Préparer Microsoft 365 Copilot : surpartage, étiquettes, licences et adoption

Votre direction veut tester l’IA générative, quelques collaborateurs utilisent déjà Copilot Chat, et la question arrive sur votre bureau : faut-il acheter des licences Microsoft 365 Copilot ? Avant de signer, il faut préparer Microsoft 365 Copilot dans votre environnement. L’outil ne crée pas de nouveaux droits d’accès, mais il rend visibles, en quelques secondes, des documents que personne n’aurait retrouvés par hasard. Si vos partages SharePoint, OneDrive et Teams sont trop ouverts, Copilot le révélera. Voici une démarche concrète pour un DSI ou un dirigeant de PME-ETI : principe, checklist, outils Microsoft et erreurs à éviter.

Le principe : Copilot voit ce que l’utilisateur peut déjà voir

Microsoft le précise dans sa documentation : Copilot ne présente que les données de l’organisation auxquelles l’utilisateur a au moins un droit de lecture. Il s’appuie sur le même modèle de permissions que SharePoint, OneDrive, Exchange et Teams. L’index sémantique respecte cette frontière d’identité.

C’est rassurant, mais cela déplace le risque. Un fichier salaires déposé dans un site d’équipe ouvert à « Tout le monde sauf les utilisateurs externes », un lien de partage valable pour toute l’organisation, une équipe Teams publique créée il y a cinq ans : tout cela était techniquement accessible, mais peu visible. Avec Copilot, une simple question en langage naturel suffit pour le faire remonter. C’est ce qu’on appelle le surpartage.

Checklist pour préparer Microsoft 365 Copilot

1. Vérifier les licences et prérequis

Microsoft 365 Copilot s’ajoute à une licence de base éligible. La liste publiée par Microsoft couvre notamment Microsoft 365 E3 et E5, Business Basic, Standard et Premium, Office 365 E1, E3 et E5, ainsi que plusieurs plans Exchange, SharePoint et Teams. Une offre dédiée aux PME (jusqu’à 300 utilisateurs) existe aussi. Cette liste évolue régulièrement : consultez la page officielle des options de licence avant toute commande.

• Recensez vos licences actuelles et repérez les utilisateurs déjà éligibles.
• Vérifiez les prérequis techniques : comptes Microsoft Entra ID, boîtes Exchange Online, OneDrive provisionné, applications Microsoft 365 à jour sur un canal pris en charge.
• Évitez d’acheter en masse : un parc de licences mal ciblé est une dépense récurrente difficile à justifier. Notre accompagnement en optimisation des licences Microsoft 365 aide à dimensionner au plus juste.

2. Sécuriser les identités et l’accès conditionnel

Un compte compromis équipé de Copilot permet à un attaquant d’interroger rapidement tout ce que la victime peut lire. Avant le déploiement :

• Imposez l’authentification multifacteur à tous les comptes, en priorité aux administrateurs.
• Mettez en place des stratégies d’accès conditionnel (appareil conforme ou géré, blocage des protocoles d’authentification hérités, contrôle des connexions à risque selon vos licences).
• Nettoyez les comptes inactifs, les comptes de service et les invités oubliés.

3. Auditer le partage SharePoint, OneDrive et Teams

C’est l’étape la plus longue et la plus utile. Concentrez-vous sur :

• Les liens de partage « Toute personne disposant du lien » et « Personnes de votre organisation ».
• Les sites et équipes Teams publics, et les sites où le groupe « Tout le monde sauf les utilisateurs externes » a des droits.
• Les sites sans propriétaire actif ou inactifs depuis longtemps.
• Les bibliothèques sensibles : RH, finance, direction, juridique, données de santé.
• Le paramétrage par défaut des liens de partage au niveau du tenant, à resserrer si nécessaire.

Notre plateforme BHOLE, utilisée pour nos audits de sécurité Microsoft 365, sert justement à objectiver ces écarts avant un projet Copilot.

4. Utiliser les outils Microsoft prévus pour le surpartage

SharePoint Advanced Management (SAM). Selon Microsoft, dès qu’au moins une licence Microsoft 365 Copilot est attribuée dans le tenant, les administrateurs SharePoint accèdent à la plupart des fonctions SAM : rapports de gouvernance des accès aux données (liens de partage, groupe « Tout le monde sauf les utilisateurs externes », état des permissions), revues d’accès déléguées aux propriétaires de sites, politiques de sites inactifs et de propriété, contrôle d’accès restreint aux sites.

Restricted Content Discovery (découverte de contenu restreinte). Ce réglage par site exclut le contenu d’un site de la recherche à l’échelle de l’organisation et des réponses de Copilot. Attention : il ne modifie pas les permissions. Un utilisateur qui a accès au site peut toujours ouvrir les fichiers. C’est une mesure temporaire, à réserver aux sites à risque le temps de corriger les droits.

Restricted SharePoint Search. Cette liste blanche de sites était une solution d’attente. Microsoft l’a mise en retrait : depuis le 31 juillet 2026, toute nouvelle activation est bloquée. Microsoft recommande désormais Restricted Content Discovery.

Microsoft Purview DSPM. La gestion de la posture de sécurité des données (Data Security Posture Management) propose des évaluations de surpartage, des recommandations et des stratégies préconfigurées pour suivre les usages de l’IA. Microsoft fait évoluer cette solution : l’ancienne version « DSPM for AI » est désormais présentée comme « classique ». Vérifiez dans votre portail Purview quelle version est disponible et quelles licences elle requiert.

Étiquettes de confidentialité et DLP. Les étiquettes de confidentialité (sensitivity labels) classent les documents et peuvent chiffrer les plus sensibles. Une stratégie de prévention des pertes de données (DLP) ciblant Microsoft 365 Copilot peut empêcher Copilot de traiter le contenu des fichiers et e-mails portant certaines étiquettes. D’autres options, comme le blocage des invites contenant des données sensibles, étaient encore en préversion à l’automne 2026. Les fonctions avancées (étiquetage automatique notamment) dépendent de vos licences Purview : à valider au cas par cas. Voir notre page expert Microsoft Purview.

5. Distinguer Copilot Chat et Microsoft 365 Copilot

Les deux noms se ressemblent, l’usage diffère :

• Copilot Chat est inclus avec les licences Microsoft 365 éligibles. Il répond surtout à partir du web et des contenus fournis par l’utilisateur (texte collé, fichier téléversé), avec la protection des données d’entreprise pour les comptes professionnels. Son accès aux données de l’organisation reste limité.
• Microsoft 365 Copilot (licence complémentaire) exploite l’ensemble des contenus accessibles à l’utilisateur : e-mails, réunions, conversations, documents, sites. Il s’intègre à Word, Excel, PowerPoint, Outlook et Teams.

Copilot Chat est un bon point de départ pour acculturer les équipes sans exposer tout le patrimoine documentaire. Les agents, notamment ceux créés avec Copilot Studio, peuvent toutefois accéder à des données internes : ils doivent entrer dans votre gouvernance. Nos consultants Copilot Studio peuvent vous aider à les cadrer.

6. Lancer un pilote sur un groupe restreint

1. Choisissez 10 à 30 utilisateurs issus de plusieurs métiers, avec des cas d’usage précis (synthèse de réunions, rédaction, analyse de données).
2. Vérifiez en priorité les droits des sites auxquels ce groupe accède.
3. Testez volontairement des requêtes sensibles (« montre-moi les salaires », « contrats en cours de négociation ») pour détecter le surpartage résiduel.
4. Fixez une durée (six à huit semaines) et des critères de décision avant d’élargir.

7. Mesurer l’usage

Le centre d’administration Microsoft 365 propose des rapports de préparation et d’utilisation de Copilot : utilisateurs actifs, applications utilisées, tendance. Croisez ces chiffres avec un retour qualitatif des pilotes. Une licence peu utilisée après quelques semaines est un signal : manque de formation, cas d’usage flou ou utilisateur mal ciblé.

8. Former les utilisateurs

L’adoption ne vient pas toute seule. Prévoyez des sessions courtes par métier, des exemples d’invites adaptés, et des règles claires : vérifier les réponses, ne pas coller de données sensibles dans des outils non autorisés, signaler un document visible à tort. Nos modules de formation Microsoft 365 sur mesure peuvent compléter vos actions internes.

Les erreurs fréquentes lors d’un déploiement Microsoft 365 Copilot

• Acheter les licences avant l’audit. Le surpartage découvert après coup oblige à geler le déploiement.
• Confondre visibilité et sécurité. Masquer un site à Copilot ne retire pas les accès. Il faut corriger les permissions.
• Tout étiqueter d’un coup. Une taxonomie de dix étiquettes que personne ne comprend sera mal appliquée. Commencez par trois ou quatre niveaux.
• Oublier Teams et les invités. Canaux partagés, équipes publiques et comptes externes font partie du périmètre.
• Négliger la formation. Sans accompagnement, l’usage reste anecdotique et le retour sur investissement aussi.
• Ignorer les agents. Un agent publié sans contrôle peut élargir l’accès à des données internes.

Quand faire appel à un expert

Un regard extérieur est utile si :

• votre tenant a plusieurs années d’historique et personne ne maîtrise l’ensemble des partages ;
• vous manipulez des données réglementées (santé, juridique, RH, M&A) ;
• vous hésitez entre plusieurs niveaux de licences Microsoft 365 et Purview ;
• votre équipe IT n’a pas le temps de mener l’audit, la remédiation et le pilote en parallèle.

NINA Technologies intervient à la demande, avec des experts Microsoft de niveaux 2 et 3, facturés au temps réellement passé. Découvrez notre accompagnement au déploiement de Microsoft 365 Copilot.

Conclusion

Préparer Microsoft 365 Copilot, c’est avant tout remettre de l’ordre dans les accès : licences adaptées, identités protégées, partages maîtrisés, données classées, puis pilote mesuré et utilisateurs formés. Ce travail profite à toute votre sécurité Microsoft 365, avec ou sans IA. Pour faire le point sur votre situation, contactez nos experts.