Claude dans Microsoft 365 Copilot : ce que le choix de modèle change pour vos données

Claude dans Copilot : ce qui est vraiment nouveau

Claude n'est pas arrivé dans Copilot le mois dernier. Microsoft offre les modèles d'Anthropic depuis le 24 septembre 2025, d'abord dans l'agent Researcher et Copilot Studio, sur activation volontaire de l'administrateur (Microsoft 365 Blog, 24 septembre 2025). À l'époque, le choix était clair : activer Claude signifiait envoyer ses données chez Anthropic, hors des environnements gérés par Microsoft, sous les conditions d'Anthropic.

Deux choses ont changé depuis. Le 24 juillet 2026, Claude Opus 5 est devenu disponible dans l'ensemble de la suite : Word, Excel, PowerPoint, Copilot Chat, Cowork et Copilot Studio, sous la même licence Copilot, aux côtés de GPT-5.6 (Microsoft Tech Community, 24 juillet 2026). Et surtout, le cadre contractuel n'est plus le même : Anthropic est désormais un sous-traitant de Microsoft. Pour vos utilisateurs, c'est un menu déroulant de plus. Pour la personne responsable des TI ou de la protection des renseignements personnels, c'est une décision de gouvernance : le choix du modèle détermine qui traite vos données d'entreprise, et sous quelles conditions.

Anthropic devient un sous-traitant Microsoft : ce que ça couvre

Microsoft a intégré Anthropic comme sous-traitant (« subprocessor ») de ses services en ligne. Concrètement, l'utilisation des modèles Claude dans Copilot reste couverte par le cadre contractuel Microsoft que votre organisation connaît déjà : les Conditions des produits, l'Addenda de protection des données (DPA) et la protection des données d'entreprise de Copilot. L'engagement de Microsoft sur le droit d'auteur (Customer Copyright Commitment) s'applique aussi aux modèles Anthropic dans Microsoft 365 Copilot et Copilot Studio (Microsoft Learn, 22 juillet 2026).

Autrement dit : pas de contrat à signer avec Anthropic, pas de nouvelle entente à négocier. Sur le plan contractuel, c'est le scénario le plus propre possible pour introduire un deuxième fournisseur de modèles.

Le point d'attention : la frontière de traitement des données

La nuance importante est ailleurs. Microsoft précise que les modèles Anthropic déployés dans ses offres sont exclus de la frontière de données de l'Union européenne et, le cas échéant, des engagements de traitement dans le pays (Microsoft Learn, 22 juillet 2026). Pour une organisation québécoise qui s'appuie sur les engagements de résidence ou de traitement au Canada, une requête envoyée à un modèle Claude peut donc être traitée hors de ce périmètre.

Deuxième élément à savoir : dans le cloud commercial, les modèles Anthropic sont activés par défaut pour la plupart des clients. Seuls l'Union européenne, l'AELE et le Royaume-Uni sont désactivés par défaut. Si vous ne faites rien, vos utilisateurs ont déjà l'option.

Ce n'est pas une raison de paniquer : le traitement reste encadré par le DPA et la protection des données d'entreprise. Mais si votre analyse Loi 25, vos évaluations des facteurs relatifs à la vie privée ou vos engagements clients reposent sur un traitement au Canada, la décision d'activer ou non les modèles Anthropic doit être documentée, pas subie.

Les modèles « préversion avec rétention » : un cran de vigilance de plus

Microsoft distingue une deuxième famille : les modèles Anthropic en préversion avec rétention de données, comme Claude Fable 5 et Claude Mythos 5. Pour ceux-là, Anthropic agit comme responsable de traitement indépendant, pas comme sous-traitant Microsoft : les conditions commerciales et l'addenda de protection des données d'Anthropic s'appliquent, et Anthropic conserve la plupart des entrées et sorties jusqu'à 30 jours (davantage en cas de signalement par ses classificateurs de sécurité).

Ces modèles sont désactivés par défaut pour tous les tenants, même quand Anthropic est activé comme sous-traitant, et exigent une double action volontaire de l'administrateur. La position raisonnable pour la plupart des organisations : les laisser fermés tant qu'un besoin d'affaires précis ne justifie pas l'analyse.

Ce que votre administrateur devrait faire cette semaine

• Vérifier l'état du réglage : centre d'administration Microsoft 365 → Copilot → Paramètres → « Fournisseurs d'IA agissant comme sous-traitants Microsoft ». Le rôle Administrateur IA ou Administrateur général est requis.
• Décider et documenter : activer pour tous, restreindre à des groupes de sécurité Entra ID, ou désactiver. Le réglage s'applique à Microsoft 365 Copilot et à Copilot Studio.
• Couvrir Copilot Studio et Power Platform : des contrôles additionnels existent dans le centre d'administration Power Platform pour les agents qui utilisent des modèles externes.
• Confirmer que les modèles en préversion avec rétention restent désactivés, et inscrire cette vérification dans votre revue de gouvernance périodique.
• Informer les utilisateurs : l'interface de Copilot indique quand un modèle Claude est utilisé; une consigne claire évite les choix improvisés sur des dossiers sensibles.

Conclusion

L'arrivée de Claude dans Microsoft 365 Copilot est une bonne nouvelle : plus de choix, un cadre contractuel Microsoft déjà en place, et une concurrence qui tire la qualité vers le haut. Mais un choix de modèle est d'abord un choix de circuit de données. La séquence gagnante est simple : vérifier le réglage par défaut, décider en connaissance de cause, documenter la décision au dossier Loi 25, puis laisser les équipes profiter du meilleur modèle pour chaque tâche. Pour cadrer cette décision et l'intégrer à votre gouvernance Copilot, parlez-en à un expert io4.