Méthodologie · EU AI Act · M&A · W&I Underwriting
D7™ : fondements méthodologiques d'un scoring de conformité EU AI Act défendable en M&A et underwriting W&I
Positionnement, limites et contribution vs. grilles d'audit de place publiés
Juin 2026
MÉTHODOLOGIE
PEER-LEVEL
MB AI VALUE INTELLIGENCE
~18 min
Abstract
Le scoring D7™ est un outil d'évaluation de la conformité EU AI Act (Règlement 2024/1689) conçu pour produire un résultat quantifié, défendable et actionnable en 48h sur données publiques. Il repose sur sept dimensions pondérées, synthétisant quatre grilles d'audit de place publiés (standards d'audit de place), un modèle de confiance bayésien inspiré des standards PCAOB/ISA 500, et un système de tagging épistémique [PROUVÉ/INFÉRÉ/ABSENT]. La contribution principale est double : (1) la formalisation d'un haircut réglementaire estimable pré-signing via un β sectoriel calibré sur la jurisprudence RGPD EDPB 2018–2025 et (2) l'introduction d'une dimension D5 — avantage réglementaire EU — absent des grilles d'audit de place, qui traite la conformité comme barrière à l'entrée valorisable plutôt que comme coût. Les limites sont explicites : un scoring sur données publiques atteint typiquement une confiance C de ▓▓▓▓▓ (MEDIUM), insuffisante pour une Opinion Letter ; les pondérations propriétaires limitent la reproductibilité externe ; et D7™ ne couvre pas la transformation organisationnelle post-acquisition, périmètre des cabinets d'audit de place.
1. Introduction — le gap du marché
Les grilles d'audit de place existants — AI Risk Framework, Model Risk Management (SR 11-7 adapté IA), Data Trust, Trustworthy AI — sont les références méthodologiques du marché. Ils sont complets, rigoureux, et inutilisables tels quels dans un contexte M&A ou W&I pour une raison précise : ils ne produisent pas de score quantifié en 48h.
Un audit de place complet mobilise 4 à 8 semaines, une équipe de 3 à 6 analystes seniors, une dataroom exhaustive, et livre un rapport qualitatif de 80 à 150 pages. Ce format est adapté à la transformation post-acquisition ou à la mise en conformité continue. Il est inadapté à la phase de screening pré-LOI, où l'acquéreur a besoin de trois informations : l'actif est-il high-risk au sens de l'Annexe III ? Quel est le haircut réglementaire estimé ? Quelles clauses contractuelles protègent le deal ?
Ce gap n'est pas un reproche aux cabinets d'audit de place — c'est une différence d'usage. D7™ occupe le segment pre-screening : score en 48h, GO/NOGO défendable, clauses contractuelles actionnables. Le cabinet d'audit de place occupe le segment post-acquisition : audit complet, transformation organisationnelle, certification ISO/IEC 42001. Les deux sont complémentaires, pas substituables.
L'EU AI Act 2024/1689, pleinement applicable à compter du 2 décembre 2027 pour les systèmes high-risk Annexe III, crée une urgence de scoring que le marché n'avait pas encore en 2024. Les premières investigations de l'AI Office sur des actifs tech EU en cours de cession rendent le gap visible — et coûteux.
2. Fondements méthodologiques
2.1 Les quatre frameworks sources
Chaque dimension D7™ est ancrée dans un grille d'audit de place publié. L'adaptation consiste à opérationnaliser des grilles d'évaluation qualitatives en scores entiers 1–5, avec des critères de notation explicites par niveau.
Exposition Réglementaire
Formalise l'exposition comme produit P×I (probabilité d'enforcement × impact financier Art. 71). D7™ intègre les β sectoriels de une matrice de référence pour pondérer l'exposition par vertical. Classification Art. 6 + Annexe III est le premier critère de scoring D1.
Maturité Technique & Risque Modèle
SR 11-7 (Federal Reserve Board, 2011) est le standard de référence pour le Model Risk Management en finance. D7™ l'adapte à l'EU AI Act en ajoutant les obligations Art. 15 (accuracy, robustness, cybersecurity). Métriques clés : Model Risk Composite (MRC), PSI >0.25 comme signal de data drift, Champion-Challenger comme preuve de robustesse.
Gouvernance & Qualité des Données
Data Trust Framework décompose la qualité des données en 6 dimensions (complétude, exactitude, cohérence, actualité, unicité, validité). D7™ y ajoute le scoring DPIA (Art. 35 RGPD) et l'analyse Art. 10 AI Act (data governance pour systèmes high-risk). L'intersection RGPD/AI Act sur D3 est la principale source d'exposition croisée.
Gouvernance AI & Contrôles
Trustworthy AI Framework couvre 6 métriques quantitatives : Disparate Impact Ratio (DIR), SHAP feature importance, CVSS score cybersécurité, audit trail coverage, explainability index, human oversight ratio. D7™ les opérationnalise en grille 1–5 avec seuils de notation documentés.
2.2 La formule centrale et la justification des pondérations
La logique : un profil moyen, sans signal négatif fort mais aussi sans preuve documentée sur les dimensions à fort poids, aboutit à un score intermédiaire — soit AMBER. C'est intentionnel : un actif IA qui n'a pas été audité mais qui n'a pas de signal négatif fort doit scorer CONDITIONAL, pas SUPPORTABLE. Le seuil GREEN n'est atteignable qu'avec des preuves documentées sur les dimensions à fort poids — les seuils exacts et la formule complète relèvent de la méthodologie propriétaire, communiquée sur demande dans le cadre d'un engagement.
| ID |
Dimension |
Poids wᵢ |
Justification de la pondération |
Source |
| D1 |
Exposition Réglementaire |
▓▓▓▓▓ |
Premier critère d'enforcement AI Act — classification high-risk conditionne toutes les obligations |
AI Risk |
| D2 |
Maturité Technique & Risque Modèle |
▓▓▓▓▓ |
Obligations Art. 15 directement auditables ; signal de valeur pour l'acquéreur tech |
Model Risk Management SR 11-7 |
| D3 |
Gouvernance & Qualité des Données |
▓▓▓▓▓ |
Intersection RGPD/AI Act Art. 10 — exposition croisée maximale, coût de remédiation élevé |
Data Trust |
| D4 |
Gouvernance AI & Contrôles |
▓▓▓▓▓ |
Art. 9 (QMS) et Art. 14 (human oversight) — obligations systémiques pour high-risk |
Trustworthy AI |
| D5 |
Défensabilité Commerciale |
▓▓▓▓▓ |
avantage réglementaire EU — la conformité comme barrière à l'entrée valorisable (propriétaire D7™) |
Deal value + MB AI |
| D6 |
Ajustabilité de Valeur Financière |
▓▓▓▓▓ |
DCF retraité du haircut réglementaire — impact valorisation, pas exposition directe |
Corporate Finance |
| D7 |
Risque Opérationnel & Key-Person |
▓▓▓▓▓ |
BCP, concentration de compétences IA — risque opérationnel, pas réglementaire direct |
IT & Operational Risk |
La pondération décroissante de D1 à D7 reflète une logique d'exposition directe à l'enforcement. D1 et D2 concentrent la majorité du poids du score parce que la classification high-risk et la robustesse du modèle sont les deux premiers critères que l'AI Office examine. D7, en queue de pondération, reflète que le risque key-person, réel, n'est pas adressé par l'AI Act — c'est un risque acquéreur, pas un risque régulateur.
2.3 Le modèle de confiance bayésien
La matrice ρ s'inspire des standards de qualité probatoire PCAOB et ISA 500 appliqués à la nature des sources :
[PROUVÉ]
▓▓▓▓▓
Document officiel dataroom (1.0) ou page web officielle scrapée (0.8)
[INFÉRÉ]
▓▓▓▓▓
Mention structurée dans rapport annuel (0.7) ou snippet presse (0.4)
[ABSENT]
▓▓▓▓▓
Absence de source — inférence sectorielle uniquement
Sur données publiques uniquement, D2 (documentation technique) et D3 (data governance) obtiennent typiquement ▓▓▓▓▓ — les preuves directes de ces dimensions sont rarement publiques. Résultat : C typique d'un D7™ Standard = ▓▓▓▓▓ (MEDIUM). C'est suffisant pour un GO/NOGO pre-LOI. C'est insuffisant pour une Opinion Letter. C'est la raison d'être du D7™ Opinion Letter, qui accède aux ▓▓▓▓▓–1.0 via dataroom NDA.
3. La dimension D5 — avantage réglementaire EU
D5 est la contribution la plus originale de D7™ par rapport aux grilles d'audit de place. Elle repose sur une inversion analytique : la conformité AI Act n'est pas seulement un coût à réduire — c'est une barrière à l'entrée valorisable.
Les grilles d'audit de place traitent la conformité comme obligation (coût de remédiation, risque d'amende). D5 la traite comme actif stratégique : un système IA certifié conforme Art. 9–15 a traversé une barrière que ses concurrents non conformes ne peuvent pas franchir rapidement. En termes de positionnement concurrentiel, la conformité AI Act joue le même rôle qu'une certification FDA Classe II : elle crée un fossé réglementaire temporel.
La quantification D5 s'appuie sur trois métriques :
DCF du moat réglementaire. Si la mise en conformité coûte 200–400K€ (coûts de remédiation D1–D4) et qu'elle crée 18 à 36 mois d'avance sur les concurrents non conformes, le DCF de cette avance temporelle sur un marché avec WACC ajusté à 12–15% produit une valeur de moat de 1.5 à 4× le coût de mise en conformité.
HHI et concentration sectorielle. Dans les secteurs à Herfindahl–Hirschman Index élevé (FinTech crédit, HealthTech diagnostic), le nombre d'acteurs capables de se conformer est faible. La conformité AI Act renforce la concentration — et donc la valeur des actifs conformes.
Porter 5 quantifié. Nouveaux entrants : la barrière réglementaire augmente le coût d'entrée de 200–400K€ minimum (remédiation D1–D4) plus 6–12 mois de délai. Produits de substitution : un système non conforme est juridiquement substituable mais commercialement non crédible après 2026 auprès d'acheteurs institutionnels.
4. Le haircut réglementaire — dérivation et calibrage
Le paramètre β_secteur est calibré sur deux sources : (1) les montants des amendes RGPD EDPB par secteur sur la période 2018–2025 (données EDPB Annual Reports), rapportés à la valeur des actifs concernés ; (2) les coûts de remédiation observés par les cabinets d'audit de place sur les audits AI publiés. Il s'agit d'une estimation, pas d'un calcul actuariel.
| Secteur |
β_secteur |
Justification |
Art. AI Act principal |
| FinTech — Crédit / Scoring |
1.35 |
Annexe III §6 (services essentiels) — automaticité de la classification high-risk pour systèmes de scoring de solvabilité |
Art. 6 + Annex III §6 |
| HealthTech — Diagnostic IA |
1.50 |
Annexe III §1 (sécurité produits) + Medical Device Regulation croisée — double exposition réglementaire |
Art. 6 + Annex III §1 |
| HR Tech — Recrutement / RH |
1.40 |
Annexe III §4 (éducation) et §5 (emploi) — deux catégories high-risk potentiellement applicables |
Art. 6 + Annex III §4–5 |
| LegalTech — Décision juridique |
1.20 |
Annexe III §9 (administration de la justice) — classification high-risk explicite |
Art. 6 + Annex III §9 |
| InsurTech — Souscription auto |
1.25 |
Annexe III §6 étendu aux assurances — jurisprudence en formation |
Art. 6 + Annex III §6 |
| SaaS B2B généraliste |
0.85 |
Hors Annexe III dans la majorité des usages — risque limité, β < 1 |
Art. 6 — limited risk |
La calibration sur la jurisprudence RGPD (2018–2025) est imparfaite pour deux raisons : (1) le RGPD et l'AI Act ont des mécanismes d'enforcement distincts et (2) la jurisprudence AI Act est encore embryonnaire. Les β seront révisés à mesure que les premières décisions de l'AI Office s'accumuleront. C'est une limite explicite du modèle dans sa version actuelle.
5. Le système de tagging épistémique [PROUVÉ/INFÉRÉ/ABSENT]
Chaque claim dans le mémo D7™ est tagué avec l'un des trois niveaux épistémiques. Ce système remplit deux fonctions distinctes selon le contexte d'utilisation.
En contexte M&A. Le ratio PROUVÉ/INFÉRÉ/ABSENT est un indicateur de la qualité probatoire de la due diligence. Un memo avec 60% de claims PROUVÉ sur D1 et D2 est directement utilisable pour rédiger les AI R&W. Un mémo avec 80% d'INFÉRÉ signale que la dataroom est incomplète — et que les clauses contractuelles doivent intégrer un mécanisme de révision post-closing (compliance earn-out conditionnel à la confirmation des claims INFÉRÉ).
En contexte W&I underwriting. L'underwriter utilise le ratio pour calibrer l'exclusion ou le plafonnement. Un actif avec D3 entièrement ABSENT (aucune documentation data governance publique ou fournie) sera exclu de la couverture AI Act par défaut. Le mémo D7™ Opinion Letter, qui accède aux documents internes, permet de convertir les ABSENT en PROUVÉ et d'ouvrir la couverture.
Le fondement normatif est emprunté aux standards d'audit financier PCAOB (AS 1105 — Audit Evidence) et ISA 500, qui hiérarchisent la valeur probatoire des preuves selon leur source et leur nature. L'application à un contexte réglementaire IA est une adaptation, pas une implémentation stricte — la limite de transposition est documentée.
6. Limites et périmètre
Limites documentées — version juin 2026
-
L-01
Confiance MEDIUM sur données publiques. Un D7™ Standard atteint typiquement C = ▓▓▓▓▓. D2 (documentation technique) et D3 (data governance) ont rarement des preuves directes accessibles publiquement. Cette limite est structurelle, pas corrigeable sans dataroom. Le D7™ Opinion Letter est requis pour atteindre ▓▓▓▓▓ (HIGH).
-
L-02
7 dimensions ne couvrent pas l'EU AI Act exhaustivement. L'EU AI Act 2024/1689 contient 113 articles. D7™ couvre les obligations directement valorisables dans un contexte M&A : classification, conformité high-risk, gouvernance données, gouvernance IA, et valeur de marché. Les obligations Art. 51–55 (GPAI) ne sont pas scoring-isées dans D7™ v1 — elles feront l'objet d'un module dédié en V2.
-
L-03
Pondérations propriétaires non publiées exhaustivement. Les pondérations wᵢ et les critères de notation 1–5 par dimension sont partiellement documentés publiquement. Cela limite la reproductibilité externe et rend impossible la replication indépendante du score. C'est une limite intentionnelle (protection du savoir-faire propriétaire) mais elle doit être déclarée explicitement dans tout contexte académique ou d'audit.
-
L-04
Zones grises sur les scores 2–4. Les scores extrêmes (1 = absence totale de conformité, 5 = conformité documentée et certifiable) sont robustes. Les scores 2, 3 et 4 — qui correspondent à des états intermédiaires — sont sujets à une variance inter-analystes estimée à ±0.5 point. Sur les dimensions à fort poids (D1 [pondération propriétaire], D2 [pondération propriétaire]), cette variance peut produire un écart de ±2 points sur G. Le D7™ Opinion Letter réduit cette variance par accès aux preuves primaires.
-
L-05
β sectoriels calibrés sur jurisprudence RGPD. En l'absence de jurisprudence AI Act suffisante (enforcement débuté août 2025), les β sont extrapolés à partir des amendes RGPD sectorielles EDPB 2018–2025. La transposition n'est pas actuariellement validée. Les β seront révisés trimestriellement à mesure que les décisions AI Office s'accumulent.
7. Positionnement vs. cabinets d'audit de place
Le tableau suivant présente une comparaison honnête — pas un argument commercial. Les colonnes "D7™" et "cabinets d'audit de place" ne sont pas des concurrents sur le même segment ; elles sont complémentaires dans un parcours de due diligence complet.
| Critère |
D7™ — MB AI |
cabinets d'audit de place |
| Score quantifié 0–100 |
✓ Natif |
✗ Rapport qualitatif |
| Délai de livraison |
48h–10j |
4–8 semaines |
| W&I insurability mapping natif |
✓ Intégré D3–D5 |
✗ Prestation séparée |
| Haircut réglementaire estimé |
✓ Formule H avec β sectoriels |
~ Estimation qualitative |
| β sectoriels documentés |
✓ Publiés (version partielle) |
✗ Internes, non publiés |
| avantage réglementaire EU (D5) |
✓ Dimension propriétaire |
✗ Non couvert |
| Transformation organisationnelle |
✗ Hors périmètre D7™ |
✓ Périmètre natif |
| Certification ISO/IEC 42001 |
✗ Hors périmètre |
✓ Capacité déployée |
| Audit trail complet PCAOB |
~ Tagging épistémique |
✓ Complet |
| Prix indicatif (actif 50–100 M€) |
990 – 4 900 € · Opinion Letter sur devis |
150 000 – 500 000 € |
| Usage recommandé |
Pre-LOI, screening GO/NOGO, clauses SPA |
Post-acquisition, transformation, certification |
La lecture correcte de ce tableau : D7™ est le pre-screening qui décide si un cabinet d'audit de place est justifié. Sur un actif qui score GREEN >80 en D7™ Standard, un audit de place complet à 300K€ est surdimensionné. Sur un actif qui score RED <40, les 300K€ d'audit de place sont la première dépense post-acquisition — et le D7™ en aura été le signal d'alerte.
8. Perspectives
8.1 V2 — API B2B et scoring temps réel
La V2 de la plateforme (Q3 2026) expose D7™ comme API REST B2B. Un cabinet M&A ou un fonds PE peut appeler l'endpoint /score/async avec le nom de l'actif ou son identifiant SIREN, recevoir un job_id et récupérer le score en 5–10 minutes. Le modèle de tagging épistémique est exposé dans la réponse JSON — l'acquéreur voit le ratio PROUVÉ/INFÉRÉ/ABSENT directement dans son interface.
8.2 Fine-tuning sur corpus D7™
Au-delà d'un corpus de 200 mémos produits (objectif H2 2026), le modèle de scoring sera fine-tuné sur Mistral open-source. L'objectif est de réduire la variance inter-analystes sur les scores 2–4 (limite L-04) en ancrant le modèle sur des cas réels annotés. Le fine-tuning crée un modèle propriétaire non reproductible — barrière à l'entrée technique complémentaire du moat réglementaire.
8.3 Standardisation comme référence de marché M&A EU
L'enjeu à 24 mois est de positionner D7™ comme le standard de facto pour le scoring AI Act en contexte M&A EU — le rôle qu'occupent les phases environnementales dans l'immobilier, ou l'avis indépendant signé dans les LBO. Ce positionnement requiert trois conditions : (1) adoption par au moins un assureur W&I tier-1 comme condition de souscription, (2) référencement dans au moins une clause standard des associations de cabinets M&A EU, (3) publication d'un livre blanc méthodologique co-signé avec un acteur académique ou institutionnel. Les trois sont en cours.
9. Conclusion
D7™ n'est pas une alternative aux grilles d'audit de place. C'est leur complémentaire sur un segment que ces frameworks ne couvrent pas : le scoring quantifié, défendable et rapide, qui doit exister avant la LOI, pas après le closing.
Ses limites sont réelles : confiance MEDIUM sur données publiques, pondérations non exhaustivement publiées, β sectoriels en cours de calibration sur jurisprudence AI Act naissante. Ces limites sont documentées ici parce qu'elles sont la condition de la crédibilité — face à un partner d'un cabinet d'audit de place ou un underwriter AXA XL, un outil qui prétend à l'exhaustivité sans la justifier est moins crédible qu'un outil qui documente précisément ce qu'il fait et ce qu'il ne fait pas.
La contribution principale reste la formalisation d'un score quantifié EU AI Act utilisable dans le contexte M&A — haircut estimé, clauses contractuelles ancrées sur le score, mapping W&I insurability. Ce que le marché ne produisait pas avant. Ce que l'enforcement 2026 rend nécessaire maintenant.
Méthodologie complète
Accéder à la documentation D7™ complète
Pondérations, formules, matrice de confiance bayésienne, β sectoriels et critères de notation 1–5 par dimension — disponibles sur demande pour les praticiens qualifiés (M&A, PE/VC, W&I, institutionnels).
Demander la documentation →