Sites autoritatifs pour l'IA : ce que vous certifiez en désignant une source de référence

SharePoint permet de marquer un site comme autoritatif pour Copilot. Le signal porte sur le conteneur ; la contradiction vit dans les documents.

Depuis la mi-juin 2026, préparer un environnement Microsoft 365 à un assistant interne comporte un geste qui n’existait pas l’an dernier : désigner certains sites SharePoint comme autoritatifs, afin que Copilot donne priorité à leur contenu. La documentation d’administration décrit ce réglage comme un signal indiquant aux moteurs de recherche et aux agents que le contenu du site est officiel, fiable et vérifié.

Quelqu’un, dans votre organisation, va devoir poser ce signal. Cette personne a un intitulé de poste, et elle n’a pas lu les milliers de documents que le site contient.

Deux réflexes se présentent alors, et aucun ne suffit. Le premier consiste à s’appuyer sur le référentiel documentaire maison : la liste des sites « officiels » maintenue par la direction de la documentation, qui dit qui publie où, jamais si deux publications se contredisent. Le second consiste à considérer que l’outil déjà acheté couvre le sujet, data catalog, plateforme de gouvernance ou GED, alors qu’aucun de ces outils ne descend au niveau de la phrase qui fait foi. Notre article du 26 août portait sur la méthode d’évaluation de la préparation documentaire ; celui-ci porte sur un geste opérationnel précis, qui engage une personne nommée sur une affirmation vérifiable.

Notre thèse : désigner une source de référence ne réduit pas l’ambiguïté de votre patrimoine documentaire, cela l’authentifie. Et la seule base défendable pour poser ce signal est un dénombrement préalable.

Un prérequis d’AI readiness est arrivé dans les mains des administrateurs

Le fait est daté et documenté. La notification MC1310687 du 14 mai 2026 introduit les sites autoritatifs pour SharePoint Online dans Microsoft 365 Copilot ; le déploiement s’achève fin mai 2026 pour les tenants en publication ciblée, la disponibilité générale suit de mi à fin juin 2026.

Trois précisions comptent avant toute interprétation. Le réglage s’opère site par site, par la propriété IsAuthoritative de la commande d’administration Set-SPOSite, une console graphique ayant été annoncée pour la suite. Il est désactivé par défaut : aucun tenant n’a de site autoritatif tant que personne n’en décide un. Et il requiert une licence Copilot premium. Ce n’est donc pas une case déjà cochée qu’il faudrait décocher, c’est une décision à prendre, à un moment daté, par une personne identifiable.

Il faut prendre cette capacité au sérieux, dans sa meilleure forme. Elle répond à un problème réel et ancien : jusque-là, rien ne permettait de dire à un assistant interne que la copie d’un fichier trouvée sur le portail RH prime sur celle qui traîne dans un espace projet. Elle est le pendant positif du contrôle symétrique, Restricted Content Discovery, qui retire au contraire certains sites du champ de la recherche et de la découverte. Elle formalise dans l’outil une notion que les organisations documentaires manipulent depuis toujours, celle de source de référence. Et l’écosystème ne la survend pas : la doctrine de préparation publiée le 4 septembre 2026 par Tony Redmond, référence technique indépendante, énonce le problème sans détour.

« AI cannot distinguish between authoritative information and outdated, inaccurate, or duplicated content. Files are files, and if the information in Microsoft Search and the semantic index leads Copilot to a file, it will use it to generate responses to user prompts. »

Le même texte recense quatre remèdes. Trois portent sur l’accès et la sensibilité : retirer des sites de la découverte, archiver, appliquer des politiques de prévention de fuite sur les étiquettes et les invites. Le quatrième, désigner les sites autoritatifs, est le seul qui porte sur la véracité. C’est aussi le seul qui ne se vérifie pas, parce qu’il consiste à affirmer.

Le signal se pose au niveau du site, la contradiction vit au niveau du document

Voilà l’écart de granularité qui décide de tout, et il n’a rien de propre à un fournisseur. Toute désignation de source de confiance posée à l’échelle du conteneur, qu’il s’agisse d’un site, d’un espace, d’un connecteur ou d’une collection, hérite de la même limite : elle propage une présomption d’autorité à l’ensemble de ce que le conteneur contient. Microsoft en est la première occurrence datée et documentée à l’échelle d’une suite bureautique, pas le cas particulier.

Concrètement, marquer un site comme autoritatif étend cette présomption aux deux versions divergentes d’une même procédure qu’il héberge. Le signal atteste que les deux proviennent d’un endroit qui fait foi, sans désigner laquelle fait foi. L’ambiguïté n’est pas levée, elle est certifiée, et elle remonte désormais en tête de liste.

En tête de liste, et signalée comme telle. C’est le point que la lecture technique manque : les résultats issus d’un site autoritatif s’affichent en premier avec une marque de confiance indiquant qu’ils proviennent de l’organisation. La certification ne reste pas dans la console d’administration, elle apparaît sur l’écran de chaque salarié qui pose une question. Un résultat placé en tête et marqué comme officiel est consommé comme une réponse, pas comme une piste. C’est ce transfert qui rend la signature lourde, davantage que l’argument de granularité : la personne qui pose le signal engage la confiance de milliers de lecteurs qui, eux, ne vérifieront pas.

Cette limite est une propriété du mécanisme, non un défaut d’implémentation. Elle a une conséquence directe sur la lecture : la documentation précise que ce type de réglage relève du classement et de la confiance, et ne constitue pas une frontière de sécurité. Notre article du 10 juillet traitait précisément de cette confusion entre gouvernance et contrôle d’accès. Le geste dont il est question ici n’est pas un contrôle d’accès de plus. L’accès dit qui peut lire ; il ne dit pas lequel des deux documents lisibles est le bon. Deux procédures également autorisées, également non sensibles, également accessibles et contradictoires traversent intacts les quatre remèdes.

Reste l’option de ne rien désigner, qui est le statu quo de tous les environnements. Elle ne protège de rien : l’assistant continue d’utiliser les fichiers qu’il trouve, sans hiérarchie, et sans afficher de marque de confiance. Le choix n’est donc pas entre certifier et s’abstenir, il est entre certifier au hasard et certifier après comptage.

Ce qu’une Document Knowledge Platform produit et que la désignation suppose

Une Document Knowledge Platform (DKP) est la couche de qualité et de gouvernance documentaire située en amont des systèmes d’IA. Elle tient trois fonctions : Govern, établir la propriété, l’autorité et le cycle de vie du patrimoine ; Clean, détecter et traiter anomalies, doublons divergents, obsolescence et contradictions ; Activate, n’ouvrir le corpus aux systèmes d’IA qu’une fois les deux premières tenues. Cette position ne dépend pas du calendrier des éditeurs ni de celui des analystes : la couche documentaire précède le moteur, quel que soit le réglage introduit ce trimestre ou le quadrant publié le suivant. Gartner nomme d’ailleurs la gouvernance du non structuré comme un chantier de préparation à l’IA dans sa feuille de route stratégique publiée en août 2025.

Une DKP ne remplace ni un data catalog, ni une plateforme de gouvernance data et IA, ni une GED, ni un moteur de recherche d’entreprise. Elle s’exécute avant eux, sur le patrimoine qu’ils consomment, et produit l’objet factuel qui manque au moment de la désignation : le dénombrement des documents qui prétendent faire autorité sur les mêmes questions, à l’intérieur du périmètre considéré.

Le procédé porte sur le contenu documentaire seul : ni transcriptions de conversations, ni journaux d’usage, ni télémétrie. Le périmètre d’ingestion est contractuel, borné aux sources désignées, et le corpus n’est jamais réutilisé pour entraîner des modèles. Les experts métier restent maîtres de la décision : le diagnostic établit les cas et les route vers le bon expert, l’expert tranche.

Ce que produit un dénombrement, en pratique. Sur le référentiel du chatbot client de TotalEnergies Retail Power & Gas, environ 500 pages de documentation web officielle ont été cartographiées et auditées sans migration : 19 % des pages étaient à corriger, dont des cas difficilement repérables à l’œil à cette échelle. 53 % des cas ont été résolus en trois semaines, en priorisant les plus critiques, avec un à deux experts métier mobilisés une demi-journée à une journée par semaine, et un taux d’exactitude mesuré avant et après. Sur un cas anonymisé du secteur énergie et industrie, un premier diagnostic a détecté 398 conflits documentaires. Ces nombres sont des relevés sur un périmètre borné, obtenus par comptage, là où les enquêtes de marché sur la préparation des données mesurent des déclarations et donnent des ordres de grandeur dispersés selon le périmètre retenu.

Avant de désigner un site comme autoritatif : prenez les vingt questions les plus posées à votre assistant interne, et comptez, dans ce seul site, combien de documents prétendent y répondre en faisant autorité. Si le nombre dépasse un pour plusieurs de ces questions, le signal va certifier une contradiction.

Ce qui reste exigible, et qui répond de la désignation

Le calendrier réglementaire européen s’est allégé, sans disparaître. Le règlement (UE) 2026/1744, dit Digital Omnibus, publié le 24 juillet 2026 et entré en vigueur le 27 juillet 2026, reporte les obligations applicables aux systèmes à haut risque de l’Annexe III au 2 décembre 2027, et celles de l’Annexe I au 2 août 2028. Ce qui reste exigible dès aujourd’hui : la supervision et l’exécution par les autorités nationales ont démarré début août 2026 ; l’obligation de littératie de l’article 4 s’applique aux fournisseurs comme aux déployeurs depuis février 2025, dans sa rédaction amendée en juillet 2026 ; les obligations de transparence de l’article 50 sont applicables depuis le 2 août 2026. Le report déplace une échéance de sanction ; le fond des exigences reste inchangé.

Reste que la question de la désignation n’est pas d’abord réglementaire. Un assistant interne d’un grand groupe non-tech ne relève le plus souvent pas de l’Annexe III. Le signal, lui, crée une affirmation d’officialité qui vit dans l’organisation, indépendamment de toute qualification juridique, et qu’il faudra assumer devant les métiers dont les documents ont été promus. Trois rôles doivent donc être distingués et nommés, selon le mapping que nous appliquons chez nos clients : le Document Owner métier, qui répond du contenu ; l’Authority, qui détient le mandat de désigner une source de référence ; le Steward, qui maintient le site dans le temps. Sans ces trois rôles, « autoritatif » est une étiquette sans redevable. C’est aussi pourquoi la mise sous diagnostic se valide conjointement avec le Document Owner métier et le RSSI ou le DPO, jamais avec la seule direction informatique.

Conclusion

Le geste est bon, et il faut le poser. Mais dans le bon ordre. Auditer le périmètre réellement exposé, pour savoir combien de documents y prétendent faire foi. Nettoyer les contradictions, doublons divergents et contenus périmés que le dénombrement a fait apparaître, en laissant l’arbitrage aux experts métier. Surveiller ensuite, parce qu’un site désigné dérive dès la première publication non revue. Désigner avant d’auditer revient à mettre un tampon officiel sur une ambiguïté, puis à l’afficher à toute l’entreprise.

Foire aux questions

Qu’est-ce qu’un site autoritatif pour l’IA ?

C’est un site désigné comme source de référence, afin que les moteurs de recherche d’entreprise et les assistants internes donnent priorité à son contenu dans leurs réponses. Sur SharePoint Online, la désignation s’opère site par site depuis la mi-2026, et elle est désactivée par défaut. Il s’agit d’un signal de confiance et de classement, non d’une mesure de sécurité ni d’une vérification du contenu.

Désigner un site comme autoritatif suffit-il à fiabiliser les réponses d’un assistant interne ?

Non. Le signal porte sur le conteneur, alors que les contradictions se logent dans les documents. Si un site contient deux versions divergentes d’une même procédure, le désigner fait remonter les deux en tête de liste avec une marque de confiance affichée à l’utilisateur. La fiabilisation exige un traitement au niveau du document.

Qui, dans l’organisation, doit décider qu’un site est autoritatif ?

Le mandat revient au métier propriétaire du contenu, pas à l’équipe qui détient l’accès technique au réglage. Trois rôles se distinguent utilement : le Document Owner qui répond du contenu, l’Authority qui détient le mandat de désignation, le Steward qui maintient le site. Le réglage technique n’est que l’exécution de la décision.

Comment sait-on ce qu’un site contient réellement avant de le désigner ?

En le dénombrant. Un audit de corpus établit, sur un périmètre borné, combien de documents traitent des mêmes questions, lesquels se contredisent, lesquels sont des doublons divergents et lesquels sont périmés. Le résultat est un relevé chiffré et défendable, là où une appréciation reste discutable.

Le diagnostic implique-t-il de sortir nos documents de notre environnement ?

Le périmètre d’ingestion est contractuel et limité aux sources désignées. Il porte sur le contenu documentaire uniquement, à l’exclusion des transcriptions, journaux d’usage et télémétrie, et le corpus n’est jamais réutilisé pour entraîner des modèles. La validation se fait conjointement avec le Document Owner métier et le RSSI ou le DPO, jamais avec la seule direction informatique.

Sources

Pour aller plus loin

K-AI Corpus Diagnostic — 10 jours ouvrés, rapport complet des 20 anomalies les plus critiques sur le périmètre réellement exposé à vos systèmes d’IA, garantie remboursement si aucune anomalie valable n’est détectée. Pour compter ce qu’un site contient avant de le désigner comme source de référence, contactez l’équipe K-AI : contact@k-ai.ai. Le périmètre de chaque diagnostic est validé conjointement par le Document Owner métier et le RSSI/DPO, jamais par la seule DSI.

K-AI accompagne déjà CMA CGM, Veolia, PwC, BNP Paribas, TotalEnergies et CEVA Logistics. Partenaires : AWS, Snowflake, Microsoft, Wavestone, Devoteam.