Réglementation · Le 8 heures IA

Ce que vos prestataires ont le droit de faire de vos données de facturation

Publié le 11 septembre 2026 · Brice Di Gangi · Lecture 5 min

Depuis le 1er septembre 2026, toutes les entreprises françaises doivent pouvoir recevoir leurs factures via une plateforme agréée. La CNIL vient de préciser à quelles conditions cette plateforme, ou n'importe quel prestataire, peut réutiliser vos données pour améliorer ses propres produits. La règle tient en une phrase et s'applique à tous vos outils d'IA.

Un prestataire n'a pas le droit de se servir de vos données pour son compte

La réutilisation des données par un prestataire obéit à une règle simple, que peu de dirigeants connaissent. Votre sous-traitant peut utiliser vos données pour exécuter sa mission. Pas pour autre chose. S'il veut s'en servir pour son propre compte, il lui faut votre autorisation écrite.

Dans sa fiche du 11 janvier 2022 sur la réutilisation de données confiées par un responsable de traitement, la CNIL est précise. Le motif invoqué le plus souvent est « l'amélioration de ses services ou de ses produits ou la conception de nouveaux services et produits ». Une autorisation préalable et générale n'est pas légale. Le test de compatibilité entre l'usage initial et le nouvel usage doit être refait pour chaque traitement.

Celui qui se sert sans demander n'est plus sous-traitant : il devient responsable de traitement et s'expose à des sanctions.

Une case cochée une fois pour toutes dans des conditions générales n'est pas une autorisation. Un accord se donne finalité par finalité, il se date, et il se retire.

Pourquoi la question arrive sur votre bureau ce mois-ci

Depuis le 1er septembre 2026, toutes les entreprises françaises doivent pouvoir recevoir leurs factures par voie électronique. Les grandes entreprises et les ETI doivent aussi pouvoir en émettre. Au 1er septembre 2027, l'émission deviendra obligatoire pour tout le monde, PME comprises. Chaque entreprise doit désigner une plateforme agréée par l'État, directement ou via une solution compatible. C'est ce que rappelle la fiche CNIL du 10 septembre 2026.

Cette plateforme est en principe votre sous-traitante. La CNIL précise qu'elle devient responsable de traitement si elle réutilise pour son propre compte les données issues de la facturation. Et elle signale que les conditions générales de ces plateformes peuvent prévoir une réutilisation des données, personnelles et non personnelles, à d'autres fins que celles prévues par le code général des impôts, par exemple des statistiques.

Dix ans de flux de facturation chez un tiers : autant savoir dès maintenant ce que le contrat autorise.

La même grille vaut pour tous vos outils d'IA

Soyons honnêtes sur la source : la fiche CNIL de 2022 parle de services et de produits, elle n'emploie pas le mot « intelligence artificielle ». Mais entraîner un modèle sur vos données pour améliorer un outil vendu à tous les clients relève de l'amélioration de services. La grille s'applique donc à votre CRM, votre assistant de rédaction, votre outil de transcription de réunions.

Trois questions à poser par écrit à chaque fournisseur :

• Réutilisez-vous nos données en dehors de l'exécution du contrat, et pour quelles finalités exactement ?
• Cette réutilisation est-elle activée par défaut, et comment la désactiver ?
• Nos données servent-elles à entraîner ou à améliorer un modèle utilisé par vos autres clients ?

Des factures enfin structurées, donc exploitables

Une fois reçues par une plateforme agréée, vos factures cessent d'être des PDF dispersés dans des boîtes mail. Les données deviennent exploitables : rapprochement avec les commandes, détection de doublons, relances, suivi de trésorerie. C'est le terrain où une IA branchée sur vos propres documents apporte quelque chose de vérifiable, parce qu'elle peut citer la facture d'origine.

Une précaution avant d'automatiser. La CNIL recommande de limiter les données dans les libellés : écrire « Factures lunettes - dossier n° XXX » plutôt que le nom du client. Le code général des impôts interdit désormais de faire figurer la dénomination précise d'un bien ou service couvert par le secret professionnel.

Enfin, le RGPD ne couvre que les données de personnes physiques : une facture qui ne contient que des données d'entreprise n'y est pas soumise, précise la CNIL. Le sujet reste entier pour vos clients indépendants et libéraux, et pour les contacts nominatifs de vos documents.

Et dans votre entreprise ?

• Ouvrez les conditions générales de votre plateforme désignée et cherchez les mots « réutilisation », « statistiques », « amélioration de nos services ». Demandez par écrit la liste des finalités envisagées.
• Ajoutez une ligne à votre registre de traitements pour chaque outil : qui réutilise quoi, avec quelle autorisation écrite, à quelle date, et comment la retirer.
• Demandez à votre plateforme si un export complet de vos factures et de leurs métadonnées est possible, et sous quel format. C'est la condition pour automatiser ensuite chez vous.

Le premier pas, faisable cette semaine en moins d'une heure : envoyer un courriel à votre éditeur de facturation pour demander la liste précise des finalités de réutilisation de vos données, et la procédure pour les refuser une par une.