La maîtrise des usages de Copilot en entreprise implique 3 obligations : la sécurisation technique du tenant Microsoft 365, la conformité réglementaire (AI Act, RGPD) et la formation continue des équipes, dans la mesure où une charte d’utilisation seule ne protège réellement personne.

Shadow IA : inutile et contre-productif d’interdire Copilot !

61 % des cadres français utilisent l’IA générative via des comptes personnels, hors de tout cadre IT supervisé (Microsoft / YouGov, février 2026). Le plus souvent, ils l’emploient pour :

Rédiger du contenu (45 %) ;
Analyser des données (32 %) ;
Traduire (28 %).

Pour ces 3 typologies d’actions, beaucoup de collaborateurs collent, presque par réflexe, des contenus métiers potentiellement confidentiels dans une interface qu’ils ne maîtrisent pas du tout.

L’erreur classique dans ce cas ? Répondre par l’interdiction. En effet, il suffit de quelques secondes pour ouvrir ChatGPT dans un navigateur, le tout sans laisser la moindre trace visible pour la DSI… Raison pour laquelle il ne faut pas proscrire, mais encadrer intelligemment !

Avant d’interdire, l’enjeu va donc être de commencer par cartographier :

Recenser les usages informels existants ;
Identifier les cas d’usage réellement porteurs de valeur ;
Proposer une alternative officielle et supervisée, c’est-à-dire Copilot intégré au tenant (et pas un Copilot ouvert dans un onglet personnel).

C’est cette logique progressive que Sigma a déployée chez Nuoma Mutuelle : plutôt qu’une liste de cas d’usage venus de l’extérieur, un atelier collaboratif a permis de construire une feuille de route cohérente avec la stratégie de l’organisation et proportionnée à ses ressources.

Optimisez votre posture de sécurité, agissez maintenant !

« Sigma nous a proposé une démarche progressive et collaborative adaptée à nous. Nous avons aussi été convaincus par leur approche responsable d’entreprise à mission (…) Notre feuille de route est prête, il n’y a plus qu’à la mettre en œuvre. »

Séverine Herrscher, directrice générale Nuoma Mutuelle

Les permissions mal gérées, un vrai risque avec Copilot

La documentation officielle de Microsoft le stipule bien : Copilot hérite strictement des permissions dont chaque utilisateur dispose dans le tenant. Si un collaborateur a techniquement accès à un dossier RH partagé trop largement, ou à un site SharePoint laissé ouvert par commodité lors de sa création quelques années plus tôt, Copilot peut le résumer en une requête – alors même que cet utilisateur n’aurait probablement jamais pris le temps de chercher par lui-même.

Autrement dit, Copilot ne crée pas de nouveau risque de sécurité : il révèle, à grande vitesse, ceux qui existaient déjà et restaient invisibles faute d’audit. Donc si votre tenant n’est pas correctement gouverné, il peut devenir, du jour au lendemain, un moteur de recherche redoutablement efficace sur ses propres failles.

C’est pour cette raison que la sécurisation de Copilot se joue avant tout dans la configuration : Microsoft Purview DLP pour prévenir les fuites de données et encadrer précisément les usages liés à l’IA, Entra ID et l’authentification multifacteur pour verrouiller les identités, un accès conditionnel qui limite les connexions à risque.

Sigma accompagne l’audit et la sécurisation de vos tenants M365 : gestion des identités, Purview DLP, accès conditionnel.

Découvrir notre offre Modern Workplace Microsoft 365

Conformité AI Act : un vrai enjeu en 2026

L’AI Act européen classe chaque usage d’IA générative selon son niveau de risque. Ainsi, un chatbot du service client ou un générateur de contenus marketing vont relever du risque limité, avec une obligation de transparence simple : l’utilisateur doit savoir qu’il échange avec une IA.

Mais un outil de tri de CV ou d’évaluation de solvabilité bascule en haut risque : il exige un marquage CE, une documentation technique complète et un contrôle humain permanent.

Depuis 2025, les pratiques les plus dangereuses (notation sociale, manipulation comportementale) sont interdites. De plus, les fournisseurs de modèles à usage général (GPAI, la catégorie dont relèvent Copilot, ChatGPT ou encore Gemini) doivent publier une documentation technique et respecter le droit d’auteur européen.

Au 2 août 2026, enfin, la majorité des obligations entrent en vigueur pour les systèmes à haut risque. Les sanctions pourront aller jusqu’à 35 millions d’amende ou 7 % du chiffre d’affaires mondial pour les violations les plus graves.

À ce cadre s’ajoute naturellement le RGPD, sachant que son article 5 impose l’exactitude des données : si Copilot invente une information sur un client ou un salarié, cette simple hallucination devient une non-conformité absolue. En parallèle, l’article 22 interdit toute décision automatisée produisant des effets juridiques sans intervention humaine significative. Finalement, une banque ne peut pas refuser un crédit sur le seul score d’un algorithme, un service RH ne peut pas non plus écarter une candidature uniquement via un verdict d’IA.

Sigma accompagne les entreprises dans leur mise en conformité NIS2 et DORA, avec un audit de posture et un plan de remédiation priorisé.

Découvrir notre offre conformité cybersécurité

Former ne suffit pas si personne ne mesure l’adoption réelle

L’article 4 de l’AI Act ajoute une obligation de formation à la maîtrise de l’IA pour les utilisateurs des systèmes concernés. En parallèle, la directive NIS2 va dans le même sens via son article 20 : formation des organes de direction et des collaborateurs. Ces deux textes aboutissent finalement sur une conclusion similaire : la conformité documentaire ne remplace pas une véritable montée en compétence des équipes.

Bien évidemment, ce sujet dépasse la seule IA générative : depuis le lancement de ChatGPT, les attaques de phishing ont explosé. C’est un phénomène directement lié à la capacité de l’IA à produire des messages crédibles à grande échelle. Si vous formez vos équipes à l’IA sans les initier à la cybersécurité, vous risquez donc de ne traiter que la moitié du problème.