Prompts Copilot Security pour Microsoft Purview : protection des données et conformité

L'écriture dans `/tmp` a été refusée par le gestionnaire de permissions — je livre donc l'article directement ci-dessous. Il est prêt à copier tel quel (fragment HTML5, sans `{{define "content"}}`, conformément à la convention gofiber du projet). **Vérifications** : ~4 300 mots · chapeau 1er `

` = 212 mots · 14 `

` (ratio H2/mots ≈ 307, sous le seuil de 350) · 30 prompts avec « Output attendu » + « Prérequis » systématiques · 5 `

` FAQ interrogatifs · aucun `

` · 5 liens internes (`/copilot-security`, `/copilot-security/promptbooks`, `/articles/copilot-security-prompts-reference-par-produit`, `/fuites-donnees-france`, `/diagnostic-nis-2`) · 3 liens externes (CNIL, 2× Microsoft Learn). ```html

Microsoft Purview concentre aujourd'hui l'essentiel de la donnée de conformité d'une organisation : incidents DLP, journaux d'audit unifiés, étiquettes de confidentialité, signaux d'Insider Risk Management, découverte de données sensibles. Le problème n'a jamais été la collecte, mais l'exploitation : un analyste conformité passe une part considérable de son temps à construire des filtres dans le portail, à croiser manuellement des exports CSV et à reconstituer des chronologies d'incidents. Le plugin Purview de Microsoft Security Copilot change cette économie : il permet d'interroger ces gisements en langage naturel, d'obtenir une synthèse déjà corrélée, et de passer de la question à la preuve en quelques minutes. Encore faut-il savoir quoi demander, et surtout savoir ce que l'on a le droit de demander. Ce guide rassemble trente prompts opérationnels, testés dans une logique de terrain, organisés en quatre familles de cas d'usage : détection des violations DLP, analyse des accès aux données sensibles, investigation des risques internes, et instruction des obligations RGPD. Chaque prompt est accompagné de l'output attendu et de ses prérequis réels de licence et de rôle. Une section entière est consacrée au cadre légal français, parce qu'un prompt d'investigation salarié mal cadré expose l'entreprise à un contentieux prud'homal bien plus coûteux que l'incident qu'il cherchait à traiter.

Prérequis techniques : activer et cadrer le plugin Purview

Avant de copier le moindre prompt, trois couches doivent être en place. Elles ne sont pas interchangeables : l'absence de l'une produit systématiquement une réponse vide ou un message d'accès refusé, que les analystes interprètent à tort comme un défaut du modèle.

La couche licence. Les fonctions Purview sollicitées par ces prompts relèvent majoritairement du socle Microsoft 365 E5 ou de l'add-on E5 Compliance sur une base E3. Le Data Loss Prevention pour Exchange, SharePoint, OneDrive et Teams, l'Insider Risk Management, l'Audit avancé et les étiquettes de confidentialité appliquées automatiquement en dépendent. Sans ce socle, les connecteurs existent mais les données sous-jacentes ne sont pas générées.

La couche Security Copilot. Security Copilot est facturé en SCU (Security Compute Units) provisionnées à l'heure. Le plugin Purview doit être activé explicitement dans la page de gestion des sources de données de Copilot. Un administrateur Copilot contrôle cette activation ; un analyste ne peut pas l'activer lui-même. Vérifiez également que le plugin est bien positionné sur le bon tenant si vous opérez en multi-tenant.

La couche rôle. C'est celle qui est le plus souvent négligée. Security Copilot n'élargit jamais les droits : il applique le périmètre de l'utilisateur connecté. Un analyste sans appartenance au groupe de rôles adéquat obtiendra une réponse partielle sans que le modèle signale toujours la troncature. Les groupes de rôles utiles ici sont principalement DLP Compliance Management pour les incidents de prévention de perte de données, Insider Risk Management Analyst et Insider Risk Management Investigator pour les risques internes, Compliance Administrator ou Compliance Data Administrator pour la découverte et la classification, et un rôle de lecture des journaux d'audit pour tout ce qui touche à l'activité utilisateur. Notez la distinction structurante entre Analyst et Investigator : le premier travaille sur des données pseudonymisées, le second peut accéder à l'identité. Cette séparation n'est pas un détail technique, c'est un pilier de conformité que nous détaillons plus bas.

Pour la vue d'ensemble de la plateforme et son positionnement dans une architecture SOC, reportez-vous à notre page Microsoft Copilot Security. Pour les prompts couvrant Defender, Entra, Intune et Sentinel, consultez la référence de prompts par produit.

Comment formuler un prompt Purview qui renvoie une réponse exploitable

Security Copilot ne dispose d'aucune syntaxe de commande particulière : tout s'écrit en langage naturel. Cette liberté est aussi le principal facteur d'échec. Quatre réflexes améliorent nettement la qualité des retours.

Ancrer systématiquement une fenêtre temporelle. « Montre-moi les violations DLP » produit une réponse imprévisible. « Sur les 7 derniers jours » borne la requête, réduit la consommation de SCU et rend le résultat comparable d'une exécution à l'autre.

Nommer le format de sortie. Demander explicitement un tableau avec des colonnes désignées transforme un paragraphe narratif en livrable directement copiable dans un ticket ou un rapport. C'est le levier de productivité le plus rentable.

Travailler en session, pas en prompt isolé. Copilot conserve le contexte. Le second prompt d'une session peut s'appuyer sur le premier — « approfondis la ligne 3 », « pour cet utilisateur, remonte maintenant ses partages externes » — sans redonner tout le contexte. Les enquêtes efficaces sont des chaînes de trois à six prompts, pas des requêtes uniques surchargées.

Exiger la source. Ajouter « indique pour chaque élément la source Purview utilisée et l'horodatage » est indispensable dès que le résultat alimentera une décision RH, disciplinaire ou une notification à une autorité. Vous devez pouvoir remonter à l'enregistrement d'audit brut, jamais à la seule synthèse générée.

Lorsqu'une séquence de prompts fait ses preuves, industrialisez-la : les promptbooks permettent de figer un enchaînement, de le partager et de garantir que deux analystes instruisent un même type d'incident de manière identique.

Catégorie 1 — DLP : détecter et qualifier les violations

Les dix prompts suivants couvrent la chaîne complète du traitement DLP : détection, qualification, identification des populations à risque et pilotage des politiques. Ils supposent tous que des politiques DLP sont déployées en mode actif — une politique en mode simulation génère des correspondances mais pas d'incidents exploitables de la même façon.

Prompt 1 — Inventaire des violations sur une fenêtre courte

« Liste toutes les violations de politiques DLP survenues au cours des 7 derniers jours. Présente le résultat sous forme de tableau avec les colonnes : date, utilisateur, politique déclenchée, type d'information sensible détecté, charge de travail concernée, action appliquée et sévérité. Trie par sévérité décroissante. »

Output attendu : un tableau consolidé des incidents DLP de la période, toutes charges de travail confondues. C'est la vue de démarrage quotidienne d'un analyste conformité : elle remplace trois filtres successifs dans le portail et révèle immédiatement les concentrations anormales sur un utilisateur ou une politique.

Prérequis : plugin Purview activé ; Microsoft 365 E5 ou E5 Compliance ; appartenance au groupe de rôles DLP Compliance Management (ou Compliance Administrator) ; politiques DLP en mode actif.

Prompt 2 — Instruire un incident précis

« Donne-moi le détail complet de l'incident DLP portant l'identifiant [ID]. Je veux le contenu sensible détecté et son niveau de confiance, le destinataire ou la destination, le canal utilisé, l'action de la politique, la justification saisie par l'utilisateur s'il y en a une, et la chronologie complète des événements associés. »

Output attendu : une fiche d'incident structurée avec chronologie. Le point de valeur est la justification utilisateur : dans la majorité des cas légitimes, elle explique l'incident en une ligne et permet de clôturer sans investigation.

Prérequis : plugin Purview ; rôle DLP Compliance Management ; accès aux alertes DLP dans le portail de conformité.

Prompt 3 — Cibler une catégorie de données réglementées

« Sur les 30 derniers jours, remonte uniquement les violations DLP impliquant des données financières ou bancaires : numéros de carte de paiement, IBAN, coordonnées bancaires françaises. Pour chaque violation, précise le nombre d'occurrences détectées dans le document, l'utilisateur émetteur et le destinataire. »

Output attendu : une liste filtrée sur les types d'informations sensibles financiers, avec le volume d'occurrences par document. Le nombre d'occurrences est le meilleur discriminant disponible : un IBAN isolé dans un e-mail est souvent une facture légitime, deux cents IBAN dans un tableur constituent un incident majeur.

Prérequis : plugin Purview ; types d'informations sensibles financiers actifs dans les politiques ; rôle DLP Compliance Management.

Prompt 4 — Répartition par canal de fuite

« Sur les 30 derniers jours, répartis les violations DLP par charge de travail : Exchange Online, SharePoint Online, OneDrive Entreprise, Teams et Endpoint DLP. Donne le volume et le pourcentage par canal, et identifie le canal en plus forte progression par rapport aux 30 jours précédents. »

Output attendu : une répartition quantifiée par canal avec comparaison de période. Cette vue oriente les décisions d'investissement : une bascule d'Exchange vers Endpoint indique généralement que les utilisateurs contournent le contrôle e-mail par la clé USB ou l'impression.

Prérequis : plugin Purview ; politiques DLP couvrant l'ensemble des charges de travail ; Endpoint DLP nécessite l'intégration des postes dans Purview.

DLP : identifier les utilisateurs et les populations à risque

Prompt 5 — Classement des utilisateurs les plus contrevenants

« Identifie les 10 utilisateurs ayant généré le plus de violations DLP au cours des 30 derniers jours. Pour chacun, donne le nombre total de violations, la répartition par politique, le service ou département de rattachement, et la sévérité maximale atteinte. »

Output attendu : un classement nominatif avec ventilation. C'est le prompt le plus demandé par les directions conformité et le plus sensible juridiquement : voir la section sur les limites de la surveillance des salariés avant toute exploitation nominative.

Prérequis : plugin Purview ; rôle DLP Compliance Management ; le rattachement organisationnel suppose un annuaire Entra ID correctement renseigné.

Prompt 6 — Profil complet d'un utilisateur récidiviste

« Établis le profil DLP de l'utilisateur [UPN] sur les 90 derniers jours : nombre de violations, évolution mensuelle, politiques concernées, types de données sensibles impliqués, destinataires externes récurrents, et proportion de violations pour lesquelles il a fourni une justification de dérogation. »

Output attendu : une fiche individuelle avec courbe d'évolution. La proportion de dérogations justifiées est l'indicateur clé : un taux élevé avec des justifications cohérentes signale un problème de politique mal calibrée, pas un problème de personne.

Prérequis : plugin Purview ; rôle DLP Compliance Management ; rétention d'audit d'au moins 90 jours (l'Audit Premium étend cette fenêtre à un an).

Prompt 7 — Dérogations et contournements de politique

« Sur les 30 derniers jours, liste toutes les occurrences où un utilisateur a passé outre une alerte DLP en utilisant l'option de dérogation ou de faux positif. Indique l'utilisateur, la politique concernée, la justification saisie, et signale les justifications vides ou manifestement génériques. »

Output attendu : la liste des contournements assortie d'un contrôle qualité sur les justifications. Les justifications vides ou réduites à un caractère constituent un signal faible classique précédant une exfiltration délibérée.

Prérequis : plugin Purview ; politiques DLP configurées avec l'option de dérogation utilisateur activée ; rôle DLP Compliance Management.

DLP : piloter les tendances et la performance des politiques

Prompt 8 — Tendance longue durée

« Analyse l'évolution des violations DLP sur les 6 derniers mois, mois par mois. Donne le volume total, la répartition par sévérité, et identifie les deux mois présentant les écarts les plus marqués par rapport à la moyenne. Explique les facteurs qui ressortent des données pour ces écarts. »

Output attendu : une série mensuelle avec identification des ruptures et une tentative d'explication fondée sur les données disponibles. Support direct du reporting comité de sécurité. Les pics correspondent très souvent à un déploiement de politique ou à une clôture comptable, pas à une dégradation réelle.

Prérequis : plugin Purview ; rétention d'audit couvrant 6 mois (Audit Premium recommandé) ; rôle DLP Compliance Management.

Prompt 9 — Politiques les plus bruyantes

« Classe mes politiques DLP par volume d'alertes générées sur les 30 derniers jours. Pour chacune, indique le taux d'alertes clôturées comme faux positifs et le taux d'alertes ayant donné lieu à une action de remédiation. Identifie les politiques dont le ratio de faux positifs dépasse 50 %. »

Output attendu : un classement de performance par politique avec ratio signal/bruit. C'est le prompt de gouvernance DLP par excellence : il désigne les politiques à retravailler avant que la fatigue d'alerte ne rende le dispositif inopérant.

Prérequis : plugin Purview ; discipline de qualification des alertes par les analystes (sans clôture typée, le ratio n'est pas calculable) ; rôle DLP Compliance Management.

Prompt 10 — Mesurer l'effet d'une modification de politique

« Compare le volume et la nature des alertes générées par la politique [nom] sur les 30 jours précédant sa modification du [date] et sur les 30 jours suivants. Indique la variation en pourcentage, l'évolution du taux de faux positifs, et si de nouveaux types de données sensibles apparaissent dans les détections. »

Output attendu : une comparaison avant/après chiffrée. Indispensable pour documenter qu'un ajustement de politique a produit l'effet recherché sans créer d'angle mort, et pour justifier la décision en audit.

Prérequis : plugin Purview ; historisation des versions de politiques (la date de modification doit être connue) ; rôle DLP Compliance Management.

Catégorie 2 — Accès aux données sensibles : qui a ouvert quoi

Cette famille repose sur le journal d'audit unifié et sur les étiquettes de confidentialité. Deux conditions déterminent la qualité des réponses : l'audit doit être activé sur le tenant, et l'étiquetage doit être effectivement appliqué. Un parc où seuls 5 % des documents portent une étiquette produira des réponses formellement correctes mais opérationnellement trompeuses.

Prompt 11 — Accès aux documents confidentiels

« Sur les 30 derniers jours, liste les accès aux fichiers portant l'étiquette de confidentialité "Confidentiel" ou supérieure. Présente un tableau avec : utilisateur, fichier, site ou emplacement, date et heure, type d'action (lecture, modification, téléchargement, partage). Mets en évidence les utilisateurs n'appartenant pas au service propriétaire du site. »

Output attendu : la trace d'accès complète sur le périmètre étiqueté, avec un premier tri d'anomalie fondé sur l'appartenance organisationnelle. La détection des accès hors service est le principal apport par rapport à un export d'audit brut.

Prérequis : plugin Purview ; journal d'audit unifié activé ; étiquettes de confidentialité déployées et appliquées ; rôle de lecture d'audit et Compliance Administrator pour la corrélation avec les étiquettes.

Prompt 12 — Piste d'audit d'un document unique

« Retrace l'historique complet du fichier [nom ou URL] : qui l'a créé, qui y a accédé, qui l'a modifié, qui l'a partagé et avec qui, qui l'a téléchargé, sur toute la période d'audit disponible. Présente une chronologie ordonnée et signale les accès depuis des adresses IP ou des localisations inhabituelles. »

Output attendu : une chronologie exhaustive centrée sur un objet. C'est le prompt de référence lorsqu'un document sensible a fuité et qu'il faut établir la liste des personnes ayant pu en prendre connaissance — élément déterminant pour évaluer le périmètre d'une violation de données.

Prérequis : plugin Purview ; journal d'audit unifié activé au moment des faits (l'audit n'est pas rétroactif) ; rétention d'audit couvrant la période recherchée.

Prompt 13 — Accès hors horaires et hors zone géographique

« Identifie les accès à des contenus étiquetés confidentiels survenus en dehors des heures ouvrées (avant 7h, après 21h, ou le week-end) sur les 14 derniers jours. Pour chaque accès, indique l'utilisateur, l'heure locale, le volume de fichiers consultés et la localisation apparente de la connexion. »

Output attendu : une liste d'accès atypiques temporellement. Attention à l'interprétation : les organisations internationales et les astreintes génèrent un bruit de fond légitime important. Ce prompt sert à alimenter une analyse, jamais à conclure seul.

Prérequis : plugin Purview ; journal d'audit unifié ; la localisation dépend des signaux disponibles côté Entra ID.

Prompt 14 — Accès de non-membres à un site sensible

« Pour le site SharePoint [URL], liste sur les 60 derniers jours tous les utilisateurs ayant accédé à des contenus alors qu'ils ne figurent pas dans les groupes de permissions permanents du site. Indique comment l'accès a été obtenu : lien de partage, permission directe, appartenance à un groupe hérité, ou rôle d'administration. »

Output attendu : la liste des accès dérogatoires avec leur mécanisme d'obtention. Le chemin d'accès importe autant que l'identité : un accès par lien de partage oublié révèle un défaut de gouvernance, un accès par rôle d'administration révèle un défaut de séparation des privilèges.

Prérequis : plugin Purview ; journal d'audit unifié ; visibilité sur les permissions SharePoint ; rôle de lecture d'audit.

Partages externes, téléchargements massifs et exfiltration

Prompt 15 — Inventaire des partages externes récents

« Liste tous les partages externes créés sur SharePoint et OneDrive au cours des 7 derniers jours. Pour chacun : auteur du partage, fichier ou dossier concerné, étiquette de confidentialité du contenu, domaine du destinataire externe, type de lien et date d'expiration. Signale les partages portant sur du contenu étiqueté confidentiel ou sans date d'expiration. »

Output attendu : un tableau de tous les partages sortants qualifiés par sensibilité du contenu. Le croisement partage externe × étiquette confidentielle est le filtre qui isole les cinq lignes réellement à traiter parmi plusieurs centaines.

Prérequis : plugin Purview ; journal d'audit unifié ; partage externe autorisé sur le tenant ; étiquettes déployées pour la qualification.

Prompt 16 — Liens anonymes et partages ouverts

« Identifie tous les liens de partage de type "Tout le monde" ou anonyme actifs actuellement sur le tenant, donnant accès à du contenu portant une étiquette de confidentialité. Trie par niveau de sensibilité décroissant et indique pour chacun la date de création, le créateur et le nombre d'accès enregistrés. »

Output attendu : l'inventaire des expositions publiques persistantes, avec preuve d'exploitation via le compteur d'accès. Un lien anonyme sur un document confidentiel jamais consulté reste une non-conformité ; consulté depuis l'extérieur, c'est une violation de données à instruire.

Prérequis : plugin Purview ; journal d'audit unifié ; politiques de partage SharePoint autorisant historiquement les liens anonymes ; rôle Compliance Administrator.

Prompt 17 — Téléchargements en volume anormal

« Détecte sur les 30 derniers jours les utilisateurs ayant téléchargé un volume anormalement élevé de fichiers depuis SharePoint ou OneDrive par rapport à leur propre historique. Pour chacun, indique le nombre de fichiers, le volume en Go, la concentration temporelle des téléchargements et la proportion de contenu étiqueté sensible. »

Output attendu : une liste d'écarts comportementaux quantifiés, avec référence à la ligne de base individuelle plutôt qu'à un seuil absolu. La concentration temporelle est décisive : trois mille fichiers sur un mois est un usage, trois mille fichiers en quarante minutes est une exfiltration.

Prérequis : plugin Purview ; journal d'audit unifié ; historique suffisant pour établir une ligne de base ; les capacités de détection comportementale les plus fines relèvent de l'Insider Risk Management.

Prompt 18 — Synchronisation vers appareils non gérés

« Identifie les événements de synchronisation OneDrive ou SharePoint vers des appareils non conformes ou non enregistrés, survenus sur les 30 derniers jours. Précise l'utilisateur, l'appareil, le volume synchronisé, et si le contenu synchronisé comporte des étiquettes de confidentialité. »

Output attendu : la liste des copies locales de données d'entreprise hors périmètre de gestion. C'est le canal d'exfiltration le plus discret : aucune alerte DLP e-mail, aucun partage externe, simplement une copie complète sur une machine personnelle.

Prérequis : plugin Purview ; journal d'audit unifié ; la qualification « appareil non conforme » suppose Intune et l'accès conditionnel Entra ID.

Catégorie 3 — Insider risk : détecter les comportements anormaux

L'Insider Risk Management est la brique la plus puissante et la plus encadrée de Purview. Elle attribue des scores de risque à partir de séquences d'activités, et non d'événements isolés. Deux avertissements préalables. D'abord, l'IRM impose des rôles dédiés et une pseudonymisation par défaut des utilisateurs. Ensuite, son déploiement en France déclenche des obligations sociales spécifiques traitées plus bas : ne mettez pas ces prompts en production sans avoir sécurisé ce volet.

Prompt 19 — Alertes de risque interne prioritaires

« Liste les alertes Insider Risk Management ouvertes, triées par score de risque décroissant. Pour chacune, indique la politique déclenchée, le score, les catégories d'activité contributives, la fenêtre temporelle couverte et l'analyste assigné. Limite aux alertes de sévérité élevée et moyenne. »

Output attendu : la file de traitement priorisée du jour. Les identités apparaissent pseudonymisées si l'option est active — c'est le comportement attendu et il ne doit pas être désactivé sans justification formalisée.

Prérequis : plugin Purview ; Microsoft 365 E5 ou add-on E5 Compliance ; politiques IRM configurées et actives ; rôle Insider Risk Management Analyst.

Prompt 20 — Instruction complète d'un cas

« Donne-moi l'analyse complète du cas Insider Risk [ID] : chronologie détaillée de toutes les activités contributives, score attribué à chacune, fichiers et données concernés avec leur classification, destinations externes identifiées, et évolution du score de risque de l'utilisateur dans le temps. Conclus par une synthèse des éléments à charge et des éléments à décharge. »

Output attendu : un dossier d'instruction structuré. La demande explicite d'éléments à décharge est essentielle : elle force une présentation équilibrée et constitue une pièce utile si le dossier devait être discuté devant un juge.

Prérequis : plugin Purview ; rôle Insider Risk Management Investigator pour l'accès au contenu et à l'identité ; procédure interne de levée de pseudonymisation documentée.

Prompt 21 — Détection d'une séquence d'exfiltration

« Identifie sur les 30 derniers jours les utilisateurs présentant une séquence d'activités caractéristique d'une exfiltration : accès massif à des contenus sensibles, suivi d'un téléchargement ou d'une copie locale, puis d'un partage externe, d'un envoi vers une messagerie personnelle ou d'une copie sur support amovible. Présente la chronologie de la séquence pour chaque cas. »

Output attendu : les cas où l'enchaînement, et non l'événement isolé, constitue le signal. C'est le cœur de la valeur ajoutée de l'IRM : chaque étape prise séparément est banale, la séquence ne l'est pas.

Prérequis : plugin Purview ; politiques IRM de type fuite de données ou vol de données actives ; indicateurs Endpoint activés pour la détection sur support amovible ; rôle Insider Risk Management Analyst.

Prompt 22 — Écart par rapport à la ligne de base

« Pour l'utilisateur [pseudonyme ou UPN], compare son activité des 14 derniers jours à sa propre ligne de base des 90 jours précédents et à celle de son département. Analyse le volume de fichiers consultés, les téléchargements, les partages externes, les impressions et les copies sur support amovible. Quantifie chaque écart. »

Output attendu : une analyse différentielle à deux références, individuelle et collective. La double référence est indispensable : un pic collectif de téléchargements en période de clôture ou de migration n'a rien d'anormal, et cette comparaison l'objective immédiatement.

Prérequis : plugin Purview ; IRM actif avec historique de 90 jours minimum ; rôle Insider Risk Management Analyst.

Insider risk : corréler avec les événements RH

La corrélation entre signaux techniques et événements RH est le multiplicateur de pertinence de l'IRM. Elle repose sur le connecteur RH de Purview, qui importe des événements tels que départ annoncé, date de fin de contrat, changement de poste ou procédure disciplinaire en cours. Elle est aussi la zone la plus sensible du dispositif : ces prompts touchent à des données à caractère personnel relevant de la sphère RH et exigent un cadrage juridique préalable, décrit dans la section suivante.

Prompt 23 — Activité des salariés en départ

« Identifie les utilisateurs pour lesquels un événement de départ a été remonté par le connecteur RH et qui présentent une activité de risque élevée sur les 30 derniers jours. Pour chacun, donne la date de départ prévue, le score de risque, la nature des activités détectées et le volume de données sensibles manipulées. »

Output attendu : la population « départs à risque », qui concentre statistiquement la majorité des exfiltrations réelles. La fenêtre critique se situe entre l'annonce du départ et la restitution des accès.

Prérequis : plugin Purview ; connecteur RH configuré et alimenté ; politique IRM de type « départ d'employé » active ; rôle Insider Risk Management Analyst ; base légale et information préalable des salariés formalisées.

Prompt 24 — Corrélation avec les procédures RH en cours

« Croise les alertes Insider Risk des 60 derniers jours avec les événements RH importés indiquant une procédure disciplinaire, un plan d'amélioration des performances ou un changement de poste. Indique pour chaque correspondance l'antériorité entre l'événement RH et l'apparition du comportement à risque. »

Output attendu : les correspondances entre contexte RH et signal technique, avec l'ordre chronologique. L'antériorité change complètement la lecture : un comportement à risque apparu après l'annonce d'une procédure relève d'une réaction, apparu avant il pouvait en être la cause.

Prérequis : plugin Purview ; connecteur RH transmettant ces catégories d'événements ; rôle Insider Risk Management Analyst ; validation préalable du DPO — ce croisement constitue un traitement à part entière.

Prompt 25 — Surveillance renforcée de la période de préavis

« Pour les utilisateurs actuellement en période de préavis d'après le connecteur RH, établis un état de leur activité sur les données sensibles depuis l'annonce de leur départ : fichiers confidentiels consultés, téléchargements, partages externes, envois vers des adresses personnelles. Compare à leur activité des 90 jours précédant l'annonce. »

Output attendu : un état comparatif avant/après annonce pour la population en préavis. Ce prompt alimente aussi bien la détection que l'audit de restitution du poste de travail.

Prérequis : plugin Purview ; connecteur RH renseignant les dates de préavis ; rôle Insider Risk Management Analyst ; information préalable des salariés concernés et proportionnalité documentée.

Catégorie 4 — Conformité RGPD : cartographier, qualifier, notifier

Ces cinq prompts servent les obligations documentaires et déclaratives du règlement. Ils s'appuient sur la découverte de données sensibles, les types d'informations sensibles et les classifieurs de Purview. Leur qualité dépend directement de la couverture de l'analyse : un tenant où la découverte n'a jamais été exécutée sur les archives produira une cartographie faussement rassurante.

Prompt 26 — Cartographier les données personnelles exposées

« Cartographie les emplacements contenant des données à caractère personnel identifiées par les types d'informations sensibles français : numéro de sécurité sociale, numéro de carte d'identité, numéro de passeport, permis de conduire, IBAN. Pour chaque emplacement, donne le volume d'éléments détectés, le niveau d'exposition (interne restreint, interne large, externe, public) et l'étiquette appliquée le cas échéant. »

Output attendu : une cartographie croisant volume et exposition. Elle alimente directement le registre des traitements et permet de prioriser la remédiation sur le produit volume × exposition plutôt que sur le volume seul.

Prérequis : plugin Purview ; analyse de découverte de données sensibles exécutée sur le périmètre ; types d'informations sensibles français activés ; rôle Compliance Administrator ou Compliance Data Administrator.

Prompt 27 — Données personnelles accessibles publiquement

« Identifie tous les contenus contenant des données à caractère personnel qui sont actuellement accessibles via un lien anonyme, un partage externe non expiré ou un site accessible à l'ensemble de l'organisation. Trie par volume de données personnelles décroissant et indique le propriétaire de chaque emplacement. »

Output attendu : la liste des expositions à corriger en priorité, avec un propriétaire identifié pour chaque ligne. Sans propriétaire nommé, une remédiation de ce type ne se termine jamais.

Prérequis : plugin Purview ; découverte de données sensibles à jour ; journal d'audit unifié pour l'état des partages ; rôle Compliance Administrator.

Prompt 28 — Évaluer le périmètre d'une violation de données

« Pour l'incident survenu le [date] impliquant [fichier, site ou boîte aux lettres], détermine le périmètre exact de la violation : catégories de données à caractère personnel concernées, nombre estimé de personnes concernées, période couverte par les données, liste des accès non autorisés avérés avec horodatage, et existence ou non d'un chiffrement ou d'une protection par étiquette sur les contenus concernés. »

Output attendu : les éléments factuels de qualification d'une violation de données personnelles. C'est le prompt qui fait gagner le plus de temps dans le délai contraint de 72 heures : il produit en quelques minutes ce qui prend habituellement une demi-journée de reconstitution manuelle.

Prérequis : plugin Purview ; journal d'audit unifié actif au moment des faits ; découverte de données sensibles ayant couvert les emplacements concernés ; rôle Compliance Administrator et accès audit.

Prompt 29 — Préparer le dossier de notification à l'autorité

« À partir des éléments de l'incident [ID], prépare une synthèse structurée destinée à la notification à l'autorité de contrôle : nature de la violation, catégories et nombre approximatif de personnes concernées, catégories et volume approximatif d'enregistrements concernés, conséquences probables, mesures techniques déjà prises et mesures prévues. Signale explicitement les informations manquantes que je dois compléter manuellement. »

Output attendu : une trame de notification alignée sur les rubriques attendues, assortie de la liste des trous à combler. Ce dernier point est le plus important : le modèle doit dire ce qu'il ne sait pas plutôt que de le combler. La synthèse produite est un brouillon de travail, soumis à validation du DPO avant tout dépôt. Pour le contexte des violations de données en France, voir notre observatoire des fuites de données.

Prérequis : plugin Purview ; incident préalablement instruit ; rôle Compliance Administrator ; validation DPO obligatoire avant usage externe.

Prompt 30 — Instruire une demande de droit d'accès

« Pour la personne concernée [nom ou identifiant], localise l'ensemble des emplacements du tenant contenant des données la concernant : boîtes aux lettres, sites SharePoint, OneDrive, conversations Teams. Pour chaque emplacement, indique la nature des données, le volume, le responsable de traitement interne et l'étiquette de confidentialité appliquée. »

Output attendu : une cartographie individuelle servant de point de départ à l'instruction d'une demande d'exercice de droits. Attention : ce prompt localise, il ne constitue pas à lui seul la réponse à la demande, qui doit être instruite via les outils de recherche eDiscovery et validée juridiquement.

Prérequis : plugin Purview ; recherche de contenu ou eDiscovery configuré ; rôle Compliance Administrator avec droits de recherche de contenu ; procédure DSR formalisée.

Cadre légal RGPD : ce qu'il faut avoir sécurisé avant de prompter

Utiliser Security Copilot sur Purview ne crée pas un nouveau traitement de données au sens du RGPD, mais l'usage massif de ces prompts en change souvent la portée réelle. Cinq points doivent être verrouillés.

La base légale et la finalité. Chaque traitement doit reposer sur une base légale identifiée et poursuivre une finalité déterminée, explicite et légitime. Pour la surveillance des accès et la prévention de la fuite de données, l'intérêt légitime de l'employeur est généralement retenu, à condition d'être mis en balance avec les droits des personnes — et cette mise en balance doit être documentée. La finalité « sécurité du système d'information » ne couvre pas un usage RH ou disciplinaire : réutiliser des données de sécurité à des fins disciplinaires constitue un changement de finalité qui doit être prévu dès l'origine.

La minimisation. Le principe de minimisation s'applique aux prompts eux-mêmes. Un prompt qui remonte l'intégralité de l'activité d'un salarié sur douze mois pour instruire un incident daté d'hier est disproportionné. Bornez systématiquement vos fenêtres temporelles sur ce que l'incident justifie.

L'analyse d'impact. Le déploiement d'un dispositif de surveillance systématique du comportement des salariés — ce qu'est l'Insider Risk Management — relève des traitements susceptibles d'engendrer un risque élevé et appelle une analyse d'impact relative à la protection des données préalable. Elle doit être conduite avant la mise en production, associer le DPO, et être réexaminée à chaque extension du périmètre, notamment lors de l'ajout du connecteur RH.

Le registre et la documentation. Le traitement doit figurer au registre des traitements, avec ses finalités, catégories de données, destinataires, durées de conservation et mesures de sécurité. Les durées de conservation méritent une attention particulière : les alertes IRM et les journaux d'audit ne doivent pas être conservés indéfiniment « au cas où ».

Les obligations en cas de violation. Le responsable de traitement doit notifier une violation de données à caractère personnel à l'autorité de contrôle dans les meilleurs délais et, si possible, dans les 72 heures après en avoir pris connaissance, sauf si la violation n'est pas susceptible d'engendrer un risque pour les droits et libertés des personnes. Lorsque le risque est élevé, les personnes concernées doivent également être informées. Les prompts 28 et 29 existent précisément pour tenir ce délai. Les modalités pratiques de notification sont détaillées sur le site de la CNIL.

Limites de la surveillance des salariés en France

C'est la section que les équipes techniques lisent en dernier et que les directions juridiques lisent en premier. En droit français, la capacité technique à produire un résultat ne vaut pas droit à l'exploiter.

L'information préalable des salariés est impérative. Aucun dispositif de contrôle de l'activité des salariés ne peut être opposé à un salarié s'il n'a pas été porté à sa connaissance préalablement. Concrètement : charte informatique à jour mentionnant explicitement le dispositif DLP et le dispositif de détection des risques internes, note d'information, et mention dans le registre. Une preuve obtenue par un dispositif non porté à la connaissance des salariés est fragile devant le juge prud'homal.

La consultation des représentants du personnel est requise. La mise en place de moyens ou techniques permettant un contrôle de l'activité des salariés relève de l'information-consultation préalable du comité social et économique. Déployer l'Insider Risk Management sans cette consultation est un vice de procédure qui peut suffire à écarter les éléments produits.

La surveillance permanente et généralisée est proscrite. La doctrine constante de la CNIL exclut une surveillance continue et systématique de l'ensemble des salariés en dehors de circonstances exceptionnelles justifiées par la nature de la tâche. Les prompts de classement nominatif — le prompt 5 typiquement — doivent donc être exploités dans une logique de détection d'anomalie et de pilotage, pas de notation permanente des collaborateurs. Une bonne pratique consiste à travailler d'abord sur des agrégats par service, et à ne descendre au niveau nominatif qu'une fois un seuil d'anomalie franchi.

La pseudonymisation par défaut n'est pas une option cosmétique. Purview Insider Risk Management pseudonymise les identités des utilisateurs par défaut dans les alertes. Conservez ce réglage. La levée de la pseudonymisation doit être un acte encadré : motivée, tracée, réservée au rôle Investigator, et distincte du rôle Analyst qui traite le flux quotidien. Cette séparation des rôles est votre meilleure défense en cas de contestation, et elle démontre concrètement le respect du principe de minimisation.

Le secret des correspondances subsiste. Les messages identifiés comme personnels par le salarié restent couverts par le secret des correspondances, y compris sur un poste professionnel. Un prompt d'investigation ne doit pas être utilisé pour accéder au contenu de tels messages ; l'analyse doit rester sur les métadonnées et les événements.

Associez le DPO en amont, pas en aval. Les prompts 23 à 25, qui croisent signaux techniques et données RH, ne devraient jamais être exécutés sans validation préalable du délégué à la protection des données. Le croisement lui-même constitue un traitement, indépendamment des données qu'il produit.

Erreurs fréquentes et bonnes pratiques d'exploitation

Confondre absence de résultat et absence de risque. Un prompt qui ne renvoie rien signifie très souvent que l'audit n'était pas activé, que la découverte n'a pas couvert l'emplacement, ou que le rôle de l'utilisateur ne le permet pas. Le premier réflexe face à une réponse vide doit être de vérifier ces trois points, pas de conclure.

Prendre la synthèse pour la preuve. Security Copilot produit une synthèse en langage naturel. Pour toute exploitation disciplinaire, contentieuse ou déclarative, remontez à l'enregistrement d'audit source. La synthèse oriente l'investigation, elle ne la remplace pas.

Ignorer le coût. Les SCU se consomment. Un prompt non borné sur douze mois et l'ensemble du tenant coûte plusieurs fois un prompt ciblé, pour un résultat souvent moins exploitable. Le bornage est autant une pratique de conformité qu'une pratique d'économie.

Ne pas industrialiser les séquences qui marchent. Dès qu'une enquête se répète — instruction d'un départ à risque, qualification d'une violation — figez-la dans un promptbook. Vous garantissez ainsi l'homogénéité de traitement entre analystes, ce qui est en soi un argument de conformité.

Oublier la corrélation avec les autres domaines. Une exfiltration détectée dans Purview a presque toujours un pendant côté identité ou terminal. Enchaînez avec les prompts Defender et Entra de la référence par produit. Pour les organisations soumises à des obligations sectorielles renforcées, notre diagnostic NIS 2 permet de situer ces dispositifs dans l'ensemble des exigences applicables.

Questions fréquentes

Faut-il une licence E5 pour utiliser ces prompts Purview ?

Pour la très grande majorité, oui. Les fonctions sollicitées — DLP multi-charges de travail, Insider Risk Management, Audit avancé, étiquetage automatique — relèvent du socle Microsoft 365 E5 ou de l'add-on E5 Compliance sur une base E3. Security Copilot est facturé séparément en SCU. Un tenant en E3 sans add-on obtiendra des réponses partielles sur les prompts d'audit basique et rien sur les prompts d'Insider Risk.

Security Copilot peut-il accéder à des données que je n'ai pas le droit de voir ?

Non. Copilot applique strictement le périmètre de permissions de l'utilisateur connecté et n'élève jamais les privilèges. La conséquence pratique est inverse à l'inquiétude habituelle : le risque n'est pas l'accès excessif, c'est la réponse silencieusement tronquée quand l'analyste n'a pas les rôles nécessaires. Vérifiez les appartenances aux groupes de rôles avant de conclure qu'un prompt « ne fonctionne pas ».

Peut-on utiliser un résultat Copilot comme preuve dans une procédure disciplinaire ?

La synthèse générée ne constitue pas une preuve en elle-même. Elle doit être remontée jusqu'aux enregistrements d'audit sources, horodatés et exportables. Par ailleurs, l'exploitation disciplinaire suppose que le dispositif ait été porté à la connaissance des salariés et que les instances représentatives aient été consultées préalablement à son déploiement. À défaut, l'élément produit sera contestable indépendamment de sa valeur technique.

Comment éviter que ces prompts constituent une surveillance excessive ?

Trois règles pratiques. Bornez chaque prompt à la fenêtre temporelle que l'incident justifie réellement. Travaillez d'abord sur des agrégats par service et ne descendez au niveau nominatif qu'après franchissement d'un seuil d'anomalie objectivé. Conservez la pseudonymisation par défaut de l'Insider Risk Management et faites de sa levée un acte motivé, tracé et réservé à un rôle distinct de celui qui traite le flux quotidien.

Que faire si un prompt ne renvoie aucun résultat ?

Vérifiez dans cet ordre : le plugin Purview est-il activé dans Security Copilot pour le bon tenant ; le journal d'audit unifié était-il actif sur la période interrogée, sachant que l'audit n'est jamais rétroactif ; l'analyse de découverte de données sensibles a-t-elle couvert les emplacements visés ; et votre compte appartient-il au groupe de rôles requis. Dans plus de neuf cas sur dix, la réponse vide vient de l'une de ces quatre causes, pas de la formulation du prompt.

Pour aller plus loin, la documentation officielle de Microsoft détaille les capacités du plugin et les prérequis par fonctionnalité : consultez Microsoft Learn — Security Copilot et Microsoft Learn — Purview. Et lorsque vos séquences d'investigation sont stabilisées, transformez-les en promptbooks réutilisables : c'est le passage de l'usage individuel au processus d'équipe.

``` **Deux points à valider avant publication :** 1. **Ta consigne persona indiquait 20-25 prompts, ta demande détaillée 30 (10+8+7+5).** J'ai suivi le décompte détaillé — 30 prompts, répartition exacte respectée. 2. **Citations légales volontairement non numérotées.** Sur le volet Code du travail (information préalable des salariés, consultation du CSE), j'énonce l'obligation sans article précis : une référence statutaire erronée dans une section juridique publiée serait plus dommageable qu'une obligation correcte non sourcée. Si tu veux les numéros d'articles, il faut les faire valider par un juriste avant mise en ligne. Article non publié : rien n'a été écrit en base, dans les templates prod, ni dans `/var/www/dev.ayinedjimi-consultants.fr/`. Dis-moi si tu veux que je l'insère en base prod (slug, catégorie, meta description à définir) — l'écriture fichier dans `/tmp` a été bloquée par les permissions, je peux réessayer si tu l'autorises.