Que fait exactement Copilot avec vos fichiers ?
Copilot pour Microsoft 365 s'appuie sur le moteur de recherche de votre tenant. Quand un utilisateur pose une question, Copilot cherche dans les contenus que cet utilisateur est autorisé à ouvrir : ses mails, ses fichiers OneDrive, les bibliothèques SharePoint et les équipes Teams auxquelles il a accès. Il ne contourne aucun droit et ne consulte rien qui lui soit interdit.
C'est la réponse standard de Microsoft, et elle est exacte. Elle est aussi rassurante à tort, parce qu'elle déplace la question sans la traiter : Copilot respecte vos droits, mais vos droits sont-ils justes ?
Dans la majorité des environnements que nous auditons, la réponse est non. Non pas par négligence, mais par accumulation : dix ans de partages ponctuels, de reprises de serveur de fichiers, de « je te mets ça dans le SharePoint », de groupes créés pour un projet et jamais fermés.
Pourquoi le sur-partage est-il si répandu ?
Le sur-partage n'est pas un incident, c'est un état d'équilibre. Chaque décision individuelle est rationnelle et l'ensemble devient dangereux.
- Le partage large est plus rapide. Donner accès à « tout le monde dans l'organisation » prend trois secondes. Identifier les cinq bonnes personnes en prend dix minutes.
- Les migrations recopient l'existant. Un serveur de fichiers dont les droits n'ont jamais été revus arrive tel quel dans SharePoint, avec ses exceptions et ses accès historiques.
- Personne ne retire jamais un droit. Un salarié change de service, garde ses accès précédents et gagne les nouveaux. Après cinq ans, il voit une bonne partie de l'entreprise.
- Les liens de partage survivent aux projets. Un lien « toute personne dans l'organisation » créé pour dépanner un collègue reste actif indéfiniment.
- Les mauvais réflexes personnels. Le document de préparation d'un plan social ou d'une grille salariale déposé dans le OneDrive d'un dirigeant, puis partagé à son assistante, puis à son équipe.
Aucun de ces gestes ne pose problème tant que la recherche interne est médiocre. Elle l'est presque toujours : personne ne trouve rien, donc personne ne trouve ce qu'il ne devrait pas. Copilot supprime cette protection accidentelle.
Que ressort Copilot en démonstration, concrètement ?
Nous faisons systématiquement cette démonstration avant tout projet Copilot, sur le tenant réel du client, avec le compte d'un utilisateur non privilégié — typiquement un profil récent, non cadre, sans rôle d'administration.
Les questions posées ne sont ni des pièges ni des requêtes techniques. Ce sont des phrases que n'importe quel salarié taperait :
- « Quels sont les salaires de l'équipe commerciale ? »
- « Résume-moi les entretiens annuels de mon service. »
- « Quelles sont les conditions tarifaires accordées à nos trois plus gros clients ? »
- « Y a-t-il eu des procédures disciplinaires cette année ? »
- « Sur quoi porte le projet dont on parle en comité de direction ? »
Le résultat n'est jamais neutre. Ces questions font presque toujours remonter au moins un document que la personne connectée n'aurait pas dû pouvoir lire. La réaction habituelle du dirigeant présent n'est pas la colère mais la surprise : il ignorait que ce document était accessible, et il ignorait surtout que quelqu'un puisse le trouver en une phrase.
Cette séance dure vingt minutes et remplace trente pages d'argumentaire. Elle a aussi un effet secondaire utile : elle transforme le rangement de SharePoint, sujet ingrat et sans gloire, en priorité de direction.
Comment auditer les droits, étape par étape ?
L'audit n'a pas besoin d'être exhaustif pour être utile. Il doit être ordonné : commencer par ce qui est le plus exposé et le plus sensible, pas par ce qui est le plus facile à mesurer.
| Étape | Objet | Ce qu'on cherche | Outils | Durée indicative |
|---|---|---|---|---|
| 1. Cartographier | Tous les sites SharePoint, équipes Teams et OneDrive actifs | Sites orphelins, sites sans propriétaire identifié, volumétrie réelle | Centre d'administration SharePoint, rapports d'usage | 2 à 4 jours |
| 2. Repérer les partages larges | Liens « tout le monde » et accès anonymes | Bibliothèques ouvertes à toute l'organisation, liens externes actifs, invités non révoqués | Rapports de partage, Microsoft Purview, requêtes PowerShell | 2 à 5 jours |
| 3. Classer les données sensibles | RH, paie, juridique, données clients, contrats, santé | Emplacement réel des contenus critiques, y compris hors des espaces prévus | Étiquettes de confidentialité, classifieurs Purview, entretiens métier | 1 à 2 semaines |
| 4. Corriger | Droits, héritages, propriétaires | Suppression des exceptions, remise en héritage, désignation d'un propriétaire par espace | Groupes Microsoft 365, revue d'accès Entra ID | 2 à 6 semaines |
| 5. Verrouiller dans la durée | Règles et gouvernance | Politique de partage externe, expiration des liens, revues d'accès périodiques, cycle de vie des sites | Purview, Entra ID Gouvernance, politiques SharePoint | En continu |
Les étapes 1 et 2 sont techniques et rapides. L'étape 3 est la plus longue parce qu'elle exige des entretiens métier : seul le service concerné sait qu'un tableau nommé suivi_2024_v3.xlsx contient des données de rémunération.
L'étape 4 est celle où les projets s'enlisent, pour une raison prévisible : retirer un droit provoque des réclamations, en donner un n'en provoque jamais. Il faut donc une décision de direction écrite avant de commencer, et un canal de traitement rapide des demandes légitimes pendant les deux premières semaines.
Faut-il tout ranger avant de commencer Copilot ?
Non, et c'est important. Attendre un SharePoint parfait revient à ne jamais déployer Copilot. Nous procédons par périmètre : on assainit d'abord les espaces qui seront ouverts au pilote, on déploie sur ce périmètre, et on élargit progressivement.
Trois mesures permettent de démarrer sans avoir tout terminé :
- Restreindre la recherche Copilot au périmètre assaini, en excluant temporairement les sites non audités.
- Poser des étiquettes de confidentialité sur les espaces RH, juridique et direction, avec chiffrement si nécessaire.
- Choisir un pilote sans données sensibles : commercial, marketing, support, plutôt que RH ou finance.
Le détail de ces garde-fous figure sur la page déployer Copilot sans fuite de données. Le travail de fond, lui, est décrit dans mettre de l'ordre dans mes fichiers SharePoint.
Une remarque sur les licences : les fonctions avancées de classification, de rétention et de gouvernance d'accès dépendent de votre niveau de plan Microsoft. Certaines sont incluses dans Business Premium, d'autres nécessitent un module complémentaire ou un plan E5 (à vérifier à date, la composition des offres évolue). Le chiffrage de l'audit doit intégrer cette question dès le départ.
Qu'apporte cet audit, même sans Copilot ?
Le rangement de SharePoint est rentable indépendamment de l'intelligence artificielle. Il réduit la surface d'exposition en cas de compromission d'un compte : un attaquant qui prend la main sur une session voit exactement ce que voit l'utilisateur, avec la même facilité de recherche.
Il améliore aussi la vie quotidienne. Une arborescence claire et des droits cohérents divisent le temps passé à chercher un document, et suppriment la pratique du fichier envoyé en pièce jointe « pour être sûr ». Nous traitons cette logique de rangement dans l'article Teams, SharePoint ou OneDrive : où doit-on ranger quoi.
Enfin, il constitue une base de preuve. Une entreprise capable de dire qui a accès à quoi, et depuis quand, répond beaucoup plus vite à un contrôle, à une demande d'exercice de droits ou à un incident. C'est l'un des chantiers structurants de notre page sécurité Microsoft 365.
Par où commencer
Le déroulé que nous appliquons sur ce type de mission :
- Audit de 30 minutes. Nombre de sites, présence de données RH ou juridiques, niveau de licence, existence d'une politique de partage externe.
- Démonstration Copilot sur votre tenant avec un compte non privilégié. Une heure, un compte-rendu écrit des résultats.
- Cartographie des droits (étapes 1 à 3 du tableau). Livrable : liste priorisée des expositions, classée par gravité.
- Plan de remédiation chiffré, avec les décisions à faire valider par la direction.
- Correction et pilote Copilot sur le périmètre assaini.
- Gouvernance récurrente : revues d'accès, expiration des liens, cycle de vie des espaces.
La démarche complète, y compris le volet formation des utilisateurs, est décrite sur la page Copilot Microsoft 365. Une remédiation complète se chiffre après la cartographie, jamais avant : c'est le nombre d'espaces à reprendre et de liens de partage à révoquer qui commande le calendrier, et ce nombre n'est connu qu'une fois la cartographie des droits terminée.
