Ce qu'il faut retenir
- Copilot ne s'entraîne pas sur vos données : Microsoft s'y engage contractuellement pour les offres entreprise, et l'EU Data Boundary garde le traitement dans l'Union européenne. Sur ce plan, les craintes courantes sont exagérées.
- Mais un tenant Azure en France n'est pas souverain : Microsoft reste une société américaine, soumise au Cloud Act quelle que soit la localisation du datacenter. La nationalité de l'opérateur compte autant que la géographie.
- Le cadre juridique des transferts reste fragile : l'accord UE–États-Unis actuel (Data Privacy Framework) est le troisième du genre — les deux précédents ont été invalidés par la justice européenne.
- La bonne question n'est pas « Copilot ou pas », mais « quelles données dans quel outil » : bureautique courante d'un côté, données réglementées, R&D et secrets métier de l'autre.
- L'approche hybride est la norme dans les entreprises que nous accompagnons : Copilot pour la productivité générale, une IA souveraine pour les usages qui exposent le patrimoine informationnel.
Pourquoi la question se pose dans toutes les ETI en 2026
Microsoft a réussi un tour de force commercial : Copilot est arrivé dans les entreprises par la suite Office, sans projet IA, sans appel d'offres, souvent sans décision explicite de la direction. Une case cochée dans le contrat Microsoft 365, et l'IA générative lit vos courriels, vos documents SharePoint et vos conversations Teams.
C'est précisément ce qui inquiète les dirigeants que nous rencontrons en diagnostic : non pas la technologie — elle fonctionne — mais le fait qu'une décision structurante sur les données de l'entreprise ait été prise par défaut. La question mérite mieux qu'un réflexe : elle mérite une réponse par catégorie de données.
Copilot et vos données : ce qui se passe vraiment
Ce que Microsoft garantit
Soyons précis, car les procès d'intention n'aident personne. Pour Microsoft 365 Copilot en offre entreprise, Microsoft s'engage contractuellement sur trois points :
- Pas d'entraînement : vos prompts, vos documents et les réponses générées ne servent pas à entraîner les modèles de fondation.
- Périmètre du tenant : Copilot n'accède qu'aux données auxquelles l'utilisateur a déjà droit dans le tenant — il hérite des permissions existantes.
- Traitement dans l'UE : depuis février 2025, l'EU Data Boundary garantit que le stockage et le traitement des données des clients européens restent dans l'Union européenne, données de support comprises.
Sur le terrain du RGPD opérationnel, l'offre entreprise de Copilot est donc défendable. Si votre inquiétude était « Microsoft lit mes documents pour entraîner GPT », elle ne correspond pas au contrat.
Ce que Microsoft ne peut pas garantir
Le point dur est ailleurs, et il est juridique. Le Cloud Act, loi américaine de 2018, permet aux autorités des États-Unis d'exiger d'un fournisseur américain l'accès à des données qu'il contrôle, où qu'elles soient stockées dans le monde. Un datacenter à Marseille ou à Paris n'y change rien : c'est la nationalité de l'opérateur qui déclenche l'assujettissement, pas l'adresse des serveurs.
Ce n'est pas une hypothèse d'école pour tout le monde. Si vous travaillez pour la défense, la santé, l'énergie, ou si votre R&D constitue votre avantage compétitif, la simple possibilité juridique d'un accès non notifié est un risque à documenter — vos donneurs d'ordres le demandent d'ailleurs de plus en plus.
S'ajoute la fragilité du cadre des transferts transatlantiques : l'accord actuel, le Data Privacy Framework adopté en 2023, est le troisième du genre. Le Safe Harbor a été invalidé en 2015, le Privacy Shield en 2020 par l'arrêt Schrems II. Chaque invalidation a laissé les entreprises reconstruire leur conformité dans l'urgence.
Un tenant Azure en France est-il souverain ? Non — et voici pourquoi
C'est la confusion la plus fréquente que nous rencontrons en audit. La localisation des données répond à la question « où sont les serveurs ? ». La souveraineté répond à trois questions supplémentaires :
- Qui contrôle l'opérateur ? Une entité soumise à un droit extraterritorial (Cloud Act) ne peut pas garantir l'absence d'accès tiers, même de bonne foi.
- Qui contrôle le modèle ? Un modèle propriétaire accessible par API reste une boîte noire : ni auditable, ni réversible.
- Que deviennent les données d'inférence ? Engagements contractuels, télémétrie, logs : le diable est dans les annexes.
Le référentiel SecNumCloud de l'ANSSI formalise cette exigence pour le « cloud de confiance » : il impose notamment une protection contre les législations extracommunautaires — ce qu'un service opéré directement par un fournisseur américain ne peut structurellement pas offrir. Des coentreprises sous licence (comme Bleu pour l'écosystème Microsoft) visent à combler cet écart, mais elles ne couvrent pas Copilot dans son offre standard.
Ce que Copilot fait bien — et qu'une IA souveraine ne fera pas mieux
L'honnêteté commande de le dire : pour la productivité bureautique sur des contenus non sensibles, Copilot est difficile à battre. Résumer une réunion Teams, reformuler un courriel, générer une trame PowerPoint, retrouver un document : l'intégration native à Microsoft 365 est son vrai différenciateur, et reconstruire cette intégration en souverain coûterait sans commune mesure avec le gain.
Si vos usages IA se limitent à cela, une IA souveraine ne se justifie probablement pas aujourd'hui. Le sujet devient sérieux quand les usages glissent — et ils glissent toujours — vers les données qui comptent : contrats, données clients, chiffrages, code source, dossiers RH.
Quand l'IA souveraine s'impose
| Usage | Copilot suffit | IA souveraine requise |
|---|---|---|
| Rédaction, reformulation, synthèse bureautique | ✔ | |
| Comptes rendus de réunions internes | ✔ | |
| Analyse de contrats, dossiers juridiques | ✔ | |
| Données de santé, RH, finance réglementée | ✔ | |
| R&D, secrets industriels, chiffrages stratégiques | ✔ | |
| Assistant métier entraîné sur votre savoir-faire | ✔ (finetuning impossible sur Copilot) | |
| Réponse aux appels d'offres avec exigence de souveraineté | ✔ |
Trois critères font basculer un usage à droite du tableau : la sensibilité réglementaire des données (RGPD renforcé, secret médical, défense), la valeur concurrentielle de l'information (ce qui fait votre avance), et le besoin de spécialisation — un modèle open-weight finetuné sur vos données dépasse un modèle généraliste sur votre métier, et il vous appartient.
C'est l'architecture que nous décrivons en détail sur notre page IA souveraine : modèles open-weight, inférence sur nos propres GPU en France chez un opérateur français, sans dépendance aux API américaines.
Comment trancher pour votre entreprise
La méthode que nous appliquons en audit IA tient en trois étapes :
- Cartographier les usages réels — y compris le shadow AI : ce que vos équipes font déjà avec ChatGPT et Copilot sans cadre.
- Classer les données en trois niveaux : publiques, internes, sensibles. C'est le classement qui décide de l'outil, pas l'inverse.
- Router chaque usage : Copilot (ou équivalent) pour le niveau 1 et une partie du 2, IA souveraine pour le reste — avec une charte d'usage qui rend l'arbitrage lisible pour chaque collaborateur.
Le résultat n'est presque jamais « tout Copilot » ni « tout souverain ». C'est un partage documenté, défendable devant un client, un auditeur ou un régulateur.
Conclusion : le confort d'un côté, la maîtrise de l'autre
Copilot a gagné la bataille du confort ; la souveraineté reste une décision d'architecture que personne ne prendra à votre place. Tant que vos usages IA restent bureautiques, le statu quo est défendable. Dès qu'ils touchent au patrimoine informationnel — et c'est là que se joue le vrai ROI de l'IA — la question de qui contrôle l'infrastructure, le modèle et les données redevient stratégique.
Le plus coûteux n'est ni l'un ni l'autre : c'est de ne pas avoir décidé, et de découvrir dans deux ans où sont parties vos données.
Lire aussi : IA souveraine : pourquoi la France mise sur Mistral et le cloud souverain
Sources
- Congrès des États-Unis — CLOUD Act, H.R. 4943 (23 mars 2018)
- CJUE — arrêt Schrems II, invalidation du Privacy Shield (C-311/18) (16 juillet 2020)
- Commission européenne — décision d'adéquation EU-US Data Privacy Framework (10 juillet 2023)
- Microsoft — achèvement de l'EU Data Boundary (26 février 2025)
- Microsoft Learn — Confidentialité et protections de Microsoft 365 Copilot (documentation officielle, consultée en août 2026)
- ANSSI — référentiel SecNumCloud (version 3.2, 2022)
- CNIL — fiches pratiques sur l'intelligence artificielle (2024)
Vos équipes utilisent déjà Copilot ou ChatGPT sans cadre défini ? Vous répondez à des appels d'offres avec exigence de souveraineté ? Parlons-en — nous vous aidons à définir votre stratégie IA et à garder la maîtrise de vos données.
