Conformité
IA et RGPD dans Microsoft 365 : où vont vos données, et comment rester conforme
Par Ktifa ·
Avec Microsoft 365 Copilot ou un agent déployé dans votre tenant et votre abonnement Azure, les données restent dans l’environnement de votre entreprise, peuvent être traitées dans l’Union européenne, et ne servent pas à entraîner les modèles. La conformité RGPD repose ensuite sur vous : droits d’accès, minimisation, information des personnes et registre des traitements.
Copilot pour tout le monde, ou un agent ciblé ?Voir la formation Copilot et agents IA
La vraie question : outil grand public ou outil d’entreprise
Le principal risque RGPD lié à l’IA en PME ne vient pas de Microsoft 365. Il vient des outils grand public utilisés avec un compte personnel, dans lesquels un collaborateur colle un contrat ou un fichier client. L’entreprise perd alors la maîtrise de ces données.
Un outil déployé dans votre environnement Microsoft change la situation :
| Outil grand public, compte personnel | Copilot ou agent dans votre tenant | |
|---|---|---|
| Contrat avec l’éditeur | Celui du salarié, pas de l’entreprise | Contrat professionnel de l’entreprise |
| Localisation | Variable | Union européenne possible |
| Entraînement des modèles | Selon les paramètres du compte | Pas d’entraînement sur vos données |
| Droits d’accès | Aucun lien avec vos droits | Respect des droits Microsoft 365 |
| Traçabilité | Aucune pour l’entreprise | Journaux d’audit |
Ce qui reste de votre responsabilité
Même avec le bon outil, plusieurs points relèvent de vous :
- Les droits d’accès. Un agent ou Copilot respecte les droits existants. Si un dossier RH est partagé avec toute l’entreprise, il devient trouvable. Revoir les partages est la première mesure de conformité.
- La minimisation. Ne connectez à un agent que les sources nécessaires à sa tâche.
- L’information. Informez les collaborateurs de l’usage de l’IA, en particulier pour la transcription des réunions, et les personnes extérieures lorsqu’elles échangent avec un agent.
- Le registre des traitements. Ajoutez une ligne par usage : finalité, données, durée de conservation, destinataires.
- La validation humaine. Pour toute décision qui concerne une personne, gardez une intervention humaine.
Pseudonymiser quand c’est nécessaire
Quand un document contenant des données personnelles doit être analysé ou partagé, la pseudonymisation automatique remplace noms, adresses et identifiants avant traitement. Le document original reste intact et la table de correspondance est protégée.
En résumé
- Proposez un outil d’entreprise pour éviter les comptes personnels.
- Revoyez les partages SharePoint et OneDrive avant d’activer l’IA.
- Limitez chaque agent aux données de sa tâche.
- Documentez le traitement et informez les personnes.
Ce texte est une synthèse pratique, pas un avis juridique ; pour les traitements sensibles, faites valider votre analyse par votre DPO ou votre conseil.