Dans cet article
Une politique d’IA en entreprise se résume à trois décisions de direction : quels outils sont approuvés et avec quel compte, quelles données n’y entrent jamais, et qui voit quoi dans Microsoft 365 avant d’activer Copilot. Elles se prennent en une réunion, tiennent sur une page A4 et évitent la fuite de données la plus courante de 2026. Ce guide présente le bon ordre des étapes et ce que l’AI Act exige déjà des PME.
Le point de départ : l’IA est déjà sur vos ordinateurs
Selon le Data Breach Investigations Report 2026 de Verizon, 45 % des salariés utilisent déjà régulièrement l’IA sur des équipements de l’entreprise — contre 15 % l’année précédente. Et 67 % le font avec des comptes qui n’appartiennent pas à l’entreprise. L’IA fantôme, c’est-à-dire les outils utilisés sans approbation, est déjà la troisième action interne non malveillante la plus fréquente dans les relevés de fuites de données.
La conclusion pratique est qu’interdire ne fonctionne pas. Sans outil officiel ni règles claires, les gens se tournent vers leur compte personnel et l’entreprise ne sait plus ce qui sort.
Où se situe le risque, en deux scénarios
Scénario 1 — des données sensibles dans des comptes personnels
Personne n’agit de mauvaise foi : quelqu’un de la comptabilité colle un relevé pour le résumer, un commercial colle l’e-mail d’un client, les ressources humaines demandent de l’aide pour reformuler une évaluation.
Ce qui détermine le risque, ce sont les conditions d’utilisation. OpenAI indique que, dans les services destinés aux particuliers, le contenu des conversations peut servir à entraîner les modèles, sauf si l’utilisateur désactive cette option. Dans les offres entreprise et l’API, c’est l’inverse : par défaut, le contenu ne sert pas à l’entraînement. La différence tient à un compte de l’entreprise, géré par l’entreprise.
Une image utile : utiliser l’IA avec un compte personnel, c’est discuter d’un contrat à une terrasse bondée — vous ignorez qui écoute et ce qui est consigné. Le compte entreprise, c’est la salle de réunion, avec ses propres règles et un registre des entrées.
Scénario 2 — Copilot révèle des partages mal faits
Microsoft 365 Copilot ne contourne pas les autorisations. Microsoft indique qu’il ne présente que les données de l’organisation auxquelles l’utilisateur a déjà au moins un accès en lecture. C’est précisément là que réside le problème.
Lors des audits de DataRoad, on trouve fréquemment des partages oubliés : le dossier de la direction ouvert à tous, un lien « toute personne de l’organisation » créé il y a trois ans pour le fichier des salaires, un site SharePoint d’un ancien projet sans restriction. Jusqu’ici, personne ne s’en apercevait. Avec Copilot, il suffit de demander les salaires de l’équipe commerciale — et, si les autorisations le permettent, la réponse apparaît.
La bonne séquence consiste à revoir d’abord les autorisations dans SharePoint, OneDrive et Teams, puis seulement à activer Copilot auprès d’un groupe pilote. C’est une question de configuration de Microsoft 365 géré, pas d’achat.
La page de règles, prête à signer
La feuille doit être signée par la direction, pas par le service informatique.
| Règle | En pratique | Responsable |
|---|---|---|
| 1. Outils approuvés, compte de l’entreprise | Une courte liste d’outils autorisés ; pas de comptes personnels pour le travail. | Direction et IT |
| 2. Données interdites | Données personnelles des clients et collaborateurs, santé, salaires, mots de passe, contrats et propositions confidentiels. | Chaque utilisateur |
| 3. Autorisations avant Copilot | Revue des partages et des liens ouverts ; Copilot d’abord auprès d’un groupe pilote. | IT |
| 4. Validation humaine | L’IA prépare, une personne vérifie chiffres, noms et faits avant tout envoi à un client. | Managers |
| 5. Formation consignée | Une courte session pour tous, avec feuille de présence — la base de la maîtrise de l’IA. | Ressources humaines |
Ces règles s’ajoutent aux politiques internes de cybersécurité que toute entreprise de plus de 10 personnes devrait avoir par écrit.
Avant d’activer Copilot, vérifiez
- MFA Authentification multifacteur active sur tous les comptes.
- Anciens comptes Anciens collaborateurs supprimés et licences récupérées.
- Liens ouverts Partages « tout le monde » revus et, si possible, désactivés.
- Dossiers sensibles Direction, ressources humaines et finances réservés à ceux qui en ont besoin.
- Pilote Un groupe de 5 à 10 personnes et un délai d’évaluation.
Ce que l’AI Act exige déjà d’une PME
Le règlement européen sur l’intelligence artificielle — règlement (UE) 2024/1689 — est en vigueur depuis le 1er août 2024 et s’applique par étapes. Pour ceux qui utilisent ChatGPT ou Copilot au quotidien :
- 2 février 2025 Entrée en application des pratiques interdites et de l’article 4 : quiconque utilise l’IA doit s’assurer que son personnel dispose de connaissances suffisantes pour l’utiliser avec discernement.
- Juillet 2026 Le règlement (UE) 2026/1744, l’Omnibus numérique sur l’IA, a reporté les règles relatives au haut risque au 2 décembre 2027 (systèmes autonomes) et au 2 août 2028 (systèmes intégrés à des produits). L’obligation de maîtrise de l’IA a été maintenue.
- Haut risque Inclut le recrutement, la biométrie et les infrastructures critiques. Si vous utilisez l’IA pour trier des candidats, consultez votre avocat.
Pour ceux qui utilisent l’IA pour rédiger des e-mails, résumer des documents ou préparer des propositions, la loi n’exige pas de certification. Elle exige que les personnes connaissent l’outil, ses limites et les précautions à prendre avec les données, et que l’entreprise puisse le prouver. La règle 5 couvre ce point.
DataRoad ne fournit pas de conseil juridique. Elle met en œuvre la partie technique — comptes, autorisations et journaux — et aide à préparer la formation.
DataRoad IT Unlimited
Parlez à DataRoad. Nous évaluons votre activité et proposons l’offre adaptée.
Exemple : les mêmes règles dans trois bureaux
Velv by OnRising développe des logiciels depuis ses bureaux de Porto, Lisbonne et Rio de Janeiro et compte environ 200 postes sous contrat IT Unlimited avec DataRoad. Les clients internationaux représentent 45 % du portefeuille et le contrat inclut la gestion du pare-feu, la sécurité réseau et les politiques de protection.
Ici, savoir quelles données clients peuvent être confiées à un outil d’IA est une question quotidienne, et la réponse doit être identique dans les trois bureaux. C’est pourquoi les règles d’IA ne sont pas un projet à part : elles s’intègrent aux politiques existantes et sont appliquées par l’équipe qui gère déjà comptes, autorisations et équipements.
Trois actions pour cette semaine
- État des lieux — demandez à l’équipe quels outils d’IA elle utilise.
- Choix — définissez un outil officiel avec un compte entreprise.
- Revue — demandez un audit des autorisations avant tout pilote Copilot.
Si la MFA n’est pas encore en place, commencez par là — c’est la première étape du Zero Trust en quatre étapes pour les PME. Et n’oubliez pas que l’IA sert aussi les attaquants : préparez l’équipe contre le phishing et les deepfakes.
Questions fréquentes
Est-il pertinent d’interdire ChatGPT ?
Interdire sans alternative pousse les gens vers des comptes personnels, hors du contrôle de l’entreprise. Il est plus sûr d’approuver un outil avec un compte entreprise et de définir les données qui n’y entrent jamais.
Copilot peut-il montrer des fichiers à des personnes qui ne devraient pas les voir ?
Il ne montre que ce que la personne a déjà le droit de voir. S’il existe des dossiers partagés avec tout le monde ou d’anciens liens ouverts, Copilot rend cette erreur visible. D’où l’intérêt de revoir les autorisations avant de l’activer.
La maîtrise de l’IA s’applique-t-elle aussi aux petites entreprises ?
Oui. L’article 4 de l’AI Act s’applique depuis le 2 février 2025 à quiconque utilise l’IA à titre professionnel, quelle que soit sa taille. Une courte formation, des règles écrites et une feuille de présence sont un bon début ; pour l’interprétation juridique, adressez-vous à votre avocat.
Faut-il de nouvelles licences ?
Pas toujours. L’essentiel du travail consiste à configurer l’existant : MFA, autorisations et comptes entreprise sur les outils approuvés. Les licences Copilot prennent leur sens une fois cette base en place.
Autorisations revues et règles d’IA en 10 jours ouvrés
DataRoad revoit les partages de votre Microsoft 365, montre ce que Copilot exposerait et livre la page de règles prête à signer. La sécurité fait partie des offres IT Unlimited Premium, avec une cybersécurité gérée de bout en bout.
Plus de 10 postes · contrat d’assistance · support à distance, sur site et par téléphone. Demandez une proposition sans engagement.
Sources
- Verizon — 2026 Data Breach Investigations Report, Executive Summary
- Microsoft Learn — Données, confidentialité et sécurité de Microsoft 365 Copilot
- OpenAI — How your data is used to improve model performance
- EUR-Lex — Règlement (UE) 2024/1689 (règlement sur l’intelligence artificielle)
- EUR-Lex — Règlement (UE) 2026/1744 (Omnibus numérique sur l’IA)
- Commission européenne — Accord pour simplifier les règles en matière d’IA
