Utiliser Microsoft 365 Copilot est conforme à l'AI Act dans la très grande majorité des cas. Vos obligations réelles tiennent en trois points : informer quand l'IA n'est pas évidente, garder la main sur les usages sensibles, et savoir à quel moment vous cessez d'être simple utilisateur.
Lire le guide complet
AI Act 2026 : le guide de conformité complet pour PME et associations
Répondez à quelques questions et obtenez un diagnostic personnalisé avec des recommandations adaptées à votre secteur.
Évaluer ma maturité IAArticles liés
Approfondissez le sujet avec ces articles complémentaires.
L'AI Act (règlement UE 2024/1689) s'applique à votre PME ou association dès que vous utilisez un outil d'IA, même un simple abonnement ChatGPT. Depuis février 2025, vous devez former vos équipes ; le 2 août 2026, les obligations de transparence et le régime de sanctions entrent en application.
Utiliser Microsoft 365 Copilot est conforme à l'AI Act dans la très grande majorité des cas. Vos obligations réelles tiennent en trois points : informer quand l'IA n'est pas évidente, garder la main sur les usages sensibles, et savoir à quel moment vous cessez d'être simple utilisateur.
La question revient dans presque tous les audits que nous menons chez des PME équipées de la suite Microsoft : « on a déployé Copilot à 40 personnes, est-ce qu'on est en règle ? ». La réponse courte est oui, à condition de traiter trois ou quatre points précis. La réponse utile demande de distinguer ce qui relève de Microsoft, ce qui relève de vous, et ce qui ne relève d'aucun des deux. Si le sujet est neuf pour vous, notre guide de conformité AI Act pour PME pose le cadre général ; cet article ne traite que du cas Copilot.
Dans une installation standard de Microsoft 365 Copilot, Microsoft est le fournisseur du système d'IA au sens du règlement (UE) 2024/1689, et votre entreprise en est le déployeur. Cette répartition détermine tout le reste, parce que les deux rôles n'ont pas les mêmes obligations.
Concrètement, ce qui incombe à Microsoft et pas à vous :
Ce qui reste à votre charge : l'usage. Le règlement ne régule pas un logiciel, il régule des finalités et des rôles. Le même abonnement Copilot peut ne déclencher aucune obligation particulière dans une équipe marketing, et faire basculer l'entreprise dans un régime lourd s'il sert à trier des candidatures. Nous détaillons cette logique de périmètre dans notre article sur les entreprises concernées par l'AI Act.
Depuis le 2 août 2026, l'article 50 impose d'informer une personne lorsqu'elle interagit avec une IA ou lorsqu'elle consulte un contenu généré par IA, sauf si c'est manifeste au vu du contexte. C'est la seule obligation qui touche à peu près toutes les PME utilisatrices de Copilot.
En pratique, quatre situations sont couvertes : les systèmes qui dialoguent directement avec une personne physique, les contenus synthétiques (texte, image, audio, vidéo), la reconnaissance d'émotions et la catégorisation biométrique, enfin les hypertrucages et les textes publiés pour informer le public sur des sujets d'intérêt général.
Appliqué à Copilot, cela donne :
Le point que la plupart des articles oublient : l'article 50 prévoit une exception explicite quand le contenu a fait l'objet d'un contrôle éditorial humain et qu'une personne assume la responsabilité de la publication. Pour une PME, la mise en conformité passe donc autant par une règle interne de relecture que par un bandeau « généré par IA ». Notre modèle de notice d'information IA couvre la formulation à retenir dans chacun de ces cas.
Vous restez déployeur tant que vous utilisez Copilot tel que Microsoft l'a conçu ; vous devenez fournisseur si vous modifiez substantiellement un système à haut risque, si vous en changez la finalité au point de le rendre à haut risque, ou si vous le commercialisez sous votre marque. C'est l'angle mort de la plupart des déploiements Copilot que nous voyons.
Le mécanisme est prévu à l'article 25. Attention à ne pas le sur-interpréter : il ne se déclenche qu'autour des systèmes à haut risque. Créer un agent déclaratif dans Copilot Studio pour répondre aux questions RH internes ne fait pas de vous un fournisseur. En revanche, deux configurations méritent un examen sérieux :
La distinction est expliquée en détail dans notre article sur les systèmes d'IA à haut risque. Retenez pour l'instant qu'un déploiement Copilot standard, y compris avec quelques agents internes, n'y bascule pas.
L'article 5 interdit huit pratiques depuis le 2 février 2025, et ces interdictions s'appliquent même si vous n'êtes que déployeur d'un outil du commerce. Deux d'entre elles concernent directement des usages que nous voyons apparaître dans les entreprises équipées de Microsoft 365.
La reconnaissance d'émotions sur le lieu de travail est interdite, sauf motif médical ou de sécurité. Si quelqu'un imagine d'analyser le ton des messages Teams pour mesurer le moral des équipes, la réponse est non, et ce n'est pas négociable. La notation sociale des personnes est également prohibée : un tableau de bord qui classerait les salariés sur la base de signaux comportementaux agrégés tombe dans le même champ.
Ces interdictions sont les seules à porter le plafond de sanction le plus élevé, soit 35 millions d'euros ou 7 % du chiffre d'affaires mondial. Pour une PME, le plafond retenu est le plus bas des deux montants, ce qui reste très supérieur à ce qu'une structure de 30 personnes peut absorber. Nous avons détaillé le barème complet dans notre article sur les sanctions AI Act, et la liste exhaustive dans celui sur les pratiques IA interdites.
Le Digital Omnibus, entré en vigueur le 27 juillet 2026, a repoussé au 2 décembre 2027 l'application des obligations pour les systèmes à haut risque de l'annexe III, et au 2 août 2028 pour ceux de l'annexe I. Le volet transparence, lui, n'a pas bougé.
Cette nuance est mal comprise, y compris par des cabinets qui publient encore des calendriers périmés. Ce qui est reporté, ce sont les exigences lourdes : système de gestion des risques, gouvernance des données, documentation technique, contrôle humain formalisé au titre de l'article 26. Ce qui s'applique déjà : l'article 5, l'article 50 et le régime de sanction du chapitre XII. Le calendrier complet de l'AI Act reprend chaque échéance.
Un mot sur l'article 4 et la formation. Le même Omnibus a allégé l'obligation de maîtrise de l'IA : ce qui pesait sur les entreprises est devenu une incitation non contraignante, la Commission et les États membres prenant la main sur la promotion de la littératie IA. Nous préférons le dire clairement plutôt que de vendre une peur qui n'existe plus, et nous l'expliquons dans notre article sur l'article 4 et la formation IA. Reste que former les utilisateurs de Copilot demeure la mesure la plus efficace pour éviter les usages hors-piste, et qu'elle redevient une obligation en bonne et due forme dès qu'un système à haut risque est en jeu.
| Sujet | Qui porte l'obligation | Ce que vous avez à faire |
|---|---|---|
| Documentation technique du système | Microsoft | Conserver la documentation fournie, savoir la produire en cas de contrôle |
| Modèle à usage général sous-jacent | Microsoft | Rien de direct |
| Marquage machine des contenus générés | Microsoft | Vérifier que la fonction est active dans votre tenant |
| Information des personnes qui interagissent avec un agent | Vous | Mention explicite sur tout agent exposé à des tiers |
| Mention sur les contenus publiés | Vous | Règle de relecture éditoriale ou mention automatique |
| Périmètre des données accessibles à Copilot | Vous | Revue des droits SharePoint et OneDrive avant déploiement |
| Usages interdits par l'article 5 | Vous | Charte d'usage et contrôle des agents créés en interne |
La ligne sur les droits d'accès mérite un développement. Copilot restitue ce à quoi l'utilisateur a déjà accès. Dans une PME où les partages SharePoint se sont empilés depuis cinq ans, cela signifie qu'un stagiaire peut se voir remonter une grille salariale mal cloisonnée. Ce n'est pas un sujet AI Act, c'est un sujet RGPD, mais c'est le premier problème concret que nous rencontrons sur le terrain, et il se traite avant le déploiement, pas après. Nous détaillons l'articulation entre les deux textes dans AI Act vs RGPD.
Pour une PME de 20 à 200 salariés, un déploiement Copilot se met en conformité en une à deux journées de travail, sans cabinet d'avocats. Voici l'ordre dans lequel nous procédons.
Faut-il déclarer l'utilisation de Copilot à une autorité ? Non. Aucune déclaration préalable n'est prévue pour un déployeur d'un système d'IA à usage général. L'obligation d'enregistrement dans la base européenne concerne les systèmes à haut risque, et pèse principalement sur les fournisseurs.
Copilot est-il un système d'IA à haut risque ? Non par nature. Le caractère haut risque découle de la finalité d'usage, pas de l'outil. Un même Copilot reste hors périmètre pour de la bureautique et peut entrer dans l'annexe III s'il est mobilisé pour trier des candidatures ou évaluer des salariés.
Dois-je informer mes salariés que Copilot est déployé ? L'AI Act ne l'impose pas directement dans une configuration bureautique standard. Le RGPD et le droit du travail français, eux, encadrent l'information et la consultation du CSE sur l'introduction de nouvelles technologies. Ce point est à vérifier avec votre conseil social selon votre effectif.
Un agent Copilot Studio interne change-t-il quelque chose ? Tant qu'il reste interne et hors annexe III, vous demeurez déployeur. Deux réflexes tout de même : inscrire l'agent dans votre cartographie et contrôler qui a le droit d'en créer.
Que se passe-t-il si un salarié publie un texte Copilot sans le relire ? Si ce texte informe le public sur un sujet d'intérêt général, l'exception de contrôle éditorial ne joue pas et la mention devient obligatoire. C'est précisément pourquoi la règle de relecture doit être écrite plutôt que sous-entendue.
Les obligations sont-elles différentes pour une association ? Non. Le règlement vise l'activité, pas la forme juridique. Une association qui déploie Copilot auprès de ses salariés est déployeur au même titre qu'une société commerciale.
Copilot et ChatGPT relèvent-ils du même régime ? Oui sur le principe. Les différences portent sur le contrat, la localisation des données et les fonctions d'administration, pas sur la qualification au titre de l'AI Act. Notre article sur l'AI Act et ChatGPT traite le cas en parallèle.
Nous intervenons sur deux volets qui vont rarement l'un sans l'autre. Le premier est l'audit de conformité : recensement des usages, revue des droits d'accès, rédaction de la charte et des mentions de transparence, remise d'une cartographie tenable dans le temps. Le second est la formation des utilisateurs, parce qu'une charte que personne n'a lue ne protège de rien. GrowthPerf est certifié Qualiopi, ce qui ouvre la prise en charge par votre OPCO, et nos sessions Copilot Microsoft 365 comme notre parcours d'acculturation IA intègrent systématiquement le volet conformité.
Si vous avez déployé Copilot sans avoir traité ces points, ou si vous êtes sur le point de le faire, l'audit gratuit de 30 minutes permet de savoir en une conversation où vous en êtes réellement. Pour le cadre d'ensemble, reprenez notre guide de conformité AI Act pour PME.
| Registre des systèmes d'IA utilisés |
| Vous |
| Cartographie tenue à jour |