AI Act et Microsoft Copilot 365 : conformité en pratique
Utiliser Microsoft 365 Copilot est conforme à l'AI Act dans la très grande majorité des cas. Vos obligations réelles tiennent en trois points : informer quand l'IA n'est pas évidente, garder la main sur les usages sensibles, et savoir à quel moment vous cessez d'être simple utilisateur.
La question revient dans presque tous les audits que nous menons chez des PME équipées de la suite Microsoft : « on a déployé Copilot à 40 personnes, est-ce qu'on est en règle ? ». La réponse courte est oui, à condition de traiter trois ou quatre points précis. La réponse utile demande de distinguer ce qui relève de Microsoft, ce qui relève de vous, et ce qui ne relève d'aucun des deux. Si le sujet est neuf pour vous, notre guide de conformité AI Act pour PME pose le cadre général ; cet article ne traite que du cas Copilot.
Microsoft est le fournisseur, vous êtes le déployeur
Dans une installation standard de Microsoft 365 Copilot, Microsoft est le fournisseur du système d'IA au sens du règlement (UE) 2024/1689, et votre entreprise en est le déployeur. Cette répartition détermine tout le reste, parce que les deux rôles n'ont pas les mêmes obligations.
Concrètement, ce qui incombe à Microsoft et pas à vous :
- la documentation technique du système et la conformité du modèle sous-jacent ;
- les obligations du chapitre V sur les modèles d'IA à usage général, applicables aux fournisseurs depuis le 2 août 2025 : résumé des données d'entraînement, politique de droit d'auteur, documentation à destination des déployeurs ;
- le marquage machine des contenus générés, prévu à l'article 50, paragraphe 2.
Ce qui reste à votre charge : l'usage. Le règlement ne régule pas un logiciel, il régule des finalités et des rôles. Le même abonnement Copilot peut ne déclencher aucune obligation particulière dans une équipe marketing, et faire basculer l'entreprise dans un régime lourd s'il sert à trier des candidatures. Nous détaillons cette logique de périmètre dans notre article sur les entreprises concernées par l'AI Act.
L'obligation de transparence de l'article 50 est votre premier vrai sujet
Depuis le 2 août 2026, l'article 50 impose d'informer une personne lorsqu'elle interagit avec une IA ou lorsqu'elle consulte un contenu généré par IA, sauf si c'est manifeste au vu du contexte. C'est la seule obligation qui touche à peu près toutes les PME utilisatrices de Copilot.
En pratique, quatre situations sont couvertes : les systèmes qui dialoguent directement avec une personne physique, les contenus synthétiques (texte, image, audio, vidéo), la reconnaissance d'émotions et la catégorisation biométrique, enfin les hypertrucages et les textes publiés pour informer le public sur des sujets d'intérêt général.
Appliqué à Copilot, cela donne :
- un mail rédigé avec l'aide de Copilot puis relu et envoyé par un salarié : aucune obligation d'affichage, il y a bien une responsabilité éditoriale humaine ;
- un agent conversationnel construit avec Copilot Studio et exposé à vos clients : obligation d'informer clairement qu'ils parlent à une IA ;
- un article de fond publié sur votre site, généré par Copilot et mis en ligne sans relecture éditoriale réelle : obligation de mention, sur le fondement de l'article 50, paragraphe 4 ;
- un visuel produit par Copilot Designer et diffusé tel quel : contenu synthétique à signaler.
Le point que la plupart des articles oublient : l'article 50 prévoit une exception explicite quand le contenu a fait l'objet d'un contrôle éditorial humain et qu'une personne assume la responsabilité de la publication. Pour une PME, la mise en conformité passe donc autant par une règle interne de relecture que par un bandeau « généré par IA ». Notre modèle de notice d'information IA couvre la formulation à retenir dans chacun de ces cas.
Le vrai risque est le glissement de déployeur vers fournisseur
Vous restez déployeur tant que vous utilisez Copilot tel que Microsoft l'a conçu ; vous devenez fournisseur si vous modifiez substantiellement un système à haut risque, si vous en changez la finalité au point de le rendre à haut risque, ou si vous le commercialisez sous votre marque. C'est l'angle mort de la plupart des déploiements Copilot que nous voyons.
Le mécanisme est prévu à l'article 25. Attention à ne pas le sur-interpréter : il ne se déclenche qu'autour des systèmes à haut risque. Créer un agent déclaratif dans Copilot Studio pour répondre aux questions RH internes ne fait pas de vous un fournisseur. En revanche, deux configurations méritent un examen sérieux :
- Vous construisez sur Copilot Studio un agent qui pré-trie des candidatures, note des CV ou aide à décider d'une promotion. Le tri de candidatures relève de l'annexe III. En détournant l'outil vers cette finalité, vous engagez votre responsabilité, et pas seulement celle de Microsoft.
- Vous packagez un agent Copilot et vous le revendez ou le mettez à disposition de vos clients sous votre nom. Vous vous placez alors dans la chaîne de fourniture.
La distinction est expliquée en détail dans notre article sur les systèmes d'IA à haut risque. Retenez pour l'instant qu'un déploiement Copilot standard, y compris avec quelques agents internes, n'y bascule pas.
Certaines pratiques restent interdites, quel que soit l'outil
L'article 5 interdit huit pratiques depuis le 2 février 2025, et ces interdictions s'appliquent même si vous n'êtes que déployeur d'un outil du commerce. Deux d'entre elles concernent directement des usages que nous voyons apparaître dans les entreprises équipées de Microsoft 365.
La reconnaissance d'émotions sur le lieu de travail est interdite, sauf motif médical ou de sécurité. Si quelqu'un imagine d'analyser le ton des messages Teams pour mesurer le moral des équipes, la réponse est non, et ce n'est pas négociable. La notation sociale des personnes est également prohibée : un tableau de bord qui classerait les salariés sur la base de signaux comportementaux agrégés tombe dans le même champ.
Ces interdictions sont les seules à porter le plafond de sanction le plus élevé, soit 35 millions d'euros ou 7 % du chiffre d'affaires mondial. Pour une PME, le plafond retenu est le plus bas des deux montants, ce qui reste très supérieur à ce qu'une structure de 30 personnes peut absorber. Nous avons détaillé le barème complet dans notre article sur les sanctions AI Act, et la liste exhaustive dans celui sur les pratiques IA interdites.
Le report du volet haut risque ne vous exonère de rien aujourd'hui
Le Digital Omnibus, entré en vigueur le 27 juillet 2026, a repoussé au 2 décembre 2027 l'application des obligations pour les systèmes à haut risque de l'annexe III, et au 2 août 2028 pour ceux de l'annexe I. Le volet transparence, lui, n'a pas bougé.
Cette nuance est mal comprise, y compris par des cabinets qui publient encore des calendriers périmés. Ce qui est reporté, ce sont les exigences lourdes : système de gestion des risques, gouvernance des données, documentation technique, contrôle humain formalisé au titre de l'article 26. Ce qui s'applique déjà : l'article 5, l'article 50 et le régime de sanction du chapitre XII. Le calendrier complet de l'AI Act reprend chaque échéance.
Un mot sur l'article 4 et la formation. Le même Omnibus a allégé l'obligation de maîtrise de l'IA : ce qui pesait sur les entreprises est devenu une incitation non contraignante, la Commission et les États membres prenant la main sur la promotion de la littératie IA. Nous préférons le dire clairement plutôt que de vendre une peur qui n'existe plus, et nous l'expliquons dans notre article sur l'article 4 et la formation IA. Reste que former les utilisateurs de Copilot demeure la mesure la plus efficace pour éviter les usages hors-piste, et qu'elle redevient une obligation en bonne et due forme dès qu'un système à haut risque est en jeu.
Ce que Microsoft couvre et ce que vous devez couvrir vous-même
| Sujet | Qui porte l'obligation | Ce que vous avez à faire |
|---|---|---|
| Documentation technique du système | Microsoft | Conserver la documentation fournie, savoir la produire en cas de contrôle |
| Modèle à usage général sous-jacent | Microsoft | Rien de direct |
| Marquage machine des contenus générés | Microsoft | Vérifier que la fonction est active dans votre tenant |
| Information des personnes qui interagissent avec un agent | Vous | Mention explicite sur tout agent exposé à des tiers |
| Mention sur les contenus publiés | Vous | Règle de relecture éditoriale ou mention automatique |
| Périmètre des données accessibles à Copilot | Vous | Revue des droits SharePoint et OneDrive avant déploiement |
| Usages interdits par l'article 5 | Vous | Charte d'usage et contrôle des agents créés en interne |
| Registre des systèmes d'IA utilisés | Vous | Cartographie tenue à jour |
La ligne sur les droits d'accès mérite un développement. Copilot restitue ce à quoi l'utilisateur a déjà accès. Dans une PME où les partages SharePoint se sont empilés depuis cinq ans, cela signifie qu'un stagiaire peut se voir remonter une grille salariale mal cloisonnée. Ce n'est pas un sujet AI Act, c'est un sujet RGPD, mais c'est le premier problème concret que nous rencontrons sur le terrain, et il se traite avant le déploiement, pas après. Nous détaillons l'articulation entre les deux textes dans AI Act vs RGPD.
Une mise en conformité Copilot tient en cinq actions
Pour une PME de 20 à 200 salariés, un déploiement Copilot se met en conformité en une à deux journées de travail, sans cabinet d'avocats. Voici l'ordre dans lequel nous procédons.
- Recenser les usages réels, pas les usages prévus. Un tour des équipes suffit à faire remonter les agents créés en autonomie et les usages qui n'étaient pas au programme. Notre méthode de cartographie des systèmes IA fournit le tableau à remplir.
- Vérifier les droits d'accès aux espaces de fichiers avant d'élargir le déploiement.
- Poser une charte d'usage courte : ce qui est autorisé, ce qui ne l'est pas, ce qui doit être relu. Notre modèle de politique IA est directement réutilisable.
- Traiter la transparence : mention sur les agents exposés aux clients, règle de relecture pour les contenus publiés.
- Former les utilisateurs, en insistant sur les hallucinations et la vérification des sources, qui restent la première cause d'incident opérationnel avec un outil d'IA générative.
Questions fréquentes
Faut-il déclarer l'utilisation de Copilot à une autorité ? Non. Aucune déclaration préalable n'est prévue pour un déployeur d'un système d'IA à usage général. L'obligation d'enregistrement dans la base européenne concerne les systèmes à haut risque, et pèse principalement sur les fournisseurs.
Copilot est-il un système d'IA à haut risque ? Non par nature. Le caractère haut risque découle de la finalité d'usage, pas de l'outil. Un même Copilot reste hors périmètre pour de la bureautique et peut entrer dans l'annexe III s'il est mobilisé pour trier des candidatures ou évaluer des salariés.
Dois-je informer mes salariés que Copilot est déployé ? L'AI Act ne l'impose pas directement dans une configuration bureautique standard. Le RGPD et le droit du travail français, eux, encadrent l'information et la consultation du CSE sur l'introduction de nouvelles technologies. Ce point est à vérifier avec votre conseil social selon votre effectif.
Un agent Copilot Studio interne change-t-il quelque chose ? Tant qu'il reste interne et hors annexe III, vous demeurez déployeur. Deux réflexes tout de même : inscrire l'agent dans votre cartographie et contrôler qui a le droit d'en créer.
Que se passe-t-il si un salarié publie un texte Copilot sans le relire ? Si ce texte informe le public sur un sujet d'intérêt général, l'exception de contrôle éditorial ne joue pas et la mention devient obligatoire. C'est précisément pourquoi la règle de relecture doit être écrite plutôt que sous-entendue.
Les obligations sont-elles différentes pour une association ? Non. Le règlement vise l'activité, pas la forme juridique. Une association qui déploie Copilot auprès de ses salariés est déployeur au même titre qu'une société commerciale.
Copilot et ChatGPT relèvent-ils du même régime ? Oui sur le principe. Les différences portent sur le contrat, la localisation des données et les fonctions d'administration, pas sur la qualification au titre de l'AI Act. Notre article sur l'AI Act et ChatGPT traite le cas en parallèle.
Comment GrowthPerf accompagne les PME sur ce sujet
Nous intervenons sur deux volets qui vont rarement l'un sans l'autre. Le premier est l'audit de conformité : recensement des usages, revue des droits d'accès, rédaction de la charte et des mentions de transparence, remise d'une cartographie tenable dans le temps. Le second est la formation des utilisateurs, parce qu'une charte que personne n'a lue ne protège de rien. GrowthPerf est certifié Qualiopi, ce qui ouvre la prise en charge par votre OPCO, et nos sessions Copilot Microsoft 365 comme notre parcours d'acculturation IA intègrent systématiquement le volet conformité.
Si vous avez déployé Copilot sans avoir traité ces points, ou si vous êtes sur le point de le faire, l'audit gratuit de 30 minutes permet de savoir en une conversation où vous en êtes réellement. Pour le cadre d'ensemble, reprenez notre guide de conformité AI Act pour PME.