Facturation électronique : le gisement de renseignement que la France offre à ses rivaux

Avril 2013, aéroport JFK. Frédéric Pierucci, cadre d’Alstom, est arrêté par le FBI à sa descente d’avion. Motif officiel : des faits de corruption en Indonésie, poursuivis au titre d’une loi américaine à portée extraterritoriale, le FCPA. Résultat effectif : deux ans de prison, 772 millions de dollars d’amende pour Alstom, et la cession de la branche énergie du groupe à General Electric, son concurrent américain, pendant que son dirigeant négociait sa liberté. Le droit comme arme, une entreprise stratégique française comme trophée. Personne, depuis, ne peut prétendre ignorer que la guerre économique existe et que la France y figure parmi les cibles.

Treize ans plus tard, la même France impose à ses propres entreprises de verser l’intégralité de leurs flux de facturation dans une infrastructure de collecte centralisée, au nom de la lutte contre la fraude à la TVA. Des millions d’entreprises, leurs clients, leurs fournisseurs, leurs prix réels, leurs volumes, leurs rythmes. Et à aucun moment du débat public, la question qui devrait ouvrir tout conseil de défense économique n’a été posée : que vaut ce gisement pour un service de renseignement adverse, et qu’avons-nous prévu pour le protéger ?

La guerre économique ne se déclare pas, elle se mène

Il faut d’abord poser le décor, car le terme de guerre économique passe encore, dans le débat français, pour une figure de style. C’est une réalité opérationnelle, dotée de doctrines, de budgets et de services. Elle ne se mène pas avec des divisions blindées mais avec le droit, les données, les normes, les chaînes d’approvisionnement, les sanctions financières et désormais l’intelligence artificielle.

Les États-Unis en sont les praticiens les plus décomplexés. L’extraterritorialité de leur droit leur a livré Alstom, mais aussi 8,9 milliards de dollars d’amende infligés à BNP Paribas en 2014 pour des transactions en dollars avec des pays sous embargo américain. Le Cloud Act soumet toute donnée détenue par un fournisseur américain aux réquisitions de leur justice, où que cette donnée soit hébergée, sujet que j’ai déjà traité à propos de Wero et de ses serveurs Amazon. Et leur renseignement assume depuis les années 1990 la mission de soutien aux intérêts commerciaux nationaux : l’affaire Échelon, documentée par le Parlement européen, où des interceptions avaient servi les positions de Boeing et McDonnell Douglas face à Airbus, en reste l’illustration classique.

La Chine mène la même guerre avec d’autres armes : investissements massifs dans les semi-conducteurs et l’intelligence artificielle, contrôle des terres rares dont j’ai décrit l’usage comme instrument de coercition, et construction méthodique de dépendances croisées où chaque infrastructure vendue est aussi un point d’appui. L’Europe, elle, découvre à chaque crise l’étendue de ses dépendances, cloud, logiciels, processeurs, plateformes, et j’ai déjà écrit ce que le retour du protectionnisme américain lui coûtera.

Dans cette confrontation permanente, l’information économique a changé de statut. Connaître les chaînes d’approvisionnement d’un rival, identifier ses fournisseurs critiques, anticiper les difficultés d’une filière ou détecter l’émergence d’un concurrent n’est plus un sous-produit de l’activité : c’est une ressource de puissance, collectée, agrégée et analysée comme telle.

Ce qu’une facture révèle à un analyste hostile

Plaçons-nous maintenant du point de vue de l’exploitant, car c’est le seul qui compte pour évaluer un risque. Que lit un analyste d’intelligence économique dans un flux de facturation ?

Il y lit d’abord l’évidence : des clients, des fournisseurs, des montants. Puis, très vite, beaucoup mieux. Les prix réels pratiqués, ligne à ligne, et non les tarifs catalogues, c’est-à-dire les marges et les positions de négociation. Les volumes et leur saisonnalité, donc les rythmes de production et les carnets de commandes. L’apparition d’un fournisseur inhabituel, signal faible d’un prototype, d’un pivot industriel, d’une innovation en préparation. La concentration des achats chez un fournisseur unique, c’est-à-dire une dépendance exploitable. Les délais de paiement qui s’allongent, symptôme précoce d’une trésorerie qui se tend, information qui vaut de l’or pour qui prépare un rachat hostile ou une éviction de marché.

Prise isolément, chaque facture est banale. Agrégées et passées au crible d’outils d’analyse automatisée, ces données cessent d’être de la comptabilité pour devenir de la connaissance stratégique. Et le dispositif français ajoute la dimension qui change tout : le temps. Avec la transmission continue des flux et le e-reporting, ce n’est pas une photographie de l’économie française qui se constitue, c’est un film en quasi-temps réel. J’ai montré en mai que la réforme construisait de fait le graphe complet de l’économie française privée ; je n’y reviens pas, la démonstration est faite. Ce qui m’occupe ici est différent : qui peut vouloir ce graphe, et par quels chemins il peut l’obtenir.

Ces informations relèvent du patrimoine stratégique des entreprises, au même titre que leurs brevets ou leurs procédés. La différence est qu’un brevet est protégé par un arsenal juridique séculaire, quand le flux de facturation vient d’être rendu obligatoire, centralisé chez des tiers, et confié à un écosystème dont personne n’a audité la résistance à un adversaire étatique.

Du crime crapuleux au renseignement d’État

Mon article de mai traitait de la menace criminelle : le rançongiciel, la fuite de données, la surface d’attaque démultipliée. Cette menace-là a une vertu paradoxale, elle se voit. Un rançongiciel réclame, paralyse, s’affiche. Le renseignement économique fait exactement l’inverse : une exfiltration réussie ne produit aucun symptôme, aucun communiqué, aucune plainte. L’absence de scandale ne prouve rien, elle est même la signature du travail bien fait.

Or les précédents français ne relèvent pas de la fiction. En 2019, Airbus a subi une série d’attaques menées non pas frontalement mais par rebond, via ses sous-traitants et prestataires, avec pour cibles apparentes des documents techniques et de certification, et des soupçons portant sur un groupe d’intrusion lié à la Chine. En 2016, plus de 22 000 pages de documentation sur les sous-marins Scorpène de DCNS, devenu Naval Group, se sont retrouvées dans la nature, compromettant des positions commerciales à l’export sur des décennies. Deux affaires, une même leçon : on n’attaque pas la forteresse, on attaque son écosystème, le maillon périphérique dont la sécurité n’est pas à la hauteur de la valeur qu’il manipule.

C’est très exactement l’architecture que la réforme vient de généraliser. Chaque entreprise française se voit imposer un intermédiaire supplémentaire dans sa chaîne de confiance, une plateforme agréée par laquelle transiteront ses flux. Le modèle Airbus, attaquer les sous-traitants pour atteindre le donneur d’ordres, s’applique désormais à l’économie entière : les sous-traitants de rang 2 et 3 de Naval Group, de Dassault, de la filière nucléaire ou du spatial factureront leurs prestations via ces plateformes, et leurs factures diront ce que leurs contrats taisent.

Les scénarios qui ne demandent même pas de pirater

Le piratage n’est d’ailleurs que le scénario le plus vulgaire. Un adversaire sérieux dispose de chemins plus élégants, et c’est là que le dispositif français révèle son impensé.

Le levier juridique, d’abord. Qu’une plateforme agréée soit filiale d’un groupe américain, ou qu’elle héberge ses traitements chez un fournisseur de cloud américain, et les données qu’elle manipule entrent dans le champ du Cloud Act et des procédures de discovery. Le dossier d’immatriculation exige certes un engagement d’exploiter le système d’information depuis l’Union européenne ; le Cloud Act a été écrit précisément pour rendre ce genre de précaution inopérante, puisqu’il s’attache à la personne morale et non à la localisation des serveurs. Le précédent existe et il est massif : le programme TFTP, par lequel le Trésor américain a exploité pendant des années les données du réseau interbancaire SWIFT, pourtant société de droit belge. Nul besoin d’implant ni d’exfiltration quand une réquisition suffit.

Le levier capitalistique, ensuite. Qui détient le capital des plateformes agréées ? Qui le détiendra dans cinq ans, après la consolidation inévitable d’un marché fragmenté ? Racheter un opérateur agréé, c’est acquérir en toute légalité un poste d’observation sur les relations commerciales de milliers d’entreprises françaises. Le contrôle des investissements étrangers s’applique aux secteurs sensibles ; il faudra vérifier, texte en main, qu’il couvre effectivement cette situation, car l’immatriculation des plateformes repose sur des exigences de sécurité et de conformité, pas sur une doctrine de nationalité du capital.

Le levier humain, encore. Un administrateur système chez un opérateur de facturation voit passer davantage d’informations économiquement sensibles qu’un cadre de ministère, sans habilitation, sans enquête, sans le statut qui encadre ceux qui approchent le secret. Le recrutement d’une source dans une entreprise privée sous-payée reste la méthode la plus ancienne et la plus rentable du métier.

Le levier de l’agrégat, enfin. Même anonymisées, même agrégées, des statistiques sectorielles fines renseignent sur la santé d’une filière, ses goulets, ses dépendances. Et la désanonymisation par croisement de sources est un problème documenté depuis vingt ans : dans un tissu économique où beaucoup de marchés sont des oligopoles locaux, l’agrégat redevient nominatif pour qui possède les bonnes données de recoupement.

L’objection italienne, et pourquoi elle ne rassure pas

On m’opposera l’Italie, et l’objection mérite mieux qu’un revers de main. Le Sistema di Interscambio y centralise la facturation électronique depuis 2019, sans catastrophe publique connue. Trois réponses.

La première tient à l’architecture : le SdI est un système public unique, opéré par l’administration fiscale italienne. La France a choisi un modèle éclaté, plus d’une centaine d’opérateurs privés agréés, c’est-à-dire autant de périmètres de sécurité hétérogènes, de politiques de recrutement, de structures capitalistiques et de sous-traitances en cascade. On ne compare pas un coffre-fort à un archipel.

La deuxième tient à la nature de la menace : je l’ai dit, l’absence de scandale ne prouve pas l’absence d’exploitation. Le propre du renseignement est de ne pas laisser de trace, et le contre-exemple italien est au mieux un silence, pas une preuve.

La troisième tient à la cible : le tissu industriel français, défense, nucléaire, spatial, aéronautique, duale, expose un patrimoine que l’économie italienne, pour respectable qu’elle soit, ne concentre pas au même degré. Le graphe des sous-traitants français est en soi une pièce de renseignement militaire.

Reste l’objection interne, la plus sérieuse, celle que feront les architectes de la réforme : l’État ne reçoit pas tout. Depuis l’abandon du portail public comme plateforme d’échange, en octobre 2024, l’administration ne conserve qu’un annuaire central et un concentrateur de données, alimenté par un extrait normalisé des factures, une vingtaine de données d’entête et une poignée de données par ligne. Le document complet, avec ses libellés précis, ses conditions et ses pièces jointes, ne remonte pas au fisc : il transite et réside chez les plateformes. L’objection est exacte, et elle se retourne. Elle signifie que la couche la plus riche du gisement, celle qui intéresse un analyste hostile bien davantage que l’extrait fiscal, est stockée non pas dans la forteresse de l’administration, sous le statut du secret fiscal et la protection d’un appareil régalien, mais chez une centaine d’opérateurs privés aux moyens inégaux. L’administration voyait déjà beaucoup, déclarations de TVA, fichier des écritures comptables, déclarations d’honoraires ; le saut actuel ne consiste pas à lui montrer davantage, il consiste à faire circuler le tout, en continu, hors de ses murs. J’ai déjà analysé ce que ce dispositif signifie du point de vue du contribuable ; du point de vue de la puissance étrangère, il signifie que la donnée a quitté la forteresse.

Ce qu’un État sérieux exigerait

La critique serait vaine si rien ne pouvait être fait. Et soyons précis, car le cahier des charges de l’immatriculation n’est pas vide : certification ISO 27001 obligatoire, qualification SecNumCloud exigée pour l’hébergement lorsqu’il est sous-traité, engagement d’exploiter le système d’information depuis l’Union européenne, audit de conformité après immatriculation. Mais tout cela protège des systèmes, pas des contenus, et n’oppose rien à un actionnaire, à un juge étranger ou à une source humaine. Le chiffrement n’existe dans ce dispositif qu’en transit, et il ne peut en être autrement : la fonction même des plateformes, convertir les factures entre Factur-X, UBL et CII, en extraire les données fiscales, en valider les mentions, exige qu’elles lisent chaque document en clair. Le chiffrement de bout en bout n’est pas absent par oubli, il est structurellement exclu par l’architecture retenue.

Un État sérieux l’aurait pourtant posé en exigence fondatrice : des enveloppes chiffrées de l’émetteur au récepteur, que les plateformes routent sans pouvoir les ouvrir, l’extrait fiscal normalisé étant produit et scellé côté émetteur. Rien ne l’interdisait, ni la norme européenne EN 16931 ni les référentiels de l’ANSSI ; à ma connaissance, aucun chantier public n’esquisse aujourd’hui un tel modèle. Un État sérieux exigerait de même le passage systématique du capital des plateformes agréées sous le contrôle des investissements étrangers, comme pour les opérateurs d’importance vitale. Il reconnaîtrait enfin les données de facturation agrégées comme un élément du patrimoine informationnel stratégique de la nation, justiciable de la même doctrine que le potentiel scientifique et technique, avec un rôle actif du service de l’information stratégique et de la sécurité économiques.

Rien de tout cela ne figure au cœur du dispositif. L’asymétrie que je pointais en mai demeure entière : l’État impose tout, ne garantit rien et ne répondra de rien.

La souveraineté ne se décrète pas dans un cahier des charges

Le plus frappant est la contradiction doctrinale. Depuis quinze ans, la France se dote méthodiquement d’un arsenal de guerre économique défensive : réactivation de la loi de blocage de 1968, création du SISSE, transposition du secret des affaires en 2018, élargissement continu du contrôle des investissements étrangers. Elle a payé pour apprendre, Alstom fut la leçon. Et au moment même où cette doctrine arrive à maturité, elle creuse elle-même, au nom de la TVA, le tunnel sous ses propres murailles : la cartographie dynamique de son économie, mise à jour en continu, distribuée chez des tiers dont ni le capital ni le personnel ne relèvent d’aucune doctrine de protection.

La question posée en ouverture admet donc une réponse, et elle est désagréable. En centralisant ces données sans les protéger à la hauteur de leur valeur, nous ne renforçons pas la souveraineté économique de la France. Nous constituons, à nos frais, sous obligation légale et avec la diligence d’un peuple discipliné, le gisement de renseignement économique le plus complet d’Europe. Il ne manque plus que les visiteurs, et l’histoire récente enseigne qu’ils n’attendent jamais d’être invités.