Microsoft 365 E7 rend la productivité assistée par IA commercialement accessible pour le front office. Mais pour une banque privée suisse, la licence est la partie facile. Confidentialité, souveraineté des données, attentes de la FINMA et US CLOUD Act déterminent si — et comment — Copilot peut être déployé en toute sécurité.
Microsoft a annoncé Microsoft 365 E7 le 9 mars 2026, avec une disponibilité générale à partir du 1er mai 2026. La suite regroupe Microsoft 365 E5, Microsoft 365 Copilot, Agent 365 et Microsoft Entra Suite dans une licence unique. Pour les banques privées qui évaluent la productivité assistée par IA au front office, l’argument commercial devient pour la première fois simple.
La proposition de valeur est évidente. Les gestionnaires de relation et leurs assistants consacrent un temps considérable à la rédaction, la reformulation, la traduction et la mise au point de la correspondance client. Copilot fonctionne dans Outlook, Word, Teams et Excel — précisément les outils que le front office utilise déjà. Les premiers cas d’utilisation tels que la rédaction de messages de routine, la traduction de contenus approuvés, la synthèse de notes de réunion et l’adaptation du ton à une clientèle internationale sont bien dans les capacités de l’outil.
L’argument du calendrier joue également. L’enquête FINMA 2025 a révélé qu’environ la moitié des institutions financières suisses interrogées utilisent déjà l’IA au quotidien. Une banque qui explore ce domaine avec soin ne fait rien d’inhabituel — elle suit une tendance sectorielle déjà bien engagée.
Mais la licence n’est pas la partie difficile. Le modèle de contrôle l’est.
La vraie question
Pour une banque privée suisse, la question n’est pas de savoir si Copilot peut accélérer la rédaction d’e-mails. Il le peut. La question est de savoir si la rédaction assistée par IA peut être autorisée tout en préservant la confidentialité, la discipline de conduite, les contrôles d’adéquation, la traçabilité et la défendabilité réglementaire.
La Communication FINMA sur la surveillance 08/2024 est directement pertinente. Les établissements assujettis doivent identifier, évaluer, gérer et surveiller les risques liés aux applications d’IA internes et externes. Cette directive n’interdit pas l’utilisation d’outils comme Copilot, mais elle fixe une attente claire : l’IA appartient aux structures de gouvernance, pas en dehors.
Trois risques qui comptent
Amplification des autorisations. Microsoft indique que Copilot n’accède qu’aux données auxquelles un utilisateur est déjà autorisé à accéder, héritant des autorisations, étiquettes et contrôles de rétention existants. Cela semble rassurant — mais cela signifie qu’une hygiène des droits d’accès déficiente devient plus dangereuse, pas moins. Si les autorisations SharePoint, Exchange, Teams ou OneDrive sont trop larges, Copilot rend les informations surexposées plus faciles à découvrir et à réutiliser.
Lacunes dans les frontières des données. Microsoft affirme que les invites et réponses sous la protection des données d’entreprise ne sont pas utilisées pour entraîner des modèles de fondation — une garantie importante. Cependant, la documentation de Microsoft indique que les requêtes de recherche web sont exclues de la frontière des données de l’UE, et que l’utilisation des modèles Anthropic se situe en dehors de cette frontière lorsque ces modèles sont invoqués dans certaines expériences Copilot. Pour une banque suisse, cela n’exclut pas la plateforme, mais cela signifie que les décisions au niveau des fonctionnalités comptent.
Risque lié aux résultats. Dans la banque privée, un brouillon plausible mais inexact peut créer des problèmes juridiques, comportementaux, réputationnels ou réglementaires. Les formulations peuvent toucher au positionnement d’investissement, à la présentation de produits, aux implications de performance ou au contexte relationnel confidentiel. L’IA générative ne comprend pas le poids réglementaire de ce qu’elle écrit.
La souveraineté des données ne se résume pas au centre de données
Microsoft exploite deux régions Azure en Suisse — Zurich et Genève. Les charges de travail Microsoft 365 de base peuvent être provisionnées avec des données au repos dans ces régions. L’infrastructure pour conserver les données en Suisse existe.
Mais Copilot introduit des flux de traitement qui vont au-delà du simple stockage. Lorsqu’un utilisateur invoque Copilot, l’invite et le contexte environnant sont envoyés à un grand modèle de langage pour inférence. Microsoft s’est engagé à traiter les données des clients de la frontière des données de l’UE au sein de l’UE — mais la Suisse n’est pas dans l’UE. Savoir si Microsoft s’engage contractuellement à traiter les invites Copilot des clients suisses dans les limites suisses ou européennes nécessite vérification. Le grounding par recherche web et les invocations de modèles Anthropic sont explicitement en dehors de la frontière des données de l’UE — des chemins concrets par lesquels les données peuvent quitter la Suisse même si la boîte aux lettres sous-jacente reste à Zurich.
Le problème plus profond est la juridiction. Microsoft est une entreprise basée aux États-Unis, soumise au US CLOUD Act, qui peut contraindre les fournisseurs américains à produire des données quel que soit leur lieu de stockage, et à une exposition potentielle au titre du FISA Section 702 pour les données de personnes non américaines. Le secret bancaire suisse selon l’art. 47 de la loi sur les banques crée une tension directe. Une banque qui stocke des données de communication client dans un tenant Microsoft — même hébergé en Suisse — doit évaluer si des demandes d’accès du gouvernement américain pourraient forcer une divulgation contraire au droit suisse.
Le PFPDT — le Préposé fédéral à la protection des données et à la transparence — a publié des orientations sur le traitement des données dans le cloud et des prises de position sur l’utilisation de fournisseurs cloud américains qui sont directement pertinentes ici. Toute banque effectuant son évaluation des risques liés au CLOUD Act devrait prendre en compte les orientations du PFPDT parallèlement à l’évaluation des risques exigée par la FINMA, car les positions du Préposé sur l’accès transfrontalier aux données et la portée juridictionnelle américaine informent le standard de diligence attendu en vertu de la loi suisse sur la protection des données.
« Centre de données suisse » et « souveraineté des données suisse » ne sont pas la même chose.
À quoi ressemble un déploiement contrôlé
La voie prudente est une approbation conditionnelle dans un cadre de gouvernance défini, et non un déploiement ouvert. La posture appropriée est que Copilot peut aider à la rédaction, la reformulation, la synthèse et la mise en forme, mais un banquier humain reste responsable de chaque communication sortante adressée au client.
Un cadre de contrôle avant tout déploiement au front office comprendrait typiquement :
- Cas d’utilisation autorisés définis. Rédiger des e-mails de service de routine, traduire des formulations approuvées, synthétiser des notes de réunion, adapter le ton au style maison — oui. Génération libre de conseils en investissement, d’engagements juridiques ou de déclarations sur les produits — non, sauf si strictement basée sur des modèles et contrôlée séparément.
- Audit d’hygiène des accès aux données. Puisque Copilot hérite des autorisations existantes, un nettoyage des permissions sur Exchange, SharePoint, Teams et OneDrive n’est pas optionnel — il fait partie de la préparation.
- Décisions au niveau des fonctionnalités. Le grounding web, la création d’agents et toute fonctionnalité invoquant des modèles ou des chemins de traitement hors des limites préférées doivent être évalués individuellement. La documentation de Microsoft est explicite sur les fonctionnalités ayant des implications distinctes en matière de frontières de données.
- Revue humaine avant envoi. Tous les e-mails destinés aux clients, générés ou substantiellement réécrits par l’IA, doivent être revus par le banquier responsable avant expédition. L’IA peut proposer ; elle ne devrait pas communiquer de manière autonome.
- Surveillance et preuves. Échantillonnage des brouillons générés, catégorisation des modes de défaillance, contrôles de qualité linguistique, revue des incidents de confidentialité et journal de décision documenté. La FINMA attend des établissements assujettis qu’ils gèrent et surveillent les risques liés à l’IA, et de telles preuves seraient pertinentes lors de tout examen prudentiel.
En résumé
Une banque privée suisse peut faire un argument crédible en faveur de Microsoft 365 E7 et Copilot au front office. Les gains de productivité à court terme — en particulier pour la rédaction multilingue et le soutien à la communication — sont réels. Mais le bon cadrage n’est pas « acheter E7 et laisser les banquiers utiliser l’IA ». Le bon cadrage est : acquérir la licence E7, puis introduire la communication client assistée par IA sous un régime de contrôle étroitement défini, surveillé et basé sur la revue.
C’est la version la plus susceptible de livrer de la productivité sans créer un problème de gouvernance qui n’avait pas besoin d’exister.