Data room M&A et IA : faire la due diligence sans exposer l'opération

Peut-on confier une data room à une IA ?

Techniquement, oui : une IA générative lit des centaines de contrats, repère les clauses de changement de contrôle, reconstitue l'historique du capital et rédige la liste de questions au cédant bien plus vite qu'une équipe de collaborateurs. Ce qui pose problème, ce n'est pas la lecture, c'est l'envoi : déposer la data room telle quelle dans un service en ligne, c'est transmettre à un tiers l'identité de la cible, des parties, des salariés et les termes de l'opération.

La règle pratique : l'IA reçoit une copie où l'on ne reconnaît ni la cible, ni les parties, ni les personnes, et l'original reste chez vous. Pour signaler qu'un contrat de distribution tombe en cas de changement de contrôle, l'IA n'a pas besoin du nom de la cible ; elle a besoin que le même cocontractant porte la même étiquette dans les quarante contrats où il apparaît. D'où un traitement par lot du dossier entier, plutôt que pièce par pièce.

Quelles règles s'appliquent à une data room confiée à l'IA ?

Quatre corps de règles se superposent. Aucun n'interdit l'IA en tant que telle ; tous encadrent ce que vous pouvez lui transmettre.

Pour les avocats et experts-comptables, le secret professionnel s'y ajoute : voir IA générative et secret professionnel.

Que permet l'accord de confidentialité de l'opération ?

Chaque NDA est différente : c'est la vôtre qu'il faut lire, avec les conditions d'utilisation de la data room virtuelle, qui ajoutent souvent leurs propres interdictions (téléchargement, impression, copie). Cinq clauses décident de ce que vous pouvez faire avec une IA.

• La définition des informations confidentielles. Elle couvre souvent les documents eux-mêmes, mais aussi les analyses, notes et synthèses que vous en tirez. Une copie pseudonymisée reste alors une information dérivée, soumise à l'accord.
• Les destinataires autorisés. La plupart des NDA limitent la communication à des « représentants » énumérés : dirigeants, salariés, conseils, financeurs. Si un fournisseur d'IA n'y figure pas, l'envoi des pièces en clair n'est pas couvert.
• La finalité. L'usage est en général limité à l'évaluation de l'opération : un service qui entraînerait ses modèles sur vos contenus en sort. Choisissez une offre qui l'exclut par contrat.
• La restitution et la destruction. En fin de discussions, il faudra souvent tout détruire, y compris les conversations et fichiers conservés chez le fournisseur d'IA.
• Les clauses sur les outils numériques. Si votre NDA vise l'IA ou les services en ligne, elle prime.

En cas de doute, demandez l'accord écrit du cédant ou de la banque conseil en décrivant votre méthode : « seule une copie pseudonymisée sur nos postes, relue, sans aucun nom de société ni de personne, est soumise à un outil d'IA couvert par un contrat de sous-traitance ». C'est plus facile à obtenir qu'une autorisation d'envoyer la data room telle quelle. Pour rédiger vos propres accords avec l'IA : rédiger une NDA avec l'IA à partir de ses précédents.

MAR : quand le projet est-il une information privilégiée ?

Le règlement (UE) n° 596/2014 sur les abus de marché (MAR) s'applique aux instruments financiers admis ou négociés sur un marché réglementé, un système multilatéral de négociation (MTF) ou un système organisé de négociation (OTF) (article 2). Une opération entre deux sociétés non cotées n'y est pas soumise ; mais dès que la cible, l'acquéreur ou le cédant a des titres négociés sur ces marchés, il faut se poser la question.

L'article 7, paragraphe 1, point a, définit l'information privilégiée comme « une information à caractère précis qui n'a pas été rendue publique, qui concerne, directement ou indirectement, un ou plusieurs émetteurs, ou un ou plusieurs instruments financiers, et qui, si elle était rendue publique, serait susceptible d'influencer de façon sensible le cours des instruments financiers concernés ou le cours d'instruments financiers dérivés qui leur sont liés ».

Trois précisions comptent pour une due diligence :

• Un processus en plusieurs étapes. Les étapes intermédiaires d'un processus (négociations, lettre d'intention, accès à la data room) peuvent constituer une information privilégiée si, en elles-mêmes, elles en remplissent les critères (article 7, paragraphes 2 et 3).
• Le critère de l'investisseur raisonnable. Une information est susceptible d'influencer le cours quand « un investisseur raisonnable serait susceptible de l'utiliser » pour fonder sa décision d'investissement (article 7, paragraphe 4).
• La divulgation illicite. Elle se produit quand une personne en possession d'une information privilégiée la divulgue à une autre personne, « sauf lorsque cette divulgation a lieu dans le cadre normal de l'exercice d'un travail, d'une profession ou de fonctions » (article 10). L'article 14 l'interdit.

Les émetteurs tiennent par ailleurs une liste d'initiés, qui inclut les conseillers et les comptables ayant accès à l'information (article 18). Et depuis le 5 juin 2026, le règlement (UE) 2024/2809 (« Listing Act ») dispense l'émetteur de publier les étapes intermédiaires d'un processus, mais lui impose d'en garantir la confidentialité jusqu'à leur publication (article 17, paragraphes 1 et 1 bis, du MAR).

Que faut-il masquer dans une data room ?

Le nom de la cible n'est qu'un des fils qui mènent à l'opération. Ce tableau reprend ce qu'on trouve dans une data room classique, et ce que la détection automatique couvre ou non.

Le risque ne vient pas d'un élément isolé mais de leur combinaison : « fabricant de pièces aéronautiques, 140 salariés, deux usines en Occitanie » peut suffire. Voir le risque de ré-identification et comment le mesurer.

Comment pseudonymiser une data room entière, pas à pas ?

1. Obtenez le feu vert. NDA, conditions de la data room, conformité ou déontologie si un émetteur coté est concerné, politique d'usage de l'IA de votre structure. Notez qui a validé quoi.
2. Exportez la data room en local. Gardez l'arborescence de l'index (1. Corporate, 2. Contrats, 3. Social…). Décompressez les archives : un .zip n'est pas traité, il est exclu et signalé.
3. Préparez vos listes de termes. « Toujours masquer » : marques, produits, noms de domaine, ancien nom de code, noms de sites. « Ne jamais masquer » : autorités et organismes publics cités qui ne révèlent rien. Les listes s'importent en .csv.
4. Traitez le dossier entier d'un bloc. AnonymFiles parcourt le dossier et tous ses sous-dossiers : PDF (scans compris, lus par OCR local), Word, tableurs, présentations, e-mails .eml et .msg avec leurs pièces jointes. Une même société reçoit la même étiquette dans toutes les pièces, sous toutes ses graphies.
5. Donnez des noms de code. Depuis la vue « Personnes du dossier », attribuez un rôle libre à la cible (CIBLE), au cédant (CEDANT), à l'acquéreur (ACQUEREUR) : [ORGANISATION_3] devient [CIBLE_1] dans toutes les pièces. Vous pouvez aussi renommer une étiquette, par exemple [CIBLE_ATLAS]. Un nom qui reprend une information masquée est refusé.
6. Relisez côte à côte. Original et copie, pièce par pièce, avec un indicateur de risque de ré-identification (Faible, Moyen, Élevé). Masquez d'un clic un oubli, un montant, un passage ; tracez une zone sur un logo ou une signature. Rien n'est exporté sans validation.
7. Exportez. L'arborescence est conservée, les fichiers prennent des noms neutres (piece-0001…), un index liste les pièces exportées et exclues, et une consigne pour l'IA (AGENTS.md) explique les étiquettes. Avant publication, chaque fichier est relu à la recherche des valeurs d'origine : une seule retrouvée annule l'export.
8. Confiez la copie à l'IA. Utilisez une offre professionnelle couverte par un contrat de sous-traitance, sans entraînement sur vos données. AnonymFiles n'appelle aucune IA et n'indexe rien : c'est votre outil qui lit la copie.
9. Réinjectez les vrais noms sur le poste. La note de due diligence rédigée avec [CIBLE_1] retrouve ses vrais noms dans l'application, en texte, en Word ou en PDF. La table de correspondance, chiffrée, ne quitte jamais l'ordinateur : voir la table de correspondance.

Quels prompts pour une due diligence sur copie pseudonymisée ?

Quatre réflexes rendent les réponses vérifiables : expliquer les étiquettes, interdire de deviner les identités, exiger la référence de la pièce (piece-0001) et la citation exacte, découper par thème plutôt que tout demander d'un coup.

Inventaire et pièces manquantes

Voici l'export pseudonymisé d'une data room. Les étiquettes entre crochets, comme [CIBLE_1] ou [PERSONNE_4], remplacent des noms réels : garde-les telles quelles et ne cherche pas à deviner qui elles désignent. Dresse un inventaire par thème (corporate, contrats commerciaux, financement, social, immobilier, propriété intellectuelle, litiges, conformité). Pour chaque pièce : référence, type de document, date, parties (étiquettes). Termine par la liste des documents habituellement attendus dans une due diligence et absents ici.

Changement de contrôle et clauses sensibles

Dans tous les contrats de la data room, relève les clauses de changement de contrôle, d'exclusivité, de non-concurrence, d'incessibilité et de résiliation anticipée. Présente un tableau : référence de la pièce, cocontractant (étiquette), clause citée mot pour mot, conséquence si l'actionnariat de [CIBLE_1] change, niveau de risque (faible, moyen, élevé). N'invente aucune clause : si une pièce est illisible ou incomplète, signale-le.

Historique du capital

À partir des statuts, des procès-verbaux d'assemblée et des ordres de mouvement de titres, reconstitue chronologiquement la répartition du capital de [CIBLE_1]. Signale toute incohérence entre les pièces (nombre d'actions, dates, bénéficiaires) avec les références exactes.

Liste de questions au cédant

À partir de tes analyses précédentes, rédige la liste de questions à adresser au cédant, classée par thème et par priorité, en indiquant pour chaque question la pièce qui la motive.

Que faut-il vérifier, avant l'envoi et dans les réponses ?

Avant l'envoi, relisez en priorité :

• les pièces scannées signalées « à lecture incertaine » (page tournée, écriture manuscrite, peu de mots reconnus) ;
• les logos, tampons et signatures, dans les en-têtes comme dans les annexes ;
• les tableurs : onglets et lignes masqués de l'original deviennent visibles dans la copie, relisez-les aussi ;
• les marques, noms de produits et noms de sites qui ne sont pas des noms de société ;
• les combinaisons de chiffres, de lieux et de dates relevées par l'indicateur de risque.

Dans les réponses, vérifiez chaque citation dans la pièce indiquée, chaque montant et chaque date. Demandez combien de pièces l'IA a réellement lues : une data room dépasse souvent ce qu'un outil traite en une conversation, et une IA qui n'a pas vu un contrat ne le dit pas toujours.

Quelles sont les limites de la méthode ?

• Pseudonymiser n'est pas anonymiser. La copie reste rattachable aux personnes grâce à la table de correspondance : au sens du RGPD, ce sont toujours des données personnelles (considérant 26). Voir la différence entre anonymisation et pseudonymisation.
• Ni la détection ni les montants ne sont automatiques à 100 %. La relecture reste obligatoire, et les montants, non détectés, sont à arbitrer pièce par pièce.
• Les formats ont des limites. Archives exclues, 50 Mo par pièce (10 Mo pour les tableurs et le texte), 2 000 pages par PDF dont 500 lues par OCR, OCR en français et en anglais. Les images des documents Word et les graphiques des tableurs ne sont pas copiés : un organigramme dessiné en image disparaît de la copie.
• Le droit ne change pas. Une copie pseudonymisée n'autorise pas à contourner la NDA, ni à sortir l'information privilégiée de son cadre.

Pour les données de connaissance client qui accompagnent souvent une acquisition, voir aussi analyser des dossiers KYC et LCB-FT avec l'IA. Pour choisir l'offre d'IA : Claude, ChatGPT, Mistral ou Copilot pour un dossier client.