RGPD et factures : pourquoi héberger vos données en France compte

Une facture a l'air d'un document banal : un montant, une TVA, une date d'échéance. En réalité, c'est l'un des documents les plus bavards de votre entreprise. On y trouve des noms, des adresses, des coordonnées bancaires, parfois des lignes directes — et, en creux, toute votre vie commerciale : qui sont vos fournisseurs, ce que vous achetez, à quel prix, à quelle fréquence.

Or la numérisation des factures passe de plus en plus par des outils d'OCR dopés à l'IA. Pratique, mais une question reste rarement posée : où partent réellement les documents une fois déposés ? Dans beaucoup de cas, la réponse est : vers des API d'intelligence artificielle américaines, hors de l'Union européenne, avec des conditions d'utilisation que personne ne lit.

Pour un cabinet comptable ou un dirigeant de TPE, ce n'est pas un détail technique : c'est un sujet de conformité RGPD, de responsabilité contractuelle et, de plus en plus, un argument commercial. Voici ce qu'il faut comprendre — et vérifier — avant de confier vos factures à un outil.

Que contient vraiment une facture ? Plus de données personnelles qu'on ne le croit

Le RGPD protège les données des personnes physiques identifiables. On pense spontanément aux fichiers clients, rarement aux factures. Pourtant :

• Les factures d'indépendants et d'entrepreneurs individuels mêlent données professionnelles et personnelles : nom, adresse (souvent le domicile), SIRET rattaché à une personne physique, IBAN personnel.
• Les mentions de contact — « à l'attention de Mme Martin », e-mail nominatif, numéro de portable — sont des données personnelles au sens strict.
• Certaines factures révèlent des informations sensibles par déduction : une facture d'avocat, de clinique ou de société de recouvrement en dit long sur la situation de la personne concernée.

S'y ajoutent des données commerciales confidentielles : conditions tarifaires négociées, remises, volumes d'achat. Elles ne relèvent pas du RGPD, mais du secret des affaires — et de la confiance de vos clients, qu'un cabinet n'a pas le droit de trahir par négligence dans le choix de ses outils.

RGPD et facture : ce que dit concrètement le règlement

Responsable de traitement et sous-traitant

Quand vous déposez des factures dans un outil d'OCR, vous restez responsable de traitement ; l'éditeur devient votre sous-traitant. L'article 28 du RGPD impose un contrat écrit — le fameux DPA (Data Processing Agreement) — précisant la nature du traitement, la durée de conservation, les mesures de sécurité et la liste des sous-traitants ultérieurs. Pas de DPA disponible ? Signal d'alarme immédiat.

Les transferts hors Union européenne

Le chapitre V du RGPD encadre strictement l'envoi de données personnelles hors UE. Un transfert vers les États-Unis n'est licite que sous conditions (décision d'adéquation, clauses contractuelles types…). Or l'histoire récente — invalidation du Safe Harbor en 2015, puis du Privacy Shield en 2020 — montre que ces cadres sont fragiles, et le Data Privacy Framework actuel fait déjà l'objet de contestations. Bâtir sa chaîne comptable sur un fondement juridique susceptible de tomber, c'est s'exposer à devoir tout remonter en urgence.

La responsabilité en cascade des cabinets comptables

Un expert-comptable est à la fois sous-traitant de ses clients et responsable du choix de ses propres outils. Si l'OCR du cabinet expédie les factures des clients vers un service non conforme, c'est toute la chaîne qui vacille — et le cabinet qui devra s'expliquer.

Le problème des outils d'OCR qui s'appuient sur des IA américaines

Beaucoup d'outils récents de dématérialisation sont, techniquement, des interfaces posées sur les API d'OpenAI, de Google ou d'autres fournisseurs américains : le document déposé leur est transmis pour être lu. Trois problèmes concrets :

• Le transfert hors UE — et même un hébergement sur des serveurs européens de ces fournisseurs ne règle pas tout : le CLOUD Act américain permet aux autorités des États-Unis d'exiger l'accès à des données détenues par des sociétés américaines, où que soient les serveurs.
• L'opacité des durées de conservation : selon les offres, les documents peuvent être retenus un certain temps à des fins de supervision ou d'amélioration du service.
• La question de l'entraînement : les politiques varient, changent, et exigent souvent une configuration explicite pour exclure vos données de l'amélioration des modèles. Peu d'utilisateurs le vérifient.

À l'inverse, une IA souveraine — des modèles exécutés sur une infrastructure européenne, par un acteur soumis au seul droit européen — supprime le problème à la racine : pas de transfert, pas de CLOUD Act, pas d'ambiguïté sur l'usage des documents.

Hébergement des données en France : ce que ça change vraiment

« Hébergé en France » n'est pas un argument cocorico, c'est un raccourci juridique et pratique :

• Un seul droit applicable : RGPD et droit français, sans empilement de clauses de transfert à surveiller.
• Un interlocuteur identifiable : en cas de demande d'un client (droit d'accès, effacement) ou de contrôle de la CNIL, vous savez qui détient quoi, et où.
• Une chaîne courte : moins d'intermédiaires entre votre document et son traitement, donc moins de points de fuite possibles.

C'est le choix de Billify : des modèles d'IA propriétaires qui tournent sur des GPU OVHcloud en France, à Gravelines. Aucune donnée n'est envoyée à OpenAI, Google ou Anthropic. Détail qui compte autant pour la sobriété que pour la sécurité : les serveurs sont allumés à la demande et éteints au repos. Le fonctionnement est décrit noir sur blanc dans la politique de confidentialité.

OCR RGPD : la check-list avant de choisir votre outil

Avant d'adopter un outil d'extraction de factures, posez ces questions — par écrit, la réponse vous servira de preuve de diligence :

1. Où sont hébergées et traitées les données ? Pays, hébergeur, et surtout : l'IA elle-même tourne-t-elle en Europe, ou seulement le site web ?
2. Qui sont les sous-traitants ultérieurs ? Si la liste mentionne OpenAI, Google Cloud AI ou un équivalent américain, vos factures y transitent.
3. Un DPA est-il fourni ? Couvre-t-il la conservation, la suppression sur demande et la notification en cas de violation ?
4. Vos documents servent-ils à entraîner des modèles ? La réponse doit être claire et contractuelle, pas une option cachée.
5. Combien de temps les fichiers sont-ils conservés après traitement, et pouvez-vous les supprimer vous-même ?

Un éditeur sérieux répond à ces cinq questions en dix minutes. Les réponses évasives sont une réponse en soi.

Conformité et efficacité ne s'opposent pas

Bonne nouvelle : choisir un OCR conforme au RGPD n'impose plus de sacrifier la qualité d'extraction. Chez Billify, vous déposez vos factures (PDF, scans, photos) et récupérez un export Excel structuré selon le Plan Comptable Général, compatible Cegid, Sage, Pennylane ou Quadratus — sans qu'un seul document ne quitte la France. Et les tarifs restent lisibles : 1 crédit = 1 page, sans engagement.

Créez votre compte et testez l'analyse sur vos propres factures : 100 pages gratuites à l'inscription, sans carte bancaire.