Sécurité de Microsoft Copilot Pro hébergé en France : que faut-il vraiment savoir ?

La question revient souvent. Trois fois cette semaine, on m’a demandé : « Peut-on vraiment faire confiance à la sécurité d’une solution Microsoft Copilot Pro hébergée en France ? »

Les points solides

• Exécution dans votre tenant : l’hébergement et l’exécution se font au sein du tenant de l’entreprise.
• Chiffrement avancé : chiffrement au repos et en transit, avec possibilité de Customer-Managed Keys et Double Key Encryption pour certains contenus.
• Pas de réentraînement des modèles : engagement contractuel de Microsoft à ne pas utiliser vos données pour entraîner les modèles.
• Azure OpenAI opéré par Microsoft : l’inférence se fait sur Azure, pas chez OpenAI, ni aux États-Unis.
• Respect des autorisations existantes : Copilot ne donne accès qu’à ce que l’utilisateur a déjà le droit de voir (SharePoint, OneDrive, Teams, Exchange…).

Les limites à connaître

1. Flux vers les US
   Le stockage et traitement principaux se font dans l’UE, mais certains logs, télémétries ou flux de support transitent encore ponctuellement aux États-Unis. Microsoft a annoncé fin 2023 un “expansion commitment” pour limiter cela, mais des trous persistent.
   → Pour creuser : lire ce document.
2. Pas de SecNumCloud
   Copilot Microsoft 365 n’est pas qualifié SecNumCloud. C’est rédhibitoire pour la défense, la santé, le secteur public sensible ou la finance critique. Même si Azure dispose d’une offre SecNumCloud (via Bleu), Copilot M365 n’y est pas disponible.
3. Cloud Act / Patriot Act
   Risque résiduel d’exposition aux législations américaines. Microsoft conteste juridiquement, mais aucune instance Copilot M365 n’est totalement “Cloud Act-proof” sans isolement extrême (on-prem, environnements privés ou déconnectés).
4. Effet loupe sur le sur-partage
   Copilot met en lumière ce qui est déjà accessible. Si vos SharePoint sont trop ouverts, si des liens “Anyone with the link” circulent, si des boîtes partagées héritent de droits laxistes… Copilot accélérera les fuites internes.

Pour une entreprise “standard” déjà sur Microsoft, Copilot M365 est globalement bien sécurisé et cohérent avec la stack existante.
Mais il n’est pas souverain, et devient inadapté pour les données classifiées ou les environnements fortement régulés.

La vraie question à se poser est simple :
“Le cas d’usage justifie-t-il de sortir du périmètre souverain ?”

En pratique

• Dans la majorité des cas, les données des entreprises ne sont ni stratégiques ni classifiées, et sont déjà dispersées sur SharePoint, Google Drive, Salesforce, Hubspot…
• Pour les cas réellement sensibles, les alternatives existent, mais elles s’écartent de Copilot M365 :
  • Bleu (Microsoft Cloud de confiance opéré par Orange/Capgemini) pour du SecNumCloud en IaaS/PaaS.
  • OVHcloud SecNumCloud, ou du on-prem/edge avec IA open-source (Mistral, Llama…), RAG local et contrôles d’accès serrés.
  • Confidential Computing et cloisonnement réseau sur Azure pour certaines briques IA spécifiques.

Conclusion

Copilot M365 sécurise correctement les usages classiques. Mais si vos données sont classifiées, hautement sensibles ou soumises à des obligations de souveraineté, la réponse n’est pas Copilot.

La sécurité est toujours une affaire de contexte : sans ce cadrage, la question “Copilot est-il sécurisé ?” n’a pas de sens.