Copilot envoie vos données hors d'Europe aux heures de pointe — votre DSI est-il au courant ?

Lundi 9h15 : vos emails sont à Denver

Votre DSI a fait ce qu'il fallait. L'EU Data Boundary est activé. L'accord de traitement des données est signé avec Microsoft. Copilot tourne depuis six mois, les équipes l'utilisent, personne n'a signalé d'incident.

Ce qu'il ne sait peut-être pas encore : depuis le 17 avril 2026, quand les datacenters européens de Microsoft sont saturés — un lundi matin après un long week-end, une fin de mois, un pic de fin d'exercice fiscal —, le contenu de vos requêtes Copilot est traité sur des serveurs situés aux États-Unis, au Canada ou en Australie.

Pas stocké. Traité.

Microsoft appelle ça le "flex routing". La fonctionnalité est activée par défaut depuis le 17 avril pour tous les espaces Microsoft 365 européens. Les organisations créées après le 25 mars 2026 l'avaient déjà par défaut. Aucun email d'alerte. Aucune demande de consentement.

Ce que "traité" veut dire, sans jargon

Quand un collaborateur demande à Copilot de résumer un long email client, de rédiger une réponse à partir d'un contrat ou de synthétiser un rapport d'audit, voici ce qui se passe :

1. Copilot rassemble le contexte — l'email, les pièces jointes, les documents récents liés au sujet
2. Il envoie tout ça au modèle d'IA pour qu'il génère la réponse
3. La réponse arrive à votre collaborateur

L'étape 2, c'est ce que les ingénieurs appellent "l'inférence" — le moment où le modèle lit vos données et produit une réponse. C'est précisément cette étape qui, depuis avril, peut se passer à Denver, Toronto ou Sydney quand Amsterdam est sous pression.

Microsoft précise que vos données restent stockées en Europe. Mais ce n'est pas le stockage qui pose un problème RGPD. C'est le traitement.

Ce que ça implique pour votre conformité

Le RGPD autorise le traitement de données personnelles hors UE — mais sous conditions strictes. Les États-Unis bénéficient d'un accord d'adéquation depuis le Data Privacy Framework de 2023, mais cet accord est régulièrement contesté devant la Cour de justice européenne et reste politiquement fragile.

Ce que Microsoft lui-même reconnaît dans sa documentation : « si vous choisissez de continuer à utiliser le flex routing, il peut être nécessaire de réaliser une Analyse d'Impact sur la Protection des Données (AIPD) pour couvrir l'inférence du modèle dans des pays tiers. »

En clair : Microsoft vous demande de faire votre analyse d'impact pour couvrir une décision qu'il a prise unilatéralement.

Et au-delà du RGPD, il y a le CLOUD Act américain. Microsoft est une entreprise de droit américain. Quelle que soit la localisation de ses serveurs, les autorités américaines peuvent lui demander de communiquer des données qu'elle contrôle. L'EU Data Boundary est un engagement commercial — pas une protection juridique contre ça.

Comment vérifier et désactiver (procédure complète)

Si vous utilisez Microsoft 365 avec Copilot, le flex routing est probablement activé. Voici comment l'éteindre :

1. Connectez-vous au Centre d'administration Microsoft 365 (admin.microsoft.com) avec un compte administrateur IA
2. Naviguez vers Copilot → Paramètres → Afficher tout
3. Localisez "Flex routing lors des périodes de charge maximale"
4. Sélectionnez "Ne pas autoriser le flex routing"

Attention : le changement peut prendre jusqu'à une semaine pour s'appliquer à l'ensemble de votre organisation.

Si votre entreprise utilise aussi Dynamics 365, Power Platform ou Copilot Studio, la même manipulation est disponible dans le Centre d'administration Power Platform.

Ce que la désactivation ne résout pas

Désactiver le flex routing est la bonne première étape. Ce n'est pas la fin de l'histoire.

Microsoft reste une entité américaine. Même avec EU Data Boundary activé et flex routing désactivé, vos requêtes Copilot transitent par une infrastructure qu'une entreprise soumise au droit américain opère. L'exposition au CLOUD Act est structurelle — pas paramétrable.

Pour les organisations qui traitent des données sensibles par nature — coordonnées bancaires, données de santé, informations couvertes par le secret industriel —, ce n'est pas un paramètre mal configuré. C'est une question d'architecture.

Ce que les organisations qui n'ont pas ce problème ont choisi

Certaines ETI et organismes publics ont anticipé cette situation en déployant un modèle d'IA qui tourne dans leur propre infrastructure, hébergée en France ou dans un cloud souverain européen certifié.

Quand l'inférence se passe sur des serveurs que vous opérez — ou que votre hébergeur certifié opère en datacenter français —, la question du flex routing ne se pose pas. Vos données ne quittent pas votre réseau, même aux heures de pointe. Aucun token ne part vers Denver.

Si vous voulez voir comment une IA installée dans votre datacenter se comporte concrètement sur vos propres documents, demandez une démo.