AI governance per M&A: checklist operativa 18 punti per studi e team

L’AI in M&A apre opportunità enormi ma ha 3 rischi specifici che vanno governati prima ancora di iniziare a usarla. Questa checklist operativa è quello che chiedo a ogni studio M&A e team corporate development di applicare prima di processare il primo documento confidential su AI tool. 18 punti, divisi in 3 macro-aree.

Se non hai letto il framework completo, vedi O.D.E.S.S.A. operational guide.

Area 1 — Data Leakage Prevention (8 punti)

Caricare documenti confidential M&A su LLM consumer = violazione potenziale di NDA + esposizione di dati al training del modello. Mandatory: enterprise SKU con zero-retention guarantee.

1. Tool selection: solo ChatGPT Enterprise / Team, Claude Enterprise, Gemini Workspace. Mai consumer-tier o personal account.
2. Zero-retention clause verificata nel contract con vendor LLM. Da contract review legal.
3. SSO + MFA obbligatorio su tutti gli account team
4. Audit log attivo su tutti i prompts (utile per dispute o investigation)
5. Document classification protocol: Public / Internal / Confidential / Restricted. Solo Public + Internal su LLM standard.
6. Restricted documents (es. SPA drafts, financial projections, named buyer info): solo su instance dedicata (Azure OpenAI private, AWS Bedrock isolated tenant)
7. NDA review: verificare che NDA con cliente non escluda esplicitamente uso AI tool
8. DPA (accordo sul trattamento dei dati ex art. 28 GDPR) firmato con il provider LLM, con verifica di misure di sicurezza e sub-responsabili

Area 2 — Hallucination Mitigation (5 punti)

LLM hanno tendenza a “inventare” numeri, citazioni legali, statistiche. In M&A questo è catastrofico.

9. NO calcolo finanziario diretto via LLM: EV, multipli, IRR vanno sempre calcolati su Excel/dedicated tool. LLM solo per interpretazione, non per math.
10. Citation requirement: ogni statement factual dall’LLM deve avere source verificabile. “L’LLM dice X” non è sufficiente.
11. Human verification 100% di output che entrano in deliverable cliente
12. Cross-check con secondary source: per dati di mercato, verificare con almeno 1 database indipendente (Mergermarket, Pitchbook, Bloomberg)
13. Conservative bias: prompt l’LLM esplicitamente con “if unsure, say so” + “do not invent numbers”

Area 3 — Bias and Judgment (5 punti)

LLM tendono a confermare hypothesis del prompt-er. In M&A questo crea analysis cattive ed errori strategici. I cinque punti che seguono sono la versione minima di un principio più generale: il contraddittorio va progettato, non sperato. Il metodo esteso — sei mosse e una metrica dell’intensità della sfida — è quello del contraddittore cognitivo.

14. Adversarial prompting: per ogni “find reasons X is good”, prompt anche “find reasons X is bad”
15. Multiple LLM cross-check: per analysis critiche, run su 2 LLM diversi (es. ChatGPT + Claude) e confronta. Discrepanze rivelano weak reasoning.
16. Senior reviewer override: ogni output AI deve passare review senior banker/partner prima di entrare in deliverable
17. Document the reasoning: prompt LLM con “explain your reasoning step by step” — utile per audit e per identificare logic errors
18. Periodic blind testing: trimestralmente, dai LLM stesso prompt su deal storico chiuso e confronta output con realtà. Misura accuracy drift.

Risk register operativo

Governance framework — 4 roles

1. AI Champion (1 partner senior): owner della strategia AI, decision-maker su tool selection
2. AI Operations Lead (1 senior banker): day-to-day implementation, training, troubleshooting
3. Data Security Officer (legal/compliance): contract review, audit, GDPR
4. Quality Reviewer (per ogni deal): human verification AI output prima di client deliverable

Timeline implementazione checklist (90 giorni)

Domande Frequenti

Posso usare ChatGPT free per drafting di teaser anonimi?

Per teaser pubblici o già pubblicati: sì. Per teaser confidential con company name (anche se anonimizzato superficialmente, l’LLM può re-identificare via contesto): no. Enterprise SKU mandatory.

Quanto costa enterprise SKU per uno studio M&A boutique 5-10 persone?

Range tipici: ChatGPT Enterprise $60/user/month, Claude Enterprise prezzi simili, Gemini Workspace $30/user/month. Tot 5-10 persone: $1.5-6k/mese. Setup base completo (3 LLM + private instance): $10-15k/mese. ROI tipico positivo entro 6 mesi.

Cosa succede se il cliente scopre che ho usato AI tool sul suo deal?

Pattern raccomandato: disclosure proattiva nel mandate letter (“uso AI tool enterprise per accelerare DD documentale, con zero data retention e full human review”). I clienti sophisticated lo apprezzano. Tentare di nasconderlo è risk significativo.

L’AI tool sostituisce la mia compliance officer?

No, la aumenta. Compliance officer rimane responsabile per: contract review, GDPR, NDA verification, audit. AI tool fa flagging automatico (es. potential data leak in prompt), ma judgment finale è umano.

Posso usare diversi LLM per diversi deal?

Sì, e spesso è ottimale: Claude per reasoning complesso (DD interpretation, strategic analysis); ChatGPT per coding/automation (data extraction, workflow); Gemini per multi-modal (PDF financial statements OCR). Multi-vendor strategy è pattern professional 2024-2025.

Le compagnie assicurative coprono “AI errors”?

Pattern 2024-2025: polizze E&O (Errors & Omissions) standard NON coprono esplicitamente AI mistakes. Mercato sta sviluppando “AI E&O extension” specifiche. Pattern raccomandato: review polizza esistente + chiedere estensione AI a brokers specializzati.