Copilot de Microsoft 365 et la Loi 25 : où vont vos données?

Copilot est l’outil d’IA le plus facile à adopter pour une entreprise québécoise. Il est déjà dans Outlook, Word, Excel et Teams, il lit les fichiers que l’employé peut ouvrir et il s’active par une licence. C’est précisément ce qui oblige à se demander où vont les données qu’il lit.

Une précision de vocabulaire d’abord. Microsoft a renommé Microsoft 365 Copilot en Microsoft Copilot et Copilot Chat suit le même chemin, selon sa documentation. Les engagements de sécurité et de confidentialité, précise Microsoft, ne changent pas avec le nom.

Il faut commencer par ce qui est solide, parce que c’est beaucoup. Selon la page de Microsoft sur la confidentialité de Copilot, les requêtes, les réponses et les données consultées par Microsoft Graph ne servent pas à entraîner les grands modèles de langage de fondation, y compris ceux de Copilot.

Copilot ne fait apparaître que les données de l’organisation qu’un employé a au moins le droit de consulter. Il respecte les étiquettes de confidentialité et le chiffrement de Microsoft Purview. Les données sont chiffrées au repos et en transit. Microsoft indique aussi que Copilot s’est retiré de la surveillance des abus d’Azure OpenAI, qui comprend une révision humaine du contenu.

Ce sont des garanties réelles, documentées et contractuelles. Pour beaucoup d’usages courants, elles suffisent.

Microsoft distingue deux choses : le stockage au repos et le traitement. Pour le stockage, Copilot est couvert par les engagements de résidence des données des Conditions des produits Microsoft depuis le 1er mars 2024.

Concrètement, les requêtes et les réponses que Copilot conserve dans l’historique d’activité sont stockées avec le reste du contenu Microsoft 365 de l’organisation. Le Canada figure parmi les géographies visées par ces engagements et Microsoft y exploite deux régions Azure, à Toronto et à Québec. L’option payante de résidence avancée des données (ADR) ajoute un engagement explicite pour le contenu des échanges avec Copilot.

Le traitement, c’est le moment où le modèle lit votre requête et les documents trouvés pour produire une réponse. Microsoft l’écrit sans détour dans sa documentation : les appels de Copilot au modèle sont acheminés vers les centres de données les plus proches de la région, mais peuvent aussi l’être vers d’autres régions où de la capacité est disponible en période de forte utilisation.

Pour l’Union européenne, Microsoft applique la frontière des données de l’UE. Pour les autres clients, la même page précise que les requêtes peuvent être traitées aux États-Unis, en Europe ou dans d’autres régions. Un locataire canadien en fait partie aujourd’hui.

Microsoft a annoncé le 4 novembre 2025 un traitement au pays pour Copilot, avec le Canada parmi les pays visés en 2026. Une mise à jour du 3 avril 2026, sur le même billet, revoit le calendrier : l’Australie, l’Inde, les Émirats arabes unis, le Royaume-Uni et les États-Unis d’ici la fin de 2026, puis le Canada en 2027.

Le CLOUD Act oblige un fournisseur américain à préserver ou à communiquer les données en sa possession, sous sa garde ou sous son contrôle, qu’elles se trouvent aux États-Unis ou ailleurs. Stocker au Canada ne soustrait donc pas les données à cette loi.

Il faut aussi être juste. Devant une commission d’enquête du Sénat français, le 18 juin 2025, Anton Carniaux, de Microsoft France, a déclaré ne pas pouvoir garantir que des données ne seraient jamais transmises aux autorités américaines, tout en précisant que ce n’était jamais arrivé, selon The Register. Il a décrit les engagements de Microsoft : analyser chaque demande, rejeter celles qui ne sont pas fondées, demander qu’elles soient redirigées vers le client et aviser le client quand c’est possible.

Le risque n’est donc pas que Microsoft livre vos fichiers à la légère. Il tient au fait qu’une loi étrangère s’applique à votre fournisseur et que la protection repose sur ses engagements plutôt que sur l’architecture. Notre article sur le CLOUD Act et la souveraineté des données développe ce point.

L’article 17 de la Loi sur la protection des renseignements personnels dans le secteur privé exige qu’avant de communiquer un renseignement personnel à l’extérieur du Québec, l’entreprise procède à une évaluation des facteurs relatifs à la vie privée. Elle doit tenir compte de la sensibilité du renseignement, de la finalité, des mesures de protection et du régime juridique de l’État visé. La règle vaut aussi quand on confie la conservation à un tiers hors Québec.

Avec Copilot, deux faits doivent apparaître dans cette évaluation : un stockage au Canada, mais hors Québec et un traitement qui peut se faire aux États-Unis ou ailleurs. L’évaluation peut très bien conclure que la protection est adéquate pour vos usages. Elle doit simplement être faite et documentée. Notre guide de l’ÉFVP explique la démarche.

Pour la plupart des PME, la bonne réponse n’est ni « tout dans Copilot » ni « pas de Copilot ». C’est une décision par type de données.

Copilot excelle pour le courriel, les réunions et les documents de tous les jours. Pour les dossiers de clients d’un cabinet, les renseignements de santé ou les données d’un ERP, une IA souveraine installée chez vous ou dans votre région règle la question à la source : le traitement a lieu là où vous l’avez décidé, sans passer par un fournisseur d’IA externe.

C’est ce que Cogio déploie, comme l’explique notre page d’accueil. Pour les cabinets d’avocats, le guide du Barreau du Québec ajoute des exigences précises sur le secret professionnel. Notre page pour les avocats et notre article sur l’IA et le secret professionnel en font le tour.