Microsoft Resserre la Laisse de l’IA : Copilot Interdit d’Accès aux Documents Sensibles Partout

Tard dans la nuit, un administrateur informatique d’une multinationale a fait une découverte inquiétante : des e-mails confidentiels, censés être protégés par des politiques strictes de prévention de la perte de données (DLP), avaient été consultés et résumés par Microsoft 365 Copilot, l’assistant IA tant vanté de l’entreprise. Ce n’était pas un piratage, mais une faille - que Microsoft s’empresse désormais de refermer définitivement.

En Bref

• Microsoft étend les contrôles DLP pour empêcher Copilot de traiter des fichiers Office sensibles stockés n’importe où - including sur les appareils locaux.
• La mise à jour sera déployée entre mars et avril 2026 via le composant Office Augmentation Loop (AugLoop).
• Auparavant, l’application des politiques DLP ne concernait que les fichiers sur SharePoint ou OneDrive - pas sur les appareils locaux.
• Un bug logiciel récent a permis à Copilot de résumer des e-mails confidentiels, contournant les protections DLP pendant près d’un mois.
• Les nouveaux contrôles ne nécessitent aucune action administrative pour les organisations utilisant déjà des politiques DLP contre Copilot.

Depuis des années, l’IA Copilot de Microsoft promet des super-pouvoirs de productivité - rédaction de documents, résumés d’e-mails, réponses instantanées. Mais à mesure que les organisations confiaient davantage de données sensibles au cloud, une faille est apparue : les politiques de prévention de la perte de données de Copilot n’étaient solides que dans leur maillon le plus faible. Jusqu’à présent, les fichiers stockés localement sur les PC échappaient au filet de protection, laissant une brèche exploitable par des attaquants - ou des accidents.

Cela va changer avec la prochaine mise à jour du système DLP de Microsoft 365. En améliorant le composant Office AugLoop, Microsoft permettra aux applications Office de lire l’étiquette de sensibilité d’un fichier directement depuis l’appareil de l’utilisateur - sans dépendre uniquement des métadonnées du cloud. Une fois déployé, Copilot sera interdit d’accès ou de traitement de tout fichier Word, Excel ou PowerPoint marqué comme restreint, quel que soit son emplacement.

L’urgence n’est pas théorique. Plus tôt cette année, un « problème de code » a permis à la fonction chat de Copilot d’accéder et de résumer des e-mails confidentiels - notamment ceux des dossiers Éléments envoyés et Brouillons - malgré des politiques DLP actives. Bien que Microsoft affirme que seuls les utilisateurs autorisés ont vu les résumés, l’incident a ébranlé les clients et souligné le besoin de contrôles infaillibles, indépendants de l’emplacement.

Point important, Microsoft rend cette mise à niveau de sécurité transparente : les organisations disposant déjà de politiques DLP bloquant Copilot en bénéficieront automatiquement, sans configuration supplémentaire. L’entreprise tient à préciser que les capacités de Copilot restent inchangées ; c’est l’application des politiques DLP qui bénéficie enfin d’une mise à niveau attendue de longue date.

Pour les entreprises qui jonglent entre les promesses de l’IA et les risques d’exposition des données, cette décision marque une nouvelle ère de vigilance. À mesure que les assistants IA s’intègrent plus profondément dans les flux de travail quotidiens, le défi est clair : faire confiance, mais vérifier - et ne jamais supposer que les données sensibles sont hors de portée.

Conclusion

L’extension par Microsoft des contrôles DLP à tous les emplacements de stockage est bien plus qu’un simple correctif technique - c’est une leçon de confiance numérique. À mesure que la portée de l’IA s’étend, les garde-fous doivent suivre. Dans la course à l’automatisation, les vrais gagnants seront ceux qui se souviennent que la sécurité n’est jamais universelle, et que la faille d’aujourd’hui fera la une demain.

WIKICROOK

• Prévention de la Perte de Données (DLP) : La prévention de la perte de données (DLP) est une technologie qui détecte et bloque le partage ou la fuite non autorisés de données sensibles d’une organisation.
• Copilot : Copilot est l’assistant IA de Microsoft dans les applications Office, conçu pour aider les utilisateurs à créer, éditer et analyser des documents rapidement et efficacement.
• Étiquette de Sensibilité : Une étiquette de sensibilité est un marqueur numérique qui classe les données ou e-mails selon leur confidentialité, aidant à appliquer des règles de sécurité et à prévenir les accès ou partages non autorisés.
• Augmentation Loop (AugLoop) : L’Augmentation Loop (AugLoop) connecte les applications Office au cloud Microsoft, permettant les fonctionnalités IA et la collaboration en gérant de façon sécurisée le flux de données entre le client et le cloud.
• Microsoft Graph : Microsoft Graph est une plateforme d’API qui connecte les applications aux services Microsoft 365, permettant un accès sécurisé aux données et ressources organisationnelles.