Déploiement de Microsoft 365 Copilot

Ce que nous construisons

Un portrait de préparation du tenant. Un rapport des permissions SharePoint et OneDrive montrant ce qui est partagé avec Tout le monde, avec Tout le monde sauf les utilisateurs externes, et par liens anonymes. Une analyse des contenus sensibles là où ils ne devraient pas être. Une vérification des licences et des prérequis. Le livrable est une liste de sites et de bibliothèques nommés avec leurs propriétaires, pas un score de maturité.

La correction du surpartage. Retrait ou restriction des liens à portée large, revues d’accès menées avec le vrai responsable métier, traitement des sites orphelins, et changement des paramètres de partage par défaut pour que le problème cesse de se régénérer. C’est la phase la plus longue, et c’est elle qui fait tenir le déploiement.

Classification et protection. Étiquettes de confidentialité Microsoft Purview, avec une taxonomie assez courte pour être réellement utilisée, étiquetage automatique pour les catégories détectables de façon fiable, et DLP là où le risque le justifie. Copilot respecte les étiquettes : c’est ainsi qu’un document reste en dehors d’une réponse générée.

Le cadrage de la recherche. Recherche SharePoint restreinte lorsque la correction prendra des mois, pour qu’un pilote tourne sur une liste de sites choisis pendant que le nettoyage continue.

Un pilote mesuré. Une cohorte de 25 à 50 personnes réparties sur trois ou quatre rôles, avec une référence prise avant l’octroi des licences, des points hebdomadaires, et un ensemble de tâches précises à évaluer plutôt qu’une impression générale d’utilité.

Des agents là où ils se justifient. Agents déclaratifs Copilot Studio pour les flux qui restent dans Microsoft 365 et Graph. Quand le cas d’usage exige une recherche sur mesure, un choix de modèle ou une évaluation, il relève d’Azure AI Foundry, et nous le disons avant que vous ne le construisiez au mauvais endroit.

Hygiène des appareils et du tenant. Politiques de conformité Intune, accès conditionnel couvrant la surface Copilot, et la gouvernance Exchange et SharePoint que l’audit révèle généralement comme en retard.

Ce que l’audit trouve, presque à tous les coups

Le motif se répète d’un tenant à l’autre. Des sites partagés avec Tout le monde sauf les utilisateurs externes, parce que c’était la façon la plus rapide de régler une plainte d’accès il y a quatre ans. Des liens anonymes sans date d’expiration, créés pour un fournisseur remplacé depuis. Des équipes Teams d’un projet terminé, qui contiennent encore les fichiers et restent ouvertes aux membres d’origine. Un OneDrive appartenant à une personne partie, hérité par son gestionnaire et jamais révisé. Et, dans la plupart des tenants, au moins un dossier contenant des données salariales ou contractuelles à un endroit où personne n’irait chercher.

Rien de tout cela n’est de la négligence. C’est le résidu de dix ans d’entraide rapide, et c’était vivable tant que trouver un document exigeait de savoir qu’il existait. Copilot supprime cette condition. L’exposition ne change pas, sa découvrabilité oui, et cela suffit à transformer le profil de risque du jour au lendemain sans que personne ne touche à une permission. Au Québec, ce dossier est aussi un dossier Loi 25 : la question de savoir qui peut accéder aux renseignements personnels détenus n’attend pas Copilot pour se poser, elle devient simplement impossible à repousser.

Comment se déroule le mandat

Semaines 1 et 2, audit de préparation. Rapport de permissions, analyse des données sensibles, revue des licences, et un atelier pour choisir les trois à cinq tâches sur lesquelles le pilote sera mesuré. Vous repartez avec un carnet de correctifs priorisé et une estimation d’effort par élément.

Semaines 3 et 4, correction. Liens larges retirés, revues d’accès exécutées, valeurs de partage par défaut resserrées, étiquettes publiées et étiquetage automatique activé d’abord en simulation. Rien n’est appliqué avant d’avoir vu ce que la règle aurait attrapé.

Semaine 5, lancement du pilote. Licences attribuées à la cohorte, recherche restreinte cadrée au besoin, une séance pratique d’une heure par rôle plutôt qu’une formation générique, et un canal où les gens signalent ce qui n’a pas marché.

Semaines 6 à 9, mesure. Télémétrie d’usage, entretiens structurés à mi-parcours et à la fin, et une liste courante des requêtes assez bonnes pour être partagées comme patrons internes.

Semaine 10, décision et mise à l’échelle. Une recommandation écrite : étendre, maintenir ou arrêter, avec les preuves jointes. Si la réponse est d’arrêter, nous disons d’arrêter. Ensuite le modèle de gouvernance, le carnet de correctifs de la vague suivante, et la passation à l’équipe qui exploite le tenant.

Ce que vous gardez

Le rapport de permissions du tenant et le carnet de correctifs, avec responsables et statuts.
Une taxonomie d’étiquettes de confidentialité publiée et les politiques d’étiquetage automatique.
La référence du pilote et le résultat mesuré, en chiffres, tâche par tâche.
Une bibliothèque de requêtes qui ont fonctionné dans votre organisation, par rôle.
Un modèle de gouvernance Copilot écrit : qui reçoit une licence, sur quel critère, et ce qui se passe au départ d’une personne.
Le registre de décisions de chaque arbitrage entre Copilot Studio et AI Foundry.

Pour qui c’est fait

Les organisations de 100 à 5 000 postes qui ont acheté ou s’apprêtent à acheter des licences Microsoft 365 Copilot et veulent que le déploiement survive à sa première revue de sécurité. C’est particulièrement pertinent lorsque le tenant tourne depuis dix ans, a absorbé une fusion, ou héberge des renseignements personnels. Au Québec, la Loi 25 rend l’audit des permissions difficilement contournable : le sujet rejoint alors directement l’architecture de conformité, et en santé il constitue la barrière d’entrée, pas une formalité.

Pour qui ce n’est pas

Si vous avez moins d’une cinquantaine d’utilisateurs, un seul site SharePoint et aucun contenu sensible, vous n’avez pas besoin d’un mandat pour activer Copilot. Achetez cinq licences, essayez un mois, et dépensez le budget de conseil là où il rapporte.

Si la direction a déjà décidé que Copilot serait déployé à tout le monde le mois prochain et ne veut pas entendre parler de permissions, nous ne sommes pas la bonne firme. Nous n’activerons pas Copilot sur un tenant que nous n’avons pas audité : la première chose qu’un employé cherche est la masse salariale, et la réponse arrive avant que quiconque ait le temps de réagir.

Questions fréquentes

Pourquoi ne pas simplement activer Copilot ?

Vous pouvez, la licence fonctionne immédiatement. Le problème est que Copilot hérite des permissions de chaque utilisateur et cherche dans tout ce qu’il peut atteindre. Dans la plupart des tenants, cela comprend un dossier RH partagé avec Tout le monde en 2019 et un classeur financier sur le OneDrive de quelqu’un. Copilot ne crée pas l’exposition, il la rend trouvable en une phrase.

Combien de temps prend l’audit de préparation ?

Deux semaines pour un tenant de moins d’un millier d’utilisateurs, incluant le rapport de permissions SharePoint, l’analyse des données sensibles et une liste de correctifs priorisée avec une estimation d’effort par élément. Un tenant plus grand ou fortement fédéré demande plus de temps, et nous le disons avant de commencer.

Et si la correction s’avère énorme ?

Nous l’échelonnons. La recherche SharePoint restreinte permet de lancer un pilote sur une courte liste de sites choisis pendant que le nettoyage se poursuit, pour que le programme ne soit pas otage de dix ans de permissions accumulées. Mieux vaut un pilote étroit qui fonctionne qu’un pilote large qu’il faut désactiver.

Copilot Studio ou Azure AI Foundry ?

Copilot Studio quand le cas d’usage vit dans Microsoft 365, que les données sont accessibles par Graph et que les utilisateurs sont déjà dans Teams. Azure AI Foundry quand il faut une recherche documentaire sur mesure, un choix de modèle par charge, des harnais d’évaluation, ou un ancrage dans des systèmes que Graph ne voit pas. Nous tranchons sur le fond et écrivons la raison : les deux ont des profils d’entretien très différents.

Comment prouver que Copilot valait la licence ?

La mesure se définit avant le pilote, pas après. Une référence sur trois à cinq tâches précises, la télémétrie d’usage du centre d’administration Microsoft 365 et de Viva Insights, et un entretien structuré avec la cohorte. Si le chiffre ne justifie pas le renouvellement, c’est une réponse utile et nous la livrons telle quelle.

Prenez-vous aussi en charge le tenant Microsoft 365 ?

Oui. Gouvernance Exchange et SharePoint, conformité des appareils par Intune, et migration depuis Google Workspace ou un Exchange sur site. L’audit Copilot met généralement au jour des questions d’hygiène du tenant qui existaient déjà, donc les deux chantiers arrivent ensemble.

Une question sur ce mandat ?

Trois champs. Un architecte le lit et répond en un jour ouvrable.