Comment éviter le surpartage Copilot dans SharePoint

Microsoft 365 Copilot ne casse pas vos autorisations SharePoint. Il les expose. Dès l’instant où vous l’activez, Copilot peut lire chaque fichier que l’utilisateur connecté a le droit d’ouvrir, puis le résumer en quelques secondes. Si un tableur des salaires, un projet de réorganisation ou un contrat non publié a un jour été partagé trop largement, Copilot le trouvera et le citera.

C’est le cœur du surpartage Copilot. Ce n’est pas une faille de sécurité de l’IA. C’est des années de prolifération d’autorisations qui deviennent soudain interrogeables en langage clair. Ce guide accompagne les administrateurs SharePoint à travers le travail de gouvernance à mener avant le déploiement, avec les véritables contrôles Microsoft qui contiennent le risque.

Ce que vous trouverez dans cet article

• Pourquoi le surpartage Copilot se produit, et pourquoi c’est un problème d’autorisations
• Les risques spécifiques d’activer Copilot avant que la gouvernance ne soit en place
• Une check-list de gouvernance pratique, contrôle par contrôle
• Une séquence de préparation pré-Copilot étape par étape
• Comment garder le contenu gouverné après la mise en service

Pourquoi le surpartage Copilot se produit-il ?

Le surpartage Copilot se produit parce que Microsoft 365 Copilot respecte les droits d’accès existants et récupère le contenu via Microsoft Graph et Microsoft Search. Selon Microsoft Learn, Copilot ne renvoie que le contenu auquel l’utilisateur a déjà accès. Le problème n’est pas ce que Copilot peut atteindre. C’est ce que les utilisateurs pouvaient déjà atteindre mais n’avaient jamais remarqué.

Pendant des années, SharePoint et OneDrive ont rendu le partage facile. Les gens utilisaient « Tous les utilisateurs disposant du lien », accordaient l’accès à de larges groupes Microsoft 365 ou copiaient des fichiers sensibles dans des sites d’équipe. Personne ne lisait ces fichiers manuellement, donc l’exposition restait invisible. Copilot supprime cette friction.

Demandez-lui « quelle est la structure de nos primes 2026 ? » et il parcourt tout ce que vous pouvez ouvrir, puis répond en un paragraphe. Un document techniquement accessible mais pratiquement enfoui n’est plus qu’à une requête d’une phrase.

Points clés à retenir

• Copilot fait remonter du contenu que les utilisateurs avaient déjà l’autorisation d’ouvrir, donc le surpartage est un problème d’autorisations, pas un défaut de l’IA.
• Restricted Content Discovery (RCD) masque un site de Copilot et de la recherche à l’échelle de l’organisation tout en préservant l’accès direct.
• Les rapports Data Access Governance signalent les sites surpartagés avant le déploiement. Microsoft les documente dans SharePoint Advanced Management.
• Réalisez le nettoyage des autorisations, le RCD, les revues DAG et les étiquettes de confidentialité avant d’attribuer des licences Copilot.

Dans notre travail avec les clients Microsoft 365, la surprise la plus fréquente n’est pas un fichier piraté. C’est un site RH partagé avec « Tout le monde sauf les utilisateurs externes » sous trois administrateurs de tenant successifs, dont personne ne se souvenait jusqu’à ce que Copilot cite une lettre de licenciement.

Microsoft 365 Copilot récupère ses résultats via Microsoft Graph et respecte les autorisations existantes, ne renvoyant que le contenu que l’utilisateur connecté peut déjà ouvrir (Microsoft Learn). Le surpartage reflète donc une prolifération d’accès préexistante dans SharePoint et OneDrive, et non une lacune dans la conception de Copilot ou son modèle d’ancrage.

Consultez notre aperçu de Microsoft 365 Copilot pour découvrir comment l’assistant est sous licence et ce qu’il peut faire.

Quel est le risque de déployer Copilot avant la gouvernance ?

Le plus grand risque avant le déploiement est la vitesse de découverte. Copilot peut renvoyer un document sensible en une seule requête qu’un employé curieux n’aurait peut-être jamais trouvé en naviguant. Microsoft lui-même recommande une fondation de données « sécurisée par défaut » avant un déploiement étendu, dans son guide de déploiement de Copilot.

Pensez à ce qui change le premier jour. Des autorisations qui étaient « correctes parce que personne ne regardait » deviennent un index de recherche en direct, en langage naturel. Un stagiaire peut interroger sur les licenciements. Un prestataire peut interroger sur les tarifs. Rien n’a été compromis, et pourtant le contenu sensible devient soudain conversationnel.

Il y a trois risques en couches qui méritent d’être nommés. Premièrement, le surpartage interne : des gens voient le contenu de collègues qu’ils ne devraient pas voir. Deuxièmement, la divulgation involontaire : Copilot inclut un chiffre sensible au sein d’une réponse plus large. Troisièmement, l’exposition de conformité : des données réglementées, comme des dossiers RH ou financiers, deviennent trivialement récupérables sans piste d’audit que quiconque ait examinée.

Voici le point à contre-courant. Copilot n’augmente pas votre surface de risque. Il la mesure. Le nombre de fichiers que Copilot peut citer est le nombre exact de fichiers que votre modèle d’autorisations le plus faible exposait déjà. Traitez votre premier pilote Copilot comme un test d’intrusion gratuit de votre propre hygiène de partage.

Microsoft conseille d’établir une fondation de données sécurisée, incluant la revue des autorisations et des contrôles de surpartage, avant de déployer largement Microsoft 365 Copilot (Microsoft Learn). Sauter cette étape ne crée pas de nouvel accès. Cela rend le contenu déjà sur-autorisé instantanément découvrable via des requêtes en langage naturel.

Quels contrôles de gouvernance SharePoint préviennent le surpartage ?

La check-list de gouvernance repose sur cinq contrôles, la plupart à l’intérieur de SharePoint Advanced Management, que Microsoft inclut avec une licence Microsoft 365 Copilot selon sa documentation de licence. Utilisés ensemble, ces contrôles vous permettent de repérer le contenu surpartagé, de le restreindre vis-à-vis de Copilot et de le garder gouverné dans le temps.

Hygiène des autorisations

Commencez par les bases, car aucun contrôle avancé ne corrige un modèle d’autorisations défaillant. Retirez « Tout le monde sauf les utilisateurs externes » des sites contenant du contenu sensible. Remplacez le partage « Tous les utilisateurs disposant du lien » par des liens vers des personnes spécifiques là où les données sont confidentielles. Auditez quels groupes Microsoft 365 accordent l’accès à quels sites, et élaguez les appartenances qui n’ont plus de sens.

L’héritage rompu est le coupable silencieux. Lorsqu’un dossier ou un fichier a des autorisations uniques qui dérivent du site parent, l’exposition devient presque impossible à suivre manuellement. Réduisez les autorisations uniques partout où vous le pouvez, et standardisez l’accès au niveau du site.

Restricted Content Discovery (RCD)

Restricted Content Discovery est votre outil de confinement le plus rapide. Lorsque vous activez le RCD sur un site, son contenu est exclu de la recherche à l’échelle de l’organisation et des résultats de Microsoft 365 Copilot, tandis que les utilisateurs disposant d’un accès direct continuent de travailler normalement. Microsoft documente ce comportement dans son guide RCD.

Les administrateurs l’appliquent généralement avec PowerShell. La cmdlet est Set-SPOSite -Identity <URL du site> -RestrictContentOrgWideSearch $true. C’est idéal pour les sites sensibles que vous ne pouvez pas entièrement ré-autoriser avant le lancement, comme un site RH ou de direction. Le RCD vous fait gagner du temps sans bloquer les personnes qui ont légitimement besoin du contenu.

Une mise en garde. Le RCD réduit la découvrabilité, il ne supprime pas l’accès. Si un utilisateur a une autorisation directe sur un site restreint, il peut toujours ouvrir un document précis vers lequel il navigue, et même interroger Copilot à son sujet. Utilisez-le comme un garde-fou, pas comme un substitut à la correction des autorisations.

Rapports Data Access Governance

Avant de pouvoir corriger le surpartage, vous devez le voir. Les rapports Data Access Governance (DAG) du centre d’administration SharePoint font remonter automatiquement vos sites les plus à risque. Selon Microsoft Learn, ces rapports mettent en évidence les sites partagés avec tout le monde, les sites comportant de nombreux liens de partage et les sites contenant du contenu étiqueté comme sensible.

Exécutez-les en premier. Ils transforment une tâche impossible du type « auditer tout le tenant » en une liste restreinte et hiérarchisée de sites qui nécessitent une attention immédiate. Priorisez le haut de cette liste avant que la moindre licence Copilot ne soit distribuée.

Revues d’accès aux sites

Repérer les sites surpartagés est la première étape. Amener les propriétaires de sites à les corriger est la deuxième. Les revues d’accès aux sites, disponibles via SharePoint Advanced Management, permettent aux administrateurs de déléguer une revue aux personnes qui connaissent réellement le contenu. Vous signalez un site à partir d’un rapport DAG, et le propriétaire confirme ou retire l’accès.

C’est important parce que l’informatique centrale sait rarement si l’équipe finance devrait voir un site donné. Les propriétaires, eux, le savent. La délégation fait passer la gouvernance à l’échelle sans faire d’un seul administrateur le goulot d’étranglement de milliers de sites.

Étiquettes de confidentialité

Les étiquettes de confidentialité de Microsoft Purview ajoutent une protection qui voyage avec le fichier. Une étiquette avec chiffrement peut restreindre qui ouvre un document et quelles actions il effectue. Selon la documentation Microsoft Purview, Copilot respecte ces droits d’usage, donc si une étiquette refuse à un utilisateur le droit de voir ou d’extraire le contenu, Copilot ne le fera pas remonter pour lui.

Les étiquettes vous permettent aussi d’exclure le contenu protégé du traitement et du résumé par Copilot. Combinées à l’étiquetage automatique, elles protègent les fichiers sensibles même lorsque les autorisations sont imparfaites, ce qui en fait la couche la plus durable de cette liste.

SharePoint Advanced Management fournit les rapports Data Access Governance, les revues d’accès aux sites et Restricted Content Discovery pour identifier et contenir le contenu surpartagé, et il est inclus avec une licence Microsoft 365 Copilot (Microsoft Learn). Les étiquettes de confidentialité ajoutent une protection au niveau du fichier que Copilot respecte lors de la récupération et du résumé.

Pour le contexte de la plateforme sur laquelle reposent ces contrôles, lisez notre guide sur SharePoint Online. Les groupes d’accès pilotés par autorisations se marient aussi bien avec les groupes dynamiques Azure AD.

Comment préparer SharePoint pour Copilot étape par étape ?

Une séquence pré-Copilot propre prend des semaines, pas des jours, et le propre guide de configuration de Copilot de Microsoft le présente comme un déploiement par phases plutôt que comme un interrupteur. L’objectif est simple : savoir ce qui est exposé, contenir le plus grave, puis activer Copilot par vagues maîtrisées.

Voici un ordre des opérations pratique.

Étape 1 : exécutez les rapports Data Access Governance

Ouvrez le centre d’administration SharePoint et générez les rapports DAG. Exportez la liste des sites partagés avec « Tout le monde sauf les utilisateurs externes » et les sites comportant le plus de liens de partage. C’est votre file de travail.

Étape 2 : appliquez Restricted Content Discovery aux sites à haut risque

Pour les sites sensibles que vous ne pouvez pas ré-autoriser immédiatement, activez le RCD avec Set-SPOSite -RestrictContentOrgWideSearch $true. Cela les soustrait à la portée de Copilot sur-le-champ, le temps de réaliser le nettoyage plus lent.

Étape 3 : corrigez les autorisations sur les sites priorisés

Avancez dans la liste DAG. Retirez les accès de groupes larges, convertissez les liens de partage risqués et réinitialisez l’héritage rompu. Déclenchez des revues d’accès aux sites pour que les propriétaires confirment qui a réellement besoin de chaque site.

Étape 4 : déployez et appliquez automatiquement les étiquettes de confidentialité

Déployez une taxonomie d’étiquettes claire et configurez l’étiquetage automatique pour les données sensibles connues, comme le contenu financier ou RH. Les étiquettes avec chiffrement deviennent votre filet de sécurité pour tout ce que le nettoyage laisse passer.

Étape 5 : pilotez Copilot avec un petit groupe surveillé

Activez Copilot pour un petit groupe pilote et observez ce qu’il fait remonter. Utilisez le pilote comme un test de résistance délibéré. Si Copilot cite quelque chose qu’il ne devrait pas, vous avez trouvé une faille d’autorisation avant qu’un déploiement complet ne l’aurait fait.

Nous avons constaté qu’un pilote au périmètre resserré, dix à vingt personnes réparties entre les RH, la finance et l’informatique, expose plus de surpartage réel en deux semaines que des mois d’audits d’autorisations théoriques. Laissez l’outil vous dire où sont les trous.

Microsoft recommande un déploiement de Microsoft 365 Copilot par phases qui commence par une fondation de données sécurisée et un pilote maîtrisé avant un déploiement étendu (Microsoft Learn). Un groupe pilote surveillé fait remonter les véritables failles de surpartage plus vite que des audits d’autorisations à l’échelle du tenant menés de façon isolée.

Copilot ancre ses réponses dans le même index que la recherche d’entreprise, donc nos notes sur SharePoint Online aident à expliquer comment le contenu est remonté.

Comment garder SharePoint gouverné après la mise en service de Copilot ?

La gouvernance n’est pas une tâche de lancement, c’est un mode opératoire. Le guide de sécurité des données pour Copilot de Microsoft traite la prévention du surpartage comme continue, car chaque nouveau site et chaque nouveau lien de partage peuvent rouvrir le risque. Traitez la gouvernance comme un cycle récurrent, pas comme un nettoyage ponctuel.

Planifiez les rapports DAG à une cadence régulière, mensuelle ou trimestrielle, et agissez rapidement sur les nouveaux sites à haut risque. Maintenez les revues d’accès aux sites en cours pour que les propriétaires reconfirment l’accès périodiquement plutôt qu’une seule fois. Surveillez les journaux d’audit pour voir comment le contenu est réellement consulté et partagé dans le temps.

Posez aussi des garde-fous pour le nouveau contenu. Configurez par défaut les nouveaux sites d’équipe en privé, restreignez les liens « Tous les utilisateurs » au niveau du tenant et appliquez des étiquettes de confidentialité par défaut afin que les documents récents démarrent protégés. Le but est de faire du chemin sécurisé le chemin facile.

Un intranet SharePoint bien gouverné rend tout cela bien plus simple. Lorsque les groupes d’accès, les bibliothèques de documents et les étiquettes sont structurés dès le départ, la gouvernance devient de la maintenance plutôt que de la lutte contre l’incendie. C’est un domaine où une plateforme d’intranet gérée comme intranet.ai apporte son aide, car des modèles de site et des schémas d’autorisations cohérents empêchent le surpartage de revenir s’installer.

Microsoft présente la prévention du surpartage Copilot comme continue, puisque de nouveaux sites, fichiers et liens de partage peuvent réintroduire l’exposition après le déploiement (Microsoft Learn). Des rapports Data Access Governance récurrents, des revues d’accès aux sites périodiques et la surveillance des journaux d’audit gardent un tenant gouverné bien après la mise en service.

Questions fréquentes

Qu’est-ce que le surpartage Copilot dans SharePoint ?

Le surpartage Copilot se produit lorsque Microsoft 365 Copilot fait remonter, dans ses réponses, du contenu SharePoint ou OneDrive qu’un utilisateur peut techniquement ouvrir mais n’était jamais censé voir. Copilot respecte les autorisations existantes, donc le surpartage reflète une prolifération d’accès préexistante plutôt qu’un défaut de Copilot.

Qu’est-ce que Restricted Content Discovery dans SharePoint ?

Restricted Content Discovery (RCD) est un paramètre de SharePoint Advanced Management qui exclut le contenu d’un site de la recherche à l’échelle de l’organisation et des réponses de Microsoft 365 Copilot, tandis que les utilisateurs disposant d’un accès direct peuvent toujours ouvrir les fichiers. Il s’applique par site, souvent via la cmdlet Set-SPOSite -RestrictContentOrgWideSearch.

Microsoft 365 Copilot respecte-t-il les autorisations SharePoint ?

Oui. Copilot ne renvoie que le contenu que l’utilisateur connecté a déjà l’autorisation d’ouvrir via Microsoft Graph. Il ne contourne pas les autorisations ni les étiquettes de confidentialité. Le risque est que des autorisations larges ou oubliées permettent à Copilot de récupérer du contenu plus vite qu’une personne ne le ferait jamais manuellement.

Ai-je besoin de SharePoint Advanced Management pour la gouvernance de Copilot ?

SharePoint Advanced Management débloque les contrôles de surpartage les plus puissants, notamment les rapports Data Access Governance, les revues d’accès aux sites et Restricted Content Discovery. Une licence Microsoft 365 Copilot inclut SharePoint Advanced Management, donc la plupart des organisations qui déploient Copilot ont déjà accès à ces outils.

Comment repérer les sites SharePoint surpartagés avant un déploiement de Copilot ?

Utilisez les rapports Data Access Governance dans le centre d’administration SharePoint. Ils signalent les sites partagés avec « Tout le monde sauf les utilisateurs externes », les sites comportant de nombreux liens de partage et le contenu étiqueté comme sensible, vous aidant à prioriser les sites à examiner avant d’activer Copilot pour les utilisateurs.

Les étiquettes de confidentialité peuvent-elles empêcher Copilot d’afficher du contenu sensible ?

Les étiquettes de confidentialité avec chiffrement restreignent ce que Copilot peut traiter et référencer. Si une étiquette refuse à un utilisateur les droits EXTRACT ou VIEW, Copilot ne fera pas remonter le contenu de ce fichier pour lui. Les étiquettes vous permettent aussi d’exclure les fichiers protégés du résumé par Copilot.

Conclusion

Le surpartage Copilot est un problème résoluble, mais seulement si vous le traitez comme un défi d’autorisations plutôt que comme un défi d’IA. Les outils existent déjà dans Microsoft 365. Les rapports Data Access Governance vous montrent ce qui est exposé. Restricted Content Discovery contient rapidement les pires sites. Le nettoyage des autorisations, les revues d’accès aux sites et les étiquettes de confidentialité rendent la correction durable.

Faites le travail avant d’attribuer des licences Copilot, pas après qu’un fichier sensible soit apparu dans la conversation de quelqu’un. Commencez par les rapports DAG, restreignez vos sites les plus à risque, puis pilotez Copilot avec un petit groupe capable de signaler ce qui passe à travers les mailles.

Un intranet bien structuré garde tout cela gérable sur le long terme, car des modèles propres et des autorisations cohérentes empêchent le surpartage de revenir. Si vous planifiez un déploiement de Copilot sur SharePoint, la gouvernance est le travail de fond qui rend le reste sûr.

Prêt pour le déploiement lui-même ? Poursuivez avec notre guide sur Microsoft 365 Copilot.