Dirigeant de PME : priorités numériques en 2026

Pour une PME, le premier travail est de savoir quelles obligations s’appliquent à quelle activité. Le nombre de salariés ne suffit pas à répondre pour le RGPD, NIS2, l’IA ou la facturation électronique. Les finalités, le secteur, les opérations et le rôle de l’entreprise comptent aussi.

Ce panorama, vérifié le 27 septembre 2026, sert à répartir les décisions entre direction, comptabilité, informatique et métiers. Il ne remplace pas les qualifications sectorielles : son résultat attendu est un plan d’action avec un responsable et une preuve pour chaque obligation retenue.

1. RGPD : organiser les traitements et les incidents

Le RGPD ne prévoit pas de dispense générale pour les petites entreprises. Identifiez les traitements entrant dans son champ, leurs finalités et les rôles de l’entreprise : elle peut être responsable de certains traitements et sous-traitante pour d’autres.

Vérifiez les bases juridiques, l’information des personnes, les durées, les contrats et la sécurité. La dérogation de registre de l’Art. 30(5) est limitée : un traitement non occasionnel, risqué ou portant sur les données visées aux Art. 9 ou 10 doit notamment être examiné. Utilisez un registre des traitements adapté à la PME.

En cas de violation, l’Art. 33(1) prévoit une notification dans les meilleurs délais et, si possible, sous 72 heures après en avoir pris connaissance, sauf si elle n’est pas susceptible d’engendrer un risque pour les droits et libertés. Toutes les violations doivent être documentées selon l’Art. 33(5). Le sous-traitant alerte son client dans les meilleurs délais : il ne dispose pas d’une franchise générale de 72 heures.

La désignation d’un DPO dépend des critères de l’Art. 37 et, le cas échéant, de règles supplémentaires applicables. Déléguer une tâche ou recourir à un prestataire ne transfère pas automatiquement les responsabilités de l’organisme.

2. Cybersécurité : qualifier NIS2 et agir sur les risques actuels

NIS2 dépend du secteur, de la catégorie d’entité, de la taille appréciée selon les règles pertinentes et d’exceptions. Ne concluez pas « moins de 50 salariés, donc hors champ » ni « tout éditeur de logiciels est concerné ».

Au 27 septembre 2026, le projet français relatif à la résilience et à la cybersécurité figure à l’ordre du jour de l’Assemblée nationale pour le 7 octobre. Il faut distinguer le cadre de la directive et les dispositions françaises effectivement en vigueur. Notre suivi NIS2 en France accompagne cette qualification.

Indépendamment de ce calendrier, l’Art. 32 du RGPD impose une sécurité adaptée aux risques sur les données personnelles. Demandez des preuves concrètes : restauration d’une sauvegarde, retrait d’accès au départ d’un salarié, traitement des mises à jour et circuit d’alerte. Une politique signée ne démontre pas leur fonctionnement.

3. IA : inventorier les usages et vérifier le calendrier modifié

Listez les systèmes utilisés, les tâches confiées, les données entrantes et l’effet des résultats sur les personnes. Un assistant de rédaction, une analyse de candidature et un composant intégré à un produit n’appellent pas la même qualification.

Le règlement (UE) 2026/1744 a modifié le calendrier de l’AI Act. Son Art. 1(40) reporte l’application des sections 1 à 3 du chapitre III, sous la réserve indiquée pour l’Art. 6(5), au 2 décembre 2027 pour les systèmes relevant de l’Art. 6(2) et de l’annexe III, et au 2 août 2028 pour ceux relevant de l’Art. 6(1) et de l’annexe I.

Ce report ne suspend pas l’ensemble du règlement. Vérifiez les pratiques interdites, les dispositions déjà applicables et les obligations propres au rôle de fournisseur ou de déployeur. Le guide AI Act pour les PME détaille cette analyse. Les données personnelles utilisées par un système d’IA restent soumises au RGPD lorsque son champ est rempli.

4. Site marchand et relation commerciale : vérifier le parcours

Identifiez d’abord vos clients : consommateurs, professionnels ou les deux. Contrôlez ensuite l’identité du vendeur, l’information préalable, les prix, les conditions contractuelles et les droits applicables au parcours concerné. Une case d’acceptation ne corrige pas des informations absentes ou une clause illicite.

Les informations d’éditeur relèvent notamment de l’Art. 1-1 de la LCEN. L’information RGPD relève des Art. 12 à 14. Pour les traceurs, l’Art. 82 de la loi Informatique et Libertés prévoit un consentement et ses exceptions ; tous les traceurs ne se traitent pas indistinctement.

La revue des conditions générales de vente doit porter sur votre offre réelle : bien, service ou contenu numérique, délai d’exécution et canaux de vente. Faites examiner aussi les modifications du parcours, pas seulement le document stocké dans un dossier.

5. Facturation électronique : la réception est déjà un sujet actuel

Le calendrier de la DGFiP distingue réception et émission. Depuis le 1er septembre 2026, les entreprises concernées doivent recevoir les factures électroniques émises par les fournisseurs tenus à cette obligation. L’émission et l’e-reporting des PME et microentreprises suivent le 1er septembre 2027.

Le périmètre doit être qualifié : la DGFiP distingue notamment franchise en base et opérations exonérées. Une exonération concernant l’émission ne dispense pas nécessairement des obligations en réception pour les achats concernés.

Avec la comptabilité, vérifiez la réception réelle, les adresses de facturation, les rôles de la plateforme et les opérations à préparer pour 2027. Le calendrier de facturation électronique donne les étapes à approfondir.

Un tableau de décision pour la direction

Cette organisation est proposée pour piloter le travail ; elle n’ajoute pas un calendrier légal uniforme.

Classez les actions par urgence réelle : incident en cours, échéance déjà applicable, risque pour les personnes, puis chantiers de préparation. Acheter un outil peut soutenir le suivi, mais ne remplace pas la décision de périmètre ni la vérification du résultat.

Ce qu’il faut retenir

• Qualifiez les activités et les rôles avant d’appliquer un seuil ou une date.
• Distinguez texte applicable, transposition française et échéance future.
• Le calendrier IA a changé ; la réception des factures électroniques a déjà commencé.
• Chaque action doit avoir un responsable et une preuve d’exécution.

FAQ

Une petite entreprise est-elle dispensée du RGPD ?

Non. Il existe des aménagements ciblés, dont la dérogation limitée de registre, mais pas d’exemption générale liée à la petite taille.

Peut-on attendre la transposition NIS2 pour sécuriser les données ?

Non. Les obligations déjà applicables, notamment l’Art. 32 du RGPD, continuent de s’imposer. La qualification NIS2 constitue un examen supplémentaire.

Une PME peut-elle attendre 2027 pour toute la facturation électronique ?

Le calendrier distingue l’émission de la réception. Il faut vérifier dès maintenant la capacité à recevoir les factures relevant de l’obligation entrée en application en septembre 2026.

Recevez nos analyses pratiques de conformité dans la newsletter.

Thiébaut Devergranne, docteur en droit, travaille depuis plus de vingt ans sur le droit du numérique et la protection des données. Il est le fondateur de Legiscope.