L'investissement dans les start-ups d'IA en 2026 avance à un rythme qui comprime la due diligence dans des délais pour lesquels les processus de due diligence hérités n'ont jamais été conçus. OpenAI a dépassé 25 milliards de dollars de revenu annuel récurrent (ARR), Anthropic a approché les 19 milliards de dollars, et le marché secondaire pré-introduction en bourse des entreprises d'infrastructure IA a créé une dynamique concurrentielle où les décisions se prennent en semaines plutôt qu'en mois. Le risque : les start-ups d'IA sont couramment valorisées sur la base d'allégations de capacités qui ne résistent pas à une due diligence technique structurée, sur des hypothèses relatives aux données d'entraînement qui pourraient ne pas résister à un contentieux en matière de droit d'auteur, et sur des affirmations de préparation réglementaire qui échouent lorsqu'elles sont réellement mises à l'épreuve face à l'AI Act européen, au Privacy Act australien ou aux obligations sectorielles spécifiques. Cette liste de vérification est conçue pour les VCs, les acquéreurs de private equity, les équipes de développement corporate et les family offices qui investissent dans des start-ups d'IA ou en font l'acquisition actuellement.

1. Allégations de capacités et validation des benchmarks

Les start-ups d'IA citent couramment des performances aux benchmarks, des résultats clients et des allégations de capacités qui justifient une vérification indépendante. Les questions à poser : quels benchmarks ont été utilisés, qui les a exécutés, et par rapport à quelles références de base ? Les benchmarks publics (MMLU, HumanEval, GSM8K, SWE-bench) présentent des problèmes de contamination connus, les modèles peuvent bien performer sur des benchmarks contre lesquels ils ont été entraînés. Les allégations de résultats clients devraient être vérifiables, demandez des références avec des résultats quantitatifs précis et confirmez auprès d'au moins trois clients de référence. Une évaluation indépendante des capacités peut être commandée auprès de tiers (les principaux laboratoires d'évaluation de l'IA comprennent METR, Apollo Research et les AI Safety Institutes aux États-Unis, au Royaume-Uni et en Australie). Pour les capacités d'IA de pointe, le Center for AI Standards and Innovation (CAISI) des États-Unis dispose désormais d'accords d'évaluation préalable au déploiement avec les principaux laboratoires, les start-ups de catégories similaires devraient s'orienter vers une évaluation équivalente par des tiers.

2. Provenance des données d'entraînement et passif éventuel

La provenance des données d'entraînement constitue le passif éventuel le plus important dans l'investissement en start-ups d'IA. Les questions à poser : d'où proviennent les données d'entraînement, quelle était la base juridique de leur utilisation, et quelles indemnisations existent ? Le droit d'auteur américain relatif à l'entraînement de l'IA continue d'évoluer, l'affaire Bartz v Anthropic (district nord de Californie) a jugé mi-2025 que l'entraînement sur des livres légalement acquis constituait un usage transformatif loyal (fair use), tandis que Thomson Reuters v Ross (Delaware) a jugé que l'utilisation du contenu d'un concurrent pour entraîner un outil d'IA concurrent ne relevait pas du fair use. La Cour suprême des États-Unis a refusé le certiorari dans l'affaire Thaler v Perlmutter (2 mars 2026), confirmant que les œuvres purement générées par l'IA ne sont pas protégeables par le droit d'auteur. L'article 53 de l'AI Act européen impose aux fournisseurs de modèles d'IA à usage général (GPAI) de publier un résumé des sources de données d'entraînement. L'Australie a envisagé une exemption de droit d'auteur pour la fouille de textes et de données (TDM) appliquée à l'entraînement de l'IA en 2025-2026 et l'a rejetée en avril 2026, explorant à la place un système de licences payantes. Étapes pratiques de due diligence : demander un inventaire des données d'entraînement, des preuves d'avis juridiques sur les licences ou le fair use, une couverture d'indemnisation, et une quantification de l'exposition selon des scénarios de risque raisonnables en matière de droit d'auteur. Pour une couverture des sources : voir les décisions de l'US Copyright Office sur l'IA et le texte de l'AI Act européen.

3. Exposition en matière de propriété intellectuelle : trois catégories

La propriété intellectuelle des start-ups d'IA se divise en trois volets. Premièrement, la PI des données d'entraînement : ce qui a été utilisé, ce qui a été concédé sous licence, ce qui a été extrait par scraping, quelle indemnisation existe. Deuxièmement, la PI des résultats produits : ce que possèdent les clients de la start-up lorsqu'ils génèrent du contenu à l'aide de la plateforme, et quels droits résiduels la start-up conserve. Troisièmement, la PI que la start-up possède réellement : poids du modèle, jeux de données de fine-tuning, corpus RAG (génération augmentée par récupération), cadres d'évaluation sur mesure, bibliothèques de prompts et outillage propriétaire. Demandez : qu'est-ce qui est brevetable, qu'est-ce qui relève du secret d'affaires, qu'est-ce qui est open source et sous quelles licences, et qu'est-ce qui dépend de modèles ou d'API de tiers susceptibles d'être révoqués. Pour les start-ups bâties sur les API d'OpenAI, d'Anthropic ou de Google, la relation avec le fournisseur sous-jacent constitue elle-même un actif critique, et un point de défaillance unique.

4. Préparation réglementaire par juridiction

L'exposition réglementaire varie fortement selon la juridiction. AI Act européen : si la start-up opère dans l'UE ou si son IA affecte des résidents de l'UE, la classification est déterminante. La plupart des IA B2B relèvent de la catégorie GPAI (modèles à usage général, obligations de l'article 53 à compter du 2 août 2025) ou à haut risque (annexe III retardée au 2 décembre 2027 dans le cadre du Digital Omnibus). États-Unis : une stratégie de préemption fédérale est en cours (décret présidentiel de Trump de décembre 2025, Colorado AI Act effectivement gelé par un contentieux fédéral et par le SB 189), mais l'application par l'EEOC, la FTC, le CFPB, le HHS et la SEC en vertu du droit existant se poursuit. Australie : transparence en matière de prise de décision automatisée (ADM) au titre du Privacy Act à compter du 10 décembre 2026 ; les attentes de surveillance de l'APRA (Australian Prudential Regulation Authority), de l'ASIC (Australian Securities and Investments Commission) et de l'OAIC (Office of the Australian Information Commissioner), à compter d'avril-mai 2026, s'appliquent aux start-ups ayant des clients réglementés. Royaume-Uni : régulation fondée sur des principes, avec des régulateurs sectoriels (FCA (Financial Conduct Authority), ICO) qui donnent activement des orientations. Singapour, l'Inde, le Japon et la Corée du Sud disposent chacun de leurs propres cadres. Le test de due diligence : la start-up peut-elle relier son produit aux obligations applicables dans chaque juridiction significative, et démontrer une posture de conformité ou un plan de remédiation ?

5. Maturité de gouvernance adaptée au stade

Ce qu'il est raisonnable d'attendre varie selon le stade. Les start-ups en amorçage (seed) et en Série A devraient disposer de politiques documentées de traitement des données, de contrôles de sécurité de base (SOC 2 Type I, ou en cours d'obtention), et d'une position clairement énoncée sur les sources de données d'entraînement et l'utilisation des données clients. Les start-ups en Série B devraient disposer d'une politique IA, d'un inventaire des cas d'usage de l'IA, d'une gestion formelle des fournisseurs pour leurs propres dépendances en IA, et de tests de biais pour toute décision conséquente prise par leur IA. Les start-ups en Série C et au-delà devraient progresser vers la certification ISO/IEC 42001 ou la mise en œuvre du NIST AI RMF, avec des évaluations de risques documentées, des procédures de supervision humaine et des plans de réponse aux incidents. Le non-respect d'une gouvernance adaptée au stade n'est pas nécessairement rédhibitoire, il s'agit d'un coût de remédiation et d'un signal du sérieux avec lequel l'équipe fondatrice aborde la dimension opérationnelle de l'IA.

6. Le livrable de la due diligence : une évaluation de la gouvernance, pas seulement des signaux

Le livrable de due diligence le plus utile est une évaluation écrite de la gouvernance, et non un simple résumé sous forme de signaux vert/jaune/rouge. L'évaluation devrait identifier les lacunes importantes, quantifier le coût et le temps nécessaires à leur remédiation, et traduire cela en conditions contractuelles (conditions de clôture, engagements post-clôture, plafonds d'indemnisation, séquestre). C'est ce qui distingue la due diligence IA d'une due diligence technique générique : le livrable est opérationnel, pas seulement descriptif.

Ressources tierces utiles

À lire également sur AIRiskAware

À lire également