Sans que personne n’ait cliqué quoi que ce soit, les employés de votre organisation pourraient déjà écrire à Copilot… et obtenir une réponse générée par un modèle d’Anthropic. Selon la documentation de Microsoft, ces modèles sont activés par défaut pour la plupart des clients du nuage commercial, sauf dans l’Union européenne, l’AELE et le Royaume-Uni. Le Canada n’est pas dans la liste des exceptions. Pour une organisation québécoise, cela soulève une question de vie privée très concrète.

Précision d’emblée : cet article vulgarise et propose une interprétation. Ce n’est pas un avis juridique. Validez chaque conclusion avec le responsable de la protection des renseignements personnels de votre organisation.

Ce que Microsoft a changé

Anthropic est maintenant un sous-traitant (« subprocessor ») de Microsoft. Concrètement, la page Learn consultée aujourd’hui (mise à jour le 18 septembre 2026) précise que les Product Terms et l’addenda de protection des données (DPA) de Microsoft s’appliquent aux modèles d’Anthropic, sauf pour ceux étiquetés « Anthropic models with Data Retention ». Ces modèles servent notamment dans Microsoft Copilot (anciennement Microsoft 365 Copilot), Researcher, Copilot Studio et Copilot dans les applications Microsoft 365.

L’avis MC1483844 du Centre de messages (1er octobre 2026) annonce de son côté l’arrivée de GPT-6.1 Sol et de Claude Sonnet 5.5 dans Copilot depuis le 30 septembre.

Un point où les sources se contredisent

Le résumé de l’avis MC1483844 dit que l’accès exige d’activer les sous-traitants Anthropic et OpenAI, tout en ajoutant « aucune action requise pour l’activer ». La page Learn, elle, indique que les modèles d’Anthropic sont activés par défaut hors UE, AELE et Royaume-Uni. Je n’ai pas pu trancher à partir des textes seuls : ouvrez le réglage dans votre locataire pour voir son état réel. C’est la seule source qui compte.

Où vont vos données, au juste ?

Il faut distinguer trois choses, que la documentation de Microsoft traite séparément :

  • Le stockage au repos. Pour un locataire inscrit au Canada, le contenu des interactions avec Copilot (vos requêtes et ses réponses) et l’index sémantique associé sont stockés au repos dans la région locale (Canada). C’est un engagement de la page sur la résidence des données.
  • Le traitement. La page de confidentialité de Copilot avertit que les clients hors UE « peuvent voir leurs requêtes traitées aux États-Unis, dans l’UE ou dans d’autres régions ». Le stockage au Canada ne garantit donc pas un traitement au Canada.
  • Les modèles d’Anthropic. Ils sont, selon Learn, « actuellement exclus » de la Limite des données de l’UE et, le cas échéant, des engagements de traitement dans le pays.
Trois couches de données dans Copilot : stockage au repos au Canada, traitement possible hors Canada, modèles d'Anthropic exclus des engagements de traitement local
Ce que Microsoft s’engage à faire (et ne pas faire) selon sa documentation, octobre 2026

Le lien avec la Loi 25

L’article 17 de la Loi sur la protection des renseignements personnels dans le secteur privé (RLRQ c. P-39.1) prévoit qu’avant de communiquer à l’extérieur du Québec un renseignement personnel, l’entreprise doit procéder à une évaluation des facteurs relatifs à la vie privée (EFVP). Cette évaluation tient compte de la sensibilité des renseignements, de la finalité, des mesures de protection (y compris contractuelles) et du régime juridique applicable dans l’État visé. La communication est permise si la protection est « adéquate », sous réserve d’une entente écrite. La règle s’applique aussi lorsqu’on confie à quelqu’un à l’extérieur du Québec la tâche de recueillir, utiliser, communiquer ou conserver des renseignements. Les organismes publics ont une règle équivalente (art. 70.1 de la Loi sur l’accès, RLRQ c. A-2.1).

Mon interprétation : si des invites ou des documents contenant des renseignements personnels (dossiers de clients ou d’employés, par exemple) peuvent être traités par un modèle hébergé hors Québec, l’article 17 peut s’appliquer. Le recours à Anthropic comme sous-traitant ajoute alors un maillon à documenter. Ce n’est pas une certitude : tout dépend de ce qui transite réellement et de l’analyse de votre responsable.

Deux autres articles sont pertinents. L’article 3.3 exige une EFVP pour tout projet d’acquisition ou de refonte d’un système d’information impliquant des renseignements personnels, avec consultation du responsable dès le début du projet. L’article 18.3 demande un contrat écrit avec le mandataire (mesures de protection, usage limité au mandat, avis sans délai de toute violation) : Microsoft agit ici comme mandataire, d’où l’intérêt de relire les Product Terms et le DPA.

Que faire cette semaine ?

  1. Constater. Centre d’administration Microsoft 365 > Copilot > Paramètres > Tout afficher > « AI providers operating as Microsoft subprocessors ». Notez l’état d’Anthropic et qui y a accès. Un rôle d’administrateur de l’IA ou d’administrateur général est requis.
  2. Vérifier les modèles avec conservation. Les « Anthropic models with Data Retention » sont désactivés par défaut. Ils ne sont pas couverts par les Product Terms ni le DPA. Anthropic peut y conserver les données jusqu’à 30 jours. Confirmez qu’ils sont bien désactivés.
  3. Convoquer le responsable. Présentez-lui ce changement et demandez si votre EFVP de Copilot couvre le traitement hors Québec et ce nouveau sous-traitant. Si l’EFVP n’existe pas, c’est le moment de la lancer (guide de la CAI en référence).
  4. Choisir : restreindre ou assumer. Vous pouvez limiter Anthropic à des groupes précis ou le désactiver. Attention : certaines fonctions ne sont disponibles que si Anthropic est activé, selon Learn. Décidez en connaissance de cause et consignez la décision.
  5. Informer. Mettez à jour votre politique de gouvernance (art. 3.2) et vos avis aux employés si la liste des sous-traitants y figure.
Volet « AI providers operating as Microsoft subprocessors » du Centre d’administration Microsoft 365, avec le choix des utilisateurs qui accèdent aux modèles d’Anthropic
L’écran à consulter pour la première étape (image : Microsoft Learn, CC BY 4.0)

Le vrai sujet n’est pas Anthropic en particulier. Chaque nouveau modèle ajouté à Copilot est une nouvelle réponse à la même question : où vont mes données et qui en répond ? Quand les modèles changent chaque mois, une EFVP faite une seule fois à l’achat vieillit vite. Les organisations qui s’en tireront le mieux sont celles qui traitent le suivi des sous-traitants comme une routine (un coup d’œil au réglage, un registre des décisions) plutôt que comme un projet ponctuel. Et si vous constatez un écart entre ce que dit la documentation et ce que montre votre locataire, mieux vaut le documenter que le deviner.

Références