Pourquoi la fin des vagues de release Power Platform change la donne pour votre gouvernance IA (et ce qu'un RSSI doit mettre en place avant le 15 novembre)
La fin des vagues de release Power Platform supprime les deux rendez-vous annuels sur lesquels beaucoup de RSSI calaient leurs revues de sécurité. Depuis septembre 2026, Microsoft publie les nouveautés en continu sur la roadmap AI at Work, et Release Planner disparaît au plus tard le 15 novembre 2026. Une revue semestrielle ne suffit plus : il faut une revue mensuelle légère, un journal des changements de politiques et un point focal qui suit le Message Center.
Résumer cet article avec une IA
Le lien ouvre l'assistant choisi avec une question pré-remplie pointant vers cette page.
La réponse courte
La gouvernance IA Power Platform ne peut plus reposer sur une revue annuelle ou semestrielle calée sur les annonces de Microsoft. Depuis septembre 2026, Microsoft publie les nouveautés Power Platform, Dynamics 365 et Dataverse en continu sur la roadmap AI at Work, et retire le modèle des deux vagues annuelles. Release Planner disparaît au plus tard le 15 novembre 2026 (annonce officielle Microsoft).
Pour un RSSI, la réponse tient en trois mesures : une revue mensuelle légère, un journal de chaque changement de politique DLP et de permissions, et un point focal interne qui suit le Message Center. Ces trois mesures peuvent être décidées cette semaine, avant la date du 15 novembre.
Ce qui change pour la sécurité, et ce qui ne change pas
Ce qui change, c'est le moment où vous apprenez qu'une fonctionnalité arrive ; ce qui ne change pas, c'est la façon dont Microsoft la déploie. Microsoft publie désormais les fonctionnalités dès que leur livraison est engagée, au lieu de les regrouper en release wave 1 et release wave 2. Il n'y a pas eu d'annonce release wave 2 en septembre 2026.
Microsoft précise que la transition ne modifie ni la construction, ni la livraison, ni le déploiement des produits. Le Message Center reste la source des notifications propres à votre tenant, et Microsoft Learn celle de la documentation (source).
Un point mérite l'attention d'un RSSI. La page Microsoft Learn sur les déploiements indique que Power Platform a deux versions majeures par an, en avril et en octobre, que les environnements reçoivent automatiquement les mises à jour obligatoires et que ces mises à jour ne peuvent pas être reportées (Microsoft Learn). Vous ne choisissez donc pas toujours le moment où une évolution atteint votre tenant. Vous choisissez seulement le moment où vous l'examinez.
Pourquoi un rythme continu complique l'audit de sécurité
Un audit Power Platform calé sur deux annonces annuelles examine un état qui aura déjà changé avant l'audit suivant. Le rythme continu n'ajoute pas forcément plus de nouveautés, mais il supprime les points de synchronisation.
L'audit semestriel perd son point d'appui
Beaucoup d'organisations organisaient leur revue de sécurité après la publication des plans de vague. Ce repère disparaît. Microsoft le reconnaît : les vagues donnaient un moment fixe deux fois par an pour réunir les parties prenantes, et chaque organisation doit maintenant fixer son propre rythme. Microsoft recommande une revue récurrente, mensuelle ou trimestrielle.
Les fonctionnalités IA arrivent hors calendrier
Les capacités liées à l'IA et aux agents suivent le même flux continu que les autres. Une nouveauté peut donc être annoncée, puis passer de Rolling Out à Launched sur la roadmap, entre deux revues de sécurité.
Ne présumez pas des réglages par défaut d'une nouveauté. Vérifiez-les au cas par cas dans le message du Message Center et dans la documentation Learn associée, avant que la fonctionnalité n'atteigne votre organisation. C'est précisément l'objet d'une revue mensuelle.
Le shadow AI se nourrit des angles morts
Le shadow AI désigne l'usage d'outils et d'agents d'IA par les métiers sans validation ni visibilité de la DSI et du RSSI. Dans Power Platform, il prend souvent la forme d'agents Copilot Studio créés par des utilisateurs métier, connectés à des données d'entreprise et publiés sans revue de sécurité. Nous avons détaillé ce risque, et le bulletin CERTFR-2026-ACT-016 du CERT-FR qui l'encadre, dans Shadow AI et agents Copilot Studio non gouvernés.
Le lien avec la fin des vagues est direct. Plus le délai entre l'arrivée d'une capacité et son examen est long, plus elle a de chances d'être utilisée avant d'être encadrée. Un rythme d'annonce continu combiné à une revue semestrielle allonge ce délai.
Ce que la documentation DLP impose de surveiller
Les politiques de prévention de perte de données (DLP) restent le premier levier de gouvernance IA Power Platform, mais leur périmètre évolue lui aussi. Quatre points tirés de la documentation Microsoft justifient une revue régulière.
Un changement de politique a des effets en production
Modifier une politique DLP n'est pas un geste administratif neutre. Microsoft Learn décrit le processus : la configuration est propagée à chaque environnement, les applications, flux et agents sont évalués, et ceux qui enfreignent la politique sont suspendus ou mis en quarantaine. Si un connecteur entier est bloqué, ses connexions sont désactivées (Microsoft Learn).
La politique agit aussi à deux moments : à la conception, où le créateur ne peut plus enregistrer, et à l'exécution, où une application ou un flux déjà en place échoue. Chaque changement doit donc être documenté, avec les ressources concernées.
Les contrôles des agents Copilot Studio se déplacent
Microsoft fournit des connecteurs virtuels dans les politiques de données pour désactiver certaines fonctions des agents Copilot Studio. La même page indique que ces connecteurs virtuels évoluent vers des règles de gouvernance dédiées, distinctes des politiques de données (Microsoft Learn). Un contrôle que vous pensiez trouver dans votre politique DLP peut donc se retrouver ailleurs : c'est un sujet de veille, pas un réglage figé.
Les connecteurs MCP entrent dans le périmètre
Les connecteurs MCP (Model Context Protocol) exposent des outils utilisables par l'IA générative dans Copilot Studio. Microsoft Learn précise que beaucoup de connecteurs non bloquables prennent désormais en charge MCP, et qu'ils peuvent être gérés et restreints par les politiques de connecteurs avancées (Microsoft Learn). Votre inventaire de connecteurs autorisés doit les intégrer.
Les flux de bureau ont une règle par défaut contre-intuitive
Dans Power Automate, les politiques DLP peuvent classer les modules de flux de bureau en Business, Non-business ou Blocked. Microsoft Learn précise qu'un module qui n'est explicitement classé dans aucun groupe n'est pas bloqué, même si le groupe par défaut est réglé sur Blocked (Microsoft Learn).
La même documentation indique que l'affichage des actions de flux de bureau dans les politiques DLP dépend d'un paramètre du tenant, qui ne peut plus être modifié une fois activé. Ce sont exactement les détails qu'un audit annuel laisse passer et qu'une revue mensuelle permet de vérifier.
Le cadre à mettre en place avant le 15 novembre
Le cadre proposé ici est une recommandation BA-IT, adaptée à un tenant de PME ou d'ETI. Il ne demande ni outil supplémentaire ni équipe dédiée.
1. Désigner un point focal Message Center
Nommez une personne responsable du suivi du Message Center pour Power Platform, et un suppléant. Son rôle est de relever chaque message pertinent et de le porter à la revue mensuelle.
Le Message Center affiche, pour certaines nouveautés, un champ « Status for your org » avec trois valeurs : Scheduled, Rolling out et Launched. Ce statut n'existe que pour les fonctionnalités également annoncées sur la roadmap AI at Work et en disponibilité générale (Microsoft Learn). Le point focal filtre sur Scheduled pour voir ce qui doit être examiné avant arrivée.
2. Passer à une revue mensuelle légère
Remplacez la revue annuelle ou semestrielle par une revue mensuelle d'une heure, et gardez un audit approfondi une fois par an. La revue mensuelle ne refait pas l'audit : elle examine ce qui a changé depuis le mois précédent.
| Revue | Fréquence | Objet | Livrable |
|---|---|---|---|
| Revue légère | Mensuelle, 1 heure | Nouveautés retenues, messages du tenant, changements de politiques, agents publiés | Compte rendu daté et liste d'actions |
| Revue après mise à jour | Après les fenêtres d'avril et d'octobre | Vérification des applications, flux et politiques après les mises à jour obligatoires | Constat de non-régression |
| Audit approfondi | Annuelle | Inventaire complet, risques, plan de gouvernance | Rapport et feuille de route |
3. Documenter chaque changement de DLP et de permissions
Tenez un journal des changements de politiques DLP, de règles de gouvernance des agents et de permissions par défaut des environnements. Ce journal permet de répondre à la question qu'un auditeur posera : qui a décidé quoi, quand, et pourquoi.
| Champ du journal | Exemple de contenu |
|---|---|
| Date | Date de la décision |
| Objet | Politique DLP, règle d'agent, rôle ou paramètre d'environnement |
| Changement | Ce qui a été modifié, avant et après |
| Motif | Nouveauté Microsoft, incident, demande métier |
| Référence Microsoft | Identifiant de l'élément de roadmap ou du message du Message Center |
| Ressources concernées | Applications, flux et agents évalués après le changement |
| Validé par | Nom et fonction |
La roadmap AI at Work permet de rechercher les fonctionnalités par identifiant ; utilisez cet identifiant comme référence dans le journal.
4. Mettre à jour vos références d'audit
Vos procédures citent peut-être encore Release Planner, un release plan Learn ou « la vague d'octobre ». Remplacez ces références avant le 15 novembre. Microsoft précise que les vues personnalisées de My Release Plans ne seront plus disponibles après le retrait, et que les nouveaux release plans ne sont plus publiés sur Learn depuis septembre 2026.
Remplacez-les par un lien de vue filtrée sur la roadmap AI at Work, un abonnement RSS sur cette vue et un export CSV archivé à chaque revue. La roadmap propose ces trois fonctions.
5. Définir un seuil d'escalade
Précisez par écrit quels changements ne peuvent pas attendre la revue suivante. Nous recommandons d'escalader sans attendre toute nouveauté qui touche les agents, l'accès aux données d'entreprise ou un connecteur nouvellement disponible, dès qu'elle passe en Scheduled dans votre tenant.
Ce que vous pouvez faire cette semaine
Avant le 15 novembre 2026, quatre actions suffisent pour ne pas perdre le fil :
- Nommer le point focal Message Center et son suppléant.
- Créer la vue filtrée sur la roadmap AI at Work et l'abonnement RSS associé.
- Relever le contenu utile de vos vues My Release Plans, puisqu'elles ne seront pas reprises.
- Fixer la date de la première revue mensuelle et ouvrir le journal des changements DLP.
Le serveur MCP Release Communications permet aussi d'interroger la roadmap depuis des outils d'IA (documentation). Si vous l'utilisez, appliquez-lui la même règle qu'à tout outil d'IA : il doit être validé par votre organisation, sinon il devient lui-même un cas de shadow AI.
Par où commencer selon votre situation
Le bon point de départ dépend d'une seule question : savez-vous aujourd'hui ce que contient votre tenant Power Platform ?
- Vous n'avez pas d'inventaire à jour. Une revue mensuelle sans état des lieux n'a rien à comparer. L'audit & gouvernance Power Platform établit en deux semaines, pour 6 900 € HT, la cartographie des applications, flux, connecteurs et environnements, un rapport des risques, un plan de gouvernance et un kit de démarrage comprenant des politiques DLP.
- L'inventaire existe, mais personne n'a le temps de le suivre. L'offre Veille & MCO Power Platform, à 1 999 € HT par mois et sans engagement de durée, assure la revue mensuelle des flux en erreur, des applications orphelines, des politiques DLP et des licences, avec un rapport écrit et un point de suivi de 30 minutes.
Sources
- One always-on roadmap: Dynamics 365, Power Platform, and Dataverse join the AI at Work roadmap - Microsoft Dynamics 365 Blog, 25 août 2026. Fin des release waves, calendrier de transition et retrait de Release Planner au plus tard le 15 novembre 2026.
- General availability deployment - Microsoft Learn. Deux versions majeures par an en avril et en octobre, mises à jour obligatoires non reportables.
- Message center in Microsoft 365 - Microsoft Learn. Statuts Scheduled, Rolling out et Launched par organisation.
- Release schedules and early access - Microsoft Learn. Rôle de la roadmap AI at Work et calendriers de mise à jour.
- Data policies - Microsoft Learn. Processus d'application des politiques, connecteurs virtuels Copilot Studio et connecteurs MCP.
- Data loss prevention for desktop flows - Microsoft Learn. Classement des modules de flux de bureau et comportement du groupe par défaut.
Questions fréquentes
Qu'est-ce que la gouvernance IA Power Platform ? La gouvernance IA Power Platform est l'ensemble des règles qui encadrent les agents, les connecteurs et les fonctionnalités d'IA utilisés dans votre tenant. Elle combine politiques DLP, règles propres aux agents, inventaire et revue régulière des nouveautés Microsoft.
Que change la fin des release waves pour un RSSI ? Le RSSI perd les deux rendez-vous annuels qui servaient de repère aux revues de sécurité. Les nouveautés sont publiées en continu sur la roadmap AI at Work, et Release Planner est retiré au plus tard le 15 novembre 2026.
Faut-il passer à un audit Power Platform mensuel ? Pas un audit complet chaque mois. BA-IT recommande une revue mensuelle d'une heure centrée sur les changements, et un audit approfondi annuel. Microsoft recommande de son côté une revue récurrente, mensuelle ou trimestrielle.
Peut-on reporter les mises à jour Power Platform le temps de les auditer ? Non pour les mises à jour obligatoires. Microsoft Learn indique que les versions d'avril et d'octobre ne peuvent pas être reportées. L'examen doit donc avoir lieu avant leur arrivée, à partir des messages du Message Center.
Qui doit suivre le Message Center ? Une personne nommée, avec un suppléant, chargée de relever les messages Power Platform et de les porter à la revue mensuelle. Le champ « Status for your org » indique Scheduled, Rolling out ou Launched pour certaines nouveautés.
Les politiques DLP suffisent-elles à gouverner les agents Copilot Studio ? Non. Microsoft indique que les connecteurs virtuels qui contrôlent certaines fonctions des agents évoluent vers des règles de gouvernance dédiées, distinctes des politiques de données. Ces règles doivent être suivies dans la même revue.
Comment limiter le shadow AI dans Power Platform ? En réduisant le délai entre l'arrivée d'une capacité d'IA et son examen : revue mensuelle, journal des changements de politiques et point focal Message Center. Un inventaire des agents et de leurs accès reste le préalable.
Votre dernière revue de sécurité Power Platform date de la dernière vague ? Demandez un échange de cadrage ou consultez l'offre Audit & gouvernance Power Platform. Si l'inventaire existe déjà, l'offre Veille & MCO prend le relais chaque mois.