Copilot et données sensibles : comment les protéger avec Microsoft Purview

Certaines données ne devraient jamais se retrouver dans une réponse de Copilot. Les données de santé en font partie. Pourtant, dans beaucoup d'entreprises françaises, ces informations sont stockées dans Microsoft 365 sans protection particulière, et le jour où Copilot est activé, elles deviennent accessibles à qui sait poser la bonne question. En France, ce n'est pas seulement un risque de confidentialité, c'est un risque juridique. Voici comment Microsoft Purview permet de mettre une vraie barrière entre vos données sensibles et l'IA.

Pourquoi les données sensibles posent un problème particulier

Le Règlement général sur la protection des données, le RGPD, distingue les données ordinaires des catégories particulières de données. Ces dernières incluent notamment les données de santé, et leur traitement est encadré beaucoup plus strictement par l'article 9 du RGPD. En cas de manquement, les sanctions de la CNIL peuvent atteindre 20 millions d'euros ou 4 pour cent du chiffre d'affaires mondial.

Or Copilot, par conception, exploite tout ce à quoi un utilisateur a accès. Si un fichier contenant des données de santé est mal protégé, Copilot peut le lire, en résumer le contenu, et le restituer dans une réponse. Le problème n'est pas que Copilot soit dangereux. Le problème est que sans classification ni règle, il ne fait aucune différence entre une note de réunion anodine et un dossier médical.

Un cas concret

Prenons un cabinet qui gère la paie et les ressources humaines pour plusieurs entreprises clientes. Parmi ses documents, on trouve des arrêts de travail, des dossiers de prévoyance, des justificatifs liés à des affections de longue durée. Ce sont des données de santé au sens du RGPD.

Ces fichiers sont rangés dans SharePoint. Comme souvent, les accès ont été ouverts un peu largement au fil du temps, et plusieurs collaborateurs qui n'ont rien à voir avec ces dossiers peuvent techniquement les ouvrir. Tant que Copilot n'était pas là, le risque restait théorique. Une fois Copilot activé, il suffit qu'un de ces collaborateurs demande une information générale pour que l'outil, en cherchant dans tout ce à quoi cette personne a accès, remonte le contenu d'un arrêt de travail nominatif.

Aucune intention malveillante. Juste une donnée de santé exposée par un outil qui fait son travail. Et pour le cabinet, une violation potentielle du RGPD à déclarer.

La solution Microsoft Purview, en trois niveaux

Purview est la brique de gouvernance des données de l'écosystème Microsoft. Pour protéger vos données sensibles face à Copilot, elle agit à trois niveaux complémentaires.

1. Les étiquettes de confidentialité

Le point de départ, ce sont les étiquettes de confidentialité, ou sensitivity labels. Elles permettent de classer chaque document selon son niveau de sensibilité : Public, Interne, Confidentiel, ou par exemple une étiquette dédiée Données de santé. L'étiquette n'est pas un simple marquage visuel. Elle peut déclencher du chiffrement, restreindre les accès, et surtout être reconnue par Copilot.

Concrètement, Copilot respecte ces étiquettes. Un document correctement étiqueté comme hautement confidentiel peut être exclu des réponses générées par l'outil, selon les règles que vous définissez. La classification devient ainsi la fondation de toute la protection.

2. Le blocage par politique DLP

C'est le niveau le plus important pour Copilot. Purview intègre des politiques de prévention de perte de données, le DLP, avec un emplacement dédié à Microsoft 365 Copilot. Vous pouvez définir une règle du type : aucun fichier portant l'étiquette Données de santé ne doit être traité par Copilot.

Depuis 2026, cette protection s'est renforcée. Les politiques DLP qui bloquent le traitement des fichiers étiquetés par Copilot s'appliquent désormais aux documents Word, Excel et PowerPoint quel que soit leur emplacement, y compris sur le poste local de l'utilisateur, et plus seulement dans le cloud Microsoft. La barrière est donc cohérente partout.

Un point technique à connaître : lorsqu'un fichier est bloqué, il peut encore apparaître comme source citée, mais son contenu n'est pas utilisé pour générer la réponse. La donnée sensible reste protégée, même si le titre du document peut rester visible.

3. La surveillance avec DSPM

Le troisième niveau est la supervision. Data Security Posture Management, ou DSPM, offre une vue d'ensemble de la façon dont vos données sont exposées, y compris à l'IA. Depuis fin septembre 2026, Microsoft a regroupé dans une seule console ce qui était auparavant un outil séparé dédié à l'IA. On y retrouve l'évaluation automatique des risques de sur-partage sur vos principaux sites SharePoint, l'identification des documents accessibles trop largement, et la traçabilité des interactions avec Copilot dans le journal d'audit, pour savoir qui a demandé quoi.

C'est l'outil qui transforme une protection ponctuelle en gouvernance continue.

Ce qu'il faut pour le mettre en place

Soyons clairs sur les prérequis, car ils conditionnent ce qui est accessible à votre entreprise. Les étiquettes de confidentialité de base sont incluses dans la plupart des plans Microsoft 365, dont Business Premium, E3 et E5. En revanche, l'expérience complète de DSPM nécessite Microsoft 365 E5 ou E5 Compliance. Les clients en Business Premium peuvent accéder à une bonne partie des capacités via l'add-on Purview Suite, mais certaines fonctions avancées restent réservées aux licences supérieures.

Autrement dit, la protection sérieuse de vos données sensibles face à Copilot suppose au minimum un socle Business Premium, et idéalement un accompagnement pour configurer correctement les étiquettes et les politiques. Une licence mal configurée protège mal.

La démarche recommandée

La mise en place suit un ordre logique. On commence par identifier et classer les données sensibles, puis on définit les étiquettes, puis les politiques DLP qui bloquent leur traitement par Copilot, et enfin on active la surveillance pour vérifier dans la durée. Ce travail vient en complément de la vérification des droits d'accès, qui reste le socle de tout déploiement Copilot sûr, un sujet que nous avons détaillé dans notre article sur la sécurité des données avec Copilot.

En résumé

Copilot ne fait aucune différence entre une donnée anodine et une donnée de santé, sauf si vous lui apprenez à la faire. C'est le rôle de Microsoft Purview : classer vos données sensibles, empêcher leur traitement par l'IA, et surveiller en continu leur exposition. Pour une entreprise française qui manipule des données de santé ou d'autres catégories particulières, ce n'est pas une option de confort, c'est une condition de conformité au RGPD.

Vous manipulez des données sensibles et vous envisagez Copilot ? Contactez StarterLab pour un audit de préparation qui vérifie votre conformité avant toute activation.