[{"data":1,"prerenderedAt":487},["ShallowReactive",2],{"footer-services-fr":3,"footer-local-fr":28,"post-\u002Fblogue\u002Fmicrosoft-copilot-partage-excessif-securite":45,"post-alt-\u002Fblogue\u002Fmicrosoft-copilot-partage-excessif-securite":464,"post-rel-\u002Fblogue\u002Fmicrosoft-copilot-partage-excessif-securite":466},[4,8,12,16,20,24],{"path":5,"navTitle":6,"order":7},"\u002Fservices\u002Faudit-cybersecurite","Audit de cybersécurité",1,{"path":9,"navTitle":10,"order":11},"\u002Fservices\u002Ftest-intrusion","Test d'intrusion",2,{"path":13,"navTitle":14,"order":15},"\u002Fservices\u002Faudit-microsoft-365-google-workspace","Audit Microsoft 365 \u002F Google Workspace",3,{"path":17,"navTitle":18,"order":19},"\u002Fservices\u002Fconformite-loi-25","Conformité Loi 25",4,{"path":21,"navTitle":22,"order":23},"\u002Fservices\u002Fremediation-durcissement","Remédiation et durcissement",5,{"path":25,"navTitle":26,"order":27},"\u002Fservices\u002Faccompagnement-continu","Accompagnement continu (vCISO)",6,[29,33,37,41],{"path":30,"city":31,"translationKey":32},"\u002Faudit-cybersecurite\u002Fmontreal","Montréal","montreal",{"path":34,"city":35,"translationKey":36},"\u002Faudit-cybersecurite\u002Flaval","Laval","laval",{"path":38,"city":39,"translationKey":40},"\u002Faudit-cybersecurite\u002Frive-sud","Rive-Sud","rive-sud",{"path":42,"city":43,"translationKey":44},"\u002Faudit-cybersecurite\u002Frive-nord","Rive-Nord","rive-nord",{"id":46,"title":47,"body":48,"category":410,"date":411,"description":412,"extension":413,"faq":414,"keyword":427,"meta":428,"minutes":27,"navigation":233,"path":429,"rawbody":430,"seo":431,"sources":432,"stem":454,"tags":455,"translationKey":461,"updated":462,"__hash__":463},"blog_fr\u002Fblogue\u002Fmicrosoft-copilot-partage-excessif-securite.md","Microsoft Copilot : éviter le partage excessif avant de déployer",{"type":49,"value":50,"toc":402},"minimark",[51,55,58,61,82,87,90,93,96,113,116,120,123,212,215,219,222,312,326,330,334,337,340,365,368,372,375,378,392,399],[52,53,54],"p",{},"Une firme d'ingénierie de Trois-Rivières active Copilot pour ses douze gestionnaires. Une semaine plus tard, une chargée de projet lui demande de résumer « les derniers échanges sur la réorganisation ». La réponse cite un document des ressources humaines sur des mises à pied à venir.",[52,56,57],{},"Personne n'a piraté quoi que ce soit. Le document se trouvait dans un site SharePoint ouvert à toute l'organisation depuis deux ans. Avant Copilot, il fallait savoir qu'il existait pour tomber dessus. Maintenant, il suffit de poser la bonne question.",[52,59,60],{},"C'est ça, le partage excessif : des accès trop larges qui dormaient, et qu'un assistant d'IA rend soudain visibles. La bonne nouvelle, c'est que Microsoft fournit les outils pour les trouver et les corriger avant le déploiement.",[62,63,66],"callout",{"title":64,"type":65},"En bref","tip",[67,68,69,73,76,79],"ul",{},[70,71,72],"li",{},"Copilot ne crée aucun nouvel accès : selon Microsoft, il ne montre que ce que l'utilisateur peut déjà consulter. Le risque, ce sont les permissions trop larges qui existent déjà.",[70,74,75],{},"Par défaut, SharePoint applique l'option de partage la plus permissive (Microsoft Learn, 2026) : resserrez-la en premier.",[70,77,78],{},"Dès qu'un seul utilisateur a une licence Microsoft Copilot, vos administrateurs ont accès aux outils de la Gestion avancée de SharePoint pour trouver et contenir le partage excessif.",[70,80,81],{},"Loi 25 : un employé qui accède à des renseignements personnels non nécessaires à ses fonctions, c'est un problème de conformité (art. 20).",[83,84,86],"h2",{"id":85},"pourquoi-copilot-révèle-le-partage-excessif","Pourquoi Copilot révèle le partage excessif",[52,88,89],{},"Microsoft Copilot (anciennement Microsoft 365 Copilot) ne fait apparaître que les données de l'organisation auxquelles chaque utilisateur a au moins un droit de consultation, selon la documentation de Microsoft Learn mise à jour en 2026.",[52,91,92],{},"C'est rassurant, mais ça déplace le problème. Copilot interroge vos courriels, clavardages, réunions et documents au moyen de Microsoft Graph. Un fichier que tout le monde « pouvait » ouvrir, sans que personne le sache, devient un fichier que n'importe qui peut retrouver en une phrase.",[52,94,95],{},"Les sources habituelles de partage excessif dans une PME :",[67,97,98,101,104,107,110],{},[70,99,100],{},"des sites SharePoint ou des équipes Teams publics à l'interne ;",[70,102,103],{},"des fichiers partagés avec le groupe « Tout le monde, sauf les utilisateurs externes » ;",[70,105,106],{},"des liens de partage valables pour toute l'organisation, ou pour toute personne disposant du lien ;",[70,108,109],{},"des permissions modifiées dossier par dossier, que plus personne ne comprend ;",[70,111,112],{},"des sites sans propriétaire, créés pour un projet terminé.",[52,114,115],{},"Microsoft précise aussi que les invites, les réponses et les données consultées par Graph ne servent pas à entraîner les modèles de fondation. Le risque à gérer est donc surtout interne.",[83,117,119],{"id":118},"les-outils-de-microsoft-pour-trouver-et-contenir-le-partage-excessif","Les outils de Microsoft pour trouver et contenir le partage excessif",[52,121,122],{},"Microsoft regroupe ces outils dans la Gestion avancée de SharePoint (SharePoint Advanced Management), incluse avec la licence Microsoft Copilot : il suffit qu'un seul utilisateur de l'organisation ait une licence pour que les administrateurs SharePoint y aient accès (Microsoft Learn, 2026).",[124,125,126,142],"table",{},[127,128,129],"thead",{},[130,131,132,136,139],"tr",{},[133,134,135],"th",{},"Outil",[133,137,138],{},"Ce qu'il fait",[133,140,141],{},"À savoir",[143,144,145,157,168,179,190,201],"tbody",{},[130,146,147,151,154],{},[148,149,150],"td",{},"Rapports de gouvernance de l'accès aux données",[148,152,153],{},"Repèrent les sites aux permissions les plus larges, les liens de partage récents et le contenu partagé avec toute l'organisation",[148,155,156],{},"Microsoft recommande les rapports instantanés chaque trimestre et les rapports d'activité chaque mois",[130,158,159,162,165],{},[148,160,161],{},"Évaluation de la gestion de contenu",[148,163,164],{},"Rapport guidé : contenu potentiellement surpartagé, sites inactifs ou sans propriétaire",[148,166,167],{},"À relancer tous les 30 jours, selon Microsoft",[130,169,170,173,176],{},[148,171,172],{},"Révisions d'accès aux sites",[148,174,175],{},"Demandent aux propriétaires de sites de revoir leurs permissions",[148,177,178],{},"Utile quand l'informatique ne sait pas qui doit avoir accès",[130,180,181,184,187],{},[148,182,183],{},"Contrôle d'accès restreint",[148,185,186],{},"Limite un site à un groupe précis, même pour ceux qui avaient un lien",[148,188,189],{},"Pour la paie, les RH, les dossiers clients sensibles",[130,191,192,195,198],{},[148,193,194],{},"Découverte de contenu restreint",[148,196,197],{},"Retire un site des réponses de Copilot et de la recherche à l'échelle de l'organisation, sans changer les permissions",[148,199,200],{},"Contrôle temporaire ; ne s'applique pas à OneDrive",[130,202,203,206,209],{},[148,204,205],{},"Étiquettes de sensibilité (Microsoft Purview)",[148,207,208],{},"Chiffrent les documents sensibles ; Copilot respecte les droits d'usage accordés",[148,210,211],{},"Étiquetage manuel inclus dans Business Premium et E3 ; automatique avec E5 ou un module complémentaire",[52,213,214],{},"Attention à la découverte de contenu restreint : c'est un pansement, pas une guérison. Les personnes qui ont déjà accès peuvent toujours ouvrir les fichiers, et Microsoft met en garde contre un usage excessif, qui appauvrit les réponses de Copilot. Quant à la prévention des pertes de données (DLP) qui empêche Copilot de traiter certains fichiers et courriels, la description de service Microsoft Purview la réserve aux licences E5 et à certains modules complémentaires Purview.",[83,216,218],{"id":217},"les-8-étapes-avant-de-déployer-copilot","Les 8 étapes avant de déployer Copilot",[52,220,221],{},"Avant d'attribuer des licences à toute l'équipe, faites ces huit étapes dans l'ordre ; les premières ne coûtent rien.",[67,223,226,242,252,262,272,282,292,302],{"className":224},[225],"contains-task-list",[70,227,230,236,237,241],{"className":228},[229],"task-list-item",[231,232],"input",{"disabled":233,"type":234,"aria-label":235},true,"checkbox","1. Listez vos contenus sensibles : paie, RH, dossiers clients, soumissions, contrats, renseignements de santé. Notez où ils se trouvent."," ",[238,239,240],"strong",{},"1. Listez vos contenus sensibles"," : paie, RH, dossiers clients, soumissions, contrats, renseignements de santé. Notez où ils se trouvent.",[70,243,245,236,248,251],{"className":244},[229],[231,246],{"disabled":233,"type":234,"aria-label":247},"2. Resserrez le partage : Centre d'administration SharePoint, Stratégies, Partage. Lien par défaut limité à des personnes spécifiques, expiration des liens ouve",[238,249,250],{},"2. Resserrez le partage"," : Centre d'administration SharePoint, Stratégies, Partage. Lien par défaut limité à des personnes spécifiques, expiration des liens ouverts à tous, ou désactivation.",[70,253,255,236,258,261],{"className":254},[229],[231,256],{"disabled":233,"type":234,"aria-label":257},"3. Attribuez une première licence Copilot, à une seule personne : vos administrateurs SharePoint obtiennent alors les rapports. Lancez celui sur les permissions",[238,259,260],{},"3. Attribuez une première licence Copilot",", à une seule personne : vos administrateurs SharePoint obtiennent alors les rapports. Lancez celui sur les permissions des sites et celui sur le partage avec « Tout le monde, sauf les utilisateurs externes ».",[70,263,265,236,268,271],{"className":264},[229],[231,266],{"disabled":233,"type":234,"aria-label":267},"4. Nettoyez : retirez ce groupe et les liens organisationnels des sites sensibles ; lancez des révisions d'accès auprès des propriétaires.",[238,269,270],{},"4. Nettoyez"," : retirez ce groupe et les liens organisationnels des sites sensibles ; lancez des révisions d'accès auprès des propriétaires.",[70,273,275,236,278,281],{"className":274},[229],[231,276],{"disabled":233,"type":234,"aria-label":277},"5. Contenez : contrôle d'accès restreint pour les sites RH et finances ; découverte de contenu restreint, temporairement, pour les sites pas encore nettoyés.",[238,279,280],{},"5. Contenez"," : contrôle d'accès restreint pour les sites RH et finances ; découverte de contenu restreint, temporairement, pour les sites pas encore nettoyés.",[70,283,285,236,288,291],{"className":284},[229],[231,286],{"disabled":233,"type":234,"aria-label":287},"6. Étiquetez les fichiers les plus sensibles avec une étiquette qui chiffre le contenu.",[238,289,290],{},"6. Étiquetez"," les fichiers les plus sensibles avec une étiquette qui chiffre le contenu.",[70,293,295,236,298,301],{"className":294},[229],[231,296],{"disabled":233,"type":234,"aria-label":297},"7. Lancez un projet pilote de trois à cinq personnes et posez à Copilot les questions qui fâchent : salaires, évaluations, mises à pied, numéros d'assurance soc",[238,299,300],{},"7. Lancez un projet pilote"," de trois à cinq personnes et posez à Copilot les questions qui fâchent : salaires, évaluations, mises à pied, numéros d'assurance sociale, mots de passe.",[70,303,305,236,308,311],{"className":304},[229],[231,306],{"disabled":233,"type":234,"aria-label":307},"8. Encadrez l'usage : rétention et journalisation des interactions dans Microsoft Purview, courte formation, revue mensuelle des rapports.",[238,309,310],{},"8. Encadrez l'usage"," : rétention et journalisation des interactions dans Microsoft Purview, courte formation, revue mensuelle des rapports.",[52,313,314,315,320,321,325],{},"Notre article ",[316,317,319],"a",{"href":318},"\u002Fblogue\u002Faudit-securite-microsoft-365","Audit de sécurité Microsoft 365"," détaille les autres réglages à vérifier en même temps, et notre article sur l'",[316,322,324],{"href":323},"\u002Fblogue\u002Fia-generative-fuite-donnees-entreprise","IA générative et les fuites de données"," couvre la politique d'utilisation.",[327,328],"cta",{"variant":329},"audit",[83,331,333],{"id":332},"ce-que-la-loi-25-change-pour-un-déploiement-de-copilot","Ce que la Loi 25 change pour un déploiement de Copilot",[52,335,336],{},"La Loi 25 ne mentionne pas Copilot, mais son article 20 pose exactement la règle que le partage excessif enfreint : un renseignement personnel n'est accessible à un employé que s'il est nécessaire à l'exercice de ses fonctions.",[52,338,339],{},"Trois autres articles entrent en jeu :",[67,341,342,348,359],{},[70,343,344,347],{},[238,345,346],{},"Article 10"," : les mesures de sécurité doivent être raisonnables compte tenu de la sensibilité des renseignements, de leur quantité et de leur répartition. Un dossier de paie ouvert à tous l'est difficilement.",[70,349,350,353,354,358],{},[238,351,352],{},"Article 3.6"," : un accès non autorisé par la loi à un renseignement personnel est un incident de confidentialité. Si Copilot montre des renseignements personnels à un employé qui n'en a pas besoin, l'événement pourrait devoir être consigné dans votre ",[316,355,357],{"href":356},"\u002Fblogue\u002Fregistre-incidents-confidentialite-modele","registre des incidents"," et évalué quant au risque de préjudice sérieux.",[70,360,361,364],{},[238,362,363],{},"Article 3.3"," : un projet d'acquisition ou de refonte d'un système d'information impliquant des renseignements personnels exige une évaluation des facteurs relatifs à la vie privée (EFVP).",[52,366,367],{},"Microsoft indique aussi que, hors de l'Union européenne, les requêtes peuvent être traitées aux États-Unis, dans l'Union européenne ou dans d'autres régions, un élément à documenter au regard de l'article 17. Ces questions sont juridiques : validez votre analyse avec votre conseiller juridique.",[83,369,371],{"id":370},"après-le-déploiement-garder-le-contrôle","Après le déploiement : garder le contrôle",[52,373,374],{},"Le partage excessif revient dès que les gens recommencent à collaborer : planifiez une revue mensuelle des rapports d'activité et trimestrielle des rapports de permissions, comme le recommande Microsoft.",[52,376,377],{},"Quelques réflexes à garder :",[67,379,380,383,386,389],{},[70,381,382],{},"Retirez la découverte de contenu restreint d'un site dès qu'il est nettoyé.",[70,384,385],{},"Activez les stratégies de propriété de site et de sites inactifs, incluses avec la licence Copilot, pour éviter les sites orphelins.",[70,387,388],{},"Contrôlez les agents : dans le Centre d'administration Microsoft 365, les administrateurs choisissent quels agents sont autorisés dans l'organisation.",[70,390,391],{},"Revoyez les accès à chaque changement de poste : Copilot suit les permissions de la personne, pas son nouveau rôle.",[52,393,394,395,398],{},"Une PME de 30 employés n'a pas besoin d'une équipe de gouvernance pour y arriver. Elle a besoin d'une première passe sérieuse, puis d'une routine. Si vous voulez qu'un regard externe fasse cette première passe, notre ",[316,396,397],{"href":13},"audit Microsoft 365 et Google Workspace"," passe en revue le partage dans SharePoint, OneDrive et Teams, un bon point de départ avant Copilot.",[327,400],{"variant":401},"devis",{"title":403,"searchDepth":11,"depth":15,"links":404},"",[405,406,407,408,409],{"id":85,"depth":11,"text":86},{"id":118,"depth":11,"text":119},{"id":217,"depth":11,"text":218},{"id":332,"depth":11,"text":333},{"id":370,"depth":11,"text":371},"threats","2026-10-24","Copilot respecte vos permissions, même trop larges. Rapports SharePoint, découverte de contenu restreint, étiquettes, Loi 25 : 8 étapes avant de le déployer.","md",[415,418,421,424],{"q":416,"a":417},"Est-ce que Copilot peut voir tous les fichiers de l'entreprise ?","Non. Selon Microsoft, Copilot ne fait apparaître que les données auxquelles l'utilisateur a au moins un droit de consultation. Mais si un dossier de paie est partagé avec toute l'organisation, chaque employé y a droit, et Copilot peut le citer dans une réponse. Le vrai contrôle, ce sont donc vos permissions SharePoint, OneDrive et Teams.",{"q":419,"a":420},"Comment empêcher Copilot d'accéder à certains fichiers SharePoint ?","Corrigez d'abord les permissions trop larges. Ensuite, Microsoft propose le contrôle d'accès restreint, qui limite un site à un groupe précis, et la découverte de contenu restreint, qui retire temporairement un site des réponses de Copilot et de la recherche à l'échelle de l'organisation. Les étiquettes de sensibilité avec chiffrement limitent aussi ce que Copilot peut utiliser, selon les droits accordés à chaque personne.",{"q":422,"a":423},"Est-ce que Copilot utilise nos données pour entraîner son IA ?","Selon la documentation de Microsoft, les invites, les réponses et les données consultées par l'intermédiaire de Microsoft Graph ne servent pas à entraîner les grands modèles de langage de fondation, y compris ceux de Copilot. Les interactions sont stockées selon les engagements contractuels qui s'appliquent à vos autres contenus Microsoft 365. Le risque principal est donc interne : le partage excessif.",{"q":425,"a":426},"Faut-il faire une EFVP avant de déployer Copilot ?","C'est souvent le cas. La Loi 25 exige une évaluation des facteurs relatifs à la vie privée pour tout projet d'acquisition, de développement ou de refonte d'un système d'information impliquant des renseignements personnels (art. 3.3). Un assistant qui puise dans vos courriels et vos dossiers clients entre généralement dans cette définition. Consultez votre responsable de la protection des renseignements personnels dès le début, et validez avec votre conseiller juridique.","Copilot partage excessif",{},"\u002Fblogue\u002Fmicrosoft-copilot-partage-excessif-securite","---\ntitle: \"Microsoft Copilot : éviter le partage excessif avant de déployer\"\ndescription: \"Copilot respecte vos permissions, même trop larges. Rapports SharePoint, découverte de contenu restreint, étiquettes, Loi 25 : 8 étapes avant de le déployer.\"\ndate: 2026-10-24\ncategory: threats\ntags: [\"copilot\", \"microsoft 365\", \"sharepoint\", \"loi 25\", \"ia générative\"]\ntranslationKey: copilot-partage\nkeyword: \"Copilot partage excessif\"\nfaq:\n  - q: \"Est-ce que Copilot peut voir tous les fichiers de l'entreprise ?\"\n    a: \"Non. Selon Microsoft, Copilot ne fait apparaître que les données auxquelles l'utilisateur a au moins un droit de consultation. Mais si un dossier de paie est partagé avec toute l'organisation, chaque employé y a droit, et Copilot peut le citer dans une réponse. Le vrai contrôle, ce sont donc vos permissions SharePoint, OneDrive et Teams.\"\n  - q: \"Comment empêcher Copilot d'accéder à certains fichiers SharePoint ?\"\n    a: \"Corrigez d'abord les permissions trop larges. Ensuite, Microsoft propose le contrôle d'accès restreint, qui limite un site à un groupe précis, et la découverte de contenu restreint, qui retire temporairement un site des réponses de Copilot et de la recherche à l'échelle de l'organisation. Les étiquettes de sensibilité avec chiffrement limitent aussi ce que Copilot peut utiliser, selon les droits accordés à chaque personne.\"\n  - q: \"Est-ce que Copilot utilise nos données pour entraîner son IA ?\"\n    a: \"Selon la documentation de Microsoft, les invites, les réponses et les données consultées par l'intermédiaire de Microsoft Graph ne servent pas à entraîner les grands modèles de langage de fondation, y compris ceux de Copilot. Les interactions sont stockées selon les engagements contractuels qui s'appliquent à vos autres contenus Microsoft 365. Le risque principal est donc interne : le partage excessif.\"\n  - q: \"Faut-il faire une EFVP avant de déployer Copilot ?\"\n    a: \"C'est souvent le cas. La Loi 25 exige une évaluation des facteurs relatifs à la vie privée pour tout projet d'acquisition, de développement ou de refonte d'un système d'information impliquant des renseignements personnels (art. 3.3). Un assistant qui puise dans vos courriels et vos dossiers clients entre généralement dans cette définition. Consultez votre responsable de la protection des renseignements personnels dès le début, et validez avec votre conseiller juridique.\"\nsources:\n  - title: \"Microsoft Learn : Données, confidentialité et sécurité pour Microsoft Copilot\"\n    url: \"https:\u002F\u002Flearn.microsoft.com\u002Ffr-fr\u002Fmicrosoft-365\u002Fcopilot\u002Fmicrosoft-365-copilot-privacy\"\n  - title: \"Microsoft Learn : Préparez-vous pour Microsoft Copilot avec la gestion avancée de SharePoint\"\n    url: \"https:\u002F\u002Flearn.microsoft.com\u002Ffr-fr\u002Fmicrosoft-365\u002Fcopilot\u002Fget-ready-copilot-sharepoint-advanced-management\"\n  - title: \"Microsoft Learn : Fonctionnalités de Gestion avancée de SharePoint dans les licences Microsoft Copilot\"\n    url: \"https:\u002F\u002Flearn.microsoft.com\u002Ffr-fr\u002Fsharepoint\u002Fsharepoint-advanced-management-features-copilot-license\"\n  - title: \"Microsoft Learn : Restreindre la découverte des sites et du contenu SharePoint\"\n    url: \"https:\u002F\u002Flearn.microsoft.com\u002Ffr-fr\u002Fsharepoint\u002Frestricted-content-discovery\"\n  - title: \"Microsoft Learn : Rapports de gouvernance de l'accès aux données pour les sites SharePoint\"\n    url: \"https:\u002F\u002Flearn.microsoft.com\u002Ffr-fr\u002Fsharepoint\u002Fdata-access-governance-reports\"\n  - title: \"Microsoft Learn : Description du service Microsoft Purview (licences)\"\n    url: \"https:\u002F\u002Flearn.microsoft.com\u002Fen-us\u002Foffice365\u002Fservicedescriptions\u002Fmicrosoft-365-service-descriptions\u002Fmicrosoft-365-tenantlevel-services-licensing-guidance\u002Fmicrosoft-purview-service-description\"\n  - title: \"LégisQuébec : Loi sur la protection des renseignements personnels dans le secteur privé (RLRQ, c. P-39.1)\"\n    url: \"https:\u002F\u002Fwww.legisquebec.gouv.qc.ca\u002Ffr\u002Fdocument\u002Flc\u002FP-39.1\"\n---\n\nUne firme d'ingénierie de Trois-Rivières active Copilot pour ses douze gestionnaires. Une semaine plus tard, une chargée de projet lui demande de résumer « les derniers échanges sur la réorganisation ». La réponse cite un document des ressources humaines sur des mises à pied à venir.\n\nPersonne n'a piraté quoi que ce soit. Le document se trouvait dans un site SharePoint ouvert à toute l'organisation depuis deux ans. Avant Copilot, il fallait savoir qu'il existait pour tomber dessus. Maintenant, il suffit de poser la bonne question.\n\nC'est ça, le partage excessif : des accès trop larges qui dormaient, et qu'un assistant d'IA rend soudain visibles. La bonne nouvelle, c'est que Microsoft fournit les outils pour les trouver et les corriger avant le déploiement.\n\n::callout{type=\"tip\" title=\"En bref\"}\n- Copilot ne crée aucun nouvel accès : selon Microsoft, il ne montre que ce que l'utilisateur peut déjà consulter. Le risque, ce sont les permissions trop larges qui existent déjà.\n- Par défaut, SharePoint applique l'option de partage la plus permissive (Microsoft Learn, 2026) : resserrez-la en premier.\n- Dès qu'un seul utilisateur a une licence Microsoft Copilot, vos administrateurs ont accès aux outils de la Gestion avancée de SharePoint pour trouver et contenir le partage excessif.\n- Loi 25 : un employé qui accède à des renseignements personnels non nécessaires à ses fonctions, c'est un problème de conformité (art. 20).\n::\n\n## Pourquoi Copilot révèle le partage excessif\n\nMicrosoft Copilot (anciennement Microsoft 365 Copilot) ne fait apparaître que les données de l'organisation auxquelles chaque utilisateur a au moins un droit de consultation, selon la documentation de Microsoft Learn mise à jour en 2026.\n\nC'est rassurant, mais ça déplace le problème. Copilot interroge vos courriels, clavardages, réunions et documents au moyen de Microsoft Graph. Un fichier que tout le monde « pouvait » ouvrir, sans que personne le sache, devient un fichier que n'importe qui peut retrouver en une phrase.\n\nLes sources habituelles de partage excessif dans une PME :\n\n- des sites SharePoint ou des équipes Teams publics à l'interne ;\n- des fichiers partagés avec le groupe « Tout le monde, sauf les utilisateurs externes » ;\n- des liens de partage valables pour toute l'organisation, ou pour toute personne disposant du lien ;\n- des permissions modifiées dossier par dossier, que plus personne ne comprend ;\n- des sites sans propriétaire, créés pour un projet terminé.\n\nMicrosoft précise aussi que les invites, les réponses et les données consultées par Graph ne servent pas à entraîner les modèles de fondation. Le risque à gérer est donc surtout interne.\n\n## Les outils de Microsoft pour trouver et contenir le partage excessif\n\nMicrosoft regroupe ces outils dans la Gestion avancée de SharePoint (SharePoint Advanced Management), incluse avec la licence Microsoft Copilot : il suffit qu'un seul utilisateur de l'organisation ait une licence pour que les administrateurs SharePoint y aient accès (Microsoft Learn, 2026).\n\n| Outil | Ce qu'il fait | À savoir |\n|---|---|---|\n| Rapports de gouvernance de l'accès aux données | Repèrent les sites aux permissions les plus larges, les liens de partage récents et le contenu partagé avec toute l'organisation | Microsoft recommande les rapports instantanés chaque trimestre et les rapports d'activité chaque mois |\n| Évaluation de la gestion de contenu | Rapport guidé : contenu potentiellement surpartagé, sites inactifs ou sans propriétaire | À relancer tous les 30 jours, selon Microsoft |\n| Révisions d'accès aux sites | Demandent aux propriétaires de sites de revoir leurs permissions | Utile quand l'informatique ne sait pas qui doit avoir accès |\n| Contrôle d'accès restreint | Limite un site à un groupe précis, même pour ceux qui avaient un lien | Pour la paie, les RH, les dossiers clients sensibles |\n| Découverte de contenu restreint | Retire un site des réponses de Copilot et de la recherche à l'échelle de l'organisation, sans changer les permissions | Contrôle temporaire ; ne s'applique pas à OneDrive |\n| Étiquettes de sensibilité (Microsoft Purview) | Chiffrent les documents sensibles ; Copilot respecte les droits d'usage accordés | Étiquetage manuel inclus dans Business Premium et E3 ; automatique avec E5 ou un module complémentaire |\n\nAttention à la découverte de contenu restreint : c'est un pansement, pas une guérison. Les personnes qui ont déjà accès peuvent toujours ouvrir les fichiers, et Microsoft met en garde contre un usage excessif, qui appauvrit les réponses de Copilot. Quant à la prévention des pertes de données (DLP) qui empêche Copilot de traiter certains fichiers et courriels, la description de service Microsoft Purview la réserve aux licences E5 et à certains modules complémentaires Purview.\n\n## Les 8 étapes avant de déployer Copilot\n\nAvant d'attribuer des licences à toute l'équipe, faites ces huit étapes dans l'ordre ; les premières ne coûtent rien.\n\n- [ ] **1. Listez vos contenus sensibles** : paie, RH, dossiers clients, soumissions, contrats, renseignements de santé. Notez où ils se trouvent.\n- [ ] **2. Resserrez le partage** : Centre d'administration SharePoint, Stratégies, Partage. Lien par défaut limité à des personnes spécifiques, expiration des liens ouverts à tous, ou désactivation.\n- [ ] **3. Attribuez une première licence Copilot**, à une seule personne : vos administrateurs SharePoint obtiennent alors les rapports. Lancez celui sur les permissions des sites et celui sur le partage avec « Tout le monde, sauf les utilisateurs externes ».\n- [ ] **4. Nettoyez** : retirez ce groupe et les liens organisationnels des sites sensibles ; lancez des révisions d'accès auprès des propriétaires.\n- [ ] **5. Contenez** : contrôle d'accès restreint pour les sites RH et finances ; découverte de contenu restreint, temporairement, pour les sites pas encore nettoyés.\n- [ ] **6. Étiquetez** les fichiers les plus sensibles avec une étiquette qui chiffre le contenu.\n- [ ] **7. Lancez un projet pilote** de trois à cinq personnes et posez à Copilot les questions qui fâchent : salaires, évaluations, mises à pied, numéros d'assurance sociale, mots de passe.\n- [ ] **8. Encadrez l'usage** : rétention et journalisation des interactions dans Microsoft Purview, courte formation, revue mensuelle des rapports.\n\nNotre article [Audit de sécurité Microsoft 365](\u002Fblogue\u002Faudit-securite-microsoft-365) détaille les autres réglages à vérifier en même temps, et notre article sur l'[IA générative et les fuites de données](\u002Fblogue\u002Fia-generative-fuite-donnees-entreprise) couvre la politique d'utilisation.\n\n::cta{variant=\"audit\"}\n::\n\n## Ce que la Loi 25 change pour un déploiement de Copilot\n\nLa Loi 25 ne mentionne pas Copilot, mais son article 20 pose exactement la règle que le partage excessif enfreint : un renseignement personnel n'est accessible à un employé que s'il est nécessaire à l'exercice de ses fonctions.\n\nTrois autres articles entrent en jeu :\n\n- **Article 10** : les mesures de sécurité doivent être raisonnables compte tenu de la sensibilité des renseignements, de leur quantité et de leur répartition. Un dossier de paie ouvert à tous l'est difficilement.\n- **Article 3.6** : un accès non autorisé par la loi à un renseignement personnel est un incident de confidentialité. Si Copilot montre des renseignements personnels à un employé qui n'en a pas besoin, l'événement pourrait devoir être consigné dans votre [registre des incidents](\u002Fblogue\u002Fregistre-incidents-confidentialite-modele) et évalué quant au risque de préjudice sérieux.\n- **Article 3.3** : un projet d'acquisition ou de refonte d'un système d'information impliquant des renseignements personnels exige une évaluation des facteurs relatifs à la vie privée (EFVP).\n\nMicrosoft indique aussi que, hors de l'Union européenne, les requêtes peuvent être traitées aux États-Unis, dans l'Union européenne ou dans d'autres régions, un élément à documenter au regard de l'article 17. Ces questions sont juridiques : validez votre analyse avec votre conseiller juridique.\n\n## Après le déploiement : garder le contrôle\n\nLe partage excessif revient dès que les gens recommencent à collaborer : planifiez une revue mensuelle des rapports d'activité et trimestrielle des rapports de permissions, comme le recommande Microsoft.\n\nQuelques réflexes à garder :\n\n- Retirez la découverte de contenu restreint d'un site dès qu'il est nettoyé.\n- Activez les stratégies de propriété de site et de sites inactifs, incluses avec la licence Copilot, pour éviter les sites orphelins.\n- Contrôlez les agents : dans le Centre d'administration Microsoft 365, les administrateurs choisissent quels agents sont autorisés dans l'organisation.\n- Revoyez les accès à chaque changement de poste : Copilot suit les permissions de la personne, pas son nouveau rôle.\n\nUne PME de 30 employés n'a pas besoin d'une équipe de gouvernance pour y arriver. Elle a besoin d'une première passe sérieuse, puis d'une routine. Si vous voulez qu'un regard externe fasse cette première passe, notre [audit Microsoft 365 et Google Workspace](\u002Fservices\u002Faudit-microsoft-365-google-workspace) passe en revue le partage dans SharePoint, OneDrive et Teams, un bon point de départ avant Copilot.\n\n::cta{variant=\"devis\"}\n::\n",{"title":47,"description":412},[433,436,439,442,445,448,451],{"title":434,"url":435},"Microsoft Learn : Données, confidentialité et sécurité pour Microsoft Copilot","https:\u002F\u002Flearn.microsoft.com\u002Ffr-fr\u002Fmicrosoft-365\u002Fcopilot\u002Fmicrosoft-365-copilot-privacy",{"title":437,"url":438},"Microsoft Learn : Préparez-vous pour Microsoft Copilot avec la gestion avancée de SharePoint","https:\u002F\u002Flearn.microsoft.com\u002Ffr-fr\u002Fmicrosoft-365\u002Fcopilot\u002Fget-ready-copilot-sharepoint-advanced-management",{"title":440,"url":441},"Microsoft Learn : Fonctionnalités de Gestion avancée de SharePoint dans les licences Microsoft Copilot","https:\u002F\u002Flearn.microsoft.com\u002Ffr-fr\u002Fsharepoint\u002Fsharepoint-advanced-management-features-copilot-license",{"title":443,"url":444},"Microsoft Learn : Restreindre la découverte des sites et du contenu SharePoint","https:\u002F\u002Flearn.microsoft.com\u002Ffr-fr\u002Fsharepoint\u002Frestricted-content-discovery",{"title":446,"url":447},"Microsoft Learn : Rapports de gouvernance de l'accès aux données pour les sites SharePoint","https:\u002F\u002Flearn.microsoft.com\u002Ffr-fr\u002Fsharepoint\u002Fdata-access-governance-reports",{"title":449,"url":450},"Microsoft Learn : Description du service Microsoft Purview (licences)","https:\u002F\u002Flearn.microsoft.com\u002Fen-us\u002Foffice365\u002Fservicedescriptions\u002Fmicrosoft-365-service-descriptions\u002Fmicrosoft-365-tenantlevel-services-licensing-guidance\u002Fmicrosoft-purview-service-description",{"title":452,"url":453},"LégisQuébec : Loi sur la protection des renseignements personnels dans le secteur privé (RLRQ, c. P-39.1)","https:\u002F\u002Fwww.legisquebec.gouv.qc.ca\u002Ffr\u002Fdocument\u002Flc\u002FP-39.1","blogue\u002Fmicrosoft-copilot-partage-excessif-securite",[456,457,458,459,460],"copilot","microsoft 365","sharepoint","loi 25","ia générative","copilot-partage",null,"Eg3yHWs3BbkeZOfAMvVTnBje-NixBjNS7A7MgWT5gxU",{"path":465},"\u002Fen\u002Fblog\u002Fmicrosoft-copilot-oversharing-security",[467,472,479],{"path":323,"title":468,"description":469,"category":410,"minutes":27,"tags":470},"IA générative en entreprise : prévenir les fuites de données","ChatGPT, Copilot et Loi 25 : comment les fuites de données par l'IA générative se produisent vraiment et la politique d'utilisation à adopter dans votre PME.",[460,471,459,457],"fuite de données",{"path":473,"title":474,"description":475,"category":329,"minutes":23,"tags":476},"\u002Fblogue\u002Fdepart-employe-revocation-acces-checklist","Départ d'un employé : checklist de révocation des accès","Comptes, sessions, appareils, mots de passe partagés, fournisseurs : la checklist complète pour révoquer les accès d'un employé qui quitte votre PME.",[477,478,457,459],"départ employé","gestion des accès",{"path":480,"title":481,"description":482,"category":410,"minutes":27,"tags":483},"\u002Fblogue\u002Fauthentification-multifacteur-choisir-mfa","Authentification multifacteur : pourquoi le SMS ne suffit plus","Texto, notification, clé FIDO2 ou passkey : comparez les méthodes d'authentification multifacteur et choisissez celle qui résiste vraiment à l'hameçonnage.",[484,485,486,457],"mfa","authentification","hameçonnage",1792971361729]