AI governance per M&A: checklist operativa 18 punti per studi e team

L’AI in M&A apre opportunità enormi ma ha 3 rischi specifici che vanno governati prima ancora di iniziare a usarla. Questa checklist operativa è quello che chiedo a ogni studio M&A e team corporate development di applicare prima di processare il primo documento confidential su AI tool. 18 punti, divisi in 3 macro-aree.

Se non hai letto il framework completo, vedi O.D.E.S.S.A. operational guide.

Area 1 — Data Leakage Prevention (8 punti)

Caricare documenti confidential M&A su LLM consumer = violazione potenziale di NDA + esposizione di dati al training del modello. Mandatory: enterprise SKU con zero-retention guarantee.

1. Tool selection: solo ChatGPT Enterprise / Team, Claude Enterprise, Gemini Workspace. Mai consumer-tier o personal account.
2. Zero-retention clause verificata nel contract con vendor LLM. Da contract review legal.
3. SSO + MFA obbligatorio su tutti gli account team
4. Audit log attivo su tutti i prompts (utile per dispute o investigation)
5. Document classification protocol: Public / Internal / Confidential / Restricted. Solo Public + Internal su LLM standard.
6. Restricted documents (es. SPA drafts, financial projections, named buyer info): solo su instance dedicata (Azure OpenAI private, AWS Bedrock isolated tenant)
7. NDA review: verificare che NDA con cliente non escluda esplicitamente uso AI tool
8. Vendor BAA (Business Associate Agreement) firmato con LLM provider per data processing

Area 2 — Hallucination Mitigation (5 punti)

LLM hanno tendenza a “inventare” numeri, citazioni legali, statistiche. In M&A questo è catastrofico.

9. NO calcolo finanziario diretto via LLM: EV, multipli, IRR vanno sempre calcolati su Excel/dedicated tool. LLM solo per interpretazione, non per math.
10. Citation requirement: ogni statement factual dall’LLM deve avere source verificabile. “L’LLM dice X” non è sufficiente.
11. Human verification 100% di output che entrano in deliverable cliente
12. Cross-check con secondary source: per dati di mercato, verificare con almeno 1 database indipendente (Mergermarket, Pitchbook, Bloomberg)
13. Conservative bias: prompt l’LLM esplicitamente con “if unsure, say so” + “do not invent numbers”

Area 3 — Bias and Judgment (5 punti)

LLM tendono a confermare hypothesis del prompt-er. In M&A questo crea analysis cattive ed errori strategici.

14. Adversarial prompting: per ogni “find reasons X is good”, prompt anche “find reasons X is bad”
15. Multiple LLM cross-check: per analysis critiche, run su 2 LLM diversi (es. ChatGPT + Claude) e confronta. Discrepanze rivelano weak reasoning.
16. Senior reviewer override: ogni output AI deve passare review senior banker/partner prima di entrare in deliverable
17. Document the reasoning: prompt LLM con “explain your reasoning step by step” — utile per audit e per identificare logic errors
18. Periodic blind testing: trimestralmente, dai LLM stesso prompt su deal storico chiuso e confronta output con realtà. Misura accuracy drift.

Risk register operativo

Governance framework — 4 roles

1. AI Champion (1 partner senior): owner della strategia AI, decision-maker su tool selection
2. AI Operations Lead (1 senior banker): day-to-day implementation, training, troubleshooting
3. Data Security Officer (legal/compliance): contract review, audit, GDPR
4. Quality Reviewer (per ogni deal): human verification AI output prima di client deliverable

Timeline implementazione checklist (90 giorni)

Domande Frequenti

Posso usare ChatGPT free per drafting di teaser anonimi?

Per teaser pubblici o già pubblicati: sì. Per teaser confidential con company name (anche se anonimizzato superficialmente, l’LLM può re-identificare via contesto): no. Enterprise SKU mandatory.

Quanto costa enterprise SKU per uno studio M&A boutique 5-10 persone?

Range tipici: ChatGPT Enterprise $60/user/month, Claude Enterprise prezzi simili, Gemini Workspace $30/user/month. Tot 5-10 persone: $1.5-6k/mese. Setup base completo (3 LLM + private instance): $10-15k/mese. ROI tipico positivo entro 6 mesi.

Cosa succede se il cliente scopre che ho usato AI tool sul suo deal?

Pattern raccomandato: disclosure proattiva nel mandate letter (“uso AI tool enterprise per accelerare DD documentale, con zero data retention e full human review”). I clienti sophisticated lo apprezzano. Tentare di nasconderlo è risk significativo.

L’AI tool sostituisce la mia compliance officer?

No, la aumenta. Compliance officer rimane responsabile per: contract review, GDPR, NDA verification, audit. AI tool fa flagging automatico (es. potential data leak in prompt), ma judgment finale è umano.

Posso usare diversi LLM per diversi deal?

Sì, e spesso è ottimale: Claude per reasoning complesso (DD interpretation, strategic analysis); ChatGPT per coding/automation (data extraction, workflow); Gemini per multi-modal (PDF financial statements OCR). Multi-vendor strategy è pattern professional 2024-2025.

Le compagnie assicurative coprono “AI errors”?

Pattern 2024-2025: polizze E&O (Errors & Omissions) standard NON coprono esplicitamente AI mistakes. Mercato sta sviluppando “AI E&O extension” specifiche. Pattern raccomandato: review polizza esistente + chiedere estensione AI a brokers specializzati.