------------------------------------+
                                         |
                                         v
+-----------------------------------------------------------------------------------+
|                   4. Gouvernance et audit avec Microsoft Purview                  |
|  - Stratégies de rétention -> Audit des interactions -> Prévention DLP             |
+-----------------------------------------------------------------------------------+

Étape 1 : Imposer la connexion Entra ID et bloquer les comptes personnels

L'EDP ne s'activant que si un jeton d'authentification Entra ID valide est transmis, le service informatique doit empêcher l'ouverture de sessions Copilot avec des comptes personnels sur les postes professionnels.

A. Déployer les stratégies de groupe Microsoft Edge (Intune ou GPO)

Configurez les modèles d'administration de Microsoft Edge :

1. Forcer la connexion au navigateur (BrowserSignin) :
   • Définissez BrowserSignin sur 2 (Forcer les utilisateurs à se connecter pour utiliser le navigateur), ce qui élimine les sessions anonymes non supervisées.
2. Restreindre les comptes autorisés (RestrictSigninToPattern) :
   • Configurez RestrictSigninToPattern avec l'expression régulière du domaine de messagerie de l'entreprise (ex. : .*@votreentreprise\.fr).
   • Cette règle bloque toute tentative de création de profils avec des adresses @outlook.com, @gmail.com ou des domaines personnels non approuvés.
3. Contrôler l'accès au contexte de page active (EdgeEntraCopilotPageContext) :
   • Activez ce paramètre (Enabled / 1) si vous autorisez Copilot à analyser les pages intranet ou PDF ouverts ; désactivez-le (Disabled / 0) pour empêcher la barre latérale de lire le texte de l'onglet actif. Notons que les pages protégées par des règles DLP de Purview bloquent automatiquement toute lecture par Copilot, indépendamment de ce réglage.

B. Activer les restrictions de locataire v2 (Tenant Restrictions v2)

Pour empêcher les collaborateurs sur le réseau de l'entreprise d'accéder à des locataires externes ou à des comptes personnels :

1. Rendez-vous dans le Centre d'administration Microsoft Entra > Identités externes > Paramètres d'accès entre locataires.
2. Activez les Restrictions de locataire v2 pour autoriser uniquement l'authentification sur l'identifiant de locataire officiel de l'entreprise.

Étape 2 : Autoriser les points de terminaison réseau indispensables

Microsoft a regroupé ses services Copilot sous le domaine unifié .cloud.microsoft.

1. Autoriser les domaines clés : Assurez-vous que les pare-feu d'entreprise, les proxys et les passerelles web sécurisées (SWG) autorisent :
   • *.cloud.microsoft
   • Portail principal : https://copilot.cloud.microsoft
2. Éviter le filtrage d'URL ou d'adresses IP au niveau réseau : Microsoft déconseille fortement de bloquer sélectivement des flux ou des IP liés à Copilot au niveau du réseau. Étant imbriqué dans Teams, Outlook et les applications web Microsoft 365, un blocage réseau partiel entraîne fréquemment des dysfonctionnements sur les applications collaboratives. La désactivation doit s'effectuer via les stratégies d'administration de la suite.

Étape 3 : Encadrer la recherche web Bing et l'anonymisation des requêtes

Par défaut, Microsoft Copilot Chat utilise le moteur Bing pour enrichir ses réponses d'informations récentes provenant du web public.

Fonctionnement de l'anonymisation des requêtes Bing

Lorsqu'une recherche web est sollicitée :

• Copilot extrait quelques mots-clés essentiels à partir du prompt de l'utilisateur.
• L'identifiant de l'utilisateur (UPN), le nom de l'organisation et l'ID du locataire sont intégralement purgés de la requête.
• Les documents internes, courriels ou pièces jointes ne sont jamais transmis à Bing.
• La connexion vers Bing est chiffrée en HTTPS, et Microsoft s'engage contractuellement à ne pas communiquer ces requêtes aux régies publicitaires ni à s'en servir pour entraîner ses modèles fondamentaux.

Désactivation complète de la recherche web (Optionnel)

Si votre secteur d'activité impose l'interdiction stricte de toute requête vers l'extérieur :

1. Accédez au Centre d'administration des applications Microsoft 365 (config.office.com), puis à Stratégie cloud (Cloud Policy).
2. Créez ou modifiez une stratégie ciblant vos groupes d'utilisateurs.
3. Paramétrez la directive Autoriser la recherche web dans Copilot (Allow web search in Copilot) :
   • Activé dans Microsoft Copilot et Microsoft Copilot Chat : Recherche externe anonymisée autorisée.
   • Désactivé en mode Travail ; activé en mode Web : Protège les invites internes tout en autorisant l'assistance web générale.
   • Désactivé dans les deux modes : Coupe totalement les requêtes vers Bing. Copilot répond uniquement à partir de ses connaissances préexistantes.

Ce paramètre peut également être ajusté dans le Centre d'administration Microsoft 365 sous Copilot > Paramètres.

Étape 4 : Définir la rétention et l'audit dans Microsoft Purview

Sous le régime de l'EDP, les données de chat relèvent de la conformité Exchange Online et se pilotent via Microsoft Purview :

1. Stratégies de rétention pour Copilot :
   • Dans le Portail de conformité Microsoft Purview, accédez à Gestion du cycle de vie des données > Stratégies de rétention.
   • Créez une stratégie ciblant les Interactions utilisateur Microsoft Copilot.
   • Configurez une purge automatique après un délai défini (par exemple 30, 60 ou 90 jours) pour réduire l'exposition des données anciennes, ou fixez une durée de conservation légale obligatoire.
2. Journalisation et recherche d'audit :
   • Dans Microsoft Purview > Audit, recherchez les événements du schéma CopilotInteraction.
   • Les journaux indiquent la date, l'identifiant de l'utilisateur, l'application d'origine et si une recherche web a été exécutée.
3. Prévention des pertes de données (DLP) :
   • Mettez en place des règles DLP pour les points de terminaison et Edge. Lorsqu'un utilisateur consulte un fichier portant une étiquette de sensibilité « Confidentiel », la copie vers Copilot ainsi que l'analyse par la barre latérale Edge sont automatiquement bloquées.

4. Liste de contrôle : Comment vérifier que l'EDP est active

À l'issue de ces déploiements, vérifiez l'effectivité de la protection à travers trois contrôles :

1. Vérification visuelle de l'interface :
   • Ouvrez https://copilot.cloud.microsoft ou la barre latérale Copilot dans Edge.
   • Repérez l'icône de bouclier vert accompagnée de la mention Protégé (Protected) près du bouton « Nouvelle discussion ».
   • Assurez-vous que l'indicateur de profil stipule bien un compte de Travail (Work).
   • Sous le champ de saisie, observez la mention de sécurité : « Vos données personnelles et d'entreprise sont protégées dans cette conversation. »
2. Test de rejet des comptes personnels :
   • Tentez de vous connecter à Edge ou Copilot avec un compte personnel @outlook.com sur un poste géré. Le navigateur doit afficher un message d'interdiction de stratégie d'entreprise.
3. Contrôle d'audit dans Purview :
   • Soumettez une invite de test avec un compte d'entreprise.
   • Après 15 à 30 minutes, vérifiez dans le journal d'audit de Purview que l'interaction a bien été consignée pour votre locataire.

5. Bonnes pratiques recommandées

Le déploiement sécurisé de Microsoft Copilot ne nécessite pas de proxy complexe ni de solutions tierces intrusives :

• Verrouillez l'usage des comptes personnels : Les stratégies Intune et Edge (BrowserSignin = 2 et RestrictSigninToPattern) constituent le rempart le plus efficace contre les fuites accidentelles.
• Sensibilisez les équipes : Apprenez aux collaborateurs à repérer systématiquement le bouclier vert « Protégé » avant de soumettre des informations d'entreprise.
• Adaptez la recherche web aux exigences de confidentialité : Coupez la recherche Bing via Cloud Policy pour les unités hautement sensibles (R&D, juridique).
• Organisez le cycle de vie dans Purview : Définissez des règles de purge automatique régulières pour limiter l'accumulation de données sensibles historiques.

Références

• Enterprise data protection in Microsoft Copilot and Microsoft Copilot Chat | Microsoft Learn
• Microsoft Copilot Chat Privacy and Protections | Microsoft Learn
• Data, privacy, and security for web search in Microsoft Copilot and Microsoft Copilot Chat | Microsoft Learn
• Manage Microsoft Copilot Chat | Microsoft Learn