Cadre de gouvernance Microsoft Copilot

Les risques spécifiques à l'IA générative en entreprise

Microsoft 365 Copilot n'est pas un outil bureautique de plus. C'est un système qui accède à l'ensemble du contenu auquel l'utilisateur a droit, qui génère du contenu présenté comme factuel, et qui peut influencer ou prendre des décisions. Trois dimensions de risque s'ajoutent par rapport aux outils traditionnels :

• Risque d'oversharing : Copilot révèle à un utilisateur tout ce à quoi il a accès - y compris des contenus sur-partagés depuis des années dont personne ne se souvient.
• Risque d'hallucination : Copilot peut générer des informations factuellement erronées avec un haut niveau de confiance apparente. Sans validation humaine, les erreurs se propagent.
• Risque réglementaire : Loi 25 article 12.1 impose des obligations spécifiques aux décisions automatisées. Le RGPD européen (AI Act) ajoute des contraintes en cas d'opération internationale.

Le coût de la non-gouvernance

Trois scénarios observés en 2024-2025 chez des entreprises sans cadre de gouvernance :

Scénario 1 : un employé demande à Copilot un récapitulatif des projets RH en cours. Réponse complète et détaillée - incluant les négociations salariales en cours d'un collègue, accessibles par une erreur de partage SharePoint datant de 2022. Aucune intention malveillante, mais incident de confidentialité majeur à traiter.

Scénario 2 : un commercial utilise Copilot pour générer une proposition. Le document final cite des références client incorrectes - Copilot ayant mélangé deux cas similaires. La proposition est envoyée au client. Erreur factuelle découverte lors de la signature.

Scénario 3 : une RH utilise Copilot pour trier 200 candidatures. Aucune validation humaine intermédiaire. Plainte ultérieure d'un candidat invoquant l'article 12.1 - l'organisation n'a aucune trace de la procédure, aucun mécanisme de révision documenté.

Pilier 1 - Politique d'usage formelle

Document court (2-4 pages), validé par la direction, communiqué à tous les utilisateurs Copilot. Il définit : ce que Copilot peut être utilisé pour faire, ce qu'il ne doit pas être utilisé pour faire, qui peut le configurer/administrer, comment signaler un incident, qui est le sponsor responsable.

Cette politique est annexée au contrat de travail ou à un avenant pour les utilisateurs Copilot. Elle est révisée annuellement.

Pilier 2 - Charte utilisateur opérationnelle

Plus courte (1 page), pédagogique, distribuée et signée à l'activation Copilot. Elle traduit la politique en règles concrètes que l'utilisateur peut comprendre et appliquer.

Voir le modèle de charte fourni en annexe de ce livre blanc.

Pilier 3 - Contrôles techniques Purview

La gouvernance papier ne suffit pas. Microsoft Purview fournit les mécanismes techniques pour faire respecter la politique :

• Sensitivity Labels : étiquetage et chiffrement des documents sensibles, filtrage par Copilot.
• Data Loss Prevention (DLP) : politiques bloquant l'inclusion de certains types de données dans les réponses Copilot.
• Insider Risk Management : détection des usages anormaux de Copilot (volume, sujets sensibles, exfiltration).
• Audit logs Copilot : traçabilité de chaque prompt et chaque réponse, conservés 1 an+.
• Retention policies : durée de conservation des conversations Copilot.

Pilier 4 - Processus d'approbation des cas d'usage

Pour les usages à risque élevé (décisions sur des personnes, traitement de données très sensibles, automatisation de processus métier), un processus d'approbation préalable est indispensable.

Comité IA mensuel : représentants RSSI, RPRP (Loi 25), juridique, métier, DSI. Examine chaque nouveau cas d'usage proposé. Décide : autorisation, autorisation conditionnelle, refus.

Pilier 5 - Formation et sensibilisation

La formation initiale Copilot (90 minutes) couvre : démonstration des cas d'usage, charte d'usage, bonnes pratiques (validation, citation des sources, prudence sur les données sensibles), signalement d'incident.

Sensibilisation continue : email mensuel "cas pratique", quiz trimestriel court, retours d'expérience interne, mise à jour annuelle de la formation.

Pilier 6 - Mesure et amélioration continue

Tableau de bord trimestriel partagé en comité direction :

• Adoption (% utilisateurs actifs, volume d'interactions).
• Qualité (satisfaction utilisateur, taux d'erreurs signalées, incidents).
• Conformité (audits Purview, politiques DLP déclenchées, demandes Loi 25 traitées).
• Cas d'usage approuvés vs refusés (suivi du comité IA).
• Évolutions Microsoft pertinentes (nouvelles capacités Copilot, nouvelles fonctionnalités Purview).