Pourquoi votre projet pilote d'IA d'entreprise bloque sur les permissions documentaires

Pourquoi les projets pilotes d'IA d'entreprise échouent sur les permissions documentaires

Quand un projet pilote d'IA d'entreprise bloque, la cause se résume presque toujours à deux possibilités : une sécurité tardive ou une chaîne d'identité brisée. Ni l'une ni l'autre ne réside dans l'outil d'IA. Les deux résident dans la façon dont les permissions ont été câblées au niveau de l'index.

La sécurité tardive signifie que le système indexe tout d'abord, puis vérifie les permissions au moment où l'utilisateur pose sa question. Cela paraît raisonnable jusqu'à ce qu'on réalise que l'index contient déjà le contenu sensible. Une requête mal configurée, une identité qui ne correspond pas ou un cas limite dans votre locataire peuvent retourner des documents que l'utilisateur ne devrait jamais voir. C'est ainsi qu'un projet pilote devient un incident de fuite de données.

La sécurité anticipée, aussi appelée indexation tenant compte des permissions, fonctionne à l'inverse. Les permissions sont résolues au moment de l'exploration et intégrées à l'index lui-même. Si vous n'avez pas accès à un fichier, il n'entre jamais dans vos résultats. Aucune faille au moment de la requête, aucune surface de partage excessif.

La documentation de Microsoft sur Microsoft 365 Copilot énonce directement le principe : Copilot “ ne fait surface qu'aux données organisationnelles pour lesquelles les utilisateurs individuels disposent au moins d'autorisations de lecture. ” Cependant, les autorisations SharePoint sont souvent incohérentes, trop larges, ou basées sur des appartenances à des groupes que le fournisseur d'identité de l'IA ne résout jamais complètement. Cet écart, entre ce que SharePoint prévoit et ce que l'IA voit réellement, est là où les pilotes échouent.

Trois modes de défaillance que vous reconnaîtrez

Les projets pilotes bloqués échouent selon des schémas reconnaissables. La plupart des équipes tombent dans l'un de ces trois cas.

1. Le système ne retourne rien pour les requêtes sensibles

Vos utilisateurs cherchent des politiques RH, des rapports financiers ou des documents du conseil et n'obtiennent rien. Les documents existent. L'utilisateur y a accès. Pourtant, l'assistant ne les trouve pas.

Cela signifie habituellement que l'identité d'indexation n'a pas les mêmes accès que l'utilisateur. Le compte de service ou l'identité gérée qui explore SharePoint a tout simplement indexé moins qu'il n'aurait dû. Auditez donc d'abord ces identifiants d'exploration et confirmez l'accès en lecture à chaque source que le projet pilote doit couvrir.

2. Le système expose des documents que les utilisateurs ne devraient pas voir

Il s'agit de l'échec de loin le plus grave. Un employé subalterne pose des questions sur la rémunération des dirigeants et obtient un résultat. La recherche d'un sous-traitant renvoie des documents internes de fusions-acquisitions.

Cela se produit lorsque l'outil explore le contenu avec une seule identité partagée disposant de larges autorisations, puis applique le filtrage de sécurité uniquement au moment de la requête, et que ce filtrage présente une faille. Cela se produit également lorsque les autorisations SharePoint n'ont pas été tenues à jour : des fichiers autrefois partagés avec “ tout le monde ” et jamais nettoyés, ou une rupture d'héritage où un dossier ne correspond plus à son site parent. Microsoft SharePoint Advanced Management existe précisément pour repérer et corriger ce partage excessif avant un déploiement de Copilot. La plupart des équipes sautent l'étape et découvrent le problème en production.

3. Le système fonctionne en test mais échoue pour certains groupes

Le projet pilote s'est bien déroulé pour l'informatique et le locataire de démonstration du fournisseur. Ensuite, la production a planté pour des unités commerciales particulières, des consultants externes ou des utilisateurs au Québec ayant des comptes en français.

Il s'agit de la fédération d'identités. Le modèle d'identité d'utilisateur de l'outil ne résout pas entièrement vos groupes Active Directory, vos politiques d'accès conditionnel Entra ID ou votre configuration linguistique bilingue. Par conséquent, chaque appartenance à un groupe qui ne parvient pas à être résolue devient une faille dans les autorisations.

Ce qu'exige réellement le déblocage d'un projet pilote d'IA d'entreprise

Il n'existe aucun correctif unique. Relancer un projet pilote d'IA d'entreprise bloqué est une correction séquencée, et l'ordre compte.

Étape 1 : auditez le portrait de vos permissions SharePoint. Avant de toucher à l'outil d'IA, dressez un portrait clair de ce qui est partagé et avec qui. SharePoint Advanced Management produit des rapports de partage excessif. Des outils comme Varonis cartographient les permissions dans SharePoint, les partages de fichiers et Exchange. Sans ce portrait, vous devinez.

Étape 2 : vérifiez l'identité d'exploration et la couverture des sources. Confirmez que le compte de service ou l'identité gérée dispose d'un accès en lecture cohérent sur chaque source visée. Consignez ce qu'il atteint et ce qu'il n'atteint pas. Comblez ensuite les écarts avant de réindexer.

Étape 3 : réparez la chaîne d'identité. Cartographiez la circulation des identités de votre fournisseur, généralement Entra ID, à travers le modèle de sécurité de la plateforme d'IA jusqu'aux appartenances aux groupes réels dans SharePoint. Toute rupture crée une discordance. Cette étape nécessite une personne maîtrisant aussi bien votre configuration IAM que le modèle de permissions de la plateforme. Il s'agit rarement de la même personne.

Étape 4 : optez pour l'indexation anticipée, ou appliquez l'indexation tardive avec rigueur. Si votre plateforme prend en charge l'indexation anticipée, configurez-la correctement. Coveo le permet ; Microsoft 365 Copilot utilise plutôt l'indexation sémantique avec le filtrage de sécurité de Microsoft Graph. Si vous êtes coincé avec l'indexation tardive, testez ce filtrage contre chaque profil d'utilisateur et chaque classification documentaire que vous possédez.

Étape 5 : réalisez un test de fumée des permissions avant de relancer. Utilisez des comptes représentatifs de chaque unité d'affaires et de chaque niveau d'accès. Cherchez des documents sensibles connus depuis chaque profil. Consignez ce qui apparaît, ce qui n'apparaît pas et pourquoi. Ce relevé devient votre liste d'approbation.

Si votre projet pilote d'IA d'entreprise repose sur Microsoft 365 Copilot

Copilot n'indexe pas les documents auxquels vous n'avez pas accès, en théorie. En pratique, la question est de savoir si le modèle d'autorisation de votre locataire est suffisamment propre pour que cette garantie tienne.

Trois éléments la font céder de façon récurrente :

1. Des sites SharePoint trop partagés. Si un site a été diffusé une fois à “ Toute l'entreprise ” et n'a jamais été restreint, chaque utilisateur de Copilot y accède effectivement via Microsoft Graph. L'IA le fait surface avec précision selon les autorisations. Ces autorisations n'étaient tout simplement jamais intentionnelles.
2. Des étiquettes de confidentialité défaillantes. Microsoft Purview peut imposer un chiffrement au niveau du document afin que Copilot ne traite pas le contenu étiqueté sans les accès requis. Mais si les étiquettes ont été appliquées de façon inégale, ou pas du tout, cette protection n'existe pas.
3. Des connecteurs Graph mal configurés. Chaque connecteur vers une source externe, comme ServiceNow ou Confluence, porte son propre modèle de permissions et exige une validation distincte. Un connecteur qui indexe largement et filtre mal peut exposer du contenu au-delà des frontières du locataire.

La séquence propre à Copilot : lancez le rapport de partage excessif de SharePoint Advanced Management, appliquez la recherche SharePoint restreinte pour limiter la portée pendant que vous corrigez les permissions, puis ouvrez l'accès progressivement à mesure que les sites sont validés.

Coveo comme voie alternative pour une recherche tenant compte des permissions

Si vous butez de façon répétée sur le mur des permissions de Copilot, et que votre environnement couvre des sources non Microsoft comme Confluence, ServiceNow ou d'anciens partages de fichiers, alors Coveo mérite un examen sérieux.

Coveo utilise par défaut la sécurité à liaison anticipée. Les autorisations sont résolues au moment de l'exploration en utilisant le même modèle d'identité que le système source. Un index Coveo de contenu SharePoint préserve la structure existante de SharePoint, y compris les groupes, l'héritage rompu et les autorisations au niveau des éléments, sans dépendre d'un filtrage au moment de la requête pour y parvenir.

Il y a un compromis. Coveo exige une implémentation structurée : connecteurs, identités de sécurité et calendriers d'indexation demandent tous de la précision. Un déploiement Coveo mal configuré échoue exactement comme n'importe quel autre. Bien configuré, en revanche, la surface de permissions est plus petite et nettement plus vérifiable.

Pour les organisations qui utilisent déjà Coveo sur leur site public, l'étendre à l'intranet vaut généralement mieux que d'exploiter deux piles de recherche IA en parallèle. Notre pratique Coveo couvre ce travail d'extension, et vous pouvez comparer les options de plateformes de recherche d'entreprise pour les organisations bilingues si votre contenu couvre l'anglais et le français.

Choisir un partenaire pour relancer votre projet pilote d'IA d'entreprise

Le bon partenaire pour un projet pilote d'IA d'entreprise bloqué n'est pas une agence numérique généraliste. C'est quelqu'un qui a déjà déployé ce type de travail, qui comprend à la fois l'architecture de gestion des identités et des accès (IAM) et la recherche d'entreprise, et qui ne vous remettra pas une présentation sur la “ transformation par l'IA ”.”

Concrètement, cherchez un partenaire capable de :

• Lire la structure de vos groupes Entra ID et Active Directory, puis retracer la résolution des identités à travers la plateforme d'IA
• Configurer et valider l'indexation anticipée là où la plateforme la prend en charge
• Réaliser un test de fumée des permissions sur des profils d'utilisateurs représentatifs avant l'approbation
• Travailler en anglais et en français si votre organisation s'étend au Québec, où les organismes publics, les institutions financières et les universités gèrent couramment du contenu bilingue avec des règles d'accès propres à chaque langue

Sengo a livré ce type de mandat dans les services financiers, l'enseignement supérieur et le secteur public, notamment chez iA Groupe financier, le FTQ et la CCQ. Notre équipe compte un ancien développeur principal de Coveo, avec une connaissance directe de la plateforme, ainsi que deux Sitecore Technology MVP. Si votre projet pilote repose sur Coveo, nous connaissons la couche d'indexation de l'intérieur.

Le point de départ est un audit de préparation des permissions. Nous cartographions votre chaîne d'identité actuelle, relevons chaque faille et vous remettons une séquence de correction avant la relance. Bref, diagnostiquez d'abord le modèle de permissions, car remplacer l'outil règle rarement un problème que l'outil n'a pas créé.