Copilot et OpenAI : ce qui a changé le 24 juillet 2026
L'article en 30 secondes
- Depuis le 9 juillet 2026, Microsoft offre dans Copilot des modèles « opérés par OpenAI », avec OpenAI comme sous-traitant officiel sous supervision de Microsoft (Microsoft Learn, 9 juillet 2026).
- Le réglage est désactivé par défaut, mais il s'activera automatiquement le 24 juillet 2026 pour tous les clients commerciaux admissibles, sauf si un administrateur sélectionne explicitement « No users » dans le centre d'administration.
- Ces modèles sont exclus des engagements de traitement au pays. Une requête Copilot peut donc être traitée hors du Canada, vraisemblablement aux États-Unis.
- Plusieurs attestations indépendantes attendues par les secteurs réglementés ne sont pas encore disponibles pour ces modèles : SOC 1 Type 2, HITRUST et PCI DSS.
- Le lecteur repart avec une grille de décision en cinq étapes, applicable avant l'activation, et une trace documentaire conforme aux attentes de la Loi 25.
- Limite principale : aucune trousse de gouvernance ne remplace un avis juridique ni une évaluation des facteurs relatifs à la vie privée réalisée par l'organisation elle-même.
Un paramètre qui s'active sans que personne n'ait cliqué
Dans les mandats, la question qui revient le plus souvent n'est pas « quel outil d'IA choisir ». C'est « qui, chez nous, surveille les paramètres par défaut de nos plateformes ». La réponse est souvent un silence poli. Le cas Copilot du 24 juillet 2026 illustre parfaitement pourquoi cette question mérite un titulaire nommé. Aucune signature, aucune décision d'achat, aucun projet : un réglage change d'état à une date annoncée, et la chaîne de traitement des données d'une organisation change avec lui. Microsoft documente le tout publiquement. Encore faut-il que quelqu'un lise.
Ce qu'est un sous-traitant au sens de la Loi 25
Un sous-traitant est une organisation tierce qui traite des renseignements personnels pour le compte de l'organisation responsable, selon ses instructions et sans en devenir propriétaire. Au Québec, la Loi 25 (Loi modernisant des dispositions législatives en matière de protection des renseignements personnels) maintient la responsabilité chez l'organisation qui confie les données, peu importe le nombre d'intermédiaires. Concrètement, ajouter un sous-traitant à une chaîne existante ne dilue pas l'obligation de rendre compte : elle l'étend. L'entente de protection des données signée avec le fournisseur principal continue de s'appliquer, mais elle ne dispense pas d'une décision interne documentée.
Trois changements concrets pour vos données
La localisation du traitement. Jusqu'ici, les requêtes Copilot étaient traitées par Microsoft sur ses propres serveurs, y compris ses centres de données canadiens. Les modèles opérés par OpenAI sont exclus des engagements de traitement au pays. Une requête d'employé peut donc être traitée sur des serveurs situés hors du Canada. Pour une organisation québécoise, cela active l'obligation d'évaluation prévue lorsque des renseignements personnels sortent de la province.
Les attestations indépendantes. Selon la documentation de Microsoft, les certifications SOC 1 Type 2 (contrôles touchant les données financières), HITRUST (données de santé) et PCI DSS (données de paiement) ne sont pas encore disponibles pour ces modèles. L'absence d'attestation ne signifie pas une faiblesse de sécurité. Elle signifie qu'aucun tiers indépendant ne l'a encore vérifiée, ce qui est une nuance importante pour un ordre professionnel, un établissement de santé ou un organisme qui traite des paiements.
La chaîne contractuelle. Le Data Protection Addendum conclu avec Microsoft demeure en vigueur et encadre OpenAI à titre de sous-traitant. Une intervenante de plus manipule néanmoins les données. Sur le plan de la gouvernance, cela modifie le registre des sous-traitants, la cartographie des flux et, potentiellement, l'information transmise aux personnes concernées.
Cinq étapes à franchir avant l'activation
La séquence ci-dessous se réalise en une à trois heures dans une PME, un peu plus dans un organisme public. Elle produit une trace, ce qui est précisément ce qu'une autorité de contrôle demande en cas de plainte.
| Étape | Ce qu'on fait | Ce qu'on évite |
|---|---|---|
| 1. Nommer le titulaire | Désigner formellement la personne responsable de la veille des paramètres par défaut des plateformes infonuagiques, et lui donner l'accès au centre d'administration. | Présumer que « les TI » suivent les billets de mise à jour du fournisseur. |
| 2. Qualifier les données | Déterminer quelles catégories de renseignements circulent réellement dans Copilot : dossiers d'employés, données clients, renseignements de santé, données financières. | Raisonner sur l'outil plutôt que sur les données qui y transitent. |
| 3. Trancher avant la date | Choisir explicitement l'un des trois états : activation générale, activation pour un groupe pilote restreint, ou « No users ». Une décision par défaut reste une décision. | Laisser l'échéance passer et découvrir l'état actif après coup. |
| 4. Évaluer la sortie du Québec | Documenter l'évaluation liée à la communication de renseignements personnels hors du Québec, incluant la sensibilité des données et le cadre juridique applicable à l'étranger. | Confondre l'entente contractuelle du fournisseur avec l'évaluation exigée de l'organisation. |
| 5. Consigner et communiquer | Inscrire OpenAI au registre des sous-traitants, dater la décision, indiquer qui l'a prise, et informer les équipes des usages permis et interdits dans Copilot. | Une décision prise en réunion sans trace écrite, impossible à reconstituer six mois plus tard. |
Ce que la Loi 25 exige réellement dans ce cas de figure
Trois obligations se croisent ici. Le registre des renseignements personnels doit refléter la réalité des traitements, donc inclure tout nouveau sous-traitant. La communication hors Québec de renseignements personnels demande une évaluation préalable des facteurs relatifs à la protection de la vie privée, tenant compte de la sensibilité des données et des mesures de protection applicables. Enfin, la responsabilité de la protection incombe à l'organisation, non au fournisseur, ce qui rend la décision documentée indispensable.
La Loi sur l'intelligence artificielle et les données (LIAD, fédérale) n'impose pas d'obligation directe dans ce scénario, mais son esprit rejoint la même logique de traçabilité des systèmes. Les organisations qui font affaire en Europe surveilleront de leur côté les exigences de transparence de l'AI Act sur les modèles à usage général. Quant au Cloud Act américain, il reste le motif habituel des questions sur la localisation du traitement : il n'interdit rien, il justifie l'évaluation. Cet article présente une lecture de gouvernance et ne constitue pas un avis juridique.
Ce que j'en pense
Il n'y a rien de scandaleux dans l'annonce de Microsoft. La documentation est publique, la date est connue, le mécanisme de retrait existe, et l'ajout d'un sous-traitant est encadré contractuellement. Ce qui me préoccupe, c'est la mécanique d'activation par défaut appliquée à une décision qui touche la localisation de renseignements personnels. Elle transfère la charge de vigilance vers des organisations qui, pour la plupart des PME et des OBNL québécois, n'ont pas d'équipe dédiée à la veille des paramètres infonuagiques. Le résultat prévisible : des centaines d'organisations changeront de chaîne de traitement sans jamais avoir pris de décision. Ce n'est pas une faille technique, c'est un angle mort organisationnel. Et il se corrige avec une personne nommée et un calendrier de veille, pas avec un nouvel outil.
Les limites
Cette grille ne remplace ni une évaluation des facteurs relatifs à la vie privée complète, ni l'analyse d'un conseiller juridique pour les organisations soumises à des régimes particuliers (santé, services financiers, ordres professionnels). Les informations sur les certifications reflètent l'état de la documentation de Microsoft au 9 juillet 2026 : les attestations manquantes peuvent devenir disponibles ultérieurement, ce qui changerait la lecture pour les secteurs réglementés. Enfin, l'admissibilité au réglage varie selon les licences et les régions, et chaque organisation doit vérifier son propre centre d'administration plutôt que de se fier à une lecture générale.
À lire aussi sur le blogue
Sur les fondements de la conformité québécoise, voir notre article sur le registre des sous-traitants sous la Loi 25. Sur le cadrage interne des usages, voir notre gabarit de politique d'utilisation de l'IA générative en PME. Sur la mesure de maturité organisationnelle, voir notre présentation du diagnostic Posture IA.
Sources
- Microsoft Learn, OpenAI as a subprocessor in Microsoft Online Services , 9 juillet 2026 : https://lnkd.in/gM9DpEjw
À propos de l'auteure
Annie Daigneault est fondatrice et présidente d'extensio.ai, firme-conseil québécoise spécialisée en gouvernance et en adoption responsable de l'intelligence artificielle. Elle accompagne les PME, les OBNL, les ordres professionnels et les institutions publiques du Québec. extensio.ai est un organisme formateur agréé par la Commission des partenaires du marché du travail (agrément no 0061225).
Passez de la réflexion à l'action
Nos services visent à vous donner les clés pour agir. Découvrez comment nous pouvons accompagner votre organisation :
- Évaluez votre niveau de préparation avec le diagnostic de maturité IA, Posture IA™.
- Structurez votre démarche avec un accompagnement en développement d'un plan d'adoption de l'IA.
- Assurez un déploiement éthique grâce à notre expertise en gouvernance IA responsable.
- Renforcez les compétences de vos équipes via nos ateliers de formation et de vulgarisation en IA.
Questions fréquemment posées
Qu'est-ce qui change dans Microsoft 365 Copilot le 24 juillet 2026?
Le réglage permettant l'usage de modèles « opérés par OpenAI » dans Copilot, offert depuis le 9 juillet 2026 et désactivé par défaut, s'activera automatiquement le 24 juillet 2026 pour les clients commerciaux admissibles. Un administrateur peut l'empêcher en sélectionnant explicitement l'option « No users » dans le centre d'administration Microsoft 365 avant cette date.
Mes données Copilot peuvent-elles sortir du Canada avec ces nouveaux modèles?
Oui. Selon la documentation de Microsoft du 9 juillet 2026, les modèles opérés par OpenAI sont exclus des engagements de traitement au pays. Une requête Copilot peut donc être traitée sur des serveurs d'OpenAI situés hors du Canada, vraisemblablement aux États-Unis, alors que le traitement s'effectuait auparavant sur l'infrastructure de Microsoft, y compris ses centres de données canadiens.
Que doit faire une organisation québécoise assujettie à la Loi 25?
Trois gestes minimaux : inscrire OpenAI comme nouveau sous-traitant au registre des traitements, réaliser et documenter l'évaluation liée à la communication de renseignements personnels hors du Québec, puis consigner la décision d'activer ou non le réglage, avec la date et la personne responsable. La responsabilité demeure chez l'organisation, pas chez le fournisseur.
Est-ce que le contrat signé avec Microsoft protège encore mes données?
L'entente de protection des données (Data Protection Addendum) conclue avec Microsoft demeure en vigueur et encadre OpenAI à titre de sous-traitant sous supervision de Microsoft. Elle ne dispense toutefois pas l'organisation québécoise de son obligation propre d'évaluer le transfert hors Québec et de documenter sa décision, deux exigences distinctes de l'engagement contractuel du fournisseur.
Quelles certifications manquent aux modèles opérés par OpenAI dans Copilot?
Au 9 juillet 2026, Microsoft indique que SOC 1 Type 2 (contrôles touchant les données financières), HITRUST (données de santé) et PCI DSS (données de paiement) ne sont pas encore disponibles pour ces modèles. Cela n'atteste pas d'une faiblesse de sécurité, mais aucun tiers indépendant ne l'a vérifié, ce qui pèse dans les secteurs réglementés.
Faut-il désactiver le réglage ou l'accepter?
Les deux choix sont défendables. Une organisation qui traite peu de renseignements sensibles peut activer le réglage après évaluation documentée. Un ordre professionnel, un établissement de santé ou un organisme public traitant des données sensibles a intérêt à choisir « No users » en attendant les attestations indépendantes. Ce qui compte, c'est que la décision soit explicite, datée et motivée.
Qui devrait surveiller les changements de paramètres par défaut dans une PME?
Une personne nommée, avec accès au centre d'administration et mandat écrit de veille sur les avis de service des plateformes infonuagiques. Dans une PME québécoise, il s'agit souvent du responsable de la protection des renseignements personnels, appuyé par le fournisseur TI externe. L'important est que le mandat soit attribué et qu'un rythme de revue soit fixé, par exemple mensuel.
