Bloquer les bots IA dans les réunions Teams : Microsoft livre enfin l'interrupteur, à vous de décider quand l'activer

Un participant de plus que personne n'a invité

Un fournisseur se joint à votre rencontre Teams. Trente secondes plus tard, un preneur de notes du genre Otter, Fireflies ou Read.ai apparaît dans la liste des participants. Personne ne l'a invité : l'outil s'est greffé au calendrier de l'invité externe et il enregistre, transcrit et résume la réunion vers un service tiers. Vos échanges internes, vos chiffres, les propos de vos employés se retrouvent stockés hors de votre tenant, sans que l'organisateur ait dit oui.

Microsoft décrit le problème dans sa propre documentation : ces bots peuvent « enregistrer ou transcrire des réunions sans que les participants en soient conscients », « stocker les données de réunion dans des systèmes tiers hors des limites de conformité de l'organisation » et introduire des risques de fuite. Bloquer les bots IA dans les réunions Teams devient donc un dossier de gouvernance, pas un caprice d'admin.

Ce qui existe déjà depuis juin 2026

Attention à ne pas confondre la nouveauté d'octobre avec ce qui tourne déjà. Annoncée le 13 mars 2026 (MC1251206) et déployée entre juin et la mi-septembre 2026, la détection des bots externes est active par défaut dans tous les tenants. Teams identifie les bots à partir de signaux d'infrastructure et de comportement au moment de la jonction, les étiquette comme non vérifiés et les force dans la salle d'attente, même si la réunion laisse tout le monde contourner le lobby. L'organisateur doit les admettre explicitement, avec un rappel du risque.

C'est le mode par défaut, « When detected, require approval before joining » (RequireApprovalWhenDetected dans la politique de réunion). L'autre option existante, « Do not detect bots », désactive tout. Entre les deux, il manquait le réflexe le plus simple : refuser d'emblée.

Ce qui change en octobre 2026

Le message MC1459141, publié le 21 août et mis à jour le 9 septembre 2026, ajoute une troisième option à la politique « Manage external bots and their access to meetings » : bloquer automatiquement les bots externes identifiés, sans intervention de l'organisateur. Déploiement en Targeted Release de la mi à la fin septembre, disponibilité générale en octobre 2026. Le calendrier initial visait août; il a glissé.

Trois points à retenir :

• L'option est désactivée par défaut. Rien ne change dans votre tenant tant qu'un administrateur ne la choisit pas.
• Elle se configure au niveau de la politique de réunion, donc par groupe d'utilisateurs si vous voulez y aller progressivement (direction et RH d'abord, par exemple).
• Elle vise les bots externes. Copilot pour Microsoft 365, qui tourne à l'intérieur de votre tenant, n'est pas concerné.

Les limites que Microsoft admet lui-même

Microsoft écrit noir sur blanc que « certains bots externes peuvent ne pas être détectés » et que la détection peut, à l'occasion, classer un humain comme bot. Dans ce dernier cas, l'organisateur admet la personne et coche « This is not a bot ». Un bot qui se joint avec un vrai compte utilisateur ou qui imite bien un participant humain peut passer. Le blocage automatique réduit fortement l'exposition, il ne la ramène pas à zéro.

Deux compléments valent le détour. D'abord, réserver l'admission depuis la salle d'attente aux organisateurs et co-organisateurs, comme Microsoft le recommande, pour qu'un présentateur distrait n'admette pas tout le monde d'un clic. Ensuite, exiger une vérification (CAPTCHA) pour les utilisateurs anonymes et les organisations non approuvées : selon une réponse du support Microsoft citant la documentation de Read.ai, cet outil ne peut pas franchir cette vérification. Microsoft prépare aussi un programme d'identification des bots (Teams Bot Identification Program, en aperçu public) pour que les éditeurs légitimes se déclarent eux-mêmes.

Loi 25 : la question n'est pas technique

Un preneur de notes tiers collecte des renseignements personnels : la voix, le nom et les propos de chaque participant, y compris vos employés. La Commission d'accès à l'information rappelle que le consentement doit être « manifeste, libre, éclairé et donné à des fins précises », que la personne doit être informée au moment de la collecte des fins, des moyens et des tiers qui reçoivent l'information, et qu'une communication hors Québec exige au préalable une évaluation des facteurs relatifs à la vie privée. Un bot qui s'invite via le calendrier d'un fournisseur ne coche aucune de ces cases.

Ça vaut pour vous comme organisateur, mais aussi pour vos propres employés qui utilisent ces outils dans les réunions des autres. La question à trancher avec votre responsable de la protection des renseignements personnels : quels outils de transcription sont autorisés, pour qui, et où vont les données.

Quoi faire avant d'appuyer sur le bouton

Cinq gestes, dans cet ordre.

• Inventorier : quels outils de prise de notes IA circulent déjà dans l'organisation, officiellement ou pas. Les journaux d'audit Teams et les admissions depuis le lobby donnent un bon portrait.
• Décider la posture : blocage pour tous, blocage pour les groupes sensibles, ou approbation par l'organisateur avec formation. Une politique écrite vaut mieux qu'un réglage muet.
• Offrir l'alternative : si les équipes ont adopté un preneur de notes, c'est qu'elles en avaient besoin. La transcription et le récapitulatif Copilot natifs à Teams gardent les données dans le tenant.
• Configurer : politique de réunion, admission réservée aux organisateurs, vérification des anonymes. Tester sur un groupe pilote avant le déploiement global.
• Communiquer : prévenir les organisateurs, et prévenir vos partenaires que leurs assistants seront refusés dans vos rencontres.

Le bouton arrive en octobre

La décision, elle, vous appartient dès maintenant. Une politique claire sur les preneurs de notes IA, écrite et communiquée avant l'activation, vaut plus que le réglage lui-même.