Février 2017. Verizon est sur le point de racheter Yahoo pour 4,83 milliards de dollars. Puis deux fuites de données massives sont révélées en pleine due diligence. Verizon ne quitte pas la table — il recalcule. Le deal se conclut à 4,48 milliards. 350 millions de dollars effacés, parce qu'un risque réglementaire qui dormait dans l'actif venait de devenir visible.
C'est le principe que tout acheteur averti applique : ce qui est attaché à l'actif passe à l'acquéreur au closing. Marriott l'a appris à ses dépens en rachetant Starwood — il a hérité d'une faille non détectée et d'une amende RGPD de 18,4 M£, l'autorité britannique reprochant explicitement un défaut de vérification à l'achat.
Dans les deux cas, la mécanique est identique : la donnée et sa conformité réglementaire voyagent avec l'entreprise. L'acheteur qui ne les a pas pricées les découvre après — quand il est trop tard pour négocier autre chose qu'une décote ou un séquestre.
Ce qui valait pour les données personnelles vaut désormais pour l'intelligence artificielle. Les obligations des Articles 9 à 15 du Règlement (UE) 2024/1689 — gestion des risques, documentation technique, supervision humaine, robustesse — s'attachent au système. Les sanctions de l'Article 99 atteignent 35 M€ ou 7 % du chiffre d'affaires mondial. Un actif IA non conforme est un Yahoo en puissance : un repricing qui attend son moment.
La seule différence avec 2017 : aujourd'hui, on peut le mesurer avant la deal room. C'est exactement ce que fait le score D7™ — caractériser l'exposition AI Act d'un actif, dimension par dimension, avant qu'un acheteur ne le fasse à votre place.