Protection des données avec Copilot et AI Builder dans Power Automate

De nombreuses petites et moyennes entreprises misent désormais sur Copilot dans Power Automate et sur AI Builder pour créer des flux à partir du langage naturel ou pour lire automatiquement des documents. Cela soulève presque toujours la même question : que se passe-t-il réellement avec les données traitées, et cela est-il compatible avec le RGPD ? La réponse est plus nuancée qu'un simple oui ou non, car elle dépend de la fonction que vous utilisez, de l'emplacement de votre environnement Power Platform et des paramètres définis par l'administrateur de votre tenant.

Cet article résume comment Microsoft, selon sa propre documentation, traite les données de Copilot et d'AI Builder, où elles sont techniquement stockées et quels points vous devez vérifier en tant que responsable de traitement au sens du RGPD avant d'utiliser des fonctions d'IA en production. Situation en juillet 2026.

Comment Microsoft traite les entrées et sorties de Copilot

Selon la FAQ Microsoft sur la sécurité des données et la confidentialité de Copilot tes invites (prompts) et les réponses de Copilot ne sont pas accessibles aux autres clients. Elles ne sont pas non plus utilisées pour entraîner ou améliorer les modèles d'OpenAI ou d'autres fournisseurs tiers. Microsoft n'utilise en outre pas tes données pour entraîner ses propres modèles d'IA, sauf si l'administrateur de ton tenant y a explicitement consenti. Copilot repose sur Azure OpenAI Service et fonctionne, selon la documentation, entièrement au sein du cloud Azure ; les connexions sont chiffrées via TLS, et les transferts de données entre Power Platform et Azure OpenAI s'effectuent via le réseau principal (backbone) de Microsoft plutôt que par l'internet ouvert.

Important en pratique : Copilot n'accède qu'aux données auxquelles la personne connectée a déjà accès. Les autorisations existantes dans Dataverse, SharePoint ou d'autres sources de données ne sont donc pas contournées, mais respectées via les mécanismes d'authentification et d'autorisation.

Où les données d'AI Builder sont-elles techniquement stockées

Pour AI Builder, selon la documentation sur l'architecture d'AI Builder, une distinction claire est faite entre les données d'entraînement et les données de prédiction :

• Données d'entraînement : les images et documents utilisés pour entraîner un modèle personnalisé de reconnaissance d'objets ou de traitement de documents restent stockés en permanence dans Dataverse et ne sont utilisés que pour le modèle concerné, jamais partagés à l'extérieur.
• Données de prédiction : les images et documents traités à l'exécution dans un flux Power Automate ne sont pas stockés durablement après le traitement.
• Saisies de texte : les entrées issues de scénarios textuels, par exemple les invites d'IA, sont consignées dans une table d'événements IA distincte dans Dataverse, afin que les activités puissent être surveillées ultérieurement.
• Limites géographiques : tant qu'Azure OpenAI Service est disponible dans la région concernée, tes données, selon la documentation, ne quittent pas la limite géographique de ton environnement. Si le service n'est pas disponible régionalement, les administrateurs peuvent définir précisément si et comment les données peuvent être traitées au-delà des régions.

Pour l'accès aux données d'entraînement stockées, selon la documentation sur l'administration d'AI Builder : seul le propriétaire du modèle ainsi que les personnes disposant des rôles Power Platform Administrateur système ou Personnalisateur système y ont accès. En tant que PME, tu devrais utiliser activement cette séparation des rôles plutôt que de t'en tenir au réglage par défaut.

Analyse RGPD pour un usage en PME

Du point de vue du RGPD, en tant qu'entreprise utilisant Copilot ou AI Builder en production, tu es le responsable du traitement, Microsoft agissant comme sous-traitant. Les mesures techniques et organisationnelles que Microsoft décrit dans sa documentation, telles que le chiffrement au repos et en transit, l'isolation des données entre tenants ainsi que les contrôles d'accès basés sur les rôles, correspondent à ce qu'exige l'article 32 du RGPD en matière de sécurité. La base du traitement sous-traité est l'avenant de protection des données de Microsoft (Data Protection Addendum), qui contient des clauses contractuelles types conformes au RGPD, ainsi que des certifications telles qu'ISO/IEC 27018 pour la protection des données personnelles dans le cloud.

Un point qui devrait rassurer de nombreuses PME : le programme optionnel de partage de données, dans le cadre duquel des collaborateurs de Microsoft peuvent consulter manuellement des invites et des résultats à des fins d'amélioration du produit, est, selon la FAQ sur le partage de données optionnel désactivé par défaut et actuellement disponible exclusivement pour les tenants situés dans la région américaine. Pour les tenants allemands et européens, cette option ne s'applique donc actuellement pas du tout ; tes données restent dans tous les cas au sein de ta limite géographique et ne sont pas examinées manuellement.

La responsabilité te revient néanmoins toujours : le RGPD exige que tu ne traites des données personnelles que si une base légale existe, et que tu puisses répondre aux droits des personnes concernées, comme le droit d'accès ou d'effacement. Si des données clients ou des données de collaborateurs se retrouvent dans une invite Copilot ou dans un jeu de données d'entraînement d'AI Builder, les mêmes règles s'appliquent que pour tout autre traitement.

Étapes pratiques pour une utilisation conforme à la protection des données

• Vérifier la région de l'environnement : crée les environnements Power Platform destinés aux données européennes dans une région UE, afin que la limite géographique soit réellement respectée en pratique.
• Conclure un contrat de sous-traitance : assure-toi que l'avenant de protection des données de Microsoft fait bien partie de ton contrat de licence en tant que contrat de sous-traitance, et documente-le dans ton registre des activités de traitement.
• Restreindre les rôles et les droits : n'attribue les rôles Administrateur système et Personnalisateur système qu'aux personnes ayant réellement besoin des données d'entraînement d'AI Builder.
• Définir des règles DLP : mets en place des règles de prévention des pertes de données (DLP) dans le centre d'administration Power Platform, afin que le connecteur Dataverse, dont fait aussi partie AI Builder, ne soit pas combiné sans contrôle avec des connecteurs non professionnels.
• Concevoir les invites avec discernement : évite de saisir inutilement des données personnelles sensibles, comme des données de santé ou bancaires, dans les invites Copilot, même si Microsoft ne les utilise pas pour l'entraînement.
• Surveiller l'activité : utilise la table d'événements IA dans Dataverse pour pouvoir retracer quelles saisies de texte ont été traitées.

Celui qui met en place proprement ces points garde le contrôle sur ses propres données et peut utiliser Copilot ainsi qu'AI Builder en production en toute confiance. Pour la mise en place de flux Power Automate conformes à la protection des données avec des fonctions d'IA, NordFlux t'accompagne avec du conseil Power Automate à prix fixe.

Questions fréquentes

Microsoft entraîne-t-il ses propres modèles d'IA avec nos entrées Copilot ?

Non, pas par défaut. Selon la documentation de Microsoft, les invites, les réponses et les données consultées ne sont pas utilisées pour entraîner des modèles de fondation, sauf si un administrateur de tenant active explicitement le programme optionnel de partage de données. Ce programme est en outre actuellement disponible uniquement pour les tenants de la région américaine.

Nos données quittent-elles l'UE avec AI Builder ?

Tant qu'Azure OpenAI Service est disponible dans ta région, tes données, selon la documentation, restent dans la limite géographique de ton environnement. Pour les entreprises européennes, cela signifie : crée ton environnement dans une région UE, alors les données ne quitteront pas cet espace sans autorisation délibérée d'un administrateur.

Qui peut accéder aux données d'entraînement dans AI Builder ?

Selon la documentation, seuls le propriétaire du modèle concerné ainsi que les personnes disposant des rôles Administrateur système ou Personnalisateur système dans ton organisation ont accès aux données d'entraînement stockées dans Dataverse. Tu devrais attribuer ces rôles de manière ciblée et les vérifier régulièrement.

Avons-nous besoin d'un contrat séparé pour l'utilisation de Copilot et AI Builder ?

Tu n'as en général pas besoin d'un contrat séparé uniquement pour les fonctions d'IA. L'utilisation relève de ton contrat de licence Microsoft existant, y compris l'avenant de protection des données, qui sert de contrat de sous-traitance au sens du RGPD. Tu devrais toutefois vérifier si cet avenant fait bien partie de ta documentation contractuelle.

Suffit-il de simplement ne pas utiliser activement Copilot ?

Selon la documentation, Copilot dans Power Automate peut être désactivé via une demande de support avec un script PowerShell, et les invites d'IA dans AI Builder peuvent être désactivées directement dans le centre d'administration Power Platform, par environnement. Celui qui ne souhaite fondamentalement pas utiliser de fonctions d'IA peut donc l'imposer techniquement, plutôt que de simplement se fier à la non-utilisation.