Microsoft Flex Routing : Ce que les entreprises de l'UE doivent savoir

Qu'est-ce que le Microsoft Flex Routing ?

Le « flex routing » est une fonctionnalité de Microsoft 365 Copilot qui permet à l'inférence de l'IA — le calcul réel où un grand modèle de langage traite votre requête et génère une réponse — de se produire en dehors de la zone de données de l'UE pendant les périodes de forte demande. Microsoft a publié la documentation officielle le 3 avril 2026 (post MC1269223 du centre de messagerie).

Lorsqu'un utilisateur soumet une requête à Copilot, le système de Microsoft regroupe la requête avec le contexte pertinent : e-mails, fichiers SharePoint, données de calendrier et instructions système. Ce paquet est envoyé à un cluster de GPU pour l'inférence. Normalement, les tenants de l'UE sont traités sur des GPU basés dans l'UE. Avec le flex routing activé, ce paquet — incluant les données de votre organisation — peut être routé vers des centres de données aux États-Unis, au Canada ou en Australie lorsque la capacité GPU de l'UE est saturée.

Les données au repos — vos fichiers, e-mails et contenus SharePoint — restent stockées dans la frontière de données de l'UE. Ce qui quitte l'UE, c'est le calcul d'inférence lui-même, ainsi que ce que Microsoft décrit comme des « données pseudonymisées limitées » à des fins de sécurité et d'exploitation.

Pourquoi c'est important pour les organisations de l'UE

Pendant des années, les organisations de l'UE pouvaient raisonnablement supposer que les paramètres par défaut de Microsoft étaient conservateurs — que les fonctionnalités ayant des implications sur la résidence des données seraient proposées en « opt-in ». Le flex routing rompt cette hypothèse. C'est un « opt-out », pas un « opt-in », et il a été activé sans le consentement explicite des administrateurs de tenants.

La distinction entre « stocké dans l'UE » et « traité dans l'UE » est le cœur du problème. L'article 44 du RGPD restreint les transferts de données à caractère personnel vers des pays tiers. Lorsque Copilot regroupe les e-mails, documents et métadonnées de votre organisation dans un contexte RAG et les envoie vers un centre de données américain pour l'inférence, il s'agit d'un transfert de données — quel que soit l'endroit où les fichiers sont stockés au repos. Les organisations soumises à NIS2 (infrastructures critiques) ou DORA (secteur financier) font face à une exposition réglementaire supplémentaire.

Le mécanisme de désactivation lui-même soulève des inquiétudes. Les administrateurs avaient jusqu'au 17 avril pour désactiver le flex routing — une fenêtre de trois semaines après la publication de la documentation officielle. Le changement de paramètre prend environ une semaine pour se propager sur un tenant. Pour les organisations qui ont manqué l'annonce, leurs données Copilot sont déjà traitées hors de l'UE.

Ce que votre administrateur doit faire immédiatement

Ouvrez le Centre d'administration Microsoft 365. Accédez à Copilot, puis Paramètres. Recherchez « Inférence flexible pendant les périodes de forte charge ». S'il est indiqué « Autoriser le routage flexible pendant les périodes de forte charge », les données Copilot de votre organisation peuvent être traitées hors de l'UE. Sélectionnez « Ne pas autoriser le routage flexible » pour le désactiver.

Le changement de paramètre prend environ une semaine pour se propager sur votre tenant. Le flex routing affecte Microsoft 365 Copilot, Copilot Chat, Dynamics 365 Copilot, Power Platform Copilot et Copilot Studio. Tous ces produits routeront l'inférence AI hors de l'UE si le bouton est activé.

Une exception : les clients Multi-Géo disposent de contrôles de résidence des données distincts et ne sont pas affectés par le défaut du flex routing. Si votre organisation utilise Multi-Géo, votre configuration existante prévaut.

Microsoft 365 vs Veluvanto : Comparaison de la souveraineté des données

Le flex routing met en lumière une question fondamentale : où vos documents sont-ils réellement traités, et qui décide ? Voici une comparaison point par point de la gestion de la souveraineté des données entre Microsoft 365 et Veluvanto.

Comment Veluvanto gère le traitement des documents

Veluvanto est un système de gestion documentaire propulsé par l'IA, construit sur une règle simple : vos données restent dans l'UE. Il n'y a pas de routage caché par défaut, pas d'exceptions en cas de forte demande, et pas de petits caractères sur le lieu de traitement de l'IA.

Toutes les données sont stockées dans des centres de données de l'UE : Backblaze B2 à Amsterdam et Wasabi à Francfort. Le traitement de l'IA s'effectue via Google Vertex AI dans la région europe-west — au sein de l'UE, sans aucun routage transfrontalier.

Chaque paramètre est explicite. Il n'y a pas de bouton enfoui dans une console d'administration qui envoie silencieusement vos données à l'étranger. Ce que vous configurez est ce qui se passe — pas de surprises, pas d'exceptions pendant les pics de demande. Chaque fichier est chiffré au repos avec SSE-C (AES-256).

• ✓Toutes les données stockées dans l'UE — centres de données d'Amsterdam et Francfort
• ✓Tout le traitement IA dans l'UE — aucun routage transfrontalier, jamais
• ✓Chiffrement SSE-C (AES-256) au repos
• ✓Zéro entraînement AI sur vos documents
• ✓Export complet des données — vos documents sont toujours portables
• ✓Pas de paramètres par défaut surprises — ce que vous voyez est ce que vous avez