L'article en 30 secondes
- Depuis le 9 juillet 2026, Microsoft offre dans Copilot des modèles « opérés par OpenAI », avec OpenAI comme sous-traitant officiel sous supervision de Microsoft (Microsoft Learn, documentation consultée le 12 septembre 2026).
- Le réglage était désactivé par défaut au départ, mais il s'est activé automatiquement le 24 juillet 2026 pour les clients commerciaux admissibles, sauf si un administrateur sélectionne explicitement « No users » dans le centre d'administration.
- Ces modèles sont exclus des engagements de traitement au pays. Le lieu effectif de traitement doit être vérifié pour votre environnement; cette exclusion ne permet pas, à elle seule, de déterminer le pays de chaque requête.
- Plusieurs attestations indépendantes attendues par les secteurs réglementés ne sont pas encore disponibles pour ces modèles : SOC 1 Type 2, HITRUST et PCI DSS.
- Le lecteur repart avec cinq étapes pour vérifier le réglage et documenter sa décision. Cette grille de gouvernance ne constitue pas une attestation de conformité.
- Limite principale : aucune trousse de gouvernance ne remplace un avis juridique ni une évaluation des facteurs relatifs à la vie privée réalisée par l'organisation elle-même.
Un paramètre qui s'active sans que personne n'ait cliqué
La question importante à poser c'est « qui, chez nous, surveille les paramètres par défaut de nos plateformes ». Et la réponse est souvent un silence poli. Le cas Copilot du 24 juillet 2026 illustre parfaitement pourquoi cette question mérite un titulaire nommé. Aucune signature, aucune décision d'achat, aucun projet : un réglage change d'état à une date annoncée, et la chaîne de traitement des données d'une organisation change avec lui. Microsoft documente le tout publiquement. Mais encore faut-il que quelqu'un lise.
Ce qu'est un sous-traitant au sens de la Loi 25
Un sous-traitant est une organisation tierce qui traite des renseignements personnels pour le compte de l'organisation responsable, selon ses instructions et sans en devenir propriétaire. Au Québec, la Loi 25 (Loi modernisant des dispositions législatives en matière de protection des renseignements personnels) maintient la responsabilité chez l'organisation qui confie les données, peu importe le nombre d'intermédiaires. Concrètement, ajouter un sous-traitant à une chaîne existante ne dilue pas l'obligation de rendre compte. L'entente de protection des données signée avec le fournisseur principal continue de s'appliquer, mais elle ne dispense pas d'une décision interne documentée.
Trois changements concrets pour vos données
La localisation du traitement. Il faut distinguer les modèles OpenAI exploités par Microsoft dans Azure des modèles exploités directement par OpenAI comme sous-traitant. Ces derniers sont exclus des engagements de traitement au pays lorsqu’ils s’appliquent. Une requête d'employé peut donc être traitée sur des serveurs situés hors du Canada. Pour une organisation québécoise, cela active l'obligation d'évaluation prévue lorsque des renseignements personnels sortent de la province.
Les attestations indépendantes. Selon la documentation de Microsoft, les certifications SOC 1 Type 2 (contrôles touchant les données financières), HITRUST (données de santé) et PCI DSS (données de paiement) ne sont pas encore disponibles pour ces modèles. L'absence d'attestation ne signifie pas une faiblesse de sécurité. Elle indique que les attestations précises énumérées par Microsoft ne sont pas disponibles pour cette offre, ce qui est une nuance importante pour un ordre professionnel, un établissement de santé ou un organisme qui traite des paiements.
La chaîne contractuelle. Le Data Protection Addendum conclu avec Microsoft demeure en vigueur et encadre OpenAI à titre de sous-traitant. Une intervenante de plus manipule néanmoins les données. Sur le plan de la gouvernance, cela modifie le registre des sous-traitants, la cartographie des flux et, potentiellement, l'information transmise aux personnes concernées.
Cinq étapes pour vérifier votre décision
Commencez par vérifier l’état réel du réglage dans votre environnement. Les étapes suivantes servent à préparer une décision ou à réexaminer une activation déjà en place. L’effort dépend des données, des usages et du régime applicable à votre organisation.
| Étape | Ce qu'on fait | Ce qu'on évite |
|---|---|---|
| 1. Nommer le titulaire | Désigner formellement la personne responsable de la veille des paramètres par défaut des plateformes infonuagiques, et lui donner l'accès au centre d'administration. | Présumer que « les TI » suivent les billets de mise à jour du fournisseur. |
| 2. Qualifier les données | Déterminer quelles catégories de renseignements circulent réellement dans Copilot : dossiers d'employés, données clients, renseignements de santé, données financières. | Raisonner sur l'outil plutôt que sur les données qui y transitent. |
| 3. Vérifier et décider | Choisir explicitement l'un des trois états : activation générale, activation pour un groupe pilote restreint, ou « No users ». Une décision par défaut reste une décision. | Présumer que le réglage est resté désactivé ou que tous les groupes ont les mêmes autorisations. |
| 4. Évaluer la sortie du Québec | Documenter l'évaluation liée à la communication de renseignements personnels hors du Québec, incluant la sensibilité des données et le cadre juridique applicable à l'étranger. | Confondre l'entente contractuelle du fournisseur avec l'évaluation exigée de l'organisation. |
| 5. Consigner et communiquer | Mettre à jour l’inventaire interne des fournisseurs et des flux concernés, dater la décision, indiquer qui l'a prise, et informer les équipes des usages permis et interdits dans Copilot. | Une décision prise en réunion sans trace écrite, impossible à reconstituer six mois plus tard. |
Ce que la Loi 25 exige réellement dans ce cas de figure
Pour une entreprise assujettie à la loi québécoise sur le secteur privé, confier des renseignements personnels à un fournisseur hors Québec exige une EFVP préalable, une protection adéquate et une entente écrite qui tient compte de l’évaluation. La responsabilité demeure chez l’entreprise. Les organismes publics relèvent d’un autre régime qu’il faut examiner séparément.
Tenir un inventaire des fournisseurs, des flux et des décisions est une pratique de gouvernance utile. Cet inventaire ne remplace ni l’EFVP ni les engagements contractuels requis. Les effets possibles des lois étrangères, dont le CLOUD Act américain, font partie de l’analyse selon les fournisseurs et les données concernés. Cet article ne constitue pas un avis juridique.
Ce que j'en pense
Il n'y a rien de scandaleux dans l'annonce de Microsoft. La documentation est publique, la date est connue, le mécanisme de retrait existe, et l'ajout d'un sous-traitant est encadré contractuellement. Ce qui me préoccupe, c'est la mécanique d'activation par défaut appliquée à une décision qui touche la localisation de renseignements personnels. Elle transfère la charge de vigilance vers des organisations qui, pour la plupart des PME et des OBNL québécois, n'ont pas d'équipe dédiée à la veille des paramètres infonuagiques. Le résultat prévisible : des centaines d'organisations changeront de chaîne de traitement sans jamais avoir pris de décision. Ce n'est pas une faille technique, c'est un angle mort organisationnel. Et il se corrige avec une personne nommée et un calendrier de veille, pas avec un nouvel outil.
Les limites
Cette grille ne remplace ni une évaluation des facteurs relatifs à la vie privée complète, ni l'analyse d'un conseiller juridique pour les organisations soumises à des régimes particuliers (santé, services financiers, ordres professionnels). Les informations sur les certifications reflètent l'état de la documentation de Microsoft dans la documentation consultée le 12 septembre 2026 : les attestations peuvent évoluer ultérieurement, ce qui changerait la lecture pour les secteurs réglementés. Enfin, l'admissibilité au réglage varie selon les licences et les régions, et chaque organisation doit vérifier son propre centre d'administration plutôt que de se fier à une lecture générale.
À lire aussi sur le blogue
Sur les fondements de la conformité québécoise, voir notre article sur le registre des sous-traitants sous la Loi 25. Sur le cadrage interne des usages, voir notre gabarit de politique d'utilisation de l'IA générative en PME. Sur la mesure de maturité organisationnelle, voir notre présentation du diagnostic Posture IA.
Sources
- Microsoft Learn, OpenAI as a subprocessor in Microsoft Online Services , 9 juillet 2026
- Commission d’accès à l’information — Utilisation et communication de renseignements personnels, consultée le 12 septembre 2026.
Pour aller plus loin
Le diagnostic Posture IA™ permet de situer cette décision dans une démarche plus large de gouvernance et d’adoption.
Passez de la réflexion à l'action
Nos services visent à vous donner les clés pour agir. Découvrez comment nous pouvons accompagner votre organisation :
- Évaluez votre niveau de préparation avec le diagnostic de maturité IA, Posture IA™.
- Structurez votre démarche avec un accompagnement en développement d'un plan d'adoption de l'IA.
- Travaillez les conditions d’un déploiement responsable grâce à notre expertise en gouvernance IA responsable.
- Renforcez les compétences de vos équipes via nos ateliers de formation et de vulgarisation en IA.
Questions fréquemment posées
Le réglage peut-il encore être désactivé après le 24 juillet 2026?
Le réglage permettant l'usage de modèles « opérés par OpenAI » dans Copilot, offert depuis le 9 juillet 2026 était désactivé par défaut et s'est activé automatiquement le 24 juillet 2026 pour les clients commerciaux admissibles. Un administrateur habilité peut encore sélectionner « No users » dans le centre d’administration. Il peut également limiter l’accès à des utilisateurs ou groupes.
Mes données Copilot peuvent-elles sortir du Canada avec ces nouveaux modèles?
Oui. Selon la documentation de Microsoft consultée le 12 septembre 2026, les modèles opérés par OpenAI sont exclus des engagements de traitement au pays. Cela exige de vérifier les flux propres à votre environnement. L’exclusion ne prouve pas que toutes les requêtes sont traitées dans un même pays.
Que doit faire une organisation québécoise assujettie à la Loi 25?
Vérifier le réglage actif, examiner les renseignements et les flux concernés, puis réaliser l’évaluation et conclure les engagements écrits requis par le régime applicable. Consigner les responsables, la décision et la date de révision aide ensuite à suivre les changements.
Est-ce que le contrat signé avec Microsoft protège encore mes données?
L'entente de protection des données (Data Protection Addendum) conclue avec Microsoft demeure en vigueur et encadre OpenAI à titre de sous-traitant sous supervision de Microsoft. Elle ne dispense toutefois pas l'organisation québécoise de son obligation propre d'évaluer le transfert hors Québec et de documenter sa décision, deux exigences distinctes de l'engagement contractuel du fournisseur.
Quelles certifications manquent aux modèles opérés par OpenAI dans Copilot?
Au 12 septembre 2026, Microsoft indique que SOC 1 Type 2 (contrôles touchant les données financières), HITRUST (données de santé) et PCI DSS (données de paiement) ne sont pas encore disponibles pour ces modèles. Cette liste décrit les attestations indisponibles pour l’offre concernée; elle ne signifie pas qu’aucun contrôle de sécurité indépendant n’existe.
Faut-il désactiver le réglage ou l'accepter?
La décision dépend des usages, des renseignements traités, des garanties contractuelles et des exigences sectorielles. Un accès limité à un groupe ou une désactivation peuvent être retenus pendant l’évaluation. Une décision explicite, datée et motivée facilite le suivi.
Qui devrait surveiller les changements de paramètres par défaut dans une PME?
Une personne nommée, avec accès au centre d'administration et mandat écrit de veille sur les avis de service des plateformes infonuagiques. Dans une PME québécoise, il s'agit souvent du responsable de la protection des renseignements personnels, appuyé par le fournisseur TI externe. L'important est que le mandat soit attribué et qu'un rythme de revue soit fixé, par exemple mensuel.
