1. Ce qui a changé, et quand

Deux dates comptent. D’abord, le 1er septembre 2026 : selon la CNIL, la réforme de la facturation électronique entre entreprises est entrée en vigueur. Ensuite, le 10 septembre 2026, la CNIL a publié sur sa page TPE/PME un contenu de cadrage pour aider les entreprises à comprendre les enjeux de protection des données liés à cette réforme. Le signal est clair : la facture n’est plus un simple document comptable, c’est aussi un flux de données à organiser, sécuriser et tracer.

2. Ce que cela change dans les décisions d’une petite entreprise

Pour une TPE/PME, la question n’est pas « faut-il se conformer ? », mais « quelle complexité acceptons-nous dans le processus que nous achetons ou construisons ? ». Les ressources TPE/PME de la CNIL rappellent que les usages numériques comportent des risques pour les données personnelles, financières et industrielles. Elles orientent les entreprises vers des mesures d’hygiène de base et, si nécessaire, un diagnostic adapté. De son côté, l’ENISA souligne que les cybercriminels continuent de recourir aux rançongiciels, aux fuites de données et à l’usurpation d’identité, tandis que l’IA accroît leurs capacités et les possibilités d’attaque contre les entreprises.

  • Si votre outil de facturation contient des noms de personnes, des coordonnées nominatives ou des références de paiement permettant d’identifier une personne, il entre dans votre périmètre de données personnelles.
  • Si votre fournisseur propose un classement, une extraction ou un rapprochement assisté par IA, vérifiez où vont les données, qui peut y accéder et si elles sont conservées pour entraîner des modèles.
  • Si votre processus est dispersé entre courriels, PDF et tableurs, profitez de la facturation électronique pour réduire cette dispersion plutôt que d’ajouter un outil de plus.

3. Une méthode pratique : le test des trois cases

Avant de changer d’outil, de fournisseur ou de processus, remplissez trois cases. Case A : les données. Listez les informations qui circulent avec la facture : identité du client, contacts, coordonnées bancaires, références de commande, données fiscales et pièces jointes. Case B : les acteurs. Notez qui les reçoit, les conserve, les enrichit ou les exporte : comptabilité, fournisseur, banque, prestataire informatique ou assistant IA. Case C : les incidents possibles. Demandez-vous ce qui se passerait si ces données étaient compromises, supprimées ou utilisées à une autre fin. L’objectif n’est pas d’ajouter de la bureaucratie, mais de décider si le gain d’une automatisation justifie les risques qu’elle introduit.

  • Ne conservez que les champs nécessaires à la facturation et aux contrôles.
  • Distinguez les droits de stockage des droits de traitement.
  • Demandez à chaque fournisseur une durée de conservation, une clause de notification d’incident et une procédure de suppression.

4. Un exemple chiffré fictif

Exemple fictif : une entreprise de services de 12 personnes traite 600 factures par an. Elle envisage un module IA qui extrait les lignes des pièces jointes PDF et propose un classement comptable. Un gain moyen de 3 minutes par facture représente 1 800 minutes, soit 30 heures par an. Mais si ce module conserve aussi des copies des factures pour améliorer ses modèles, l’entreprise doit examiner si ce gain justifie une conservation supplémentaire de données sensibles. La bonne question n’est donc pas seulement « est-ce que cela automatise ? », mais « quelle durée de conservation et quelle exposition supplémentaires cette automatisation crée-t-elle ? ».

5. Les limites et les points à vérifier

Trois limites sont à garder en tête. Les obligations et les mesures de gouvernance dépendent d’abord de la situation : une petite entreprise qui traite des factures simples ne rencontre pas les mêmes enjeux qu’une structure manipulant des informations de santé, de ressources humaines ou des données clients sensibles. Ensuite, les ressources de la CNIL éclairent le sujet sans remplacer une analyse juridique adaptée aux cas complexes. Enfin, le marché évolue vite : certains fournisseurs intègrent déjà l’IA à leurs fonctions de facturation et de comptabilité, avec des conditions de conservation qui peuvent changer. Vérifiez donc les conditions contractuelles en vigueur avant d’activer une automatisation.

  • Laissez une fonction facultative désactivée tant que vous n’avez pas vérifié le parcours des données.
  • Si un fournisseur ne peut pas expliquer simplement la conservation et la suppression, c’est un point à résoudre dans le choix du prestataire, pas seulement par la formation des équipes.
  • Si le processus utilise des données personnelles, documentez sa finalité avant de documenter le raccourci technique.

6. Une checklist sur sept jours : responsables et résultats

Jour 1 — Responsable : direction financière ou responsable administratif. Résultat : une liste d’une page des outils et fichiers liés aux factures. Jour 2 — Responsable : informatique ou prestataire externe. Résultat : les droits d’accès de chaque outil sont recensés. Jour 3 — Responsable : service juridique ou DPO, s’il existe. Résultat : une note courte identifie les données personnelles présentes et la raison de leur utilisation.

Jour 4 — Responsable : achats. Résultat : les conditions des fournisseurs concernant la conservation, la suppression et la réutilisation par l’IA sont rassemblées. Jour 5 — Responsable : pilote du processus. Résultat : un parcours de facture de référence est choisi. Jour 6 — Responsable : direction. Résultat : les fonctions IA facultatives restent désactivées tant qu’elles ne sont pas approuvées. Jour 7 — Responsable : équipe financière. Résultat : une facture test parcourt toute la chaîne sans transfert informel par courriel, sans tableur parallèle et sans copie inexpliquée.

  • Le résultat observable : répondre en moins de deux minutes à quatre questions — où sont les données, qui les voit, combien de temps elles restent et comment les supprimer ?
  • Si vous ne pouvez pas répondre, le processus n’est pas encore prêt à être déployé à plus grande échelle.