Calipia : le blog

Déployer Copilot, c’est bien. Savoir ce qu’il fait avec vos données, c’est mieux.

Depuis que Microsoft a fait de Copilot la pièce maîtresse de sa stratégie, une question revient en boucle dans les COMEX et les équipes IT : comment garder la main sur un assistant IA qui, par construction, traverse toutes les frontières applicatives de l’organisation ? Microsoft a progressivement étoffé sa réponse au fil des mois, et les mises à jour de mars et avril 2026 marquent un tournant significatif dans la maturité des outils de contrôle mis à disposition des administrateurs.

Du déploiement enthousiaste à la gouvernance sérieuse

Les premières vagues de déploiement de Copilot ont souvent mis la DSI face à un choix inconfortable : activer la fonctionnalité pour ne pas rater le train de l’IA, ou attendre d’avoir les moyens d’encadrer sérieusement son usage. Ce dilemme est en train de se résoudre, non pas parce que les risques ont disparu, mais parce que Microsoft a considérablement élargi la palette des contrôles disponibles.

Le mois d’avril 2026 marque ce que certains analystes qualifient de « glissement structurel vers des opérations centrées sur l’IA », avec Agent 365 qui émerge comme plan de contrôle centralisé pour superviser, gouverner et sécuriser les agents IA à travers Microsoft 365. Microsoft ne vend plus seulement de la productivité, il vend aussi de la maîtrise et c’est tant mieux !

La protection des prompts : une nouveauté qui change tout

L’une des avancées les plus concrètes concerne la protection des prompts par Microsoft Purview DLP. Jusqu’ici, les politiques de prévention des fuites de données s’appliquaient aux fichiers et aux emails. Désormais, les administrateurs peuvent définir des politiques qui détectent et empêchent Copilot de répondre à des prompts contenant des données sensibles telles que des informations financières, des numéros de secu ou des numéros de compte bancaire. Cette protection opère à trois niveaux distincts : blocage complet de la réponse, blocage de la recherche web associée au prompt, et exclusion des fichiers labellisés du périmètre de grounding de Copilot.

La protection des prompts est déclarée en disponibilité générale depuis le 7 avril 2026, tandis que la protection des recherches web sensibles reste en préversion publique. Cette distinction n’est pas anodine : les requêtes web générées par Copilot vers Bing sortent du périmètre de service Microsoft 365, ce qui implique que les garanties contractuelles habituelles comme le DPA ou le support HIPAA ne s’y appliquent pas de la même façon.

Il faut noter une asymétrie de licences que les responsables IT devront vérifier avant tout déploiement. La protection des prompts est disponible pour tous les utilisateurs de Microsoft 365 Copilot et Copilot Chat, mais la restriction de l’accès de Copilot aux fichiers et emails en fonction des étiquettes de sensibilité requiert une licence de niveau E5 ou un plan Purview dédié. 

L’exclusion de domaines web : une granularité bienvenue à condition de ne pas en abuser

La fonctionnalité d’exclusion de domaines pour le grounding web permet aux administrateurs de spécifier un ensemble limité de sites à exclure des sources utilisées par Copilot lors de la génération de réponses, avec un déploiement en cours en avril. En apparence anecdotique, cette capacité répond à des besoins très concrets dans les environnements sensibles : exclure des sources concurrentes, des forums non vérifiés, ou tout simplement aligner les sources web autorisées avec les politiques de conformité sectorielles.

Agent 365 : le plan de contrôle pour l’ère des agents

Si les contrôles DLP s’adressent à la protection des données, Agent 365 s’attaque à une problématique plus large : la gouvernance du cycle de vie des agents IA. Agent 365 offre un plan de contrôle centralisé permettant d’observer, gouverner et sécuriser les agents IA déployés à travers Microsoft 365 et les plateformes connectées. Pour les organisations qui commencent à déployer des agents Copilot Studio à grande échelle, la question de savoir qui a créé quel agent, quelles données il accède, et qui peut l’auditer devient rapidement critique.

Les outils d’évaluation d’agents dans Copilot Studio sont passés en disponibilité générale, fournissant aux équipes un workflow de bout en bout pour créer des cas de test, exécuter des évaluations et passer en revue les résultats sans nécessiter de code. Les résultats sont versionnés et auditables, incluant le jeu de test utilisé, le profil utilisateur, la date, la durée et les résultats détaillés par cas de test. 

Visibilité sur les usages… et les coûts

Microsoft met à disposition des outils de visibilité sur les utilisateurs à forte consommation dans le centre d’administration Microsoft 365, permettant aux équipes IT et financières d’identifier les individus et les équipes qui génèrent une consommation élevée des services Copilot à facturation à l’usage. Cette fonctionnalité dépasse la simple curiosité analytique : pour les organisations qui pilotent un déploiement progressif de Copilot, elle permet de corriger les allocations de licences et d’éviter des surprises en fin de mois.

Le tableau de bord Copilot s’enrichit également de métriques d’intention et d’usage permettant aux administrateurs de suivre les tâches réalisées dans l’application Microsoft 365 Copilot, dans Edge et OneNote, et d’analyser des scénarios clés dans Outlook, Word, Excel et PowerPoint, notamment les réponses suggérées, la traduction, le coaching et le nettoyage de données. 

Ce que cela implique concrètement pour la DSI

L’accumulation de ces contrôles dessine une doctrine claire chez Microsoft : l’IA générative en entreprise ne peut pas être traitée comme un outil de productivité ordinaire. Elle nécessite une approche à deux niveaux. Le premier concerne les usages : déployer Copilot là où il apporte de la valeur rapidement et de façon mesurable. Le second concerne le plan de contrôle : s’assurer que les politiques de protection des données, les étiquettes de sensibilité, les restrictions de grounding et la gouvernance des agents sont en place avant de scaler.

Pour les DSI qui ont lancé Copilot en mode pilote en 2024 ou 2025 et qui envisagent maintenant une généralisation, ces nouvelles capacités offrent enfin une réponse crédible aux questions légitimes des DPO, des RSSI et des auditeurs internes. La prochaine étape sera d’intégrer la gouvernance Copilot dans les processus existants, et non de la traiter comme une couche supplémentaire isolée. Ce n’est pas une question de technologie, c’est une question d’organisation.

Nous en reparlerons au prochain Briefing Calipia, n’hésitez pas à vous y inscrire.

Source pour aller plus loin : Microsoft Tech Community, « What’s new in Microsoft 365 Copilot – March 2026 » :https://techcommunity.microsoft.com/blog/microsoft365copilotblog/what%E2%80%99s-new-in-microsoft-365-copilot–march-2026/4506322