Questions traitées
- Que peut faire l’IA en due diligence ?
- Quelles décisions doivent rester humaines ?
- Comment éviter les fuites de permission ?
Le bon cas d'usage commence par la permission
La question « que peut faire l'IA ? » vient après « à quelles données cet utilisateur a-t-il droit ? ». Un assistant placé dans une VDR ne doit pas pouvoir répondre à partir d'un document que l'utilisateur ne peut pas ouvrir lui-même. Cette règle est plus importante que la sophistication du modèle.
Dans DealPME, l'IA doit donc hériter des permissions du contexte courant, pas créer un chemin parallèle vers l'information. Une révocation d'accès doit aussi retirer la source des réponses futures et des index de retrieval utilisés pour cet utilisateur.
Les tâches où l'IA crée une vraie valeur opérationnelle
Recherche et classification
Trier des documents, retrouver une clause, identifier les pièces manquantes, rapprocher des versions ou détecter qu'une question a déjà été posée.
Extraction
Extraire dates, montants, parties, échéances, covenants ou éléments structurés à condition de conserver le lien vers la page/source.
Synthèse
Résumer un contrat ou un ensemble de Q&R pour accélérer la lecture, avec la possibilité de remonter à la preuve.
Comparaison
Comparer versions, offres ou périodes et signaler les différences ; la matérialité reste à apprécier par le professionnel ou décideur.
Préparation de brouillons
Préparer une question de diligence, un draft de note ou un tableau d'issues. La publication ou soumission reste une action explicite de l'utilisateur autorisé.
Là où l'IA ne doit pas devenir l'autorité
Certification
Un score de complétude peut aider à préparer un dossier ; il ne doit pas attribuer un label institutionnel. Dans le baseline DealPME, Deal-Ready reste une décision nominative de la CCI.
Admission et permissions
L'IA peut expliquer pourquoi une pièce manque ou quel gate n'est pas satisfait. Elle ne doit pas ouvrir T2, approuver un accès ou contourner le RPS.
Avis juridique, fiscal ou de valorisation
Un modèle peut retrouver une clause ou présenter une méthode ; il ne doit pas se présenter comme avocat, fiscaliste ou expert évaluateur mandaté.
Décision d'investissement
Résumer des risques n'est pas recommander d'acheter. L'acquéreur conserve la décision et doit comprendre les limites des données.
Offre et termes
L'IA peut préparer un brouillon de LOI ; elle ne doit pas envoyer une offre, modifier un prix ou accepter une contre-offre sans action explicite de la partie habilitée.
Le cadre de risque est aussi important que le modèle
Le NIST AI Risk Management Framework est volontaire, non sectoriel et centré sur la gestion des risques liés aux systèmes d'IA. Son profil Generative AI complète le cadre avec des considérations propres aux systèmes génératifs. Pour un environnement M&A, plusieurs principes pratiques en découlent : gouverner le cas d'usage, connaître les données, mesurer la qualité, documenter les limites et conserver des contrôles humains adaptés au risque.
La réponse IA doit être une carte de preuve
Pour toute réponse matérielle, un utilisateur devrait pouvoir voir :
Réponse → Source → Page/objet → Date/version → Niveau de confiance → Limite / issue liée
Une réponse sans source doit être traitée comme une piste, pas comme un fait établi. Si la preuve accessible est insuffisante, la bonne réponse est : « les documents disponibles ne permettent pas de conclure ».
Les risques spécifiques en due diligence
Hallucination
Le modèle fabrique ou complète un élément absent. Réponse : source obligatoire, refus de conclure lorsque la preuve manque.
Permission leakage
Une synthèse révèle un fait provenant d'un document non autorisé. Réponse : retrieval permission-aware et tests de non-fuite.
Stale evidence
L'IA cite une version obsolète. Réponse : versioning, date, supersession et source canonique.
Automation bias
L'utilisateur accepte la conclusion parce qu'elle est bien formulée. Réponse : confiance explicite, contre-preuve, possibilité de vérifier.
Prompt injection / contenu malveillant
Un document tente de modifier le comportement de l'assistant. Réponse : séparation des instructions système et du contenu documentaire, contrôles et monitoring.
Une matrice simple : automatiser, assister ou réserver à l'humain
| Activité | IA | Humain / autorité |
|---|---|---|
| Résumer un contrat | Assister | Vérifier si matériel |
| Extraire une date | Automatiser + source | Corriger si ambigu |
| Classer des documents | Automatiser sous contrôle | Valider exceptions |
| Identifier un risque potentiel | Assister | Juger matérialité |
| Accorder accès VDR | Non | Owner / système de permission gouverné |
| Certifier Deal-Ready | Non | CCI-Togo |
| Décider d'investir | Non | Acquéreur |
| Soumettre une LOI | Brouillon seulement | Partie habilitée |
Ce qui fera la différence à terme
Le moat ne sera pas « nous avons de l'IA ». Il sera la capacité à relier l'IA à des preuves transactionnelles propres, permissionnées et datées, tout en maintenant la responsabilité humaine. Un assistant brillant sur des données mal gouvernées accélère surtout l'erreur.
Limites
Les standards, modèles et menaces évoluent rapidement. Toute fonctionnalité IA liée à des données sensibles doit être revue à chaque changement significatif de modèle, de fournisseur, d'architecture de retrieval ou de permission.
<!-- ENHANCEMENT_V1 -->
Concevoir un vrai human-in-the-loop
« Validation humaine » ne doit pas signifier qu'un utilisateur clique sur OK après une réponse opaque. Pour les décisions sensibles, le reviewer doit voir : question posée, sources utilisées, passages cités, documents exclus faute de permission, incertitudes, règles déterministes appliquées et action proposée.
Le système doit également savoir ne pas proposer d'action lorsque la preuve est insuffisante.
Anatomie d'une réponse IA acceptable en due diligence
- Réponse courte, ce que les documents autorisés permettent de dire.
- Sources, document, version, page/section.
- Statut, vérifié / management assertion / contradiction / information insuffisante.
- Confiance, exprimée comme qualité de preuve, pas comme certitude psychologique.
- Issue liée, prix, SPA, CP, financement, intégration ou investigation.
- Next question, ce qu'il faut obtenir pour réduire l'incertitude.
Ce qu'il faut tester avant déploiement
- l'IA refuse-t-elle les documents révoqués ?
- une Clean Team empêche-t-elle réellement le retrieval inter-groupes ?
- les citations pointent-elles vers la bonne version ?
- un document malveillant peut-il injecter une instruction dans le modèle ?
- l'utilisateur peut-il distinguer extraction et interprétation ?
- les prompts et outputs sensibles sont-ils journalisés de façon appropriée ?
- le système conserve-t-il une voie non-IA pour les tâches critiques ?
Acheter une solution IA : questions de due diligence fournisseur
Demander architecture de données, isolation tenant, entraînement sur données clients, rétention, localisation, chiffrement, logs, subprocessors, incident response, modèles utilisés, évaluation, mécanismes de deletion, permission propagation, export et réversibilité.
Une démo impressionnante sur un dossier public ne prouve pas la sécurité d'un VDR réel.
L'avantage compétitif n'est pas le modèle
Les mêmes modèles deviennent accessibles à de nombreuses plateformes. Le différentiel durable vient davantage de la qualité des permissions, de la normalisation des preuves, de la taxonomie des issues, de l'historique versionné et de la capacité à relier une réponse aux décisions transactionnelles.
Autrement dit, l'IA devient plus utile lorsque l'architecture de preuve existe avant elle.
Matrice de responsabilité DealPME
| Tâche | IA | Humain autorisé |
|---|---|---|
| OCR / classification | automatiser sous contrôle | surveiller exceptions |
| résumé documentaire | assister | vérifier points matériels |
| comparaison clauses | assister | interpréter / décider |
| accès VDR | jamais décider seule | owner/compliance selon règle |
| certification | jamais | institution nommée |
| offre / LOI | préparer brouillon | parties soumettent/acceptent |
| avis juridique/fiscal/valeur | ne pas émettre | professionnel qualifié |
Cette frontière protège à la fois l'utilisateur et la crédibilité du produit.
<!-- ENHANCEMENT_V2 -->
Gouverner le changement de modèle et de fournisseur
Une réponse acceptable aujourd'hui peut changer après une mise à jour de modèle. Les fonctions IA sensibles doivent donc conserver version du modèle, date, politique de prompt, jeux d'évaluation et critères de release. Un changement fournisseur ou modèle nécessite des tests de permission, citation, hallucination et injection avant remise en production.
Mesurer la qualité au niveau de la tâche
Un taux global de « satisfaction IA » masque les risques. Mesurer séparément extraction, classification, citation correcte, détection de contradiction, refus faute de preuve et respect des permissions. Pour les tâches qui influencent prix, SPA, CP ou financement, privilégier des tests avec réponses attendues et contre-exemples.
Sources
Classées par niveau d'autorité. Les liens ouvrent le site de l'éditeur.
Cette ressource explique ; elle ne constitue ni un conseil juridique, fiscal ou financier, ni une évaluation formelle. Faites valider votre situation par un professionnel.