Ce que la cible a le droit de faire, et ce qu’elle expose.

Ce que la cible a le droit de faire de ses données

Registre des traitements et son état réel, bases légales, durées de conservation effectives, sous-traitants et sous-traitants ultérieurs, transferts hors Union européenne, analyses d’impact manquantes, incidents non notifiés.

Et le point que seul cet examen révèle : les clauses clients qui interdisent d’exploiter les données produites pour leur compte, en particulier pour entraîner ou alimenter un modèle. Une société de services accumule dix ans de données qu’elle croit siennes et dont ses contrats-cadres disent le contraire. C’est le constat le plus coûteux que ce module produit, et il ne se trouve pas ailleurs que dans les contrats.

Ce qu’elle expose, et depuis quand

Inventaire des systèmes d’IA réellement en usage — l’usage clandestin compris, que l’axe 5 de la diligence aura déjà fait remonter —, classement par niveau de risque, obligations applicables et écarts constatés, documentation technique des systèmes développés en interne, obligation de littératie du personnel.

Chaque écart est chiffré en coût de mise en conformité, avec son délai. Un écart sans chiffre ne se porte pas en négociation : il se lit comme une inquiétude, et il est écarté par le vendeur en une phrase.

Une entrée par point, sans commentaire

Chaque constat porte : sa nature, sa source, le coût estimé de sa régularisation, le délai, et ce qu’il appelle — une déclaration, une garantie spécifique, ou une condition suspensive. Rien de plus. Un avocat n’a pas besoin qu’on lui explique le droit : il a besoin qu’on lui donne les faits sous une forme qu’il peut transcrire.

Un investisseur qui détient dix participations en a rarement une seule dont les systèmes d’IA ont été inventoriés. L’exercice se conduit alors sans échéance de deal, à un rythme de quelques participations par an, et il produit deux choses : la liste des écarts chiffrés, et un état qui se compare d’une année sur l’autre.

Ce second point compte davantage qu’il n’en a l’air : les souscripteurs posent désormais la question de l’exposition à l’IA du portefeuille, et un état daté, produit par un tiers, répond mieux qu’une déclaration. C’est ce que couvre la convention annuelle.