Beaucoup d’organisations qui déploient Microsoft Copilot (anciennement Microsoft 365 Copilot) se demandent s’il faut acheter un produit de plus pour contrôler le surpartage SharePoint. La réponse courte, selon la documentation Microsoft Learn : pas nécessairement. Si au moins un utilisateur de votre locataire a une licence Copilot, vos administrateurs SharePoint ont déjà accès à une grande partie de SharePoint Advanced Management (SAM). Encore faut-il savoir ce qu’on a et par quoi commencer.

Ce que dit la licence

La page Learn sur les prérequis de SAM énonce la condition : il suffit qu’au moins un utilisateur de votre organisation ait une licence Copilot attribuée. Cet utilisateur n’a pas besoin d’être administrateur SharePoint. La base reste un abonnement admissible (Office 365 E3, E5 ou A5, Microsoft 365 E1, E3, E5 ou A5 ou les nuages gouvernementaux). Les organisations avec Microsoft 365 E7 (qui regroupe notamment E5, Copilot et Agent 365) sont aussi couvertes.

Une seule exception bien visible : la création restreinte de sites par les applications n’est pas incluse. Elle exige le module complémentaire SharePoint Advanced Management Plan 1.

Les fonctions de SharePoint Advanced Management incluses avec une licence Copilot, groupées en trois familles (l'exception : la création restreinte de sites)
Ce qui est inclus avec une licence Copilot, selon la page Learn mise à jour le 18 août 2026

Ce que vous obtenez

La page Learn (mise à jour le 18 août 2026) range les fonctions en trois familles :

  • Contrôle de la prolifération : comparaison des politiques de sites, politique de propriété des sites, politique des sites inactifs et attestation des sites, chacune avec un mode simulation et un mode actif ;

  • Contrôle du surpartage : évaluation de la gestion du contenu, blocage du téléchargement, aperçus des applications d’entreprise, accès conditionnel par site, Restricted Access Control (RAC), Restricted Content Discovery (RCD), rapports sur les liens de partage, sur « Tout le monde sauf les utilisateurs externes » et sur les permissions, révision de l’accès par les propriétaires ;

  • Contrôle du cycle de vie : gestion du catalogue, historique des changements et actions récentes des administrateurs.

Un détail pour les licences d’étiquettes : la page indique que les étiquettes de confidentialité exigent E5 ou G5. Elles ne viennent donc pas avec Copilot seul.

Par où commencer

Tout n’a pas la même urgence. Voici l’ordre que je recommande, avec ce que la documentation dit de chaque outil.

1. Mesurer avec les rapports de gouvernance de l’accès aux données

Les rapports « instantanés » donnent l’état des permissions : le rapport des permissions de sites repère les sites aux accès les plus larges (milliers d’utilisateurs, invités externes, « Tout le monde sauf les utilisateurs externes »). Un rapport dédié identifie même les fichiers et dossiers rendus publics par ces groupes spéciaux. Les rapports « d’activité » couvrent les 28 derniers jours : liens de partage créés et partage avec toute l’organisation. Microsoft suggère un instantané chaque trimestre et un rapport d’activité chaque mois. En PowerShell, Start-SPODataAccessGovernanceInsight génère les rapports et Get-SPODataAccessGovernanceInsight les liste.

Capture du Centre d'administration SharePoint, page Data access governance : rapports instantanés (permissions de sites, étiquettes de confidentialité) et rapports d'activité (liens de partage, partage avec « Everyone except external users »)
La page Data access governance du Centre d’administration SharePoint, avec ses rapports instantanés et d’activité (capture : Microsoft, Microsoft Learn. Used with permission from Microsoft.)

2. Gagner du temps avec Restricted Content Discovery

RCD empêche le contenu d’un site de ressortir dans la recherche à l’échelle de l’organisation et dans les réponses de Copilot, y compris les fichiers récemment consultés. La page, mise à jour le 22 septembre 2026, le décrit comme un contrôle temporaire le temps de revoir les permissions. Deux nuances importantes : il ne change pas les permissions (un utilisateur qui a déjà accès peut ouvrir le contenu directement) et il retire aussi les points d’entrée IA du site, comme le bouton Copilot. Il ne s’applique pas à OneDrive. Microsoft recommande de l’utiliser avec parcimonie, parce qu’un usage excessif appauvrit les réponses de Copilot.

Capture de l'onglet Settings d'un site actif dans le Centre d'administration SharePoint : l'option « Restrict content from Microsoft 365 Copilot » est activée, à côté de « Restricted site access »
Restricted Content Discovery s’active site par site, dans l’onglet Settings des sites actifs (capture : Microsoft, Microsoft Learn. Used with permission from Microsoft.)

3. Verrouiller avec Restricted Access Control

RAC va plus loin : seuls les membres des groupes désignés (jusqu’à 10 groupes de sécurité ou groupes Microsoft 365 par site) accèdent au site, même s’ils avaient une permission directe ou un lien. Copilot et la recherche respectent la politique. Il faut d’abord l’autoriser à l’échelle du locataire (Set-SPOTenant -EnableRestrictedAccessControl $true, jusqu’à une heure de délai).

4. Installer le ménage durable avec le cycle de vie

Les politiques de propriété, de sites inactifs et d’attestation ne suppriment aucun site : elles avisent les propriétaires et les administrateurs. Commencez en mode simulation.

Un petit script de lecture

Ce script en lecture seule liste les sites où RCD est déjà activé et les rapports « Tout le monde sauf les utilisateurs externes » déjà générés. Il ne modifie rien, mais ne l’essayez pas d’abord en production sans l’avoir relu.

# Inventaire en lecture seule : sites SharePoint et rapports DAG existants. 
# Prérequis : module Microsoft.Online.SharePoint.PowerShell et rôle SharePoint Administrator. param( [Parameter(Mandatory)] [string]$AdminUrl ) Connect-SPOService -Url $AdminUrl 
# Sites où Restricted Content Discovery est déjà activé Get-SPOSite -Limit All | Select-Object -Property Url, RestrictContentOrgWideSearch | Where-Object -FilterScript { $_.RestrictContentOrgWideSearch } | Format-Table -AutoSize 
# Rapports « Everyone except external users » déjà générés (28 derniers jours) Get-SPODataAccessGovernanceInsight -ReportEntity EveryoneExceptExternalUsersAtSite

Une nuance sur les licences : E5 n’est pas SAM

La page des rapports précise que les administrateurs avec une licence E5 peuvent consulter les rapports de gouvernance de l’accès aux données, mais pas les autres fonctions de SAM. Ces rapports n’offrent alors ni instantanés ni actions de correction. L’aide de Start-SPODataAccessGovernanceInsight indique de son côté qu’une licence SAM est requise. Les deux pages décrivent des situations différentes : dites-vous qu’avec Copilot (donc SAM) vous avez la version complète. Vérifiez ce que votre locataire affiche réellement.

Tableau comparatif de ce que donne SharePoint Advanced Management avec une licence Copilot et avec E5 seul
Licence Copilot ou E5 seul : les fonctions de SAM auxquelles vous avez accès (selon les pages Learn sur les rapports et les prérequis)

Que faire cette semaine ?

  1. Confirmez qu’au moins une licence Copilot est attribuée et que vos administrateurs ont le rôle SharePoint Administrator ou SharePoint Advanced Management Administrator.

  2. Générez le rapport des permissions de sites et notez les cinq sites les plus exposés.

  3. Appliquez RCD à ces sites le temps de la revue, puis suivez la propagation (elle peut prendre du temps selon la taille des sites).

  4. Créez une politique de propriété de sites en mode simulation et lisez les résultats avant de l’activer.

  5. Inscrivez au calendrier un instantané trimestriel et un rapport d’activité mensuel.

Les organisations québécoises ont une raison de plus de s’y mettre : un renseignement personnel exposé à cause du surpartage peut constituer un accès non autorisé au sens de la Loi 25 (art. 3.6), selon mon interprétation. Validez-le avec votre responsable de la protection des renseignements personnels.

Ce qui me frappe, c’est que le coût d’entrée de la gouvernance du surpartage a baissé sans que beaucoup de gens s’en aperçoivent. L’obstacle n’est plus la licence : c’est le temps. Une organisation qui attend « d’avoir le budget » pour s’attaquer au surpartage laisse pourtant Copilot présenter chaque jour ce que ses permissions autorisent déjà. Mieux vaut commencer petit, avec cinq sites et un rapport, que d’attendre le grand projet.

Références