En bref:
- Utiliser Microsoft Copilot avec des données suisses est possible, mais nécessite une configuration rigoureuse. La région du tenant doit être en Suisse ou en Europe, et un DPA signé, ainsi qu’un audit précis des permissions, sont indispensables pour respecter la conformité. Nectos offre une alternative souveraine hébergée uniquement en Suisse, garantissant une sécurité totale des données sensibles.
Oui, utiliser Microsoft Copilot avec des données suisses comporte des risques réels, mais ils sont maîtrisables à condition que le tenant Microsoft 365 soit correctement configuré, qu'un accord de sous-traitance soit signé et que les permissions internes soient auditées. Selon l'Observatoire Data & IA en Suisse 2026, 62 % des entreprises considèrent la souveraineté des données comme un point bloquant pour l'IA. Ce chiffre illustre l'ampleur du problème : la majorité des organisations déploient Copilot sans avoir vérifié les fondamentaux.
Risques immédiats à vérifier en priorité :
- Transferts involontaires de données hors de Suisse si la région du tenant n'est pas verrouillée sur Zurich ou Genève
- Remontée de documents internes confidentiels via Copilot en raison de permissions SharePoint trop larges
- Accès administrateur Microsoft à l'infrastructure hébergeant vos données
- Connecteurs tiers non conformes créant des fuites hors du périmètre sécurisé
- Absence de contrat de sous-traitance (DPA) avec Microsoft, en violation de l'art. 9 nLPD
Mini-checklist de vérification immédiate :
- Confirmer la région du tenant dans le centre d'administration Microsoft 365 (doit afficher Suisse ou Europe)
- Vérifier que les prompts et réponses Copilot sont couverts par le programme de résidence des données
- Télécharger et archiver le DPA Microsoft signé
- Auditer les permissions SharePoint et OneDrive avant toute activation
- Identifier les traitements sensibles (RH, santé, juridique) nécessitant une analyse d'impact (AIPD) selon l'art. 22 nLPD
Table des matières
- Vos données Copilot servent-elles à entraîner les modèles d'IA ?
- Microsoft comme sous-traitant : quelles obligations contractuelles ?
- Quels risques techniques faut-il anticiper avec Copilot ?
- Quelles mesures techniques activer pour sécuriser Copilot ?
- La nLPD exige-t-elle une analyse d'impact avant de déployer Copilot ?
- Combien de temps faut-il pour activer la résidence des données et les contrôles ?
- Des données peuvent-elles quitter la Suisse même avec un tenant M365 configuré ?
- Quels cas d'utilisation présentent des risques spécifiques avec Copilot ?
- Que faire en cas de violation de données impliquant Copilot ?
- Former vos équipes à la protection des données avec Copilot
- Nectos : quand une solution souveraine suisse s'impose
- Points clés
- Questions fréquentes
Vos données Copilot servent-elles à entraîner les modèles d'IA ?
Non, dans un environnement Microsoft 365 business correctement configuré. Microsoft garantit contractuellement que les données des tenants professionnels ne sont pas utilisées pour entraîner les modèles publics. Prompts, réponses, fichiers et courriels restent dans votre tenant, chiffrés au repos et en transit. Seul le prompt enrichi du contexte nécessaire est temporairement transmis au modèle hébergé sur Azure, sans stockage ni réutilisation externe.
Ce point est déterminant pour la conformité à l'art. 6 nLPD, qui exige que les données ne soient traitées qu'aux fins déclarées. La distinction entre Copilot en environnement professionnel et les outils grand public est ici fondamentale : les seconds peuvent utiliser vos saisies pour améliorer leurs modèles ; le premier ne le fait pas, sous réserve que la configuration du tenant soit correcte.
Microsoft comme sous-traitant : quelles obligations contractuelles ?
La nLPD impose de traiter tout fournisseur d'IA externe comme un sous-traitant au sens de l'art. 9. Concrètement, cela signifie trois obligations non négociables :
- Signer un DPA (accord de traitement des données) avec Microsoft, document que vous présenterez en cas d'audit du Préposé fédéral à la protection des données et à la transparence (PFPDT)
- Cartographier les flux entre votre organisation et les services Microsoft concernés (Copilot, SharePoint, Exchange, Teams)
- Vérifier les engagements contractuels de confidentialité, sécurité et non-réutilisation des données
La cartographie des flux n'est pas un exercice théorique. Elle permet d'identifier précisément quelles catégories de données transitent vers quels services, dans quelles régions, et sous quelles garanties. Une stratégie de souveraineté numérique sérieuse commence toujours par cette transparence sur les flux.
Quels risques techniques faut-il anticiper avec Copilot ?
Le risque le plus fréquent n'est pas une faille technique de Microsoft : c'est une mauvaise gouvernance interne. Activer Copilot sans audit préalable des permissions peut faire remonter des documents que certains utilisateurs ne devraient pas voir. Copilot accède exactement à ce que l'utilisateur peut consulter, ni plus ni moins. Si les droits SharePoint sont trop larges, Copilot révèle ces failles.
Autres vecteurs de risque à surveiller :
- Connecteurs tiers : un connecteur mal configuré vers un service non conforme crée une fuite hors du périmètre sécurisé, même si Copilot lui-même est correctement paramétré
- Métadonnées et journaux : les journaux d'activité Copilot contiennent des informations sensibles sur les usages ; leur accès doit être restreint aux administrateurs habilités
- Sauvegardes : vérifier que les politiques de rétention s'appliquent aussi aux données d'interaction Copilot
- Accès administrateur Microsoft : Microsoft peut techniquement accéder à l'infrastructure, ce qui justifie l'exigence de garanties contractuelles solides
Conseil de pro : L'audit des permissions SharePoint et OneDrive est le contrôle le plus souvent négligé avant l'activation de Copilot. Commencez par là, avant toute autre configuration.
Quelles mesures techniques activer pour sécuriser Copilot ?
Quatre contrôles techniques sont prioritaires dans un environnement Microsoft 365 :
Étiquettes de sensibilité (Microsoft Purview) : elles permettent à Copilot de respecter la classification des documents. Un fichier étiqueté « Confidentiel » ne sera pas traité différemment par Copilot, qui honore ces restrictions.
Politiques de prévention des pertes de données (DLP) : elles bloquent la transmission de certaines catégories de données (numéros AVS, données médicales, informations financières) dans les prompts ou les réponses générées.
Journalisation et traçabilité : activer les journaux d'audit via Microsoft Purview pour conserver une trace des interactions, configurer les politiques de rétention et permettre la suppression des historiques sur demande.
Points de terminaison privés : pour les organisations traitant des données particulièrement sensibles, les points de terminaison privés limitent l'accès aux services Microsoft à des réseaux contrôlés, réduisant la surface d'exposition. La configuration sécurisée de Microsoft 365 pour les PME couvre ces paramètres en détail.
La nLPD exige-t-elle une analyse d'impact avant de déployer Copilot ?
Pas systématiquement, mais souvent. L'art. 22 nLPD impose une analyse d'impact sur la protection des données (AIPD) lorsque le traitement présente un risque élevé pour les personnes concernées. Les cas sensibles avec Copilot incluent typiquement les données RH, médicales ou juridiques.
La base légale du traitement doit également être documentée. Pour la plupart des usages professionnels, l'intérêt légitime de l'entreprise constitue la base retenue, mais le test d'équilibre (art. 31 nLPD) doit être formalisé : les intérêts de l'organisation priment-ils sur les droits des personnes concernées ? Ce raisonnement doit figurer dans votre registre des traitements. La nLPD n'interdit pas l'automatisation ; elle exige une conception délibérée, avec finalités documentées et mesures d'atténuation identifiées.
Un AIPD ciblé pour un périmètre bien défini peut être produit en 1 à 2 jours de travail discipliné. C'est souvent la meilleure preuve de diligence exigée par le PFPDT.
Combien de temps faut-il pour activer la résidence des données et les contrôles ?
La vérification de la région du tenant prend moins d'une heure. La correction, si le tenant est mal configuré, est plus longue. Les tenants créés avant 2019 peuvent être localisés en région américaine par défaut et nécessitent une migration manuelle, opération qui peut prendre plusieurs semaines selon le volume de données.
Pour une PME suisse partant de zéro, un calendrier réaliste ressemble à ceci :
| Étape | Durée estimée | Effort |
|---|---|---|
| Vérification région tenant | 1 heure | Administrateur IT |
| Audit permissions SharePoint/OneDrive | 1 à 3 jours | IT + responsable données |
| Signature et archivage DPA | 1 jour | Juridique / DPO |
| Activation étiquettes de sensibilité et DLP | 2 à 5 jours | IT |
| AIPD pour cas sensibles | 1 à 2 jours | DPO / juriste |
| Formation des utilisateurs | 1 à 2 jours | RH / IT |
Des données peuvent-elles quitter la Suisse même avec un tenant M365 configuré ?
Oui, dans certains cas résiduels. La résidence des données couvre les contenus principaux (courriels, fichiers, prompts Copilot), mais certaines données de diagnostic et de télémétrie peuvent transiter vers d'autres régions. Par ailleurs, les connecteurs tiers activés dans Microsoft 365 opèrent selon leurs propres règles de localisation.
Depuis le 15 septembre 2024, le cadre Swiss-US Data Privacy Framework facilite les transferts vers des entreprises américaines certifiées sans garanties supplémentaires. Pour les transferts vers des organisations non certifiées, des clauses contractuelles types restent obligatoires. Vérifiez la certification de chaque fournisseur tiers connecté à votre environnement Microsoft 365 et documentez ces garanties dans votre cartographie des flux.
Quels cas d'utilisation présentent des risques spécifiques avec Copilot ?
Certains usages concentrent la majorité des risques de confidentialité :
Résumés de réunions Teams : si des participants externes sont présents, leurs données personnelles (nom, propos tenus) sont traitées par Copilot. La base légale et l'information préalable des participants doivent être vérifiées.
Analyse de fichiers RH : salaires, évaluations, données de santé. Ces catégories sont particulièrement sensibles au sens de la nLPD et déclenchent l'obligation d'AIPD. Consultez les obligations spécifiques aux données médicales avant tout déploiement dans ce contexte.
Recherche dans SharePoint sur des projets clients : si les dossiers clients contiennent des données personnelles non masquées et que les permissions sont larges, Copilot peut les exposer à des utilisateurs non habilités.
Rédaction de contrats avec données de tiers : les informations sur les contreparties contractuelles constituent des données personnelles soumises à la nLPD. Évitez d'inclure ces données directement dans les prompts.
Pour identifier vos cas à risque, cartographiez d'abord les flux de données dans chaque département, puis croisez avec les catégories de données traitées et les niveaux de permission actuels.
Que faire en cas de violation de données impliquant Copilot ?
La nLPD (art. 24) impose de notifier le PFPDT dans les meilleurs délais en cas de violation susceptible d'entraîner un risque élevé pour les personnes concernées. Les étapes à suivre :
- Identifier et contenir : désactiver le connecteur ou l'accès concerné, isoler les données exposées
- Évaluer le risque : déterminer quelles données ont été exposées, à qui, et quel est le risque pour les personnes concernées
- Notifier le PFPDT si le risque est élevé, avec description de l'incident, des données concernées et des mesures prises
- Informer les personnes concernées si le risque pour elles est particulièrement élevé
- Documenter l'incident dans le registre des violations, même si la notification n'est pas requise
Microsoft met à disposition des journaux d'audit via Purview pour reconstituer la chronologie d'un incident. Activez ces journaux en amont : ils sont indispensables pour toute procédure de remédiation.
Former vos équipes à la protection des données avec Copilot
La formation n'est pas optionnelle. Sans elle, les utilisateurs incluent des données personnelles dans leurs prompts, partagent des réponses contenant des informations confidentielles ou activent des connecteurs non approuvés. Les erreurs fréquentes dans l'utilisation de l'IA avec des données clients sont souvent évitables avec une sensibilisation de base.
Un programme de formation efficace couvre quatre points :
- Ne jamais inclure de données personnelles identifiables (noms, numéros AVS, diagnostics, salaires) dans les prompts
- Valider systématiquement le contenu généré avant de le partager, Copilot pouvant produire des informations inexactes
- Signaler immédiatement toute réponse suspecte ou accès inattendu à l'administrateur
- Ne jamais activer de connecteur tiers sans validation préalable du service informatique
La transparence envers les collaborateurs est également une obligation légale : la nLPD exige d'informer les personnes concernées des traitements automatisés qui les affectent.
Nectos : quand une solution souveraine suisse s'impose
Pour les organisations traitant des données particulièrement sensibles (RH, santé, juridique, secret professionnel), la configuration correcte d'un tenant Microsoft 365 réduit les risques mais ne les élimine pas entièrement. La holding américaine de Microsoft reste soumise au CLOUD Act, ce qui signifie qu'une autorité américaine peut théoriquement exiger l'accès à des données hébergées en Suisse. Ce risque résiduel est documenté et doit figurer dans votre analyse d'impact.
Nectos est une alternative conçue précisément pour ce cas de figure : un espace de travail IA souverain dont les données ne quittent jamais la Suisse, hébergé sur des serveurs suisses, sans aucun lien avec des groupes technologiques américains. Analyse de documents, bases de connaissances privées, transcription de réunions : les mêmes fonctionnalités que Copilot, sans les risques liés aux transferts transfrontaliers ni aux obligations du CLOUD Act.
La procédure recommandée pour les organisations en phase d'évaluation : auditer d'abord les permissions de votre tenant M365, corriger les accès trop larges, signer le DPA Microsoft, puis lancer un pilote souverain avec Nectos pour les cas sensibles. Consultez le produit Nectos ou demandez une démonstration pour évaluer la migration des cas à risque élevé.
Conformité nLPD : les preuves à constituer pour un audit PFPDT
La nLPD impose DPA, cartographie des flux et, pour les traitements sensibles, une AIPD formalisée. En cas de contrôle du PFPDT, le dossier d'audit doit contenir : le DPA signé avec Microsoft, la cartographie des flux à jour, les journaux d'activité Copilot exportés depuis Purview et la configuration documentée du tenant. Ces éléments constituent la preuve de diligence la plus solide. Pour les organisations souhaitant une revue technique et documentaire de leur conformité, Nectos propose un accompagnement structuré via son offre de sécurité et conformité.
Points clés
Utiliser Microsoft Copilot avec des données suisses est acceptable sous conditions strictes : tenant configuré en région Suisse, DPA signé, permissions auditées et traitements sensibles couverts par une AIPD.
| Point | Détails |
|---|---|
| Résidence des données | Vérifier que la région du tenant affiche Suisse ou Europe dans le centre d'administration M365. |
| Entraînement des modèles | Microsoft garantit contractuellement que les données business ne servent pas à entraîner les modèles publics. |
| Obligation DPA | L'art. 9 nLPD impose un contrat de sous-traitance signé avec Microsoft avant tout déploiement. |
| Risque permissions | Activer Copilot sans audit SharePoint préalable expose des documents confidentiels aux mauvais utilisateurs. |
| Nectos | Pour les données RH, médicales ou juridiques, Nectos offre une souveraineté totale sans risque lié au CLOUD Act. |
Questions fréquentes
Les données Copilot sont-elles stockées en Suisse ?
Oui, si votre tenant Microsoft 365 est configuré pour la région Suisse (Zurich ou Genève). Microsoft a étendu son programme de résidence des données aux prompts et réponses Copilot pour les tenants business configurés en région Suisse.
Faut-il signer un DPA avec Microsoft pour utiliser Copilot ?
Oui. L'art. 9 nLPD impose un contrat écrit avec tout sous-traitant traitant des données personnelles. Le DPA Microsoft doit être téléchargé, signé et archivé avant tout déploiement de Copilot.
Quand une AIPD est-elle obligatoire pour Copilot ?
L'art. 22 nLPD l'exige lorsque le traitement présente un risque élevé pour les personnes concernées, notamment pour les données RH, médicales ou juridiques traitées via Copilot.
Existe-t-il une alternative sans risque de transfert hors Suisse ?
Nectos est une solution IA souveraine hébergée exclusivement en Suisse, sans lien avec des groupes technologiques soumis au CLOUD Act américain, conforme à la nLPD par conception.
Que faire si un tenant M365 a été créé avant 2019 ?
Les tenants créés avant 2019 peuvent être localisés en région américaine par défaut. Une migration manuelle vers la région Suisse ou Europe est nécessaire pour garantir la résidence des données, opération à planifier avec votre administrateur IT.