Audit de sécurité Copilot : bonnes pratiques pour PME et ETI en 2026

Copilot for Microsoft 365 est puissant — précisément parce qu'il accède à toutes vos données M365. Un commercial peut interroger Copilot et se voir proposer des informations RH auxquelles il n'aurait normalement pas accès. Pas parce que Copilot est "mal sécurisé", mais parce que les droits d'accès M365 de votre organisation ne sont pas correctement configurés. Ce guide vous donne la liste de contrôle complète pour un déploiement Copilot sécurisé.

Pourquoi la sécurité Copilot est différente des autres déploiements logiciels

Copilot n'introduit pas de nouvelles failles de sécurité. Il amplifie les failles existantes. Si votre organisation a des droits d'accès SharePoint trop permissifs (ce qui est le cas dans 70 % des PME selon les études Microsoft 2025), Copilot va permettre à tout utilisateur d'interroger toutes les données auxquelles il a techniquement accès — même involontairement.

La règle d'or du déploiement Copilot : auditez vos droits d'accès avant d'activer. Pas après.

Les 7 points de l'audit de sécurité Copilot

Point 1 — Droits d'accès SharePoint et OneDrive

C'est le risque principal. Cartographiez qui a accès à quoi dans SharePoint. Utilisez le Microsoft 365 Assessment Tool (outil gratuit Microsoft) pour identifier les sites, bibliothèques et documents avec des accès trop larges. Corrigez avant d'activer Copilot.

Questions à se poser :

• Vos fichiers RH sont-ils dans des bibliothèques accessibles à tous ?

• Vos données financières sont-elles dans des sites SharePoint sans restriction d'accès ?

• Y a-t-il des groupes M365 avec des centaines de membres qui auraient accès à des données sensibles ?

Point 2 — Labels de confidentialité (Microsoft Purview)

Activez et déployez les labels de confidentialité Microsoft Purview : Public, Interne, Confidentiel, Hautement Confidentiel. Copilot peut être configuré pour ne pas indexer les documents classifiés "Hautement Confidentiel" ou pour limiter leur accès même aux utilisateurs ayant techniquement des droits.

Point 3 — DPA et conditions contractuelles

Vérifiez que votre organisation a bien signé le Data Processing Amendment (DPA) Microsoft. Il est disponible dans le centre d'administration M365 sous "Conformité". Sans DPA signé, les garanties contractuelles sur la confidentialité des données ne s'appliquent pas formellement.

Point 4 — Plugins et connecteurs Copilot

Copilot peut être étendu via des plugins (Salesforce, ServiceNow, SAP…). Chaque plugin accède à des systèmes externes et élargit la surface de données interrogeable. Évaluez chaque plugin avant activation :

• Quelles données ce plugin expose-t-il à Copilot ?

• Qui peut activer ce plugin ?

• Le fournisseur du plugin a-t-il signé un DPA avec Microsoft et votre organisation ?

Point 5 — Journaux d'audit

Activez les journaux d'audit Copilot dans le portail Microsoft Purview. Ces journaux tracent toutes les interactions Copilot (qui a posé quelle question, quelles données ont été accédées). Indispensable pour détecter des comportements anormaux et répondre aux éventuelles enquêtes réglementaires.

Point 6 — Formation des utilisateurs aux risques

La formation technique ne suffit pas. Les utilisateurs doivent comprendre :

• Ne jamais entrer de données personnelles de tiers (clients, collaborateurs) dans un prompt Copilot sans vérifier la politique interne

• Ne pas partager les sorties Copilot contenant des données potentiellement sensibles via des canaux non sécurisés

• Signaler immédiatement si Copilot leur donne accès à des informations qu'ils ne devraient pas voir

Point 7 — Revue régulière des droits d'accès

Un audit ponctuel ne suffit pas. Les droits d'accès évoluent : arrivées, départs, changements de poste. Mettez en place une revue trimestrielle des droits d'accès M365, avec un focus particulier sur les données RH, financières et juridiques.

Checklist : actions avant d'activer Copilot

• ☐ Audit des droits d'accès SharePoint avec Microsoft 365 Assessment Tool

• ☐ Correction des accès trop permissifs identifiés

• ☐ Déploiement des labels de confidentialité Microsoft Purview

• ☐ Signature du DPA Microsoft

• ☐ Activation des journaux d'audit Copilot

• ☐ Revue et validation des plugins Copilot autorisés

• ☐ Formation sécurité de 30 minutes pour tous les utilisateurs Copilot

• ☐ Définition d'une procédure de signalement des incidents

Cas concret — une ETI de services financiers de 220 salariés

Une ETI de gestion de patrimoine (220 salariés) a réalisé son audit pré-déploiement Copilot en novembre 2025. Découvertes de l'audit :

• 347 sites SharePoint avec des permissions "Tout le monde dans l'organisation" — dont 12 contenaient des données clients confidentielles

• 3 groupes M365 comprenant des centaines de membres avec accès à des documents comptables

• Aucun label de confidentialité en place

Correction : 3 jours de travail DSI. Puis activation de Copilot sur 30 utilisateurs pilotes. Aucun incident de sécurité signalé après 6 mois.

Les erreurs à éviter

• Activer Copilot sans audit préalable : c'est le scénario le plus risqué. L'audit prend 1 à 5 jours — c'est un investissement qui vaut le déploiement raté.

• Supposer que Microsoft gère la sécurité à votre place : Microsoft sécurise son infrastructure. La configuration des droits d'accès dans votre tenant est votre responsabilité.

• Négliger la formation sécurité utilisateur : la moitié des incidents de données sont liés à des comportements utilisateurs, pas à des failles techniques.

Pour structurer l'ensemble de votre déploiement Copilot, consultez notre guide intégrer Copilot en entreprise et notre article sur la gouvernance IA et charte d'usage.

Vous voulez réaliser un audit de sécurité Copilot avant votre déploiement ? Contactez Focus AI pour un accompagnement par un expert M365 et sécurité.

FAQ