1. Introduzione
L’accelerazione nello sviluppo e nella diffusione dei sistemi di intelligenza artificiale sul mercato ha avuto un forte impatto sul versante delle operazioni societarie concernenti società target che sfruttano IA nel loro business; evenienza, questa, sempre più comune.
Acquirenti, investitori e legali si trovano oggi a dover affrontare un insieme di questioni nuove, che investono simultaneamente profili tecnici, regolatori e contrattuali.
La tradizionale due diligence – con ciò intendendosi il processo di raccolta e analisi delle informazioni finalizzato alla valutazione dei rischi e delle opportunità di un’operazione – viene a confrontarsi con asset che rendono inadeguati gli schemi di indagine consolidati.
2. I limiti degli schemi tradizionali di indagine
La prassi tradizionale della due diligence nelle operazioni di M&A si articola attorno a nuclei tematici consolidati: verifica della struttura societaria, analisi del patrimonio materiale e immateriale della società target, esame dei contratti rilevanti, accertamento delle controversie pendenti, verifica della conformità normativa e della stabilità tecnologica.
Il primo elemento di novità riguarda la natura stessa dell’asset oggetto di verifica: un sistema IA non è ascrivibile ad un titolo unico, come il brevetto o il marchio, ma è piuttosto un prodotto complesso che combina architetture algoritmiche, insiemi di dati di addestramento, scelte di ottimizzazione e configurazioni infrastrutturali.
Il secondo elemento di discontinuità attiene alla volatilità regolamentare: a differenza di settori in cui il quadro normativo è sedimentato, il settore dell'IA è caratterizzato da una produzione normativa intensa e in rapida evoluzione, sia a livello europeo sia a livello nazionale.
Il terzo elemento, strettamente connesso ai precedenti, è la difficoltà di stimare le passività future derivanti da sistemi che possono agire in modo autonomo, producendo danni difficilmente attribuibili e ancora più difficilmente quantificabili ex ante. L’allocazione del rischio da sistemi di IA rappresenta pertanto una delle sfide più significative presentate dalle operazioni straordinarie nell’attuale fase di sviluppo tecnologico.
3. Il quadro regolatorio: AI Act e Legge n. 132/2025
Il Regolamento (UE) 2024/1689 costituisce il riferimento normativo centrale per qualsiasi due diligence condotta nell’ambito di operazioni che coinvolgono sistemi di IA nel mercato europeo, cui si affianca, sul piano interno, la Legge 23 settembre 2025, n. 132, primo quadro normativo organico italiano in materia di intelligenza artificiale, in vigore dal 10 ottobre 2025.
I sistemi di intelligenza artificiale, classificati dal Regolamento sulla base del livello di rischio che essi comportano, sono soggetti a diverse tipologie di obblighi, la cui stringenza è direttamente proporzionale al livello di rischio posto, e il cui mancato rispetto espone il soggetto responsabile a sanzioni che possono raggiungere, nei casi più gravi, i 35 milioni di euro o il 7% del fatturato mondiale annuo.
L’identificazione della categoria di appartenenza dei modelli impiegati dalla società target, così come il ruolo della stessa (provider, deployer, etc.) è pertanto un passaggio obbligato della due diligence, così come lo è la valutazione della compliance normativa: occorre investigare quali siano le misure adottate per assicurare la compliance dei sistemi IA, se sia stata commissionata una valutazione a consulenti esterni, se vi sia in azienda un responsabile IA, se sia stata adottata una policy IA.
Particolare attenzione merita, inoltre, il rischio di riqualificazione del ruolo: ai sensi dell’art. 25 del Regolamento, il soggetto che apponga il proprio marchio su un sistema ad alto rischio già immesso sul mercato, ne modifichi sostanzialmente le caratteristiche o ne muti la finalità prevista può assumere la qualifica di provider, con i conseguenti obblighi di valutazione della conformità e di documentazione tecnica. Si tratta di uno scenario tutt’altro che teorico per le società che personalizzano o rivendono con il proprio brand soluzioni sviluppate da terzi – e che può interessare lo stesso acquirente all’esito dell’integrazione post-closing.
Un profilo di particolare rilevanza prati a riguarda il momento di applicazione delle diverse disposizioni del Regolamento, soggette ad efficacia scaglionata: dal 2 febbraio 2025 si applicano i divieti relativi alle pratiche inaccettabili e gli obblighi di alfabetizzazione, dal 2 agosto 2025 le regole sui modelli di IA per finalità generali (GPAI) e, dal 2 agosto 2026, la gran parte della disciplina sui sistemi ad alto rischio. L’acquirente deve valutare non solo la conformità attuale della società target, ma anche i costi di adeguamento futuri imposti dal progressivo dispiegarsi degli obblighi normativi, che, ove non adeguatamente identificati e valorizzati in sede di negoziazione, possono incidere significativamente sulla redditività attesa dell’operazione.
Sul versante nazionale, la Legge n. 132/2025 integra il quadro europeo con discipline settoriali (sanità, giustizia, lavoro, professioni intellettuali, pubblica amministrazione), obblighi informativi a carico del datore di lavoro che impieghi sistemi decisionali o di monitoraggio automatizzati (art. 11, in raccordo con l’art. 1-bis del D.Lgs. 152/1997 e con l’art. 4 dello Statuto dei lavoratori), nuove fattispecie penali (tra cui l’art. 612-quater c.p. in materia di deepfake) e una delega al Governo destinata a incidere anche sulla responsabilità degli enti ex D.Lgs. 231/2001. Ne discendono ulteriori verifiche in sede di due diligence: l’adempimento degli obblighi informativi verso i lavoratori, l’aggiornamento del Modello 231 ai nuovi reati-presupposto, nonché eventuali interlocuzioni con le autorità di vigilanza designate (AgID e ACN).
4. La due diligence sulla proprietà intellettuale
La titolarità degli asset di proprietà intellettuale costituisce un’altra area di indagine di primaria importanza in tali operazioni.
Le principali questioni che la due diligence IP è chiamata ad affrontare sono le seguenti.
In primo luogo, occorre verificare la titolarità dei sistemi IA e delle relative componenti (codice, dataset, pesi, interfacce, etc.) con particolare riferimento ad eventuali diritti degli sviluppatori (dipendenti o consulenti esterni), i cui contratti devono essere attentamente esaminati.
In secondo luogo, deve essere verificato l’eventuale sfruttamento nei sistemi di IA di asset di soggetti terzi in licenza (algoritmi, dati, etc.) e/o l’utilizzo di asset rilasciati in modalità open source sulla base di licenze che possano imporre obblighi di pubblicazione del codice modificato o limitare la possibilità di commercializzare il prodotto finale.
In terzo luogo, assume crescente centralità la verifica della legittima provenienza dei dati di addestramento: occorre accertare l’esistenza di idonee licenze sui dataset impiegati e il rispetto delle eccezioni per l’estrazione di testo e di dati (artt. 3 e 4 della Direttiva (UE) 2019/790, recepiti agli artt. 70-ter e 70-quater della legge sul diritto d’autore), ivi inclusi gli opt-out esercitati dai titolari dei diritti, al fine di stimare l’esposizione della società target a rivendicazioni di autori ed editori. Rileva, al riguardo, anche l’intervento dell’art. 25 della Legge n. 132/2025 sulla legge sul diritto d’autore, in punto di tutela delle opere create con l’ausilio dell’IA.
In quarto luogo, occorre valutare quale sia il regime di tutela scelto dalla società target per il sistema di IA (segreto commerciale, diritto d’autore, etc.).
Ultima questione concerne le modalità di sfruttamento del sistema IA sul mercato da parte della società proprietaria: attenta analisi andrà svolta sui termini e condizioni cui gli utenti possono accedere ed utilizzare i sistemi, nonché sul sistema di dichiarazioni e garanzie fornite e sui profili di responsabilità assunti.
5. Trattamento dei dati personali e cybersicurezza
Ulteriori aree di indagine di primaria importanza sono quelle del trattamento dei dati personali e della cybersicurezza.
Sotto il primo profilo, la verifica investe le basi giuridiche del trattamento per le fasi di addestramento, fine-tuning e inferenza, l’effettuazione delle valutazioni d’impatto (DPIA) per i trattamenti ad alto rischio, l’eventuale utilizzo dei dati dei clienti per l’addestramento dei modelli (spesso non coperto dai contratti in essere), i trasferimenti di dati verso fornitori extra-UE, nonché l’esistenza di istruttorie, provvedimenti o reclami pendenti dinanzi al Garante per la protezione dei dati personali.
Sotto il secondo profilo, andranno esaminate la postura di sicurezza dell’infrastruttura (anche alla luce, ove applicabili, del D.Lgs. 138/2024 di recepimento della Direttiva NIS 2 e della Legge n. 90/2024), la gestione degli incidenti pregressi e le dipendenze della supply chain tecnologica – API di modelli di terzi, servizi cloud e capacità di calcolo, dataset in licenza – con particolare attenzione a durata, clausole di change of control, limiti d’uso e diritti dei fornitori di utilizzare i dati della società target per addestrare i propri modelli.
6. I riflessi contrattuali dell’indagine
Le risultanze della due diligence si riverberano direttamente sulla struttura economico-contrattuale dell’operazione, e in particolare sulle clausole di dichiarazioni e garanzie e di indennizzo specifico.
La prassi contrattuale sta elaborando un corpus specifico di dichiarazioni e garanzie dedicate ai sistemi di IA, che si affiancano alle tradizionali R&W.
Tra le più rilevanti, si segnalano quelle relative alla conformità normativa, all’assenza di procedimenti sanzionatori, alla titolarità dei sistemi e delle loro componenti, all’assenza dei diritti di terzi che ne limitano lo sfruttamento, alla legittima provenienza dei dati di addestramento.
È poi possibile prevedere indennizzi specifici per coprire rischi noti. In particolare, si registra una crescente tendenza a prevedere obblighi di indennizzo per i costi di adeguamento ai requisiti del Regolamento non ancora applicabili alla data del closing ma già determinabili, oppure le passività derivanti dall’utilizzo di dati di addestramento acquisiti senza il consenso necessario o in violazione di diritti di proprietà intellettuale.
Accanto a dichiarazioni, garanzie e indennizzi, la “cassetta degli attrezzi” contrattuale comprende condizioni sospensive o covenant interinali volti a sanare i gap di conformità emersi (ad esempio, il completamento della documentazione tecnica richiesta dal Regolamento), meccanismi di aggiustamento del prezzo o di escrow per i rischi quantificabili, nonché la pianificazione dell’integrazione post-closing, posto che – come si è visto – il perfezionamento dell’operazione può di per sé mutare il ruolo regolatorio rivestito dall’acquirente rispetto ai sistemi acquisiti.
7. Conclusioni
Le operazioni di M&A nel settore dell’IA saranno sempre più frequenti e sempre più complesse: la capacità di condurre una due diligence adeguata rappresenterà un fattore competitivo determinante.
