Le 14 septembre 2026, Microsoft a ajouté au Centre d’administration Microsoft 365, la console où les administrateurs d’une organisation gèrent ses comptes, un paramètre intitulé « Stocker les données client Microsoft 365 dans le pays », dont la sélection enregistrée devient effective le 14 décembre 2026. Il s’adresse aux organisations éligibles dont le compte Microsoft 365 est rattaché à la France, à l’Allemagne, à la Norvège, à la Suède ou à la Suisse, et détermine où sont conservées les données des services suivants :
Activé, le paramètre conduit Microsoft à conserver ces données au repos en Suisse. Désactivé, il permet à Microsoft de les stocker au niveau régional, dans la limite de données de l’UE : les pays de l’Union européenne et de l’Association européenne de libre-échange – l’AELE – où Microsoft s’engage à stocker et à traiter les données de ses clients. Dès le 14 décembre, Microsoft peut commencer à déplacer les données des organisations restées en position désactivée, sans tout déplacer ce jour-là.
Le paramètre est désactivé par défaut pour les comptes créés après le 14 septembre. Microsoft renvoie les organisations plus anciennes au Centre de messages, le tableau d’avis du Centre d’administration, pour leur configuration de départ. Réactiver le paramètre après le déplacement déclenche un rapatriement qui peut prendre environ six mois. Les organisations restées hors de l’ancien programme de migration de Microsoft peuvent ne pas être éligibles. Les organisations abonnées aux offres payantes Advanced Data Residency ou Multi-Geo ne voient pas ce paramètre : ces offres régissent déjà leurs données.
Le paramètre régit le stockage. Le traitement, c’est-à-dire le moment où Copilot lit une requête et rédige une réponse, relève d’un autre engagement. En novembre 2025, Microsoft annonçait pour la Suisse un traitement Copilot dans le pays en 2026 ; sa mise à jour du 3 avril 2026, publiée en anglais, prévoit pour les pays de l’UE et de l’AELE un traitement local au niveau régional, en cohérence avec ses engagements liés à la limite de données de l’UE. Une organisation suisse qui active le paramètre conserve en Suisse les données que Copilot stocke, tandis que chaque requête peut être traitée ailleurs dans la limite. Microsoft exclut de cette limite les modèles d’Anthropic, entreprise d’IA à laquelle il recourt comme sous-traitant, et les laisse désactivés par défaut pour les organisations suisses.
L’Autorité fédérale de surveillance des marchés financiers, la FINMA, admet l’externalisation à l’étranger sous conditions. Sa circulaire 2018/3 « Outsourcing », en vigueur depuis le 1er avril 2018, est neutre à l’égard de la technologie. Elle exige que les risques plus élevés liés aux externalisations à l’étranger soient pris en compte de manière appropriée ; la capacité d’assainissement et de liquidation de l’entreprise en Suisse doit en particulier être garantie. Pour les données personnelles, l’annexe 1 de l’ordonnance sur la protection des données range déjà les autres pays de la limite parmi les États qui garantissent un niveau de protection adéquat.
Une position que personne n’a prise se défend moins bien : le 14 décembre, la sélection enregistrée s’applique, et rapatrier ensuite les données peut prendre environ six mois. La décision revient aux personnes qui répondent de l’accord d’externalisation, motifs consignés.
Inscrivez ce point à votre ordre du jour, nous pouvons vous aider à y parvenir.