Révisé le
À quels renseignements Microsoft 365 Copilot peut-il accéder?
Microsoft 365 Copilot peut faciliter la recherche de renseignements. C’est utile lorsque les autorisations correspondent aux responsabilités de chacun. C’est plus préoccupant lorsque d’anciens sites de projet, des groupes trop larges ou des liens de partage rendent accessibles des documents qui ne devraient pas l’être. Commencez par examiner les accès que le personnel possède déjà. Activer un assistant d’IA ne corrige pas automatiquement ces accès et ne signifie pas non plus qu’il les contourne.
Préciser le produit et le compte examinés
Cet article porte sur Microsoft 365 Copilot et le contenu de travail auquel il est connecté. N’appliquez pas automatiquement les mêmes conclusions à un compte Copilot personnel, à un autre service d’IA ou à tous les agents et connecteurs. Avant l’examen, notez le produit, la licence, le compte, les sources de données connectées et les fonctions activées.
La documentation de Microsoft sur la confidentialité et la sécurité indique que Microsoft 365 Copilot ne présente que les données de l’organisation pour lesquelles l’utilisateur dispose au moins d’une autorisation de lecture. Elle précise également que les requêtes, les réponses et les données consultées par Microsoft Graph ne servent pas à entraîner les modèles de fondation. Cela ne veut pas dire que les requêtes ne sont jamais conservées, que chaque employé devrait avoir accès à chaque fichier ou que les connexions à des tiers sont soumises aux mêmes conditions.
Repérer le partage trop large qui existe déjà
Choisissez quelques sites dont les responsables sont clairement identifiés : travail client, finances, ressources humaines et projet d’équipe courant. Demandez à chaque responsable qui devrait y avoir accès, puis comparez sa réponse aux autorisations réelles. Vérifiez notamment :
- Les membres des sites et des groupes, y compris les groupes ouverts à toute l’organisation.
- Les accès directs aux fichiers et aux dossiers, les liens de partage et les invités externes.
- Les autorisations héritées et les exceptions laissées par d’anciens projets.
- Les responsables des sites inactifs et la procédure de retrait des accès lors d’un changement de rôle.
Faites examiner la configuration par les administrateurs, puis vérifiez l’expérience avec des comptes ordinaires représentatifs des rôles du personnel. La vue d’un administrateur ne remplace pas celle d’un employé. Utilisez des fichiers fictifs pour les essais : il n’est pas nécessaire d’afficher de vrais renseignements de paie ou des dossiers clients pour démontrer un problème.
Distinguer la restriction d’accès de la limitation de la découverte
Le guide de préparation SharePoint de Microsoft présente des outils pour repérer et réduire le partage excessif. Choisissez un contrôle selon le problème à résoudre et vérifiez sa disponibilité ainsi que les licences requises dans votre environnement.
Le contrôle d’accès restreint peut ajouter une restriction au niveau du site en fonction de groupes désignés. L’appartenance à un groupe autorisé ne donne pas, à elle seule, accès aux documents : la personne doit aussi posséder les autorisations nécessaires. Ce contrôle ne se limite donc pas à rendre un site moins facile à trouver.
La découverte de contenu restreinte limite l’apparition de certains sites dans la recherche à l’échelle de l’organisation et dans les scénarios de découverte de Microsoft 365 Copilot. Elle ne retire pas les autorisations existantes. Une personne autorisée peut toujours accéder au contenu par d’autres moyens pris en charge. Le fait qu’un document n’apparaisse pas dans une réponse ne prouve pas que son accès a été retiré.
La fonctionnalité Restricted SharePoint Search est en voie de retrait. Elle n’est pas recommandée comme nouveau contrôle dans cette démarche. Corrigez plutôt les autorisations et évaluez les contrôles actuels d’accès et de découverte. Consultez de nouveau la documentation de Microsoft avant leur mise en place.
Vérifier les limites après une modification
Définissez quelques résultats attendus avant le projet pilote. Par exemple, un membre de l’équipe de livraison client devrait pouvoir retrouver une note de projet fictive, tandis qu’un employé d’une autre équipe ne devrait ni pouvoir ouvrir cette note directement ni recevoir son contenu protégé par l’assistant. Vérifiez à la fois l’accès au fichier et l’expérience dans Copilot. Tenez compte des délais de propagation et du fonctionnement de l’indexation décrits par Microsoft; une seule réponse sans résultat ne permet pas de conclure.
Consignez le rôle du compte, la source de données, le résultat attendu, le résultat observé et la date de configuration. En cas d’échec, corrigez les autorisations ou l’intégration et refaites l’essai avant d’élargir l’accès. N’incluez ni renseignements confidentiels ni identifiants dans les preuves conservées.
Confier le suivi à des responsables identifiés
Désignez un responsable d’affaires pour chaque site sensible et un administrateur pour les changements d’accès. Intégrez les groupes trop larges, les invités, les nouveaux connecteurs et les capacités des agents aux examens habituels des comptes et des sites. Dans la politique d’utilisation acceptable, expliquez quel compte utiliser, quels renseignements exclure et comment signaler un résultat inattendu.
Un examen de préparation fournit un inventaire des autorisations, une liste de correctifs classés par priorité et des preuves issues d’un pilote délimité. Il ne démontre pas que tout risque d’exposition a disparu. Il s’agit de conseils généraux de préparation, et non de conseils juridiques; confirmez vos obligations de confidentialité et vos engagements contractuels auprès d’une personne qualifiée.
Source: https://learn.microsoft.com/en-us/copilot/microsoft-365/microsoft-365-copilot-privacy. Conseils généraux de préparation; il ne s’agit pas de conseils juridiques.