Il y a une chose que les plaquettes Copilot ne disent jamais clairement : Copilot ne crée aucun droit d’accès, mais il exploite à fond ceux qui existent. Il cherche, résume et restitue tout ce à quoi l’utilisateur a accès. Tout. Y compris ce à quoi il a accès sans le savoir, sans le vouloir, ou sans que personne ne s’en souvienne.
Et c’est là que les choses deviennent intéressantes. Avant Copilot, un fichier mal partagé restait invisible tant que personne ne le cherchait : le classeur des salaires posé dans le mauvais dossier SharePoint en 2022 dormait tranquillement, protégé par l’obscurité. Avec Copilot, il suffit qu’un collaborateur demande « quelle est la grille de salaires chez nous ? » pour que l’IA, serviable, aille le trouver et réponde. Elle n’a rien piraté : elle a utilisé un droit d’accès qui existait déjà. Elle a juste supprimé l’obscurité.
C’est pour ça qu’on dit à nos clients que Copilot est le meilleur auditeur de permissions jamais inventé. Le problème, c’est qu’il fait cet audit en production, devant vos collaborateurs. Mieux vaut le faire avant lui.
Aucune entreprise ne décide de mal partager ses fichiers. Ça se construit tout seul, par sédimentation.
Un dossier partagé « à toute l’entreprise » un jour de rush parce que c’était plus rapide que de choisir les bonnes personnes. Un lien de partage « toute personne disposant du lien » envoyé pour un fichier, qui en réalité ouvre le dossier entier. Une équipe Teams créée pour un projet sensible, où on a ajouté des membres sans jamais en retirer. Un héritage de permissions SharePoint que plus personne ne comprend, posé par un prestataire parti depuis longtemps. Et les fameux « accès temporaires » accordés pour dépanner, devenus permanents par oubli.
Chaque cas est anodin. Accumulés sur des années, ils forment ce que Microsoft appelle l’oversharing : un environnement où beaucoup de gens ont accès à beaucoup plus de choses que ce que tout le monde imagine. Sans IA, ça ne se voyait pas. Avec l’IA, ça se voit à la première question mal placée.
Soyons précis, parce que c’est là que le sujet cesse d’être théorique. Selon ce qui traîne dans vos partages, une simple question à Copilot peut faire remonter : des éléments de rémunération (le fichier de préparation des augmentations, l’export de paie), des documents RH individuels (comptes rendus d’entretien, courriers disciplinaires), des données commerciales sensibles (la vraie grille de remises, les marges par client), des documents de direction (le projet de réorganisation, les minutes du comité stratégique), ou des données clients qui relèvent du RGPD.
Le point important : dans tous ces cas, la personne qui pose la question ne fait rien de mal. Elle utilise l’outil qu’on lui a donné. La responsabilité est en amont, dans la gouvernance des accès. Et côté RGPD, un salarié qui accède à des données personnelles qu’il n’avait pas à connaître, c’est un incident, que ce soit via Copilot ou via l’explorateur de fichiers.
La bonne nouvelle : tout se vérifie avec les outils déjà inclus dans Microsoft 365, et l’essentiel tient en quatre chantiers.
D’abord, traiter les partages les plus larges, qui sont les plus dangereux. Dans le centre d’administration SharePoint, les rapports de gouvernance des accès aux données identifient les sites accessibles à « tout le monde » et les liens « toute l’entreprise ». C’est là que vivent les classeurs de salaires égarés. Commencez par les sites qui contiennent des données RH, financières ou de direction : ce sont eux qui font mal.
Ensuite, restreindre avant de trier. Vous n’assainirez pas dix ans de partages en une semaine, et ce n’est pas nécessaire : Microsoft fournit des mécanismes pour restreindre la recherche et l’accès de Copilot sur des sites sensibles le temps de faire le ménage. On coupe d’abord l’exposition, on range ensuite.
Puis, étiqueter ce qui est sensible. Les étiquettes de confidentialité (via Purview) marquent les documents RH, financiers ou stratégiques : Copilot respecte ces étiquettes et leurs restrictions. C’est le mécanisme durable, celui qui protège aussi les documents qui seront créés demain.
Enfin, remettre de l’ordre dans les appartenances : les équipes Teams aux membres périmés, les invités externes oubliés, les accès des anciens collaborateurs. Un droit d’accès n’est jamais neutre : chaque membre en trop est une surface d’exposition en plus, avec ou sans IA.
On va être honnête : ce chantier, les entreprises le repoussent depuis des années parce que rien ne les y obligeait. Copilot crée l’obligation, et c’est plutôt une bonne nouvelle. Le déploiement de l’IA est le meilleur prétexte jamais trouvé pour faire enfin le ménage dans les accès : le budget existe, la direction est attentive, et le bénéfice est double : un déploiement Copilot serein ET un environnement plus sain pour tout le reste.
L’ordre des opérations compte : les vérifications d’accès se font AVANT d’élargir le déploiement, pas après le premier incident. Un pilote Copilot sur un petit groupe, avec des accès vérifiés, vaut mieux qu’une ouverture générale suivie d’une cellule de crise.
C’est exactement ce qu’on vérifie dans nos audits d’environnement Microsoft 365 : les partages trop larges, les sites exposés, les appartenances périmées, les accès résiduels. On vous remet la liste précise de ce qui est ouvert, priorisée par sensibilité, et on ferme avec vous avant que Copilot ne pose les questions.
Vous cherchez un partenaire de confiance pour réussir votre projet digital ?
Faites appel à un Prestataire Microsoft 365 comme Manelto, et donnez un nouvel élan à votre stratégie d’entreprise !
