OpenAI sous-traitant Microsoft 365 Copilot : le réglage activé par défaut depuis le 24 juillet 2026

OpenAI sous-traitant Microsoft 365 Copilot : depuis le 24 juillet 2026, les modèles opérés directement par OpenAI sont activés pour l’ensemble des utilisateurs des clients commerciaux éligibles, sauf si un administrateur a explicitement dit non. Le changement s’est fait par un réglage à activation automatique, sans action requise côté client. Pour les organisations francophones soumises au RGPD, il mérite une vérification immédiate.

Trois dates qui ont changé le traitement de vos données

La séquence est courte et elle s’est déroulée en plein été, période où les équipes informatiques tournent en effectif réduit.

Le 23 juin 2026, Microsoft ajoute OpenAI à sa liste publique de sous-traitants pour les Online Services. Sur le papier, c’est une formalité contractuelle. Dans les faits, c’est la condition juridique préalable à tout le reste : sans inscription sur cette liste, aucun traitement de données client ne peut être confié à OpenAI en tant qu’entité distincte.

Le 9 juillet 2026, le dispositif devient utilisable. Un nouveau réglage apparaît dans le centre d’administration Microsoft 365, désactivé par défaut. Les administrateurs qui le souhaitent peuvent l’activer pour accéder plus rapidement aux nouveautés d’OpenAI, à commencer par la famille GPT-5.6.

Le 24 juillet 2026, la logique s’inverse. Le réglage bascule en activation automatique pour l’ensemble des clients commerciaux éligibles. Seules les organisations ayant explicitement positionné le paramètre sur No users pendant la fenêtre de quinze jours échappent au basculement. Autrement dit, ne rien faire équivalait à consentir.

Deux chemins bien distincts pour un même modèle

La confusion est facile et elle est lourde de conséquences. Un modèle GPT peut arriver dans Copilot par deux routes différentes.

La première, historique, passe par Azure OpenAI : Microsoft héberge et exploite lui-même le modèle sur son infrastructure. Le responsable du traitement technique reste Microsoft. Rien n’a changé sur cette voie.

La seconde, nouvelle, passe par OpenAI en tant que sous-traitant : c’est OpenAI qui opère le modèle, sous supervision contractuelle de Microsoft. Les Conditions des produits Microsoft et l’Avenant de protection des données s’appliquent, avec des exclusions listées. Du point de vue de l’utilisateur final, l’expérience Copilot est identique. Du point de vue d’un délégué à la protection des données, ce n’est pas du tout la même chose.

Frontière de données UE : la formulation qui doit alerter

C’est ici que le dossier devient sensible pour les organisations européennes.

Microsoft indique que les modèles opérés par OpenAI sont bien inclus dans la frontière de données de l’Union européenne, mais assortit cette affirmation d’un renvoi vers la documentation sur les transferts partiels persistants. La formule « sauf mention contraire » n’est pas du remplissage juridique : elle signale que des exceptions existent et qu’elles sont documentées ailleurs.

Plus explicite encore, Microsoft précise que ces modèles sont exclus des engagements de traitement dans le pays lorsque ceux-ci s’appliquent. Pour une organisation qui a contractualisé une localisation nationale des traitements, en France ou ailleurs, c’est une exception directe à un engagement existant.

À cela s’ajoute une indisponibilité totale dans les clouds gouvernementaux américains et dans les clouds souverains. Une entité qui opère sur un cloud souverain n’est donc pas concernée par le basculement, ce qui constitue en soi une information utile pour cadrer le périmètre d’un audit interne.

Quatre certifications absentes du dossier

La section des exclusions de la documentation Microsoft mérite une lecture attentive avant tout arbitrage. Les modèles opérés par OpenAI ne bénéficient pas de l’autorisation FedRAMP High, ne disposent d’aucune attestation de conformité PCI DSS, d’aucune lettre de certification HITRUST CSF, ni d’aucun rapport SOC 1 Type 2.

Pour un établissement bancaire, un acteur de la santé ou toute organisation dont le référentiel de conformité s’appuie sur ces attestations, l’absence n’est pas anodine. Elle ne signifie pas que le service est moins sûr, mais qu’il ne vient pas avec les preuves d’audit habituelles sur lesquelles les équipes conformité fondent leurs validations.

Un point rassure en revanche : l’Engagement de Microsoft en matière de droits d’auteur client continue de s’appliquer aux modèles OpenAI utilisés dans Microsoft 365 Copilot et Copilot Studio. Microsoft précise par ailleurs intégrer l’API Responses d’OpenAI dans certaines expériences Copilot, avec une rétention zéro proposée par OpenAI, sous réserve des limitations décrites dans sa propre documentation.

Comment vérifier et désactiver le réglage

L’opération prend deux minutes et requiert le rôle Administrateur IA ou Administrateur général.

• Ouvrir le centre d’administration Microsoft 365, puis se rendre dans Copilot > Paramètres > Afficher tout.
• Sélectionner AI providers operating as Microsoft subprocessors.
• Sous Available subprocessors for your organization, cliquer sur OpenAI.
• Dans Choose which users can access OpenAI operated models, choisir No users pour désactiver, ou restreindre l’accès à des utilisateurs et groupes de sécurité Microsoft Entra ID précis, puis enregistrer.

Une restriction par groupe constitue souvent le compromis raisonnable : elle permet d’ouvrir l’accès aux équipes qui en tirent une valeur réelle tout en excluant les périmètres réglementés. Les affectations s’appliquent au niveau du fournisseur et sont respectées dans Microsoft 365 Copilot comme dans Copilot Studio. Pour Copilot Studio et Power Platform, des contrôles complémentaires existent dans le centre d’administration Power Platform.

Un avertissement figure noir sur blanc dans la documentation : certaines fonctionnalités et certains modèles ne sont disponibles que si les modèles opérés par OpenAI sont activés. Désactiver revient donc à renoncer à une partie du catalogue. Le détail complet est consultable dans la documentation officielle Microsoft Learn.

Derrière le réglage, une stratégie assumée

Ce basculement ne sort pas de nulle part. Satya Nadella a formalisé la doctrine sous le nom de « Frontier Diffusion & Control » : Microsoft se positionne en environnement multi-modèles, proposant modèles frontière, modèles maison de la famille MAI et modèles à poids ouverts via AI Foundry. L’idée directrice consiste à séparer le choix du modèle du harnais qui l’exécute. Copilot est le harnais, les modèles deviennent interchangeables.

Cette logique explique le besoin d’un statut de sous-traitant : pour proposer un modèle quelques jours après sa sortie, Microsoft ne peut plus attendre de l’avoir intégralement porté sur sa propre infrastructure. Le sous-traitant est le raccourci opérationnel.

La même diversification se lit ailleurs dans la stratégie de Redmond, qu’il s’agisse du partenariat avec Anthropic ou de l’accord avec Mistral sur les GPU en Europe. Reste que le choix du modèle et le choix du cadre de traitement des données sont deux décisions distinctes, et que la seconde a été prise par défaut pour la plupart des tenants.

Ce que les organisations francophones doivent faire

Trois actions se dégagent, par ordre de priorité.

Vérifier l’état actuel du réglage. Beaucoup d’organisations ignorent encore que le basculement a eu lieu. La vérification prend deux minutes et documente une décision qui, en cas de contrôle, devra être justifiée.

Mettre à jour le registre des traitements. L’ajout d’un sous-traitant dans une chaîne de traitement de données personnelles est une information qui a vocation à figurer dans la documentation RGPD. Les obligations de transparence entrées en application avec l’échéance AI Act du 2 août 2026 renforcent cette exigence de traçabilité.

Arbitrer par périmètre plutôt que globalement. Une désactivation générale prive l’organisation des modèles les plus récents. Une activation générale expose des périmètres réglementés à un cadre de conformité incomplet. La granularité par groupe de sécurité existe précisément pour éviter ce choix binaire.

Sur le fond, l’épisode illustre une tendance que l’on retrouve dans d’autres dossiers, des incidents impliquant des agents IA autonomes aux déploiements d’assistants en entreprise : la vitesse de diffusion des capacités dépasse désormais la vitesse à laquelle les organisations peuvent réviser leurs cadres de gouvernance. Le réglage activé par défaut n’est que la forme technique de cet écart.

FAQ : OpenAI comme sous-traitant dans Microsoft 365 Copilot

Qu’est-ce que le statut de sous-traitant d’OpenAI dans Microsoft 365 Copilot ?

Il s’agit d’un cadre contractuel permettant à des modèles d’être exploités directement par OpenAI, et non par Microsoft sur son infrastructure Azure, tout en restant intégrés aux expériences Microsoft 365 Copilot. OpenAI a été ajouté à la liste des sous-traitants Microsoft Online Services le 23 juin 2026 et opère sous supervision contractuelle de Microsoft. Les Conditions des produits Microsoft et l’Avenant de protection des données s’appliquent, sous réserve d’exclusions listées dans la documentation.

Le réglage est-il vraiment activé par défaut ?

Oui. Le paramètre est apparu désactivé par défaut le 9 juillet 2026, puis a basculé en activation automatique le 24 juillet 2026 pour tous les utilisateurs des clients commerciaux éligibles. Seules les organisations ayant explicitement sélectionné l’option No users avant cette date n’ont pas été concernées par l’activation automatique.

Quel impact sur la conformité RGPD et la frontière de données UE ?

Les modèles opérés par OpenAI sont inclus dans la frontière de données de l’Union européenne, sous réserve des exceptions décrites dans la documentation Microsoft sur les transferts partiels persistants. Ils sont en revanche exclus des engagements de traitement dans le pays lorsque ceux-ci s’appliquent. L’ajout d’un sous-traitant dans une chaîne de traitement de données personnelles doit être répercuté dans le registre des traitements de l’organisation.

Comment désactiver les modèles opérés par OpenAI ?

Dans le centre d’administration Microsoft 365, aller dans Copilot puis Paramètres puis Afficher tout, sélectionner AI providers operating as Microsoft subprocessors, cliquer sur OpenAI, et choisir No users avant d’enregistrer. Le rôle Administrateur IA ou Administrateur général est requis. Il est également possible de restreindre l’accès à des utilisateurs ou des groupes de sécurité Microsoft Entra ID plutôt que de désactiver totalement.

Que perd-on en désactivant ce réglage ?

Microsoft indique que certaines fonctionnalités et certains modèles ne sont accessibles que lorsque les modèles opérés par OpenAI sont activés. Une désactivation prive donc l’organisation des nouveautés arrivant par cette voie, notamment les modèles les plus récents d’OpenAI. Les modèles GPT opérés par Microsoft via Azure OpenAI restent en revanche disponibles indépendamment de ce réglage.

Les clouds souverains et gouvernementaux sont-ils concernés ?

Non. L’accès aux modèles opérés par OpenAI n’est pas disponible dans les clouds gouvernementaux américains GCC, GCC High et DoD, ni dans les clouds souverains. Les organisations opérant sur ces environnements ne sont donc pas affectées par l’activation automatique du 24 juillet 2026.