Acquéreur industriel ou entreprise de services
Savoir ce qui sera effectivement transféré, ce qui restera chez des tiers et ce qui devra être régularisé.
M&A Tech · Toute la France
Avocat M&A Tech : due diligence juridique des actifs technologiques
Due diligence juridique des logiciels, données, contrats et systèmes d'IA avant une acquisition ou une cession.
Vérifier que les actifs appartiennent à la cible, peuvent être transférés et resteront exploitables après l'opération : ce que l'audit révèle se traduit en prix, en conditions de closing et en garanties.
Acquéreurs · Fonds · Cédants · Conseils corporate
Ce que l'audit fait apparaître
Ce que l'audit peut changer dans l'opération
L'écart entre ce qu'une data room déclare et ce que les pièces établissent constitue l'essentiel du travail : cinq situations fréquentes, et leur effet sur le prix, le calendrier ou les garanties.
1 / 5
Déclaré en data roomLa data room déclare
« Le code de la plateforme est développé en interne. »
Constaté après auditL'audit constate
Deux modules essentiels ont été écrits par un prestataire, sur un contrat sans clause de cession de droits.
Effet possible sur l'opérationEffet sur l'opération
Régularisation recherchée avant le closing ; à défaut, condition suspensive ou garantie spécifique.
Déclaré en data roomLa data room déclare
« Aucune dépendance open source contraignante. »
Constaté après auditL'audit constate
Une bibliothèque sous licence réciproque est intégrée au produit distribué aux clients.
Effet possible sur l'opérationEffet sur l'opération
Remplacement du composant, ou réexamen du mode de distribution et des engagements pris aux clients.
Déclaré en data roomLa data room déclare
« Les données d'usage alimentent le modèle de revenus. »
Constaté après auditL'audit constate
Les conditions de collecte ne mentionnent ni l'entraînement d'un modèle ni la transmission à un tiers.
Effet possible sur l'opérationEffet sur l'opération
Réexamen des finalités et du fondement juridique ; limitation éventuelle du périmètre d'exploitation retenu dans la valorisation.
Déclaré en data roomLa data room déclare
« Les principaux contrats clients sont transférables. »
Constaté après auditL'audit constate
Trois contrats comportent une clause de changement de contrôle ouvrant une faculté de résiliation.
Effet possible sur l'opérationEffet sur l'opération
Accords des clients recherchés avant la réalisation ; à défaut, ajustement de prix ou complément de prix différé.
Déclaré en data roomLa data room déclare
« Le moteur d'IA repose sur un modèle sous licence. »
Constaté après auditL'audit constate
La licence exclut l'usage commercial et l'adaptation du modèle sur les données des clients.
Effet possible sur l'opérationEffet sur l'opération
Négociation d'une licence adaptée ou engagement de migration inscrit au contrat.
Exemple illustratif · société fictive · la gravité dépend de la cible, du prix et de la structure de l'opération.
Interlocuteurs
À qui s’adresse le cabinet
Fonds d'investissement
Isoler ce qui peut affecter la valorisation ou la sortie : code, open source, licences d'IA, données, contrats.
Dirigeant préparant une cession
Traiter les points faibles avant la mise en vente et préparer la partie technologique de la data room.
Cabinet conduisant l'opération
Examiner les actifs technologiques et préparer les stipulations du contrat de cession, dans le format et le calendrier de l'opération.
Définition
Qu'est-ce qu'une due diligence technologique ?
L'examen, avant une acquisition ou une cession, des droits qu'une société détient sur les technologies qui font sa valeur : logiciels, bases de données, contrats informatiques, systèmes d'intelligence artificielle et dispositifs de sécurité. Elle s'inscrit dans l'audit d'acquisition conduit par le conseil corporate.
Audit technique
La solution fonctionne-t-elle et tiendra-t-elle la croissance prévue ?
Effet : plan d'intégration, budget technique après l'acquisition.
Audit juridique
La société détient-elle ce qu'elle exploite, et pourra-t-elle continuer à l'exploiter ?
Effet : prix, conditions suspensives, garanties du contrat de cession, calendrier.
Le cabinet conduit l'audit juridique avec ses experts techniques : les droits sont qualifiés à partir de l'examen réel du code, des données et des systèmes.
Comparaison détaillée des deux examens
| Point d'examen | Audit technique | Audit juridique |
|---|---|---|
| Objet | Architecture, qualité du code, dette technique, capacité à monter en charge. | Titularité des droits, transmissibilité des contrats, licéité des usages. |
| Question posée | La solution fonctionne-t-elle et tiendra-t-elle la croissance prévue ? | La société détient-elle ce qu'elle exploite, et pourra-t-elle continuer à l'exploiter ? |
| Matière examinée | Dépôts de code, infrastructures, journaux, tests, indicateurs de production. | Contrats de prestation et de travail, licences, CGU, registres RGPD, polices d'assurance. |
| Matière produite | Cartographie technique, estimation des coûts de reprise et des délais. | Constats juridiques, clauses du contrat de cession, plan de régularisation. |
| Risque révélé | Coût de reprise, délai de refonte, incidents d'exploitation. | Revendication d'un tiers, perte d'un contrat, restriction dans la réutilisation des données. |
| Effet sur l'opération | Plan d'intégration, budget technique après l'acquisition. | Prix, conditions suspensives, garanties du contrat de cession, calendrier. |
Côté acquéreur, côté cédant, et les trois moments de l'opération
Elle se pratique dans les deux sens. Côté acquéreur, elle documente ce qui est acheté et alimente la négociation. Côté cédant, la vendor due diligence — l'audit conduit par le vendeur avant la mise en vente — permet de régulariser ce qui peut l'être et de présenter un dossier tenable plutôt que de subir les découvertes de l'acquéreur.
Trois moments structurent l'intervention : la lettre d'intention (LOI), document par lequel l'acquéreur formalise son intérêt et les grands paramètres de l'opération ; le contrat de cession (SPA, share purchase agreement), qui porte les garanties ; et le closing, date de réalisation effective du transfert.
Méthode
Auditer, traduire, remédier
Étape 1 ·AuditerQuand : avant la lettre d'intention, puis en data room
Établir ce que la cible détient réellement, sur pièces et en entretiens.
01 Propriété du code
La question n'est pas de savoir qui a écrit le logiciel, mais à qui il appartient. Le code produit par les salariés dans le cadre de leurs fonctions revient en principe à l'employeur, sous conditions ; celui produit par des prestataires, freelances ou agences n'est transféré que si le contrat comporte une cession de droits expresse, portant sur des droits identifiés, pour une durée et un territoire déterminés. Sont examinés les contrats de prestation, les statuts des fondateurs développeurs, les conventions avec les écoles ou stagiaires et les éventuels apports en nature. Une chaîne de titularité incomplète se traite avant le transfert : voir l'audit des contrats et droits sur les logiciels.
02 Composants tiers et open source
Un produit logiciel intègre presque toujours des bibliothèques de tiers. Chacune est soumise à une licence, dont certaines imposent des obligations à celui qui distribue le produit : mise à disposition du code source, maintien des mentions, extension des obligations de réciprocité à tout ou partie du logiciel distribué, selon la licence concernée et les conditions d'intégration du composant. L'examen porte sur l'inventaire des dépendances, le mode de distribution retenu et la compatibilité des licences avec le modèle économique de la cible. Il couvre également les composants sous licence commerciale dont les droits d'usage ne suivent pas nécessairement le changement d'actionnaire. Voir la sécurisation des licences et composants logiciels.
03 Contrats et revenus
Le chiffre d'affaires récurrent n'a de valeur que s'il survit à l'opération. L'examen porte sur les principaux contrats clients et fournisseurs : clauses de changement de contrôle, cessibilité, durée et reconduction, niveaux de service et pénalités, exclusivités, plafonds de responsabilité, clauses de réversibilité et dépendances critiques à un hébergeur ou à un éditeur unique. Les contrats les plus contraignants ne sont pas toujours les plus visibles dans la data room ; leur identification conditionne la rédaction des garanties. Voir contrats informatiques et responsabilité.
04 Données
Les bases de données figurent souvent parmi les actifs les plus valorisés. L'examen porte sur l'origine des données, les finalités déclarées lors de la collecte, les bases légales retenues, l'information des personnes, les durées de conservation, les transferts hors Union européenne et les rôles respectifs de responsable de traitement et de sous-traitant. Il détermine ce que l'acquéreur pourra faire des données après l'opération : poursuivre les traitements existants, accomplir les formalités nécessaires pour de nouveaux usages ou renoncer aux exploitations qui ne disposent pas d'un fondement juridique suffisant. Voir l'audit RGPD des données de la cible.
05 Cybersécurité
Un incident non traité se transmet avec la société. L'examen porte sur les incidents survenus et leur traitement, les notifications effectuées, les engagements pris auprès des clients, la couverture d'assurance et son maintien après le transfert, ainsi que sur les obligations réglementaires applicables à l'activité de la cible et de ses propres clients. Il identifie les écarts susceptibles de fonder une réclamation ultérieure ou d'imposer un investissement rapide après l'opération. Voir l'audit des risques cyber et obligations NIS 2.
06 Systèmes d'intelligence artificielle
Lorsque la valeur repose sur un modèle, trois questions se posent. Sur quoi le modèle a-t-il été entraîné, et dans quelles conditions ces données pouvaient-elles l'être ? Quels sont les droits attachés aux modèles tiers utilisés : usage commercial, adaptation, redistribution, propriété des sorties ? Quelles obligations pèsent sur la société au titre du règlement européen sur l'intelligence artificielle, selon sa qualification et le niveau de risque de ses systèmes ? L'examen établit ce qui est transférable en l'état et ce qui suppose une adaptation. Voir la conformité des systèmes d'intelligence artificielle.
Étape 2 ·TraduireQuand : au moment de fixer le prix, le calendrier et le contrat
Convertir chaque constat en décision : poursuivre, demander une pièce, régulariser, conditionner, garantir ou budgéter.
Poursuivre ou compléter
- Poursuivre l'opération sans modification, le point étant sans effet sur la valeur ou l'exploitation.
- Demander une pièce complémentaire lorsque la data room ne permet pas encore de conclure.
Régulariser avant le closing
- Régulariser avant la réalisation : cession de droits, accord d'un tiers, mise à jour d'une politique ou d'un contrat.
- Ériger la régularisation en condition suspensive, l'opération ne se réalisant qu'une fois le point réglé.
Protéger l'acquéreur dans le contrat de cession
- Rédiger une garantie spécifique, distincte des garanties générales, couvrant précisément le point identifié.
- Prévoir une indemnisation dédiée, plafonnée et limitée dans le temps.
- Retenir une part du prix ou la placer sous séquestre jusqu'à la levée du point.
Traiter après le closing
- Prendre un engagement post-closing : migration, remplacement d'un composant, mise en conformité dans un délai convenu.
- Intégrer le point à l'équation économique de l'opération, en le documentant et en le budgétant.
Étape 3 ·RemédierQuand : avant la signature, puis après le closing
Obtenir les cessions de droits et accords manquants avant la réalisation, puis sécuriser l'intégration une fois l'opération conclue.
- Obtenir les cessions de droits manquantes auprès des prestataires et anciens développeurs.
- Recueillir les accords des clients et fournisseurs visés par une clause de changement de contrôle.
- Remplacer ou isoler les composants dont la licence est incompatible avec la distribution du produit.
- Mettre à jour les mentions d'information, politiques et registres relatifs aux données.
- Régulariser les relations avec les sous-traitants et hébergeurs, y compris hors Union européenne.
- Documenter les incidents de sécurité passés et les mesures prises.
- Constituer la partie technologique de la data room, du côté cédant.
- Exécuter les engagements souscrits au contrat dans les délais convenus.
- Reprendre les contrats transférés et harmoniser les conditions générales du groupe.
- Migrer ou remplacer les composants et modèles dont les droits n'ont pas été obtenus.
- Intégrer les traitements de données dans la gouvernance de l'acquéreur.
- Aligner le niveau de sécurité et les obligations réglementaires sur celles du groupe.
- Reconstituer la chaîne de titularité sur les développements postérieurs à l'opération.
- Suivre les points laissés ouverts jusqu'à l'expiration des garanties.
Avant le closing(7 actions)
- Obtenir les cessions de droits manquantes auprès des prestataires et anciens développeurs.
- Recueillir les accords des clients et fournisseurs visés par une clause de changement de contrôle.
- Remplacer ou isoler les composants dont la licence est incompatible avec la distribution du produit.
- Mettre à jour les mentions d'information, politiques et registres relatifs aux données.
- Régulariser les relations avec les sous-traitants et hébergeurs, y compris hors Union européenne.
- Documenter les incidents de sécurité passés et les mesures prises.
- Constituer la partie technologique de la data room, du côté cédant.
Après le closing(7 actions)
- Exécuter les engagements souscrits au contrat dans les délais convenus.
- Reprendre les contrats transférés et harmoniser les conditions générales du groupe.
- Migrer ou remplacer les composants et modèles dont les droits n'ont pas été obtenus.
- Intégrer les traitements de données dans la gouvernance de l'acquéreur.
- Aligner le niveau de sécurité et les obligations réglementaires sur celles du groupe.
- Reconstituer la chaîne de titularité sur les développements postérieurs à l'opération.
- Suivre les points laissés ouverts jusqu'à l'expiration des garanties.
Une opération en préparation ? Le volet technologique se qualifie dès la lettre d'intention.
Livrables
Ce que vous recevez
Les documents remis dépendent du périmètre et du calendrier de chaque mission.
Rapport de points bloquants
Les constats susceptibles d'arrêter ou de reconfigurer l'opération, présentés en tête de rapport.
Matrice des risques par actif
Code, composants tiers, contrats, données, sécurité et IA, avec le traitement proposé pour chacun.
Liste des pièces manquantes
Les documents à demander à la cible, classés par ordre d'utilité pour la décision.
Projet de conditions suspensives
La rédaction des points dont dépend la réalisation de l'opération.
Garanties technologiques du contrat
Déclarations et garanties propres aux logiciels, données, licences et systèmes d'IA.
Plan de remédiation avant closing
Les actions à conduire, leur ordre, leur responsable et leur délai.
Feuille de route après closing
Les engagements à exécuter et les points à suivre jusqu'à l'expiration des garanties.
Dossier de cession — livrable vendeur
Data room technologique préparée, régularisations conduites en amont et garanties anticipées.
Structures d'opération
Des diligences adaptées à l'actif et à la structure de l'opération
Cessibilité du parc clients, engagements de service, réversibilité, dépendance à l'hébergeur.
Droits sur les jeux d'entraînement, les modèles tiers et les sorties ; qualification au regard du règlement européen sur l'IA.
Même périmètre, calendrier inversé : régulariser d'abord, documenter ensuite, exposer enfin.
Qualification de l'intermédiaire, contenus et vendeurs tiers, flux de paiement, conditions générales.
Séparer ce qui était mutualisé : licences groupe, outils partagés, contrats-cadres, données.
Logiciel, marque, base de données, contrats : chaque actif doit être individuellement cessible.
Le cabinet
Avocats et experts techniques sur chaque opération
Les constats juridiques reposent sur l'examen réel des actifs : logiciels, données, sécurité et systèmes d'IA sont analysés par les avocats et les experts du cabinet, ensemble.
Pour approfondir : données personnelles · contrats informatiques · cybersécurité · systèmes d'IA.
Questions fréquentes
Ce que les acquéreurs et les cédants demandent
Pouvez-vous intervenir aux côtés du cabinet qui conduit l'opération ?
Oui. Le cabinet examine les actifs technologiques, qualifie les incidences juridiques des constats et prépare les clauses ou recommandations correspondantes. Il coordonne son intervention avec le conseil corporate selon le calendrier et le format retenus pour l'opération.
À quel moment faut-il lancer les diligences ?
Au plus tard à l'ouverture de la data room, et utilement avant la lettre d'intention lorsque la valeur repose entièrement sur la technologie. Plus les constats sont établis tôt, plus les options restent ouvertes : régularisation, aménagement contractuel ou ajustement économique.
Combien de temps prennent-elles ?
La durée dépend du périmètre retenu, de la qualité de la data room et de la disponibilité des interlocuteurs de la cible. Le calendrier est arrêté avec le conseil corporate au début de la mission, et une première note de red flags prioritaires peut être remise avant le rapport complet.
Pourrons-nous réutiliser les données de la cible ?
Cela dépend des finalités annoncées lors de la collecte, des bases légales retenues et de l'information délivrée aux personnes. L'audit distingue les usages pouvant se poursuivre en l'état, ceux qui nécessitent une information, un consentement ou un autre fondement approprié, et ceux qui ne pourront pas être poursuivis dans les conditions envisagées.
Que recouvre une vendor due diligence ?
Le même examen, conduit pour le cédant avant la mise en vente. Il permet de régulariser ce qui peut l'être, de préparer la partie technologique de la data room et d'anticiper les garanties qui seront demandées, plutôt que de découvrir les difficultés sous la pression du calendrier.
Comment sont fixés le périmètre et le coût ?
Le périmètre est arrêté après un premier échange sur la cible, les actifs concernés et le stade de l'opération. La mission et son coût sont définis par écrit avant tout démarrage, selon le nombre d'examens retenus et le calendrier ; les extensions éventuelles font l'objet d'un accord distinct.
Prendre contact
Faire qualifier le volet technologique de l'opération
Un premier échange permet d'identifier les actifs concernés, les risques prioritaires, le calendrier de l'opération et le périmètre d'intervention adapté.
18 rue de Tilsitt, 75017 Paris · intervention dans toute la France
01 81 70 62 00 · contact@lazaregue-avocats.fr