Cible d'un fonds de VC : le passif RGPD, cybersécurité et IA qu'un investisseur doit faire vérifier - au term sheet, entre deux tours et avant l'exit

Cible d'un fonds de VC : le passif RGPD, cybersécurité et IA qu'un investisseur doit faire vérifier — au term sheet, entre deux tours et avant l'exit

Un fonds qui entre au capital d'une start-up SaaS, d'une marketplace, d'une fintech ou d'une deep tech ne finance ni des murs ni des brevets : il finance une base clients, un modèle, un jeu de données, une capacité à traiter de l'information à grande échelle. Ces actifs peuvent ne pas exister juridiquement. Voici ce qu'un fonds fait vérifier avant le term sheet, ce qu'il exige entre deux tours, et ce qu'il prépare avant l'exit.

L'essentiel. Le passif lié aux données personnelles, à la sécurité et à l'intelligence artificielle d'une cible de capital-risque a trois propriétés qu'aucun autre poste de due diligence ne présente. Il peut atteindre l'actif même qui justifie la valorisation : la Cour de cassation a jugé qu'un fichier clients constitué en violation de la loi Informatique et Libertés était « hors du commerce » et a annulé sa vente pour objet illicite (Cass. com., 25 juin 2013, n° 12-17.037). Le raisonnement vaut aujourd'hui pour une base de prospects sans base légale comme pour des données d'entraînement collectées sans titre. Il comporte une qualification que les fondateurs n'ont généralement pas faite : le règlement (UE) 2024/1689 sur l'IA — l'AI Act — impose de déterminer, système par système, si l'on est fournisseur ou déployeur, si le système est à haut risque et s'il relève des obligations de transparence de l'article 50, applicables depuis le 2 août 2026. L'acquéreur hérite de la qualification non faite. Il change d'échelle à la sortie : le plafond d'amende RGPD se calcule sur le chiffre d'affaires de l'« entreprise » au sens du droit de la concurrence, c'est-à-dire du groupe qui absorbe la participation (art. 83 et considérant 150 du RGPD ; CJUE, 13 février 2025, ILVA, C-383/23). C'est dans la due diligence de l'acquéreur que ressort ce qui n'a pas été traité pendant la détention. Le fonds n'est pas le garant de la conformité de ses participations ; il en est le premier créancier à l'exit.

Sommaire. 1. Un passif à trois propriétés — 2. Les cinq angles morts d'une data room de start-up — 3. Dix questions à faire vérifier avant le term sheet — 4. Quatre chantiers à exiger entre deux tours — 5. Préparer la due diligence de l'acquéreur — 6. Le rôle du fonds — FAQ — Textes de référence.

1. Un passif à trois propriétés

1.1. L'actif peut ne pas exister juridiquement

La valeur d'une start-up de la donnée repose sur des actifs incorporels dont le titre n'est pas toujours établi. Par un arrêt publié au bulletin du 25 juin 2013 (n° 12-17.037), la chambre commerciale de la Cour de cassation a annulé la vente d'un fichier de 6 000 clients qui n'avait pas fait l'objet de la déclaration préalable alors exigée par l'article 22 de la loi du 6 janvier 1978, au motif qu'un tel fichier, « n'étant pas dans le commerce », ne pouvait faire l'objet d'un contrat (art. 1128 ancien du code civil, aujourd'hui art. 1162). La déclaration préalable a disparu avec le RGPD. La logique de l'arrêt demeure. Elle s'applique avec plus de force encore à une base constituée en violation des conditions de licéité de l'article 6 du RGPD ou de l'article L. 34-5 du code des postes et des communications électroniques. Depuis le 11 août 2026, elle vaut aussi pour la prospection téléphonique des consommateurs, désormais soumise à consentement préalable (art. L. 223-1 du code de la consommation, issu de la loi n° 2025-594 du 30 juin 2025). Un fonds qui valorise une base clients valorise, en réalité, la documentation de sa licéité.

Le raisonnement vaut avec une acuité particulière pour les données d'entraînement d'un modèle. Un jeu de données collecté sur le web sans base légale pose une question de titre sur le modèle lui-même. Il en va de même d'un jeu constitué à partir de contenus protégés hors de l'exception de fouille de textes et de données (art. L. 122-5-3 du code de la propriété intellectuelle), ou réutilisant les données de clients pilotes sans que le contrat le permette. Un acquéreur qui achète un modèle achète le droit de continuer à l'exploiter et à le réentraîner. Son conseil demandera la preuve de ce droit. À défaut, l'actif central de la valorisation est exposé à une injonction, à une contestation par un titulaire de droits, et à une décote.

1.2. La qualification IA n'a pas été faite, et l'acquéreur en hérite

Le règlement (UE) 2024/1689, l'AI Act, ne crée pas une obligation générale de conformité. Il crée des obligations qui dépendent d'une qualification. Fournisseur ou déployeur (art. 3). Système à haut risque, parce qu'il est un composant de sécurité d'un produit soumis à une législation d'harmonisation (annexe I), ou parce qu'il relève d'un cas d'usage listé — recrutement, crédit, assurance vie et santé, éducation, infrastructures critiques, biométrie (annexe III). Système soumis aux obligations de transparence de l'article 50 — interaction directe avec des personnes, génération de contenus —, applicables depuis le 2 août 2026. Modèle d'IA à usage général, soumis au chapitre V depuis le 2 août 2025.

Le règlement (UE) 2026/1744, dit « Omnibus IA », publié au Journal officiel du 24 juillet 2026, a reporté les obligations relatives aux systèmes à haut risque : au 2 décembre 2027 pour l'annexe III, au 2 août 2028 pour l'annexe I. Il n'a rien changé aux critères de qualification.

Deux points que les fondateurs ignorent presque toujours. D'abord, la qualification se fait par système et par fonction. Le fournisseur d'un système de l'annexe III qui estime échapper au haut risque doit documenter cette analyse avant la mise sur le marché et l'enregistrer (art. 6, § 3 et 4). L'exemption est fermée dès que le système profile des personnes. Ensuite, l'article 25 organise une requalification : celui qui appose sa marque sur un système à haut risque, lui apporte une modification substantielle ou modifie la destination d'un système de sorte qu'il devienne à haut risque en devient le fournisseur, avec toutes les obligations de l'article 16. Ce mécanisme ne joue que pour les systèmes à haut risque. Mais il vise directement l'industriel qui, à l'exit, intégrera le produit de la start-up à sa gamme — et qui le sait.

1.3. Le passif change d'échelle à l'exit

Le RGPD sanctionne les manquements les plus graves d'une amende pouvant atteindre 20 millions d'euros ou 4 % du chiffre d'affaires annuel mondial de l'« entreprise », le montant le plus élevé étant retenu (art. 83, § 5). Le considérant 150 renvoie à la notion d'entreprise des articles 101 et 102 du TFUE : l'unité économique, quelle que soit sa structure juridique. La Cour de justice l'a confirmé dans l'arrêt Deutsche Wohnen du 5 décembre 2023 (C-807/21) puis, explicitement, dans l'arrêt ILVA du 13 février 2025 (C-383/23) : le plafond applicable à une filiale se calcule sur le chiffre d'affaires du groupe auquel elle appartient.

Concrètement : une start-up à 5 millions d'euros de revenus est exposée, tant qu'elle est indépendante, à un plafond théorique de 20 millions. Cédée à un industriel à 2 milliards, ce plafond devient 80 millions pour les traitements qui se poursuivent après le closing. Pour des faits entièrement clos avant l'acquisition, la question de l'assiette n'est tranchée par aucune décision publiée à ma connaissance. Pour les traitements qui continuent — c'est-à-dire l'essentiel dans une société en exploitation —, le raisonnement s'applique. Quant au fonds lui-même, la question de savoir s'il forme une unité économique avec ses participations dépend du contrôle exercé et n'est pas tranchée pour les structures de capital-risque, où il est le plus souvent minoritaire. Celle de l'acquéreur stratégique, elle, ne se pose pas.

Ce n'est pas un scénario théorique. Marriott a été sanctionné de 18,4 millions de livres par l'autorité britannique le 30 octobre 2020 pour une compromission du système de réservation de Starwood, acquise en 2016, antérieure à l'acquisition et découverte deux ans après — avec ce rappel que l'obligation de l'acquéreur de vérifier les traitements qu'il reprend « n'est pas limitée dans le temps » (penalty notice). Un fonds qui prépare l'exit prépare cette due diligence-là.

2. Les cinq angles morts d'une data room de start-up

2.1. La procédure de la CNIL, ou l'incident non déclaré

La CNIL contrôle sur place, sur pièces, en ligne et sur convocation (art. 19 de la loi Informatique et Libertés). Son président adresse des mises en demeure (art. 20, II) qui ne sont publiées que sur décision expresse ; sa formation restreinte sanctionne, de plus en plus souvent en procédure simplifiée (art. 22-1). Ces actes sont connus du délégué à la protection des données ou du directeur technique — pas nécessairement du fondateur qui remplit le questionnaire. S'y ajoute l'incident géré « en interne » : une violation de données non notifiée à la CNIL sous 72 heures (art. 33) et non portée à la connaissance des personnes en cas de risque élevé (art. 34) est un passif latent, qui ressort systématiquement à la levée suivante ou à la sortie. Le niveau d'exigence est connu : le 8 janvier 2026, la CNIL a sanctionné deux opérateurs d'un même groupe de 27 et 15 millions d'euros (délibérations SAN-2026-001 et SAN-2026-002) après une violation touchant 24 millions de contrats — authentification insuffisante, détection des anomalies défaillante, information des personnes incomplète, conservation excessive.

2.2. La base clients ou les données d'entraînement sans titre

C'est l'angle mort le plus destructeur de valeur. Fichier de prospects acheté sans traçabilité des consentements, base enrichie par collecte sur des sites tiers, données de clients inactifs conservées depuis dix ans, prospection B2C par e-mail ou SMS sans opt-in, cookies déposés avant consentement sur une plateforme dont le modèle est publicitaire, jeu d'entraînement « public » dont personne n'a lu la licence : dans chacun de ces cas, l'actif sur lequel repose la thèse d'investissement est exposé. Les sanctions de 2025 donnent l'échelle — 325 millions d'euros le 1er septembre 2025 contre un acteur des services en ligne pour manquements aux règles sur les cookies et la prospection, 900 000 euros le 15 mai 2025 contre une société de marketing pour défaut de consentement à la prospection électronique. Pour un fonds, le sujet n'est pas d'abord la sanction : c'est la valeur d'une base qu'il faudra reconstituer, le taux d'attrition d'une campagne de reconsentement que le business plan n'a pas intégré, ou le modèle qu'il faudra réentraîner.

2.3. Les transferts hors Union européenne et les sous-traitants sans contrat

La pile logicielle et les API de modèles sont américaines. Le Data Privacy Framework, adopté par la décision d'adéquation de la Commission du 10 juillet 2023, a été validé par le Tribunal de l'Union le 3 septembre 2025 (Latombe c/ Commission, T-553/23). Un pourvoi est pendant devant la Cour de justice. Les clauses contractuelles types de la décision d'exécution (UE) 2021/914 ne valent que complétées d'une analyse d'impact du transfert, que la plupart des start-up n'ont jamais réalisée. Et les conditions d'utilisation des API de modèles — en particulier la réutilisation par le fournisseur des données envoyées — n'ont généralement pas été lues.

Chaque sous-traitant doit par ailleurs être lié par un contrat contenant les clauses de l'article 28 du RGPD, et les sous-traitants ultérieurs doivent être autorisés (art. 28, § 2 et 4). Une start-up qui vend à des grands comptes européens en promettant un traitement souverain doit pouvoir le démontrer. Une promesse de souveraineté qui ne résiste pas à la lecture de la liste des sous-traitants est un risque commercial avant d'être un risque réglementaire.

2.4. La sécurité d'une équipe sans RSSI

Une start-up n'a pas de responsable de la sécurité. Elle a des secrets dans le code, des clés d'API partagées, un accès administrateur commun à l'infrastructure cloud, pas d'authentification multifacteur sur les outils critiques, des sauvegardes jamais testées et pas de journalisation — ce qui rend une violation indétectable, et n'est pas une bonne nouvelle. Ce n'est pas un jugement, c'est un état de fait que le RGPD sanctionne (art. 32) et que la CNIL poursuit : le 22 décembre 2025, une société de conseil en systèmes informatiques a été sanctionnée de 1,7 million d'euros pour défaut de sécurité. Pour une deep tech, le second risque vaut davantage que le premier : la perte du secret des affaires — le modèle, les poids, le code. Un test d'intrusion annuel, une gestion des secrets, une police cyber et une procédure de notification sont les quatre lignes qu'un fonds peut exiger dès le seed. Lorsque la cible est elle-même une entité régulée — établissement de paiement, entreprise d'assurance —, le règlement (UE) 2022/2554 (DORA), applicable depuis le 17 janvier 2025, en fait une obligation réglementaire ; lorsqu'elle vend à des entités régulées, ce sont ses clients qui lui imposeront les clauses de l'article 30 de ce règlement, et les opérateurs relevant de la directive (UE) 2022/2555 (NIS2) lui imposeront leurs exigences de chaîne d'approvisionnement.

2.5. La qualification IA non faite

Un fondateur qui affirme « faire de l'IA » sans avoir qualifié ses systèmes livre à l'investisseur, puis à l'acquéreur, un chantier entier. Pour la plupart des start-up, la qualification se documente en quelques pages — et ces pages, dans une data room, valent un tour de questions en moins. Pour celles dont le produit relève du haut risque — un outil de tri de candidatures, un scoring de crédit, un composant intégré à une machine ou à un dispositif médical —, la documentation technique, la gouvernance des données (art. 10), la supervision humaine (art. 14) et le système de gestion de la qualité (art. 17) sont des chantiers de plusieurs mois qu'il vaut mieux commencer en série A qu'en série C. Pour toutes celles qui exposent un agent conversationnel ou génèrent des contenus, les obligations de l'article 50 s'appliquent depuis le 2 août 2026, avec un seul délai — au 2 décembre 2026 — pour le marquage des contenus des systèmes déjà sur le marché. Et pour celles qui construisent sur l'API d'un grand modèle, une précision qui évite un contresens fréquent : elles sont fournisseurs du système qu'elles construisent, et l'article 50, § 1, leur incombe — il ne se transfère pas au fournisseur du modèle. C'est, avec la politique de confidentialité, le seul point de conformité qu'un investisseur peut vérifier lui-même en ouvrant le produit ; un assistant qui ne dit pas qu'il est une IA est le signal le plus rapide d'une qualification jamais faite.

3. Dix questions à faire vérifier avant le term sheet

Un fonds de capital-risque n'a ni le temps ni l'intérêt d'une due diligence de dix jours. Ce qu'il peut faire, c'est poser dix questions dont les réponses tiennent en une data room légère, et faire lire ces réponses par quelqu'un dont c'est le métier. Règle simple : plus de trois réponses « non », « on ne sait pas » ou « c'est chez le prestataire », et le sujet entre dans les conditions du tour.

1. La société a-t-elle reçu un courrier de la CNIL, d'une autre autorité ou d'un titulaire de droits depuis cinq ans, et y a-t-il eu un incident de sécurité ? Document attendu : tout courrier, journal des violations (art. 33, § 5). Signal d'alerte : « aucun », sans recherche ; journal inexistant.
2. Le registre des traitements (art. 30) existe-t-il, a-t-il moins d'un an, chaque traitement a-t-il une base légale identifiée, et l'information des personnes (art. 12 à 14) est-elle à jour ? Document attendu : registre daté, politique de confidentialité et mentions à la collecte. Signal d'alerte : registre absent ou daté de la création de la société ; politique de confidentialité qui ne mentionne ni l'IA ni les sous-traitants actuels.
3. D'où viennent la base clients et prospects et, le cas échéant, les données d'entraînement, et qu'est-ce qui autorise à les utiliser ? Document attendu : mentions d'information, preuves de consentement, contrats d'achat de fichiers, inventaire des jeux de données avec licences. Signal d'alerte : « on a toujours eu ce fichier », « des données publiques ».
4. Quels transferts hors Union européenne, par quel mécanisme, et quelles API de modèles sous quelles conditions ? Document attendu : clauses types, analyses de transfert, certifications DPF, conditions d'utilisation des API. Signal d'alerte : « on est chez un hébergeur en Irlande » comme seule réponse.
5. Quels sous-traitants, et quels contrats les encadrent ? Document attendu : liste et contrats art. 28. Signal d'alerte : liste inexistante ; conditions générales d'éditeur sans clause de sous-traitance.
6. Un délégué à la protection des données a-t-il été désigné lorsque c'est obligatoire (art. 37), et qui porte réellement le sujet ? Document attendu : désignation, organisation. Signal d'alerte : personne, ou le directeur technique « en plus ».
7. Qui a accès à l'infrastructure, aux poids du modèle et au code, et comment ? Dernier test d'intrusion, et suivi ? Document attendu : politique d'accès, authentification multifacteur, gestion des secrets, rapport de test et plan de remédiation. Signal d'alerte : un compte administrateur partagé ; jamais de test.
8. Les systèmes d'IA ont-ils été qualifiés au regard du règlement IA ? Document attendu : inventaire des systèmes, note de qualification (rôle, haut risque ou non, article 50, modèle à usage général ou non). Signal d'alerte : la question surprend.
9. La société est-elle une entité régulée relevant de DORA, ou une entité essentielle ou importante au sens de NIS2, et ses contrats avec des clients régulés contiennent-ils déjà les clauses qu'ils imposent ? Document attendu : analyse de champ, contrats signés avec les premiers grands comptes. Signal d'alerte : contrats pilotes muets.
10. Des analyses d'impact (art. 35) ont-elles été réalisées pour les traitements à risque, et existe-t-il une police cyber ? Document attendu : analyses d'impact, police et exclusions. Signal d'alerte : aucune analyse dans une activité RH, santé, marketing ou de scoring ; pas de police.

Ce contrôle prend deux à trois jours. Il ne bloque pas un tour ; il alimente trois choses : les déclarations et garanties du pacte sur les données et l'IA, les conditions ou engagements post-closing, et la liste de ce que la participation devra pouvoir montrer au tour suivant.

4. Quatre chantiers à exiger entre deux tours

Le rôle d'un fonds n'est pas de rendre ses participations conformes. C'est de s'assurer que chacune arrive au tour suivant, ou à l'exit, avec une data room qui ne suscite pas de question sur ce sujet. Quatre chantiers standardisés y suffisent pour la plupart des start-up, et le fonds dispose d'un levier réel pour les obtenir : les conditionner au tour suivant.

Le registre, la base légale, l'information et la gouvernance. Remise à plat du registre, base légale documentée pour chaque traitement, et pour la base clients et prospects : vérification de la licéité de la collecte, documentation de l'intérêt légitime lorsqu'il est invoqué, campagne de reconsentement ou purge des données sans titre. Pour une start-up IA, le même travail sur les jeux d'entraînement — origine, licence ou base légale, restrictions d'usage —, consigné dans un dossier « titre sur les données » qui se construit une fois et se met à jour à chaque nouveau jeu. C'est le chantier qui conditionne la cessibilité de l'actif. Il a deux faces visibles de l'extérieur, que l'on néglige parce qu'elles paraissent formelles. L'information des personnes d'abord (art. 12 à 14 du RGPD) : politique de confidentialité à jour, mentions à la collecte, bandeau cookies conforme — c'est ce qu'un due diligencer, un client grand compte ou la CNIL regardent en premier, et l'essentiel des sanctions de 2025 porte sur ce terrain. La gouvernance ensuite : un délégué à la protection des données désigné lorsque la désignation est obligatoire — ce qui est le cas de la plupart des marketplaces, SaaS B2C, adtech et healthtech, au titre du suivi régulier et systématique à grande échelle (art. 37, § 1, b) —, et à défaut un référent nommé. Sans propriétaire, aucun des quatre chantiers ne tient jusqu'au tour suivant.

La note de qualification IA, et sa mise en œuvre. Deux à cinq pages par système qui disent ce qu'il est au regard de l'AI Act, ce que la société doit faire et quand, et ce qui change si un acquéreur l'intègre à sa gamme (art. 25). Pour un système à haut risque, l'engagement de la documentation technique et du système de gestion des risques. Mais la note ne suffit pas : les obligations qu'elle identifie comme applicables aujourd'hui doivent être en place, et la première est la transparence de l'article 50 — mention que l'utilisateur interagit avec une IA, marquage des contenus générés —, en vigueur depuis le 2 août 2026 et vérifiable depuis l'extérieur en ouvrant le produit. C'est le document, et la preuve, que tout investisseur de série B demandera à partir de maintenant.

Le socle de sécurité. Gestion des secrets, authentification multifacteur, séparation des accès, sauvegardes testées, journalisation, test d'intrusion annuel, police cyber, procédure de notification remontant au fonds sous 24 heures. Ce n'est pas un projet, c'est une liste, et elle tient sur une page. Lorsque la cible relève de DORA ou de NIS2, cette liste devient une obligation réglementaire avec ses exigences de gouvernance.

Les clauses. Contrats de sous-traitance conformes à l'article 28 avec l'ensemble des prestataires, clauses contractuelles types et analyses de transfert pour les flux hors Union, clause de réutilisation des données dans les contrats clients, et les clauses que les clients régulés — banques, assureurs, opérateurs d'infrastructures — exigeront de toute façon. Ce chantier paraît formel ; c'est celui que l'acquéreur vérifie en premier, parce qu'il conditionne la régularité de toute l'architecture.

En résumé, ce que la participation doit pouvoir montrer au tour suivant :

1. Registre, base légale, information et gouvernance — registre à jour, base légale de la base clients, dossier « titre sur les données » pour les jeux d'entraînement, information des personnes conforme, DPO désigné lorsque c'est obligatoire.
2. Note de qualification IA et mise en œuvre — un document par système : rôle, haut risque ou non, ce qui change à l'intégration ; et la preuve que l'article 50 est appliqué.
3. Socle de sécurité — une page : accès, secrets, sauvegardes, journalisation, test d'intrusion, police cyber, notification.
4. Clauses — contrats art. 28, clauses types et analyses de transfert, clause de réutilisation des données, clauses exigées par les clients régulés.

Un fonds qui tient ces quatre chantiers à jour sur son portefeuille dispose, au passage, d'une réponse documentée aux questionnaires de ses propres investisseurs sur la gouvernance des risques numériques et de l'IA — qui ne sont plus une rubrique de rapport ESG mais une condition de souscription pour un nombre croissant d'institutionnels.

5. Préparer la due diligence de l'acquéreur

Un fonds achète pour revendre. L'acquéreur — un industriel, un éditeur, un groupe — fera une due diligence RGPD, cyber et IA complète, avec un spécialiste, et la lira à l'aune de sa propre assiette d'amende et de sa propre qualification au regard du règlement IA. Ce qu'il cherchera : le titre sur la base clients et les données d'entraînement, la qualification des systèmes, les incidents passés, les transferts, les contrats de sous-traitance, et la capacité à continuer d'exploiter et de réentraîner le modèle après l'intégration. Ce qu'il fera de ce qu'il trouve : des déclarations spécifiques, une garantie dédiée hors plafond et hors franchise de la garantie de passif générale, un séquestre calibré sur le coût de remédiation, une condition suspensive, ou une décote. Les assureurs de garantie de passif excluent presque systématiquement les risques data et cyber connus ou non audités : une due diligence documentée est la condition de la couverture.

L'instrument du cédant est la vendor due diligence RGPD, cyber et IA, conduite quatre à six semaines avant la mise en marché : elle sépare ce qui se corrige — contrats manquants, registre, purge — de ce qui se déclare — un incident passé, une procédure —, parce qu'un acquéreur qui découvre seul ce que le vendeur savait perd confiance dans l'ensemble de la data room, tandis qu'un acquéreur à qui l'on présente le sujet avec son plan de remédiation négocie une garantie, pas une décote. Tout ce que le fonds a fait faire entre deux tours retire un argument au conseil d'en face ; la vendor due diligence retire le reste.

6. Le rôle du fonds

Le fonds n'est pas le garant de la conformité de ses participations. Les obligations du RGPD et de l'AI Act pèsent sur la société, responsable de traitement et opérateur, non sur son actionnaire minoritaire. Mais il en est le premier créancier économique à la sortie, parce que tout passif non traité se déduit du prix qu'il retirera de l'exit. Cette asymétrie commande une discipline en trois temps : faire vérifier à l'entrée, exiger entre les tours, préparer avant la sortie. Et un verbe pour chaque acteur : le fonds exige et fait vérifier ; la start-up documente et démontre.

Ce n'est pas un rôle de contrôleur. C'est un rôle d'actionnaire qui sait ce que vaut l'actif qu'il a financé, et qui veut qu'il soit cessible le jour où il en sortira.

FAQ — Passif RGPD, cyber et IA d'une cible de capital-risque

Un fonds de VC est-il responsable des manquements RGPD de ses participations ?

Les obligations du RGPD pèsent sur la société en tant que responsable de traitement, non sur son actionnaire. La question de savoir si un fonds et ses participations forment une « entreprise » au sens de l'article 83 dépend du contrôle exercé et n'est pas tranchée pour les structures de capital-risque, où le fonds est le plus souvent minoritaire. Ce qui est certain, c'est que l'acquéreur stratégique de l'exit verra son propre plafond s'appliquer aux traitements qui se poursuivent, et qu'il en tiendra compte dans le prix.

Une base clients constituée sans base légale peut-elle être cédée ?

Sa cession est juridiquement fragile. La Cour de cassation a jugé qu'un fichier constitué en violation de la loi Informatique et Libertés était hors du commerce et a annulé sa vente pour objet illicite (Cass. com., 25 juin 2013, n° 12-17.037). Le raisonnement reste transposable à une base constituée en violation du RGPD ou des règles de prospection : l'actif est exposé à une injonction et à une sanction, et l'acquéreur le traitera comme un actif à reconstituer.

Pourquoi le passif RGPD change-t-il d'échelle à l'exit ?

Parce que le plafond d'amende de l'article 83 se calcule sur le chiffre d'affaires de l'« entreprise » au sens des articles 101 et 102 du TFUE, c'est-à-dire du groupe qui absorbe la cible (CJUE, 5 décembre 2023, Deutsche Wohnen, C-807/21 ; CJUE, 13 février 2025, ILVA, C-383/23). Le raisonnement vaut avec certitude pour les traitements qui se poursuivent après le closing.

Le règlement IA s'applique-t-il à une start-up qui n'a pas qualifié ses systèmes ?

Oui. L'absence de qualification n'exonère de rien : le fournisseur ou le déployeur d'un système soumis à l'article 50 y est tenu depuis le 2 août 2026, le fournisseur d'un modèle à usage général depuis le 2 août 2025, et les obligations relatives aux systèmes à haut risque s'appliqueront au 2 décembre 2027 (annexe III) et au 2 août 2028 (annexe I) après le règlement Omnibus (UE) 2026/1744. L'acquéreur hérite de la qualification non faite.

Qu'est-ce qu'une vendor due diligence RGPD, cyber et IA ?

Un audit commandé par le cédant, quatre à six semaines avant la mise en marché, qui présente à l'acquéreur un état documenté de la conformité de la cible sur ces trois volets. Elle permet de corriger ce qui se corrige, de déclarer proprement ce qui ne se corrige pas, et de calibrer la garantie de passif sur des risques identifiés et chiffrés plutôt que de subir une garantie large et une décote.

Que peut demander un fonds à ses participations sans les ralentir ?

Quatre chantiers : un registre à jour avec la base légale de la base clients, le titre sur les données d'entraînement, une information des personnes conforme et un DPO désigné lorsque c'est obligatoire ; une note de qualification IA par système, avec la transparence de l'article 50 effectivement en place ; une page de socle de sécurité ; et des contrats de sous-traitance et de transfert conformes. Le reste attend le tour suivant.