Le 15 octobre 2026, Microsoft a lancé en preview deux fonctionnalités qui changent la nature même des agents IA dans Copilot Studio : les Agent Accounts et la mémoire partagée. Concrètement, un agent IA peut désormais avoir son propre compte Entra ID — une identité numérique distincte dans votre organisation — et conserver une mémoire de ses interactions avec tous les utilisateurs. L'agent ne se contente plus de répondre à des questions : il accumule du contexte, exécute des tâches de manière autonome et agit au nom de l'entreprise. Pour les 53 % de PME françaises qui utilisent déjà l'IA selon le baromètre France Num 2026, cette évolution ouvre des possibilités d'automatisation inédites — mais la documentation Microsoft indique explicitement qu'il n'existe aucune frontière de confidentialité entre les utilisateurs pour la mémoire partagée, et aucune option de refus en preview. Un sujet RGPD que les PME doivent traiter avant d'activer la fonctionnalité.
Ce que Microsoft a annoncé le 15 octobre 2026
Les Agent Accounts sont disponibles en preview via le programme Frontier de Microsoft. Un administrateur active la fonctionnalité dans le Centre d'administration Microsoft 365, puis dans le Power Platform Admin Center. Une fois activé, chaque agent Copilot Studio reçoit son propre compte Entra ID — le même système d'identité que vos employés humains. L'agent peut alors envoyer des e-mails, planifier des réunions, accéder à des fichiers SharePoint et exécuter des actions dans les applications Microsoft 365 sous sa propre identité, avec des permissions configurables par l'administrateur. En parallèle, la mémoire partagée permet à l'agent de retenir des informations d'une conversation à l'autre et d'un utilisateur à l'autre : si un collaborateur informe l'agent que le processus de validation des notes de frais a changé, cette information est disponible pour tous les utilisateurs suivants.
Agent Accounts : votre agent IA devient un employé numérique avec badge
Jusqu'ici, les agents Copilot Studio agissaient au nom de l'utilisateur qui les invoquait — ils empruntaient son identité et ses permissions. Cela posait deux problèmes majeurs. D'abord, un problème de sécurité : l'agent héritait de toutes les permissions de l'utilisateur, y compris celles dont il n'avait pas besoin. Ensuite, un problème de traçabilité : impossible de distinguer dans les journaux d'audit si une action avait été réalisée par l'humain ou par l'agent. Avec les Agent Accounts, l'agent a sa propre identité Entra ID, ses propres permissions limitées au strict nécessaire, et toutes ses actions sont tracées séparément. C'est l'équivalent de donner un badge d'entreprise à votre assistant IA : il peut entrer dans les bureaux auxquels vous l'autorisez, et le gardien sait exactement où il est passé.
La mémoire partagée : un gain de productivité avec un angle mort sur la confidentialité
La mémoire partagée est le changement le plus significatif — et le plus risqué. Dans sa forme actuelle en preview, l'agent maintient une seule mémoire commune à tous les utilisateurs avec lesquels il interagit. La documentation Microsoft précise qu'il n'existe pas de frontière de confidentialité entre les utilisateurs pour la mémoire partagée. Concrètement, si un manager partage avec l'agent des informations sur une réorganisation confidentielle, ces informations peuvent influencer les réponses de l'agent à n'importe quel autre collaborateur. Les utilisateurs reçoivent un avertissement indiquant que leurs fichiers et conversations partagés peuvent alimenter les réponses destinées à d'autres — mais en preview, ils ne peuvent pas refuser. La mémoire personnelle existe aussi mais séparément : chaque utilisateur dispose d'un historique privé, supprimé après 28 jours d'inactivité.
Pourquoi c'est un sujet RGPD critique pour les PME françaises
- Absence de base légale claire — Le RGPD exige une base légale pour chaque traitement de données personnelles. Une mémoire partagée qui transmet des informations d'un utilisateur à un autre sans consentement explicite ni possibilité de refus pose un problème de conformité avec les articles 6 et 7 du RGPD.
- Pas de minimisation des données — Le principe de minimisation (article 5.1.c) impose de ne collecter que les données strictement nécessaires. Une mémoire qui accumule du contexte sans limite de périmètre peut stocker des données personnelles non pertinentes pour le traitement en cours.
- Droit d'opposition compromis — L'article 21 du RGPD donne aux personnes le droit de s'opposer au traitement de leurs données. L'absence d'option de refus en preview contredit directement ce droit, même dans un contexte professionnel.
- Transferts internationaux — Les données traitées par Copilot Studio transitent par l'infrastructure cloud Microsoft, potentiellement hébergée hors UE. Les PME doivent vérifier la localisation du traitement et s'assurer que les clauses contractuelles types couvrent ce nouveau type de mémoire partagée.
- Responsabilité du déployeur — Sous l'AI Act entré en application le 2 août 2026, les PME qui déploient des agents IA avec mémoire partagée sont des déployeurs et portent la responsabilité de la conformité d'usage, même si c'est Microsoft qui fournit la technologie.
Ce que la mémoire partagée change pour les processus métier d'une PME
Malgré les risques, le potentiel est réel. Prenons un exemple concret : une PME de 30 personnes avec un agent Copilot Studio dédié aux processus RH. Sans mémoire partagée, chaque collaborateur qui pose une question sur les congés ou les notes de frais reçoit une réponse générique basée uniquement sur les documents de référence. Avec mémoire partagée, l'agent sait que la politique de télétravail a été mise à jour mardi dernier parce que le DRH le lui a dit, que trois demandes de congés pour la même semaine ont déjà été soumises, et que le processus de validation passe désormais par un nouveau workflow Teams. L'agent devient un véritable point de contact organisationnel qui accumule et redistribue la connaissance opérationnelle — à condition que cette connaissance ne contienne pas d'informations qui devraient rester confidentielles entre un manager et un collaborateur.
5 actions pour activer les Agent Accounts sans risque dans votre PME
- Commencez par un agent à périmètre restreint — Ne déployez pas un agent à mémoire partagée sur tous vos processus d'un coup. Choisissez un cas d'usage à faible risque comme la FAQ interne, la gestion des fournitures ou le suivi de projet non confidentiel, et testez la mémoire partagée dans ce périmètre avant d'élargir.
- Définissez des permissions minimales pour l'Agent Account — Créez le compte Entra ID de l'agent avec les permissions les plus restrictives possibles. Un agent dédié aux notes de frais n'a pas besoin d'accéder aux e-mails de la direction. Auditez et ajustez les permissions chaque mois.
- Documentez le traitement dans votre registre RGPD — Ajoutez le traitement mémoire partagée de l'agent IA dans votre registre des activités de traitement (article 30 du RGPD). Précisez les catégories de données concernées, la durée de conservation et la base légale retenue.
- Informez vos collaborateurs par écrit — Rédigez une note interne expliquant que l'agent IA dispose d'une mémoire partagée, quelles informations y sont stockées, et comment les collaborateurs peuvent demander la suppression de données les concernant. La transparence est une obligation RGPD, pas une option.
- Attendez la sortie de preview pour les processus sensibles — Pour les RH, la comptabilité, les données clients ou tout processus impliquant des données personnelles sensibles, attendez que Microsoft ajoute les contrôles de confidentialité avant de déployer la mémoire partagée. En attendant, utilisez les agents sans mémoire partagée — ils restent pleinement fonctionnels.
L'approche Lesage.AI : déployer des agents IA avec gouvernance intégrée
Chez Lesage.AI, nous accompagnons les PME dans le déploiement d'agents IA qui respectent le cadre réglementaire français et européen. Notre méthodologie pour les Agent Accounts Copilot Studio : audit de votre environnement Microsoft 365 et identification des cas d'usage éligibles, configuration de l'Agent Account avec permissions minimales et traçabilité complète, mise en place de garde-fous pour la mémoire partagée avec périmètre de données défini et revue mensuelle, mise à jour de votre registre RGPD et rédaction de la documentation de conformité, puis formation de votre équipe à l'interaction avec un agent à mémoire partagée. Les PME que nous accompagnons réduisent en moyenne de 40 % le temps consacré aux processus administratifs répétitifs dans les 8 semaines suivant le déploiement — tout en restant conformes au RGPD et à l'AI Act.