Microsoft a fait passer Copilot de la suggestion à l’action. Au cours de l’année 2026, des agents dédiés à Word, Excel et PowerPoint sont apparus dans Copilot Chat, chacun capable de transformer une demande formulée en langage courant en un document abouti, une feuille de calcul opérationnelle ou une présentation complète. La version intégrée aux applications, Agent Mode, est passée en disponibilité générale le 22 avril 2026, et un agent Planner a rejoint l’ensemble.
Le gain de productivité est évident. Dans une entreprise réglementée, la question qui mérite l’attention est celle de la gouvernance : ce que ces agents sont autorisés à consulter, et votre capacité à démontrer, sur demande, que ces limites tiennent.
Pour produire un résultat utile, un agent parcourt l’environnement Microsoft 365 de votre organisation. Microsoft indique explicitement que Copilot et ses agents peuvent accéder aux boîtes aux lettres Exchange Online, aux sites SharePoint et aux fichiers OneDrive que l’utilisateur a déjà le droit d’ouvrir. Cet accès passe par Microsoft Graph, la brique de Microsoft 365 qui relie Copilot aux données de l’organisation en appliquant les autorisations de l’utilisateur : un agent ne peut ouvrir que ce que cette personne pouvait déjà ouvrir. Les fichiers créés dans OneDrive héritent des règles de conservation et des étiquettes de confidentialité.
Un agent n’élargit donc pas ce que chacun peut voir. Ce qu’il change, c’est la vitesse et la portée : l’accès dont une personne dispose déjà devient un fichier abouti et partageable en quelques secondes plutôt qu’en quelques heures. C’est ce basculement qu’il faut encadrer.
Deux dispositifs assurent l’essentiel, et tous deux sont déjà disponibles. Microsoft Purview peut analyser une consigne au moment où elle est saisie et, lorsqu’il y détecte des informations sensibles définies au préalable, telles que des numéros de compte ou des termes de projet signalés, en empêcher le traitement : aucune réponse n’est générée et aucune de vos données n’est lue pour y répondre. Ce contrôle s’applique aux agents prédéfinis comme à la conversation. Le second s’appuie sur les étiquettes de confidentialité : une stratégie peut empêcher Copilot d’exploiter les fichiers étiquetés, de sorte qu’un document classé confidentiel reste hors de portée d’un agent.
Aucun de ces dispositifs ne se configure seul. Chacun repose sur un étiquetage exact et cohérent, et sur une stratégie que quelqu’un a rédigée, délimitée et testée.
Pour un responsable de la conformité, la limite compte moins que la preuve de cette limite. Un régulateur ou un auditeur qui demande comment sont protégées les données des clients attend davantage que l’assurance que Copilot a été configuré avec discernement. Ces dispositifs apportent cette preuve : une stratégie Purview est une règle écrite et vérifiable, et les étiquettes de confidentialité sur lesquelles elle s’appuie sont visibles et reportables. La position fragile est celle d’un dispositif que personne ne peut montrer.
C’est là qu’il faut regarder. La fonctionnalité est déjà présente dans l’environnement Microsoft 365, ouverte dès qu’un administrateur l’active, aux utilisateurs titulaires ou non d’une licence. Pour une entreprise réglementée qui détient des données de clients et des données sensibles, le test est plus simple que la technologie. Pouvez-vous dire, aujourd’hui, à quelles données vos agents Copilot sont autorisés à accéder, et qui a fixé cette limite ?
Pour les clients de Penta, ces dispositifs – protection contre la perte de données au niveau des consignes, restriction fondée sur les étiquettes et l’étiquetage qui les sous-tend – sont configurés, administrés et documentés dans le cadre du service. Aucune action n’est requise. Pour les autres, la question demeure : si vous ne pouvez pas nommer la personne qui a fixé ces limites dans votre environnement, c’est précisément la lacune que nous comblons.
Références