Le pilote Copilot de la NTNU dans le bac à sable norvégien de protection des données — une université publique juge qu'elle n'est pas prête à déployer Microsoft 365 Copilot

Au printemps 2024, l'Université norvégienne de sciences et de technologie (NTNU) a testé Copilot pour Microsoft 365 dans le bac à sable réglementaire de l'autorité norvégienne de protection des données (Datatilsynet), en examinant l'outil sous l'angle de la protection des données et en présentant huit constats principaux.
Le rapport final a conclu qu'une analyse d'impact relative à la protection des données est en général requise pour les outils d'IA générative comme Copilot et qu'elle doit être menée en continu, l'outil évoluant souvent. Il note que Copilot voit les mêmes informations que l'utilisateur : une gestion des accès faible et un mauvais contrôle des données personnelles sont donc rendus visibles et amplifiés. Il relève aussi des difficultés structurelles de minimisation des données et de limitation des finalités, et laisse l'exposition à la législation américaine de surveillance comme risque juridique non résolu.
La NTNU a conclu qu'elle n'était pas prête à déployer Microsoft 365 Copilot dans toute l'organisation, en partie parce que sa propre gouvernance de l'information n'était pas assez ordonnée. Le rapport a été publié ouvertement, la documentation du projet et une boîte à outils sont publiques ; le rapport a aussi suscité des critiques dans la presse norvégienne.
C'est un cas prudentiel et franc : sa valeur tient à des constats de risque transparents, non à des gains de productivité mesurés, que le pilote n'a pas établis.