Déployer une IA RH dans Teams sans projet informatique : les étapes

Oui, une application IA RH se déploie dans Microsoft Teams sans projet informatique, c'est-à-dire sans développement, sans serveur et sans rien installer sur les postes, mais pas sans la personne qui administre le tenant Microsoft 365. Deux gestes lui reviennent, ajouter l'application au catalogue de l'entreprise et donner le consentement aux accès qu'elle demande. Au lancement d'un test dans une ETI multi-sites, début novembre 2026, AgentRH a constaté que l'attente ne venait pas de l'installation mais d'une question restée sans réponse le jour même, celle de savoir qui administre le tenant.

Peut-on déployer une IA RH dans Teams sans projet informatique ?

Oui, si l'on entend par là : aucun développement, aucun serveur à ouvrir, rien à installer sur les postes, aucune migration de données. Une application Teams se distribue depuis le centre d'administration, et les utilisateurs s'y connectent avec leur compte Microsoft habituel.

Il reste deux actes d'administration, qui ne se délèguent pas à l'équipe RH. Les assistants IA interrogés sur cette question n'en parlent presque jamais. La plupart conseillent de construire son propre agent avec Copilot Studio, parfois avec un plan de dix jours mené par un « référent RH » : c'est un projet, présenté comme l'absence de projet.

Sans projet informatique ne veut pas dire sans l'administrateur du tenant.

Trois voies, trois niveaux d'effort

Trois façons de mettre un assistant RH dans Teams, qui ne demandent pas la même chose à l'entreprise. La première convient à une foire aux questions documentaire, quand la documentation RH est propre et que quelqu'un la tient à jour.

Sur la première voie, la page de Microsoft sur la publication d'un agent Copilot Studio dans Teams décrit elle aussi une approbation par l'administrateur pour proposer l'agent à toute l'organisation. Aucune voie ne se passe donc de lui.

Ce que l'administrateur du tenant doit faire, et pourquoi lui seul

Deux gestes, dans des consoles que seul un administrateur ouvre. Le premier se fait dans le centre d'administration Teams : rendre l'application disponible. Si elle est publiée dans le magasin d'applications de Teams, il l'autorise pour son organisation. Sinon, l'éditeur lui remet le paquet de l'application, un fichier .zip, qu'il publie comme application de l'entreprise. Dans les deux cas, il choisit qui la voit : réservée à l'équipe RH, elle reste invisible des autres salariés.

Le second se fait dans Microsoft Entra : accorder le consentement administrateur aux accès que l'application demande à Microsoft Graph.

Pourquoi lui seul ? Parce que la liste de ce qu'un utilisateur peut autoriser de lui-même est un réglage du tenant. Quand il est restrictif, un membre de l'équipe RH ne peut pas donner seul à l'application l'accès à ses fichiers. Microsoft a annoncé en juin 2025, dans le message MC1097272 de son centre de messages (« Microsoft 365 Upcoming Secure by Default Settings Changes »), un durcissement de ses réglages par défaut, que la presse spécialisée a résumé comme la fin du consentement donné par l'utilisateur aux applications tierces qui accèdent à ses fichiers et à ses sites. Ce qui compte pour vous est le réglage effectif de votre tenant, et seul son administrateur peut le lire.

Ce que nous avons observé au lancement d'un test, novembre 2026

L'installation n'a pas attendu la technique, elle a attendu un nom. C'était au lancement d'un test de quatre semaines dans une ETI multi-sites dont l'informatique est confiée à un prestataire.

En juillet, nous avions prévu que chaque utilisateur RH accorde lui-même l'accès à ses fichiers à sa première connexion. La veille du lancement, nous avons relu les règles du tenant du client : ce consentement revenait à l'administrateur. En réunion d'équipe, nous l'avons résumé ainsi : l'entonnoir s'est inversé. On part des permissions minimales et tout le reste s'autorise, là où il fallait auparavant cocher une case pour restreindre.

Le chemin retenu : le paquet de l'application remis au service informatique du client, publié dans son catalogue d'entreprise, visible des seuls membres de l'équipe RH qu'il désigne.

Le jour du lancement, personne dans l'équipe RH ne pouvait dire qui administrait le tenant : l'informatique était externalisée, et une personne venait d'arriver au siège sans que l'on sache si elle reprenait le sujet. La démonstration a eu lieu sur notre propre environnement, enregistrée pour être revue le jour de l'activation. La première action de la semaine n'a pas été de poser des questions à l'assistant, mais d'obtenir le contact de l'administrateur. Sans son accord, nous ne pouvions pas ouvrir l'application.

Nous en avons tiré une règle. Le nom de la personne qui autorise les applications dans le tenant se demande avant la signature, et elle reçoit une fiche d'une page avant le lancement.

Les informations à remettre à la DSI pour qu'elle valide vite

Une DSI valide vite ce qu'elle peut vérifier seule, sur une page. La demande vient souvent de l'équipe RH elle-même : « Moi, il faudra que je demande l'autorisation à la DSI s'il y a tout ça », nous a dit une responsable RH en mai 2026. La question revient dans quatre de nos rendez-vous. La fiche contient :

• Mode de distribution : magasin d'applications Teams ou paquet remis à l'administrateur, et groupe d'utilisateurs visé.
• Authentification : compte Microsoft de l'entreprise (SSO Microsoft Entra ID), sans mot de passe propre à l'outil.
• Permissions demandées : la liste complète, l'usage de chacune, déléguée ou applicative.
• Périmètre SharePoint : ce qui est lu, et la restriction possible à des sites précis.
• Hébergement et modèle d'IA : région, sous-traitants, absence d'entraînement sur vos données.
• Journalisation et réversibilité : ce qui est tracé, ce que coupe la désinstallation, le délai de suppression.
• Accord de traitement des données (DPA), prêt pour votre DPO.

Connecter SharePoint et le SIRH sans ouvrir trop large

La question à poser est celle du mode d'accès. Avec une permission déléguée, l'application agit au nom de l'utilisateur connecté et ne lit que ce qu'il peut déjà ouvrir. Avec une permission applicative, elle agit sans utilisateur, sur tout le périmètre accordé. Pour un assistant RH, le premier mode est le bon point de départ : vos droits SharePoint continuent de s'appliquer, personne par personne.

Ce mode a un revers, que la DPO de ce même client avait relevé dès juillet 2026. L'assistant ne voit rien de plus que l'utilisateur, mais une recherche en langage naturel fait remonter des documents enfouis et trop largement partagés. Nous avons donc proposé une cartographie des dossiers avant l'ouverture, faite avec un accès séparé que le client active pour l'audit, puis coupe.

Microsoft documente aussi des permissions dites « Selected » (Sites.Selected), qui limitent une application aux sites désignés par l'administrateur : demandez à l'éditeur s'il les prend en charge. Le SIRH, lui, se connecte à part, par API, et la lecture seule suffit pour une question de congés ou d'ancienneté. Sur le trajet des données, voir vos données sortent-elles du tenant Microsoft 365 ?

Ce qui n'est pas de l'informatique mais demande du temps

Deux sujets occupent le calendrier plus que l'installation. Votre DPO relit l'accord de traitement et décide s'il faut une analyse d'impact : voir quand l'AIPD est obligatoire pour un assistant IA RH. Dans les entreprises d'au moins cinquante salariés, le CSE est informé et consulté sur « l'introduction de nouvelles technologies » (article L2312-8 du Code du travail).

Reste la crainte de l'outil de plus. Un responsable RH d'un groupe nous l'a dit en juillet 2026 : « L'idée, c'est que ça s'intègre dans notre suite SIRH et pas un truc à part [...] sinon le salarié, lui, il va être paumé. » C'est un argument de fond en faveur de Teams : l'équipe RH y travaille déjà, et le salarié continue d'écrire à la RH comme avant.

Ce que fait AgentRH

AgentRH suit la deuxième voie : une application Teams et un complément Outlook, installés par votre administrateur, sans déploiement sur les postes. Les accès à Microsoft Graph sont demandés en mode délégué, avec consentement administrateur : boîte mail RH, profils des utilisateurs habilités, documents RH dans SharePoint en lecture, avec restriction possible à des sites précis. La liste complète figure sur la page destinée aux DSI.

Avant le lancement, votre administrateur reçoit la fiche décrite plus haut, et nous faisons le point avec lui. Le déroulé est sur la page agent IA RH dans Microsoft Teams, les connecteurs SIRH sur la page intégrations, l'hébergement sur la page sécurité.