Déployer Microsoft Copilot Security en entreprise : ROI, pièges et quick wins

I couldn't write to `/tmp` (permission not granted) and the working directory is flagged never-touch, so the article is delivered inline below.

Depuis le 18 novembre 2025, déployer Microsoft Copilot Security en entreprise n'est plus le même exercice budgétaire qu'en 2024. Microsoft Security Copilot — c'est le nom officiel du produit depuis son renommage, l'appellation « Microsoft Copilot for Security » appartenant désormais au passé — est inclus sans surcoût pour tout client Microsoft 365 E5 ou E7 éligible, avec une allocation mensuelle d'unités de calcul de sécurité provisionnée automatiquement dans le tenant. Pour les RSSI, ce basculement déplace la question : elle n'est plus « combien ça coûte » mais « qu'est-ce que j'en fais réellement, et comment j'évite de brûler mon allocation en trois semaines ». Sur le terrain, nous constatons que la majorité des organisations éligibles ignorent qu'une capacité par défaut existe déjà dans leur locataire, continuent de payer une capacité provisionnée héritée en parallèle, et n'ont aucune métrique avant/après pour justifier l'usage. Cet article détaille les pré-requis réels, le modèle SCU dans ses subtilités de facturation, un plan de déploiement en 90 jours, les cinq cas d'usage à ROI démontrable dès le premier mois, et le calcul de TCO face à un recrutement d'analystes.

Pré-requis techniques et licences : ce qu'il faut avoir avant de démarrer

Avant toute discussion budgétaire, il faut déterminer dans quelle catégorie de client vous vous situez. Microsoft distingue désormais deux chemins d'intégration radicalement différents, et engager le mauvais fait perdre trois à six semaines.

Le basculement licenciel : inclusion E5/E7 ou provisionnement manuel

Annoncée à Ignite 2025 et déployée progressivement depuis le 18 novembre 2025, l'inclusion Security Copilot couvre tous les clients Microsoft 365 E5 et E7, sans engagement minimal de volume de licences. L'allocation est de 400 SCU par mois pour chaque tranche de 1 000 licences utilisateur payantes, plafonnée à 10 000 SCU mensuelles. Le calcul est proportionnel y compris en dessous du seuil : une organisation de 400 licences reçoit 160 SCU par mois, une organisation de 4 000 licences en reçoit 1 600. Ces SCU se réinitialisent chaque mois et ne sont pas reportables — une allocation non consommée est définitivement perdue.

Si vous n'êtes ni E5 ni E7 — et c'est notamment le cas des clients Microsoft Sentinel équipés en E3 assorti de modules complémentaires, explicitement exclus de l'éligibilité — vous restez sur le modèle historique de capacité provisionnée. Vérifiez votre statut avant tout achat : le Centre d'administration Microsoft 365 publie une notification dédiée, et des bannières apparaissent dans les portails Defender, Purview, Entra et Intune. Point à ne pas manquer : si vous étiez déjà client Security Copilot avec une capacité provisionnée et que vous devenez éligible à l'inclusion, Microsoft recommande explicitement de ne pas supprimer la capacité existante. Beaucoup d'organisations paient donc aujourd'hui une capacité qu'elles n'utilisent plus.

Abonnement Azure, rôles Entra ID et espace de travail

Pour un provisionnement manuel, il faut un abonnement Azure actif, le rôle Azure Contributeur ou Propriétaire sur l'abonnement ou le groupe de ressources cible, et le rôle Administrateur de la sécurité ou supérieur dans le locataire Entra ID. Ces deux rôles sont nécessaires conjointement pour rattacher la capacité SCU à l'espace de travail Security Copilot. Attention à un effet de bord fréquent : la personne qui exécute la configuration initiale devient propriétaire par défaut, avec l'ensemble des rôles qu'elle détient par ailleurs.

En mode inclusion, l'héritage de rôles est automatique et large. Héritent de l'accès propriétaire : Administrateur général, Administrateur de la sécurité, Administrateur de l'accès conditionnel, Administrateur Intune, ainsi que le bundle conformité (Administrateur de conformité Entra, Administration de conformité Purview, Gestion de l'organisation Purview) et l'Administrateur Gouvernance des données Purview. Héritent de l'accès contributeur : tous les rôles RBAC personnalisés Defender XDR, Purview et Intune incluant l'autorisation Security Copilot. Auditez cette liste dès l'activation via la page d'attribution de rôle du portail : dans un tenant mature, cela représente souvent trente à cinquante comptes disposant d'un accès qu'aucun processus n'a validé. C'est exactement le type d'élargissement silencieux de périmètre que révèle un pentest Active Directory ou une revue de privilèges Entra ID.

Le socle de données que Copilot ne compense pas

Security Copilot n'invente pas de télémétrie. Sa qualité de réponse est bornée par la couverture de vos connecteurs. Trois pré-requis fonctionnels sont non négociables : un déploiement Defender for Endpoint supérieur à 90 % du parc, l'activation d'Entra ID Protection avec des journaux de risque exploitables, et une table d'incidents Defender XDR correctement corrélée. Notez enfin la restriction souveraine : Security Copilot n'est pas conçu pour les clouds gouvernementaux américains (GCC High, DoD, Azure Government). Pour approfondir la mécanique interne, consultez notre analyse de l'architecture et modèle SCU.

Modèle économique SCU : calculer votre budget et optimiser la consommation

L'unité de calcul de sécurité mesure la puissance de calcul consommée pour exécuter une charge Security Copilot, que ce soit dans le portail autonome, dans une expérience intégrée à Defender XDR, ou via un agent. Trois modèles de capacité coexistent, et leur logique de facturation diffère profondément.

Provisionné, dépassement, inclusion : trois logiques distinctes

La capacité provisionnée est une allocation de référence achetée à l'avance, de 1 SCU minimum à 100 SCU maximum. Elle est facturée à l'heure et se réinitialise à chaque heure de facturation pleine. La capacité de dépassement s'active lorsque la capacité provisionnée est épuisée ; elle est facturée à l'usage réel, à la décimale près, et peut être plafonnée ou définie comme illimitée. La capacité d'inclusion E5/E7 n'est pas horaire du tout : chaque session déduit sa consommation du compteur mensuel. La capacité par défaut créée automatiquement n'est pas modifiable, est partagée entre tous les utilisateurs et expériences du locataire, et les montants affichés dans l'interface sont purement informatifs.

Le piège de l'heure pleine

C'est la subtilité qui fait dérailler les budgets en mode provisionné. La facturation s'appuie sur des blocs horaires fixes — 9h00 à 10h00, 10h00 à 11h00 — et non sur des fenêtres glissantes. Toute SCU non consommée expire à la fin de l'heure sans report. Pire : si vous provisionnez une SCU à 9h05, la déprovisionnez à 9h35, puis en provisionnez une autre à 9h45, vous êtes facturé deux unités sur la plage 9h00–10h00. Règle opérationnelle : toute modification d'approvisionnement doit se faire en début d'heure pleine. Les ajustements de capacité prennent effet sous trente minutes, ce qui interdit toute stratégie de scaling réactif à la minute.

Combien consomme réellement une session

Les ordres de grandeur documentés par Microsoft permettent de dimensionner sérieusement. Une invite complexe consomme environ 3 SCU en 40 secondes. Un résumé d'incident dans Defender XDR consomme 0,5 SCU en 10 secondes. Un promptbook d'analyse de script consomme autour de 3,7 SCU. Le tableau de bord de surveillance de l'utilisation, accessible via Menu Accueil > Paramètres du propriétaire > Surveillance de l'utilisation, conserve 90 jours d'historique et ventile la consommation par session, utilisateur, plug-in, expérience et catégorie — Invite, Promptbook, Agent ou Primitif — ainsi que par type d'appel, manuel ou automatisé. L'export Excel est indispensable pour construire votre modèle de charge. Dernier point trop souvent ignoré : les fonctionnalités en préversion publique sont facturées, seule la préversion privée est gratuite. Un agent en preview activé par curiosité consomme du budget réel.

Souveraineté, résidence des données et conformité RGPD / NIS 2

C'est la première section qu'ouvre un RSSI français, et c'est celle que la documentation traduite escamote. Security Copilot distingue deux localisations qu'il ne faut jamais confondre.

Stockage des données client et emplacement d'évaluation des invites

L'emplacement de stockage des données client est la zone géographique où résident invites, réponses et données associées à l'espace de travail. En provisionnement automatique, il est présélectionné sur votre zone géographique Entra ID. Si votre locataire dispose d'un remplacement géographique Microsoft 365 — emplacement de données préféré, programme Go Local, module complémentaire Advanced Data Residency — Microsoft utilise ce remplacement et le mappe vers une zone supportée par Security Copilot.

L'emplacement d'évaluation de l'invite détermine où le traitement GPU s'effectue. La règle par défaut est claire : si le stockage des données client est dans l'UE, les invites sont traitées dans l'UE. Sinon, elles sont traitées globalement — États-Unis, Royaume-Uni, UE, ANZ — selon la disponibilité GPU. En provisionnement manuel, l'écran de création de capacité propose explicitement une option permettant d'évaluer les invites n'importe où dans le monde lorsque la zone sélectionnée est saturée. Ne cochez jamais cette option sans arbitrage écrit du DPO. C'est le point de non-conformité RGPD le plus fréquent que nous rencontrons en audit, et il est configuré en deux clics par un administrateur pressé par une file d'attente.

Partage de données et traçabilité

Deux paramètres sont désactivés par défaut : la capture de données pour validation des performances produit par révision humaine, et la capture pour entraînement et validation du modèle IA de sécurité Microsoft. Vérifiez-les malgré tout dans les Paramètres du propriétaire — un administrateur peut les activer sans validation. À l'inverse, l'accès aux données des services Microsoft 365 est activé par défaut : Copilot copie, traite et stocke les données client pertinentes des produits sous licence. Documentez ce traitement dans votre registre RGPD, et intégrez la journalisation des sessions Copilot à votre dispositif de preuve NIS 2. Les invites et réponses constituent des traces d'investigation opposables. Si vous n'avez pas encore cadré votre trajectoire de mise en conformité, notre diagnostic NIS 2 permet de positionner rapidement le sujet.

Intégration à l'écosystème : Defender XDR, Sentinel, Entra ID et plug-ins

Expérience autonome et expériences intégrées

Security Copilot existe sous deux formes. Le portail autonome (securitycopilot.microsoft.com) offre la session conversationnelle complète, les promptbooks et le magasin d'agents. Les expériences intégrées exposent des capacités contextuelles directement dans Defender XDR, Microsoft Sentinel, Entra ID, Intune et Purview. Dans les déploiements récents, l'expérience d'accueil est désormais orientée agents : les nouveaux clients E5/E7 arrivent sur une page d'accueil « agents-first », la conversation se lançant depuis Tout l'historique > Nouvelle session. C'est un changement d'ergonomie majeur, à intégrer dans vos supports de formation sous peine de voir vos analystes chercher la barre d'invite pendant deux semaines.

Plug-ins, agents et coûts non couverts

Les plug-ins étendent le contexte disponible : sources Microsoft (Defender XDR, Sentinel, Entra, Intune, Purview, Defender Threat Intelligence), sources non-Microsoft comme ServiceNow ou Jamf, sites web publics, et plug-ins personnalisés au schéma OpenAI. Deux avertissements budgétaires. Premièrement, les produits qui s'intègrent en tant que plug-ins doivent être achetés séparément : brancher ServiceNow n'offre pas ServiceNow. Deuxièmement, plusieurs postes échappent à l'inclusion E5/E7 même quand les SCU sont couvertes : les coûts de calcul et de stockage du data lake Microsoft Sentinel, l'expérience non agentique d'enquêtes sur la sécurité des données dans Purview, les frais Azure Logic Apps utilisés pour orchestrer Copilot, et les licences d'agents partenaires achetées via le Security Store. Les coûts SCU des agents tiers sont, eux, inclus jusqu'à nouvel ordre. Pour aller plus loin sur l'automatisation, voir notre guide sur la création d'agents pour automatiser le SOC et la documentation officielle des plug-ins.

Phases de déploiement : POC en 30 jours, production en 90 jours

Jours 1 à 30 : le POC sous contrainte de mesure

Semaine 1 — cadrage. Déterminez votre catégorie de client, vérifiez la présence d'une capacité par défaut dans le locataire, auditez les rôles hérités, et figez la configuration de résidence des données. En provisionnement manuel, Microsoft recommande 3 SCU avec dépassement illimité pour une exploration introductive ; c'est un bon point de départ à condition de ne pas le laisser tourner 24 heures sur 24.

Semaine 2 — baseline. C'est l'étape que la majorité des POC sautent, et sans elle aucun ROI n'est démontrable. Extrayez de Defender XDR et de votre ITSM les valeurs actuelles de MTTD, MTTR, nombre d'incidents traités par analyste et par jour, et durée moyenne de rédaction d'un rapport d'incident. Trois mois d'historique minimum.

Semaines 3 et 4 — usage encadré. Sélectionnez trois à cinq analystes volontaires, pas plus. Imposez un journal d'usage : cas d'usage, temps estimé sans Copilot, temps réel avec. Croisez chaque soir avec l'export du tableau de bord d'utilisation pour établir votre coût SCU par cas d'usage. À l'issue du POC, vous devez disposer d'un tableau à trois colonnes : cas d'usage, SCU consommées, minutes analyste économisées.

Jours 31 à 90 : industrialisation

Mois 2 — standardisation. Convertissez les invites efficaces du POC en promptbooks versionnés. Un promptbook réduit la variance de consommation et rend la dépense prévisible, là où l'invite libre produit des écarts d'un facteur trois. Déployez ensuite les premiers agents sur les tâches à volume : tri du phishing signalé par les utilisateurs, tri d'alertes de niveau 1, revues d'accès Entra ID. Mettez en place l'export mensuel du dashboard vers votre outil de reporting.

Mois 3 — gouvernance et extension. Restreignez les rôles contributeurs au strict nécessaire, définissez un plafond de dépassement aligné sur le budget mensuel, et instaurez un comité mensuel de revue de consommation réunissant SOC, DSI et achats. Étendez ensuite aux équipes identité et conformité, qui présentent souvent un ratio valeur/SCU supérieur au SOC. Les MSSP gérant plusieurs locataires ajouteront ici la couche de cloisonnement décrite dans notre article sur le déploiement en mode MSSP.

Quick wins : les 5 cas d'usage à ROI démontrable dès le premier mois

Les trois quick wins côté SOC

1. Résumé d'incident Defender XDR. Le meilleur rapport valeur/SCU du produit : 0,5 SCU pour transformer un incident multi-alertes en synthèse actionnable. Sur un SOC traitant 40 incidents par jour, cela représente 20 SCU quotidiennes pour une économie mesurée de 8 à 12 minutes de lecture par incident. C'est le cas d'usage à déployer en premier, sans exception.

2. Génération et explication de requêtes KQL. La traduction langage naturel vers KQL supprime le goulet d'étranglement classique du SOC : les deux ou trois personnes qui savent écrire une requête de chasse. Un analyste N1 formule « connexions RDP depuis des adresses externes sur les serveurs de sauvegarde ces 24 dernières heures » et obtient une requête exécutable de type DeviceLogonEvents | where Timestamp > ago(24h) | where LogonType == "RemoteInteractive" enrichie des filtres pertinents. Gain terrain : le délai de première requête de chasse passe de plusieurs heures à quelques minutes.

3. Analyse de scripts et de binaires suspects. La désobfuscation d'un script PowerShell encodé prenait 45 à 90 minutes à un analyste N2 ; le promptbook d'analyse de script produit un verdict argumenté pour environ 3,7 SCU en quelques minutes. Sur les campagnes à volume — le vecteur d'entrée dominant des attaques que nous documentons dans notre panorama des ransomwares en France — le différentiel est immédiat.

Les deux quick wins identité et pilotage

4. Optimisation des stratégies d'accès conditionnel Entra ID. Copilot identifie les conflits, chevauchements et angles morts d'un jeu de stratégies devenu illisible après trois ans d'accumulation. Sur un locataire comptant 60 à 80 stratégies, l'exercice révèle typiquement cinq à dix règles redondantes et deux ou trois trous de couverture — un travail d'une semaine d'architecte, ramené à une demi-journée.

5. Rapports pour le comité de direction. Sous-estimé, et pourtant le plus visible politiquement. Générer un rapport d'incident calibré pour un public non technique fait passer la rédaction de trois heures à quarante minutes de relecture. Sur un RSSI produisant quatre rapports par mois, l'économie est de l'ordre d'une journée mensuelle — et c'est celle que le COMEX perçoit.

Pièges fréquents : sur-provisionnement SCU et dépendance excessive

Le sur-provisionnement, erreur budgétaire numéro un

Le réflexe naturel — provisionner confortablement pour éviter les interruptions — est économiquement le pire choix possible en modèle provisionné, parce que la capacité est facturée à l'heure qu'elle soit consommée ou non. Trois SCU maintenues 24 heures sur 24 représentent 2 160 SCU-heures mensuelles ; un SOC en horaires étendus 8h–20h du lundi au vendredi n'en utilise réellement qu'une fraction. La bonne configuration est presque toujours une capacité provisionnée basse alignée sur le socle d'usage, complétée par un dépassement plafonné qui absorbe les pics d'investigation. Le dépassement est facturé à la décimale sur la consommation réelle ; le provisionné, jamais.

Corollaire fréquent en 2026 : l'organisation devenue éligible à l'inclusion E5/E7 conserve sa capacité provisionnée historique et la paie en doublon. Auditez vos ressources Microsoft.SecurityCopilot dans le portail Azure et confrontez-les à votre allocation incluse. Enfin, l'illusion inverse existe aussi : croire que l'inclusion rend la consommation gratuite. Elle est plafonnée, non reportable, et l'usage au-delà de l'allocation sera facturé 6 USD par SCU en paiement à l'utilisation, avec un préavis de 30 jours annoncé par Microsoft.

La dépendance excessive et l'érosion des compétences

Le risque n'est pas théorique. Quand le résumé d'incident devient le seul artefact lu, les analystes N1 cessent de consulter la timeline brute et perdent en dix-huit mois la capacité à qualifier un faux positif subtil. Trois garde-fous éprouvés : imposer la validation humaine documentée sur toute décision de clôture d'incident critique ; maintenir un exercice mensuel d'investigation « à froid », sans assistance, sur un incident réel rejoué ; et interdire l'usage de Copilot comme source unique en réponse à incident majeur. Security Copilot est un accélérateur d'analyste, pas un substitut de raisonnement.

Les pièges de second rang

Le prompt sprawl : sans promptbooks standardisés, chaque analyste réinvente ses invites, la consommation devient imprévisible et la qualité hétérogène. L'agent creep : les agents s'exécutent en action automatisée, sans interaction utilisateur ; un agent mal cadré consomme en continu et n'apparaît qu'a posteriori dans le dashboard, en catégorie « Agent » ou « Primitif ». Surveillez cette ventilation chaque semaine. Enfin, l'expérience de saturation : à l'approche du plafond, l'analyste reçoit une notification ; au franchissement des 100 %, il obtient un message d'erreur bloquant, la capacité ne redevenant disponible que dans l'heure suivante. Un blocage en pleine réponse à incident majeur est un incident en soi — plafonnez le dépassement, mais ne le mettez jamais à zéro.

Métriques de valeur : MTTD, MTTR et productivité analyste avant/après

Sans baseline, aucun ROI n'est défendable devant un directeur financier. Quatre familles d'indicateurs suffisent, à condition d'être mesurées avant l'activation.

MTTD. Security Copilot n'améliore pas mécaniquement la détection : elle dépend de vos règles et de vos connecteurs. L'effet réel est indirect, via la démocratisation de la chasse. L'indicateur pertinent n'est donc pas le MTTD global mais le nombre de campagnes de threat hunting exécutées par mois et le nombre d'analystes capables d'en lancer une. Passer de deux hunters à six est un gain de posture mesurable.

MTTR. C'est là que l'impact est le plus net, et il faut le décomposer. Mesurez séparément le temps de triage (alerte reçue → qualification), le temps d'investigation (qualification → périmètre établi) et le temps de remédiation. Les gains se concentrent massivement sur les deux premiers segments. Les retours terrain crédibles se situent entre 25 % et 40 % sur le triage et 15 % à 30 % sur l'investigation. Méfiez-vous des annonces à 60 % : elles portent presque toujours sur une tâche isolée, jamais sur le cycle complet.

Productivité analyste. Trois mesures simples : incidents clôturés par analyste et par jour ouvré, taux de réouverture d'incidents clôturés (indicateur de qualité, à surveiller — s'il augmente, vous avez un problème de dépendance excessive), et délai moyen de production d'un rapport post-incident.

Efficience SCU. Le ratio à suivre en comité : SCU consommées par incident clôturé, et son coût équivalent. Il révèle immédiatement les dérives — un agent mal réglé, un promptbook trop verbeux, ou une équipe qui utilise l'invite libre là où un promptbook suffirait. Rapprochez-le des minutes analyste économisées pour obtenir un ratio économique directement lisible par la direction financière.

Calcul du TCO : Copilot Security face au recrutement d'analystes supplémentaires

La comparaison est celle que posent réellement les directions générales. Cadrons-la avec des chiffres français vérifiables.

Le coût d'un analyste SOC. Un analyste N2 confirmé se rémunère aujourd'hui entre 48 000 et 58 000 € bruts annuels en région parisienne. Coût employeur chargé : environ 1,45 fois le brut, soit 70 000 à 84 000 €. Ajoutez poste de travail, licences d'outillage, formation et quote-part d'encadrement : le coût complet réel s'établit autour de 85 000 à 95 000 € par an et par ETP. À cela s'ajoutent le coût de recrutement (15 à 20 % du salaire brut en cabinet, soit 8 000 à 12 000 €), un délai moyen de recrutement de quatre à six mois sur un marché tendu, et trois à six mois de montée en compétence avant pleine autonomie. Un ETP supplémentaire coûte donc environ 100 000 € la première année pour une productivité partielle.

Le coût Security Copilot en modèle inclusion. Pour un client E5 ou E7, le coût marginal est nul dans la limite de l'allocation. Une organisation de 4 500 postes dispose de 1 800 SCU mensuelles. Un SOC de six analystes consommant 40 résumés d'incident quotidiens (20 SCU), quatre à six invites d'investigation par analyste et par jour (environ 25 SCU) et deux agents de tri automatisé (environ 15 SCU) atteint approximativement 60 SCU par jour ouvré, soit 1 260 SCU mensuelles — dans l'enveloppe, avec 30 % de marge. Le coût réel se limite alors au temps d'ingénierie interne : environ 20 jours-homme sur le trimestre de déploiement.

Le coût en modèle provisionné. Pour un client non éligible, le calcul dépend du tarif catalogue horaire par SCU, susceptible d'avoir évolué depuis la disponibilité générale — vérifiez-le sur la calculatrice de prix Azure avant tout arbitrage budgétaire. À titre d'illustration, sous une hypothèse de 4 USD par SCU-heure, une capacité de 2 SCU maintenue 12 heures par jour sur 21 jours ouvrés représente 504 SCU-heures, soit environ 2 000 USD mensuels, auxquels s'ajoute le dépassement consommé. On reste, dans cette hypothèse, sous le tiers du coût annuel d'un ETP.

La conclusion honnête. Ces deux options ne sont pas substituables. Security Copilot n'assure pas d'astreinte de nuit, ne prend pas de décision d'isolement de poste, et ne porte pas la responsabilité d'une qualification erronée. Le raisonnement correct n'est pas « remplacer un analyste » mais « absorber la croissance de charge sans recruter » : si votre volume d'incidents croît de 30 % par an et que Copilot améliore de 30 % le temps de triage, vous évitez une embauche tout en préservant votre capacité de décision humaine. C'est un ROI défendable en comité. Prétendre supprimer un poste ne l'est pas.

Questions fréquentes

Faut-il encore acheter des SCU si l'on dispose de licences Microsoft 365 E5 ?

Non, dans la limite de l'allocation incluse. Depuis le déploiement progressif entamé le 18 novembre 2025, les clients Microsoft 365 E5 et E7 éligibles reçoivent 400 SCU par mois pour chaque tranche de 1 000 licences utilisateur payantes, plafonnées à 10 000 SCU mensuelles, avec provisionnement automatique sans aucune configuration Azure. Si vous disposiez déjà d'une capacité provisionnée, Microsoft recommande de ne pas la supprimer immédiatement — mais auditez-la, car la payer en parallèle de l'allocation incluse est une dépense pure. Voir la documentation officielle Microsoft Security Copilot.

Combien de SCU faut-il provisionner pour démarrer un POC ?

Microsoft recommande 3 SCU provisionnées avec dépassement illimité pour une exploration introductive, le minimum absolu étant de 1 SCU et le maximum de 100. En pratique, provisionnez bas et laissez le dépassement absorber les pics : la capacité provisionnée est facturée à l'heure qu'elle soit consommée ou non, tandis que le dépassement est facturé à la décimale sur l'usage réel. Après trente jours, le tableau de bord de surveillance vous donnera la courbe de charge réelle pour dimensionner correctement votre capacité cible.

Les invites sont-elles traitées en Europe pour un locataire français ?

Oui par défaut, à deux conditions. L'emplacement de stockage des données client doit être dans l'UE — il est présélectionné sur votre zone géographique Entra ID, ou sur votre remplacement Microsoft 365 si vous utilisez Advanced Data Residency ou un programme Go Local. Si le stockage est dans l'UE, les invites sont évaluées dans l'UE. En revanche, l'écran de création de capacité propose une option permettant d'évaluer les invites n'importe où dans le monde en cas de saturation GPU : vérifiez qu'elle n'est pas activée, et documentez ce choix auprès de votre DPO.

Que se passe-t-il concrètement quand la capacité est épuisée en pleine investigation ?

À l'approche de la limite, l'analyste reçoit une notification en réponse à ses invites, dans le portail autonome comme dans les expériences intégrées, l'invitant à contacter le propriétaire ou le contributeur de la capacité Azure. Au franchissement des 100 % — unités provisionnées et unités de dépassement comprises — les invites sont rejetées avec un message d'erreur, et la capacité ne redevient disponible qu'à l'heure suivante. Les ajustements de capacité prennent effet sous trente minutes, ce qui interdit toute correction instantanée : plafonnez le dépassement, mais ne le fixez jamais à zéro.

Quels coûts échappent à l'inclusion Microsoft 365 E5 et E7 ?

Les SCU des expériences principales et des agents partenaires sont couvertes, mais plusieurs postes restent facturés séparément : les coûts de calcul et de stockage du data lake Microsoft Sentinel, l'expérience non agentique d'enquêtes sur la sécurité des données dans Microsoft Purview, les frais Azure Logic Apps utilisés pour orchestrer des workflows Copilot, et les licences d'agents créés par des partenaires achetées via le Security Store. Rappelons également que les produits s'intégrant en tant que plug-ins doivent être acquis séparément, et que les fonctionnalités en préversion publique sont facturées.

Deux points de transparence : le tarif catalogue horaire par SCU en capacité provisionnée n'a pas pu être vérifié (l'accès aux pages tarifaires `azure.microsoft.com` et `microsoft.com` a été refusé), il est donc traité dans le texte comme une hypothèse explicitement labellisée avec renvoi à la calculatrice Azure. Le reste des chiffres (400 SCU/1 000 licences, plafond 10 000, 6 USD/SCU en pay-as-you-go, min 1 / max 100 SCU, blocs horaires, exemples de consommation) provient directement de `learn.microsoft.com`, pages consultées ce jour. L'article compte environ 4 300 mots, au-dessus du minimum de 3 200 demandé.