Entrazure
Trois contraintes propres au secteur
La confidentialité s’applique par dossier, pas par cabinet. Un associé peut avoir l’interdiction de consulter un dossier conservé deux étages plus loin, et cette muraille est une obligation déontologique, pas une préférence interne. Presque tous les locataires Microsoft 365 sont bâtis sur l’hypothèse inverse : des sites SharePoint larges, un partage par défaut généreux, et dix ans de liens envoyés à qui les demandait. L’écart est tolérable tant que la recherche est médiocre. Il cesse de l’être à la seconde où un assistant peut retrouver n’importe quoi dans le locataire.
Le temps facturable est le produit, donc la friction est fatale. Chaque heure passée dans les systèmes internes est une heure non facturée, et l’adoption se décide la première semaine par des gens sans appétit pour un programme de gestion du changement. La mesure n’est pas la satisfaction, c’est le nombre de minutes par dossier comparé à la façon dont le travail se faisait avant. Un outil qui exige une formation avant de faire gagner quoi que ce soit a déjà perdu cette comparaison.
Vos clients auditent votre IA avant que vous ayez fini de l’évaluer. Les lignes directrices imposées aux conseillers externes et les conditions de mandat précisent de plus en plus où les données sont traitées, si le contenu sert à entraîner un modèle, combien de temps les requêtes sont conservées et qui, dans le cabinet, peut voir le dossier. Votre comité de risques a besoin d’une réponse écrite, et cette réponse doit correspondre à la configuration réelle du locataire, parce que l’équipe de sécurité du client peut demander une preuve plutôt qu’une assurance.
Ce que nous construisons ici
- La correction du partage excessif avant toute activation. Un vrai audit du partage SharePoint et OneDrive, de l’héritage rompu et des liens anonymes, puis des étiquettes de sensibilité et des politiques DLP dans Microsoft Purview, puis la recherche SharePoint restreinte pendant le pilote. Activer Microsoft 365 Copilot sur un locataire non audité est la façon la plus rapide de créer un incident interne, et dans un cabinet avec des murailles, d’en créer un qui doit être déclaré.
- Une identité et une posture d’appareils à l’échelle d’un cabinet. Microsoft Entra ID avec accès conditionnel, Privileged Identity Management, revues d’accès, et gouvernance des invités pour la collaboration avec les clients et les cabinets associés, qui existe que les TI l’encadrent ou non. Intune pour des appareils qui sortent du bureau tous les jours. C’est la cybersécurité et Entra ID appliquée à une société de personnes plutôt qu’à une grande entreprise.
- Un assistant sur vos propres précédents. Azure AI Search avec filtrage par permissions pour que la recherche respecte les droits sur le document source, inférence dans votre locataire, journalisation complète des requêtes, citations vers le fichier. Nous choisissons entre Copilot Studio et Azure AI Foundry selon le cas, et notre ingénierie IA commence toujours par ce que le système n’a pas le droit de faire.
- Du travail documentaire qui enlève des frappes au clavier. Document Intelligence sur les lettres de mission, les factures, les pièces de dépenses et les formulaires reçus des clients, alimentant le système de gestion de dossiers ou de temps par une intégration en file d’attente avec reprise, plutôt qu’un export nocturne que personne ne surveille.
- Des indicateurs gouvernés sur la réalisation et l’utilisation. Un seul modèle sémantique certifié dans Microsoft Fabric, au lieu des quatre chiffriers que le comité de direction réconcilie à la main avant chaque réunion.
Quand un cabinet a besoin de sa propre empreinte Azure pour des données hors Microsoft 365, cela commence par une landing zone Azure dimensionnée pour le cabinet et non pour une grande entreprise.
Scénario anonymisé
Scénario anonymisé, pas un client nommé.
Un cabinet professionnel d’environ 180 personnes, quatre bureaux, veut un assistant de connaissances sur quinze ans de précédents et de dossiers de mandat. Les associés sont enthousiastes, le comité de risques ne l’est pas, et pour la bonne raison : personne ne peut dire aujourd’hui qui a accès à quoi.
Les six premières semaines ne produisent aucun assistant. Elles produisent un portrait des permissions : combien de sites ont un héritage rompu, combien de documents sont partagés par lien anonyme, quels dossiers cloisonnés sont atteignables par la recherche dès maintenant. La correction suit, avec des étiquettes de sensibilité appliquées aux catégories qui comptent et un responsable nommé pour chaque site. La recherche n’est construite qu’ensuite, filtrée par ces permissions, avec citations affichées et journalisation de chaque requête. Le pilote porte sur un seul groupe de pratique, mesuré contre une base de minutes passées à retrouver un précédent. Le constat inconfortable est le plus utile : le problème d’accès existait avant le projet d’IA et aurait fini par sortir lors d’un audit client.
Le contexte réglementaire que nous prenons comme contrainte
Les obligations déontologiques d’abord : les règles du Barreau du Québec et des barreaux des autres provinces sur le secret professionnel et les conflits d’intérêts, les exigences de confidentialité des ordres comptables, et les obligations de l’Ordre des ingénieurs du Québec en matière de tenue et de conservation des dossiers. La Loi 25 s’applique aux renseignements personnels des clients et des employés, avec l’évaluation des facteurs relatifs à la vie privée attendue avant toute communication hors Québec, et la Commission d’accès à l’information comme autorité de surveillance. Vos clients des secteurs réglementés vous transmettent leurs propres obligations par leurs conditions de mandat, ce qui explique pourquoi SOC 2 Type II apparaît de plus en plus dans des appels d’offres adressés à des cabinets qui ne se sont jamais vus comme des fournisseurs technologiques. Nous construisons le parc pour que chaque obligation devienne un contrôle appliqué avec un enregistrement exportable, ce qui est l’objet de l’architecture de conformité.
Questions fréquentes
Nous voulons Microsoft 365 Copilot. Que faut-il faire avant ?
Un audit des permissions. Copilot expose tout ce à quoi un utilisateur avait déjà accès, ce qui, dans la plupart des locataires, dépasse largement ce que l’on croyait, et dans un cabinet avec des murailles de Chine c’est un problème déontologique et non un inconvénient. Nous auditons le partage SharePoint et OneDrive, nous corrigeons le pire, nous appliquons des étiquettes de sensibilité, puis nous pilotons avec la recherche SharePoint restreinte avant d’ouvrir plus large.
Un assistant IA peut-il respecter nos murailles de Chine ?
Seulement si la recherche est filtrée par les permissions de la source, ce que la plupart des implémentations sautent. Nous construisons pour que l’index applique le même accès que la bibliothèque de documents, et pour qu’un dossier cloisonné soit invisible et non simplement non lié. Si la muraille dépend du choix du modèle de ne pas répondre, ce n’est pas une muraille.
Nos clients demandent maintenant où leurs données sont traitées. Que leur répondre ?
Quelque chose que vous pouvez prouver. L’inférence tourne dans votre locataire, dans une région que vous avez choisie, aucun contenu client n’entraîne un modèle partagé, les requêtes et les réponses sont journalisées selon une rétention annoncée, et l’accès est limité à l’équipe du mandat. Nous le rédigeons en une page que votre comité de risques peut transmettre sans la retoucher.
Comment savoir si un outil d’IA vaut la peine d’être gardé ?
En mesurant contre une base relevée avant le déploiement : minutes par document révisé, temps jusqu’à la première version, heures radiées par mandat. Dans un cabinet où le temps facturable est le produit, un outil qui fait gagner six minutes par dossier est un rendement réel, et un outil qui en ajoute deux est désinstallé le vendredi, peu importe la démonstration.
Nous sommes vingt personnes. Nous faut-il vraiment Azure, ou juste Microsoft 365 ?
Souvent Microsoft 365 seul, bien configuré, avec l’identité et la conformité des appareils. Nous le dirons. Azure entre en jeu quand il y a des données à gouverner hors de Microsoft 365, une intégration à bâtir entre systèmes de gestion de dossiers, ou une charge d’IA qui exige sa propre frontière. Vous vendre une landing zone dont vous n’avez pas besoin, c’est ainsi qu’une relation se termine au renouvellement.