Données Microsoft 365 en Suisse : le choix du stockage dans le pays prend effet le 14 décembre
Le paramètre détermine où sont stockés les courriels, les fichiers, les conversations Teams et les données de Copilot ; le traitement des requêtes Copilot relève d’un engagement régional distinct. Pour les banques et les assureurs suisses, ce choix a sa place dans le dossier d’externalisation.
Le 14 septembre 2026, Microsoft a ajouté au Centre d’administration Microsoft 365, la console où les administrateurs d’une organisation gèrent ses comptes, un paramètre intitulé « Stocker les données client Microsoft 365 dans le pays », dont la sélection enregistrée devient effective le 14 décembre 2026. Il s’adresse aux organisations éligibles dont le compte Microsoft 365 est rattaché à la France, à l’Allemagne, à la Norvège, à la Suède ou à la Suisse, et détermine où sont conservées les données des services suivants :
Exchange Online, qui héberge la messagerie et les calendriers ;
SharePoint et OneDrive, qui hébergent les documents ;
Microsoft Teams, le service de conversation et de réunion de Microsoft ;
Microsoft Copilot et Microsoft Copilot Chat, les assistants d’IA intégrés à Microsoft 365.
Activé, le paramètre conduit Microsoft à conserver ces données au repos en Suisse. Désactivé, il permet à Microsoft de les stocker au niveau régional, dans la limite de données de l’UE : les pays de l’Union européenne et de l’Association européenne de libre-échange – l’AELE – où Microsoft s’engage à stocker et à traiter les données de ses clients. Dès le 14 décembre, Microsoft peut commencer à déplacer les données des organisations restées en position désactivée, sans tout déplacer ce jour-là.
Le paramètre est désactivé par défaut pour les comptes créés après le 14 septembre. Microsoft renvoie les organisations plus anciennes au Centre de messages, le tableau d’avis du Centre d’administration, pour leur configuration de départ. Réactiver le paramètre après le déplacement déclenche un rapatriement qui peut prendre environ six mois. Les organisations restées hors de l’ancien programme de migration de Microsoft peuvent ne pas être éligibles. Les organisations abonnées aux offres payantes Advanced Data Residency ou Multi-Geo ne voient pas ce paramètre : ces offres régissent déjà leurs données.
Copilot stocke ses données selon le paramètre et les traite au niveau régional
Le paramètre régit le stockage. Le traitement, c’est-à-dire le moment où Copilot lit une requête et rédige une réponse, relève d’un autre engagement. En novembre 2025, Microsoft annonçait pour la Suisse un traitement Copilot dans le pays en 2026 ; sa mise à jour du 3 avril 2026, publiée en anglais, prévoit pour les pays de l’UE et de l’AELE un traitement local au niveau régional, en cohérence avec ses engagements liés à la limite de données de l’UE. Une organisation suisse qui active le paramètre conserve en Suisse les données que Copilot stocke, tandis que chaque requête peut être traitée ailleurs dans la limite. Microsoft exclut de cette limite les modèles d’Anthropic, entreprise d’IA à laquelle il recourt comme sous-traitant, et les laisse désactivés par défaut pour les organisations suisses.
Les banques et les assureurs devraient consigner ce choix comme une décision d’externalisation
L’Autorité fédérale de surveillance des marchés financiers, la FINMA, admet l’externalisation à l’étranger sous conditions. Sa circulaire 2018/3 « Outsourcing », en vigueur depuis le 1er avril 2018, est neutre à l’égard de la technologie. Elle exige que les risques plus élevés liés aux externalisations à l’étranger soient pris en compte de manière appropriée ; la capacité d’assainissement et de liquidation de l’entreprise en Suisse doit en particulier être garantie. Pour les données personnelles, l’annexe 1 de l’ordonnance sur la protection des données range déjà les autres pays de la limite parmi les États qui garantissent un niveau de protection adéquat.
«
Une position que personne n’a prise se défend moins bien.
Une position que personne n’a prise se défend moins bien : le 14 décembre, la sélection enregistrée s’applique, et rapatrier ensuite les données peut prendre environ six mois. La décision revient aux personnes qui répondent de l’accord d’externalisation, motifs consignés.
Inscrivez ce point à votre ordre du jour, nous pouvons vous aider à y parvenir.
FINMA (2017) Circulaire 2018/3 « Outsourcing ». Circulaire du 21 septembre 2017, en vigueur depuis le 1er avril 2018, dernière modification le 4 novembre 2020. Consulté le 15 octobre 2026.
FINMA (2017) La FINMA publie la circulaire sur l’outsourcing. Communiqué de presse sur la circulaire 2018/3 « Outsourcing – banques et assureurs », 5 décembre 2017. Consulté le 14 octobre 2026.
Senior Consultant, IT Governance and Operational Resilience
Peter Philp est consultant senior chez Penta IT Services, spécialisé en gouvernance informatique, gestion des services et résilience opérationnelle pour les institutions réglementées. Ancien responsable des opérations de delivery chez Penta, il apporte plus de vingt ans d’expérience en leadership, reliant technologie, gouvernance et facteurs humains dans la mise en place d’infrastructures numériques sécurisées et conformes.
