Microsoft Teams Copilot et le RGPD / AI Act : le cadre entreprise des réunions IA

Présentation et données traitées

Copilot dans Teams est l'assistant IA de Microsoft appliqué aux réunions : transcription, résumés, « recap intelligent », points d'action et questions sur le contenu de la réunion, dans l'environnement Microsoft 365.

Copilot traite la transcription et le contenu des réunions pour générer résumés et actions. Microsoft indique que ces données restent dans le tenant et ne servent pas à entraîner les modèles de fondation, avec l'EU Data Boundary. Éditeur américain : le CLOUD Act demeure applicable.

Les risques pour votre entreprise

Le socle Microsoft est solide, mais deux points demeurent : l'information/consentement des participants (surtout externes) et la sur-exposition interne (accès aux recaps selon les permissions). Le transfert résiduel (CLOUD Act) est à évaluer.

Principaux risques RGPD :

• Information insuffisante ; en interne, consentement salarié rarement valide (intérêt légitime/contrat).
• Réunions avec des tiers : information et consentement indispensables.
• Gouvernance des accès aux recaps (permissions) ; conservation.
• Transfert résiduel (CLOUD Act) malgré l'EU Data Boundary.

Les obligations RGPD

1. Informer les participants de l'activation de Copilot ; consentement des tiers.
2. Activer l'EU Data Boundary ; exploiter le DPA ; auditer les accès aux recaps.
3. Définir la conservation des transcriptions/recaps.
4. Consulter le CSE si surveillance/évaluation ; inscrire au registre ; AIPD si analyse comportementale.
5. Impliquer le DPO ; former les équipes. Pas de DPO ? Voir notre DPO externalisé.

Les obligations AI Act

Transparence (article 50) : informer de l'IA et signaler les comptes rendus IA. GPAI ; littératie IA requise. Interdiction (article 5) : analyse du ton/humeur/stress/engagement émotionnel interdite au travail — désactivez ces fonctions. Les analyses de participation alimentant des décisions RH basculent en haut risque (Annexe III). Voir le guide AI Act.

Risques AI Act : participants non informés de l'IA ; toute analyse d'émotion (interdite) ; analyses de participation à visée RH (haut risque).

Cybersécurité et bonnes pratiques

Risques cyber : recaps accessibles selon des permissions parfois trop larges ; transfert résiduel (CLOUD Act) ; prompt injection via contenus ingérés ; NIS 2 selon la taille.

Bonnes pratiques : activer l'EU Data Boundary ; auditer les accès aux recaps ; information + consentement des tiers ; conservation maîtrisée ; désactiver toute analyse émotionnelle ; supervision des résumés sensibles ; charte IA, registre, formation IA.

Checklist :

• Participants informés de l'activation de Copilot, consentement des tiers, EU Data Boundary activée
• DPA vérifié et accès aux recaps audités, conservation définie, aucune analyse d'émotion
• CSE consulté si surveillance/évaluation, AIPD si analyse comportementale, équipes formées

Sanctions, conclusion et recommandations

Sanctions : RGPD (jusqu'à 20 M€ ou 4 %) ; AI Act (35 M€/7 % ou 15 M€/3 %) ; volet pénal (article 226-1 du code pénal) ; délit d'entrave (CSE).

Recommandation : Teams Copilot offre un cadre entreprise solide (tenant, EU Data Boundary, pas d'entraînement des modèles de fondation). L'essentiel se joue sur l'information/consentement des participants et la gouvernance des accès aux recaps. Activez l'UE, auditez les accès, informez, minimisez, et évaluez l'exposition résiduelle au CLOUD Act pour les réunions sensibles. Comparez avec Zoom AI Companion et tl;dv. Voir le comparatif des outils d'IA.