Mettre en œuvre l'EU AI Act — conseil pour les environnements Microsoft.

Microsoft Copilot n'est pas un produit, mais une famille de produits avec au moins cinq déclinaisons pertinentes dans le contexte mid-market. Chacune a sous l'EU AI Act une logique de conformité légèrement différente :

Microsoft 365 Copilot

Assistant de productivité général pour Word, Excel, PowerPoint, Outlook, Teams. En usage standard typiquement catégorie 4 (risque minimal), mais vous êtes responsable comme Deployer de la formation AI Literacy (depuis 02/2025). Concrètement : les collaborateurs doivent comprendre ce que fait Copilot, où sont ses limites, comment les données sont traitées et comment vérifier les sorties. Nous fournissons les briques de formation comme partie de l'audit.

Copilot for Sales, Service, Business Central

Copilots spécifiques aux applications en CRM et ERP. Dans la plupart des cas catégorie 4, mais en cas d'impact sur les décisions du personnel ou la notation de crédit aussi catégorie 3 ou 2. Exemple : si Copilot for Sales fait des priorisations de leads qui alimentent l'Account Management, c'est généralement encore catégorie 4. Mais si des évaluations conduisent automatiquement au blocage d'un client sans contrôle humain, cela bascule vers haut risque.

Copilot Studio Agents (propres Agents IA)

Ici cela devient complexe : dès que vous construisez vos propres Copilot Studio Agents, vous devenez typiquement Provider d'un système IA. Les obligations dépendent du cas d'usage de l'Agent — assistant de connaissance interne est généralement catégorie 4, bot de service client externe est catégorie 3 (obligation de transparence : doit se signaler comme IA), bot de screening RH serait catégorie 2 (haut risque).

Microsoft Foundry — modèles propres et scénarios RAG

Qui utilise Microsoft Foundry pour du RAG avec ses propres données ou du Fine-Tuning de modèles propres entre en territoire Provider. S'y ajoutent éventuellement des obligations GPAI (documentation, conformité copyright, rapport de transparence), plus toutes les obligations haut risque si le cas d'usage tombe dans l'Annexe III.

Outils Microsoft pour la conformité EU AI Act

Microsoft met à disposition plusieurs outils qui soutiennent techniquement la conformité : Microsoft Purview Audit (audit-trails complets pour les interactions Copilot — licence E5 ou add-on), Microsoft Defender for Cloud Apps (détection de Shadow-AI dans le tenant), Microsoft Entra ID Conditional Access pour les workloads IA, outils Copilot Studio Governance, Microsoft Foundry Content Safety (filtres de biais et toxicité, Prompt Shields). Nous configurons ces outils pour que les obligations EU AI Act soient techniquement démontrables.

Nous ne sommes pas un cabinet d'avocats. Nous sommes des consultants Microsoft avec une connaissance approfondie de l'EU AI Act et de sa mise en œuvre technique. Pour les évaluations juridiques formelles, pour l'évaluation de conformité avec accompagnement par organisme notifié pour les systèmes à haut risque, pour les audits sur site par une autorité de contrôle, nous orientons vers des cabinets spécialisés de notre réseau de partenaires DACH.

Ce que nous délivrons en revanche : une AI Governance pragmatique, techniquement fondée, qui s'inscrit dans la stack Microsoft — Copilot, Copilot Studio, Microsoft Purview, Microsoft Entra ID. Nous conseillons, documentons, formons. Le tampon juridique en fin de parcours est posé par un cabinet avec lequel nous travaillons main dans la main.

Erreur 1 — Formation AI Literacy non réalisée, alors qu'obligatoire depuis 02/2025

L'obligation d'AI Literacy s'applique depuis février 2025 à tous les collaborateurs qui utilisent des systèmes IA ou en exploitent les résultats. Cela couvre presque tout utilisateur de Microsoft 365 Copilot. Dans la plupart des entreprises, cette formation n'a tout simplement pas eu lieu — une infraction documentable avec potentiel d'amende. Nous fournissons les briques de formation incluant preuve de participation comme partie du Quick-Audit.

Erreur 2 — Shadow-AI dans le tenant non détectée

Des collaborateurs utilisent des outils IA non autorisés (ChatGPT-Free, Claude, Perplexity, LLMs locaux) pour des données métier — souvent avec risque de protection des données et sans gouvernance EU AI Act. Microsoft Defender for Cloud Apps détecte cette Shadow-AI dans le tenant. Nous configurons la détection comme partie de l'atelier stratégie.

Erreur 3 — Propres Copilot Studio Agents en service sans classification

Les propres Copilot Studio Agents sont souvent construits dans le foisonnement Power Platform sans que quelqu'un vérifie si un Agent déclenche une obligation haut risque ou de transparence sous l'EU AI Act. Nous évaluons tous les Agents du tenant et les classifions selon l'Annexe III.

Erreur 4 — Audit-Logs non activés

Les systèmes IA haut risque doivent à partir de 08/2026 conserver des enregistrements de leur utilisation. Microsoft Purview Audit peut le livrer pour les interactions Copilot — mais seulement si la licence (Microsoft 365 E5 ou add-on Audit) est présente et la configuration active. Dans l'audit, nous vérifions licence et configuration.

Erreur 5 — Bots Copilot Studio externes sans indication IA

Les chatbots dans des portails clients ou sur des sites web doivent depuis 08/2026 se signaler comme IA. Nous voyons des bots commercialisés comme « votre conseil personnel » — une infraction claire à l'obligation de transparence. Dans l'atelier stratégie, nous retravaillons la logique conversationnelle du bot.

Erreur 6 — Contrats avec Microsoft et tiers non vérifiés

L'EU AI Act règle partiellement les obligations d'information entre Provider et Deployer. Qui utilise Microsoft Copilot devrait connaître les contrats Microsoft et la documentation Microsoft EU AI Act. Qui utilise de l'IA tierce devrait voir les obligations Provider de ses fournisseurs dans ses propres conditions contractuelles. Dans l'audit, nous vérifions la situation contractuelle.