Avant d'activer Copilot : que verront réellement vos collaborateurs ?

C'est la question posée à chaque comité sécurité avant un déploiement Copilot : « l'assistant va-t-il lire des fichiers qu'il ne devrait pas lire ? » La réponse exacte est moins rassurante qu'elle n'en a l'air : non, il ne lira rien que l'utilisateur ne puisse déjà ouvrir lui-même — et c'est précisément le problème.

Microsoft le précise dans sa documentation sur la confidentialité et la sécurité de Microsoft 365 Copilot : Copilot opère à l'intérieur du modèle de permissions existant. Il n'élève aucun droit et ne contourne aucune règle. Mais il fait une chose qu'aucun outil ne faisait avant lui — il rend trouvable ce qui n'était jusque-là qu'accessible, à partir d'une question en langage naturel.

La différence entre « autorisé » et « trouvable »

Dans la plupart des tenants, les couches de partage se sont empilées pendant des années : un site d'équipe créé pour un projet terminé, un dossier partagé avec « tout le monde sauf les utilisateurs externes » pour dépanner, un lien permanent envoyé dans un message et jamais révoqué.

Rien de tout cela ne constituait un risque opérationnel, parce qu'il fallait d'abord savoir que le fichier existait. La recherche classique récompense celui qui sait ce qu'il cherche. Un assistant qui résume, cite ses sources et suggère récompense celui qui ne le sait pas.

Microsoft le reconnaît explicitement dans son guide de traitement du partage excessif, consacré aux étapes à mener avant l'activation.

Quatre schémas présents dans presque chaque audit

« Tout le monde sauf les utilisateurs externes »

Ce groupe englobe chaque compte interne du tenant. Lui accorder un droit sur un site signifie que tout collaborateur y accède, y compris celui qui est arrivé trois ans plus tard et n'a aucun lien avec le sujet. C'est le réglage le plus fréquemment à l'origine des surprises.

Liens de partage sans expiration

Un lien « toute personne disposant du lien » reste valable jusqu'à révocation manuelle. La documentation sur le partage externe explique comment durcir la politique, mais un durcissement n'annule pas ce qui a déjà été créé.

Sites sans propriétaire

Quand le propriétaire d'un site quitte l'entreprise, le site, son contenu et ses permissions restent. Et personne ne révise la liste, puisque la personne qui la révisait n'est plus là. La gestion du cycle de vie des sites traite exactement ce cas.

Contenu sensible non étiqueté

Les étiquettes de confidentialité de Microsoft Purview sont ce qui permettra ensuite d'exclure du contenu des résultats de Copilot. Leur absence n'est pas un risque en soi, mais c'est l'absence de l'outil dont vous aurez besoin.

Les garde-fous fournis par Microsoft

Deux mécanismes sont utiles, et tous deux sont des pansements plutôt que des substituts au nettoyage. Le premier est la recherche SharePoint restreinte, qui limite ce que Copilot peut atteindre à une liste de sites approuvés. Le second est la restriction de découverte de contenu, qui exclut des sites précis des résultats Copilot tout en les laissant accessibles à qui détient un droit direct.

Les deux achètent du temps. Aucun ne vous dit ce qui était exposé au départ.

L'ordre qui fonctionne

1. Auditer avant le déploiement. Partir d'un inventaire de ce qui est partagé et avec qui, pas d'un rapport post-incident.
2. Classer par impact. Un site RH ouvert à tout le monde n'est pas du même ordre qu'une archive de projet clos.
3. Corriger l'évident, restreindre l'ambigu. Tout constat n'est pas immédiatement corrigeable ; la restriction donne un délai.
4. Réauditer un mois plus tard. Les permissions dérivent, et un score amélioré une fois redescend tout seul.

Obtenir l'inventaire

Copilot SafeScan analyse le tenant avant le déploiement et restitue ce qui est exposé et à qui, classé par impact : sites largement partagés, liens permanents, sites sans propriétaire, contenu sensible non étiqueté — avec des étapes de remédiation transmissibles et des scripts PowerShell pour ce qui s'exécute en masse.

L'outil fonctionne avec un consentement Microsoft Graph en lecture seule : il lit les métadonnées de permissions, jamais le contenu des fichiers.

À lire également : 23 constats, un après-midi — par quoi commencer et pourquoi votre score baisse sans que personne n'ait rien fait.