Un message « confidentiel » n’est pas automatiquement exclu du traitement par Copilot. Les droits d’accès de l’utilisateur, les protections portées par une étiquette et les règles DLP répondent à des questions différentes. Les confondre peut faire passer un problème de configuration ou de respect d’une politique pour un accès généralisé à toutes les messageries.
Ce que l’alerte de février permet de dire
La version initiale de cet article, publiée le 22 février 2026, relayait via PhoneArena un incident concernant Copilot et des messages portant une étiquette de confidentialité. Elle citait la référence CW1226324 et un correctif en déploiement. Ces mentions historiques ne permettent pas de présenter l’incident comme toujours en cours, ni de conclure à une lecture des boîtes de tous les utilisateurs.
Pour connaître le périmètre et le statut applicables à une organisation, son administrateur doit consulter l’historique de santé du service Microsoft 365 et le bulletin correspondant dans son propre environnement. Un échange communautaire sur Microsoft Q&A ne remplace pas un bulletin de l’éditeur. Le présent article ne dispose pas du suivi privé de votre organisation et ne confirme donc pas son exposition.
Trois protections à distinguer
- Les permissions : selon l’architecture documentée par Microsoft, Copilot doit utiliser le contenu auquel l’utilisateur est autorisé à accéder. Le fait qu’un document soit accessible à trop de collègues constitue déjà un problème de partage.
- L’étiquette de confidentialité : son nom peut servir à classer ou marquer un contenu. Ses effets dépendent des paramètres associés, notamment du chiffrement et des droits d’utilisation. Un simple intitulé « Confidentiel » ne permet pas de déduire toutes les protections actives.
- La règle DLP : la documentation Purview consacrée à Copilot décrit des politiques pouvant exclure du traitement des fichiers et e-mails portant certaines étiquettes. La portée, les conditions et les expériences Copilot concernées doivent être vérifiées dans la politique réellement déployée.
Un contrôle utile pour l’administrateur
Commencez par noter le produit exact, le compte, l’action demandée et la source citée dans la réponse de Copilot. Utilisez ensuite un document de test sans donnée sensible pour contrôler séparément les permissions, l’étiquette et la règle DLP attendue. N’introduisez pas un vrai secret dans une requête pour vérifier s’il peut fuiter.
Si le résultat contredit la politique, conservez les références, l’heure, les conditions du test et les éléments d’audit accessibles aux personnes habilitées. Faites examiner le cas par l’équipe Microsoft 365 et le support. Évitez de désactiver globalement des protections pour faire disparaître un symptôme.
La vérification des permissions reste utile hors de Microsoft 365 : notre guide sur les liens et droits de partage Google Drive illustre le même besoin de contrôler les personnes, groupes et dossiers autorisés. Cela n’implique pas que Copilot puisse consulter votre Google Drive : ce sont deux services distincts.
Je suis Romain Delcourt, rédacteur tech passionné par le numérique et l’intelligence artificielle. J’écris pour décoder les tendances, les outils et les changements qui façonnent nos usages au quotidien.
