Microsoft Copilot au cœur d'une controverse sur la gestion des données sensibles en entreprise : les utilisateurs découvrent qu'ils peuvent accéder sans autorisation aux documents des RH et aux courriels du PDG

Depuis son lancement, Microsoft Copilot, un assistant intelligent intégré à des outils tels que Microsoft 365, a suscité un grand intérêt pour sa capacité à automatiser et à simplifier les tâches quotidiennes. Cependant, une récente controverse a émergé : des utilisateurs ont découvert que Copilot permettait d'accéder à des informations sensibles, notamment des documents de ressources humaines (RH) ou des emails de dirigeants. Cette révélation met en lumière à la fois les possibilités offertes par cette technologie et les défis en matière de sécurité des données.

Qu'est-ce que Microsoft Copilot ?

Microsoft Copilot est un assistant basé sur l'intelligence artificielle, conçu pour intégrer les capacités de modèles de langage avancés, tels que ceux de GPT, dans des environnements professionnels. Il vise à améliorer la productivité en générant des résumés, en automatisant la rédaction de documents, ou encore en aidant à organiser des données complexes. Intégré dans des applications comme Word, Excel ou Teams, il offre un support précieux pour les utilisateurs, des employés aux cadres.

Cependant, comme pour toute innovation technologique, son implémentation n'est pas sans risques. L’objectif ambitieux de Copilot est de fournir des réponses pertinentes en s'appuyant sur les données accessibles à un utilisateur, mais cet aspect a suscité des inquiétudes lorsque des failles potentielles dans le contrôle des accès ont été découvertes.

Un accès non maîtrisé aux données sensibles

Les utilisateurs de Copilot ont récemment signalé que l'outil pouvait accéder à des informations qu'ils n'étaient pas censés consulter. Cela inclut des documents RH, tels que des contrats de travail ou des rapports de performance, ainsi que des emails d'une importance stratégique envoyés par des PDG. Cette situation a fait surgir plusieurs questions :

• Pourquoi ces données sont-elles accessibles via Copilot ?Microsoft Copilot fonctionne en exploitant l'intégralité des données auxquelles un utilisateur a accès dans son environnement professionnel. Si les permissions des fichiers ou des bases de données ne sont pas configurées correctement, l'assistant peut, par inadvertance, fournir des réponses ou des informations tirées de sources sensibles.
• Un problème de configuration ou de conception ? Dans la plupart des cas rapportés, le problème semble résider dans une mauvaise gestion des droits d'accès au niveau des fichiers ou des applications associées. Cependant, cela soulève également des interrogations sur la conception même de l'outil. Un assistant doté d'une telle puissance devrait inclure des mécanismes plus robustes pour empêcher l'accès accidentel à des données sensibles.

Implications pour les entreprises

La révélation de cette faille a de profondes implications pour les organisations.

1. Risques pour la sécurité des données : Les entreprises collectent et stockent des données sensibles, des informations financières aux dossiers personnels des employés. Si ces données deviennent accessibles de manière non autorisée via un outil tel que Copilot, cela pourrait entraîner des violations des réglementations sur la protection des données, comme le RGPD en Europe.
2. Atteinte à la confidentialité : La confidentialité des communications internes, notamment celles des cadres dirigeants, est essentielle pour protéger la stratégie et les intérêts d’une organisation. La divulgation accidentelle d’emails de PDG pourrait nuire à la réputation ou à la compétitivité d’une entreprise.
3. Perte de confiance : Les employés pourraient perdre confiance dans les systèmes technologiques s’ils craignent que leurs informations personnelles puissent être accessibles à des collègues ou à des tiers.

Comment Microsoft répond à la controverse

Aujourd'hui, le géant du logiciel tente de résoudre le problème. Mardi, Microsoft a publié de nouveaux outils et un guide pour aider les clients à atténuer le problème de sécurité de Copilot, qui a permis aux employés d'accéder par inadvertance à des informations sensibles, telles que les courriels du PDG et les documents des ressources humaines.

Ces mises à jour sont conçues pour « identifier et atténuer les problèmes de partage excessif et de gouvernance », a expliqué l'entreprise dans un nouveau plan pour la suite logicielle de productivité 365 de Microsoft.


« De nombreux défis en matière de gouvernance des données dans le contexte de l'IA n'ont pas été causés par l'arrivée de l'IA », a déclaré un porte-parole de Microsoft. L'IA est simplement le dernier appel à l'action lancé aux entreprises pour qu'elles gèrent de manière proactive leurs documents internes et autres informations, a ajouté le porte-parole.

Ces décisions dépendent de la situation unique de chaque entreprise. Selon le porte-parole de Microsoft, des facteurs tels que les réglementations sectorielles spécifiques et la tolérance au risque doivent guider ces décisions. Par exemple, différents employés devraient avoir accès à différents types de fichiers, d'espaces de travail et d'autres ressources.

« Microsoft aide ses clients à améliorer leur gouvernance centrale des identités et des autorisations, afin d'aider les organisations à mettre à jour et à gérer en permanence ces...