KI-Due-Diligence: Was PE-Fonds 2026 wissen müssen

Kurz gefasst: Da immer mehr Zielunternehmen künstliche Intelligenz bauen oder einbetten, reicht eine klassische technische Due Diligence nicht mehr aus. KI bringt eine eigene Risikofläche mit, die herkömmliche Prüfungen nie bepreisen mussten: regulatorische Exponierung unter der KI-Verordnung, unklare Datenherkunft und Schutzrechte, Abhängigkeit von fremden Foundation-Modellen, ungesteuerte Schatten-KI im ganzen Unternehmen und die Kluft zwischen einer KI-Erzählung und einer KI-Wirklichkeit. Dieser Beitrag legt dar, was eine KI-Due-Diligence 2026 tatsächlich prüft, wie das regulatorische Bild nach den Änderungen dieses Jahres steht und warum die Bewertung von KI als Haftungsrisiko inzwischen ebenso wichtig ist wie ihre Bewertung als Werttreiber. Der Kernpunkt: Ein Fonds, der nur die Chance der KI eines Ziels bepreist und nicht ihr Risiko, unterschreibt eine Position, die er nicht vollständig gesehen hat.

Die wichtigsten Punkte

• KI-Due-Diligence ist eine eigene Disziplin neben der allgemeinen technischen Prüfung, weil KI Risiken hinzufügt - regulatorische, rechtliche und operative -, die eine herkömmliche Bewertung nicht zutage fördert.
• Die KI-Verordnung ist inzwischen teilweise in Kraft: Pflichten für KI-Modelle mit allgemeinem Verwendungszweck und die Transparenzpflichten nach Artikel 50 gelten seit August 2026, während die meisten Hochrisiko-Pflichten in den späten Jahren 2027 und 2028 aufgeschoben wurden, was den Zeitplan eines Ziels verändert, nicht aber die Richtung.
• Datenherkunft und Schutzrechte sind oft die größte verborgene Exponierung: Womit ein Ziel seine Modelle trainiert hat, mit wessen Daten und unter welchen Lizenzen, kann Haftungen schaffen, die die Transaktion überdauern.
• Die Abhängigkeit von einem fremden Foundation-Modell ist ein verkapptes Konzentrationsrisiko, das Kosten, Kontinuität und Kontrolle betrifft und das ein Fonds beim Eintritt bepreisen sollte.
• KI als Risiko zu bewerten, ergänzt die Bewertung als Werttreiber, statt sie zu ersetzen. Ein vollständiges Bild braucht beide Blickwinkel.

Warum KI ein neues Prüfungsproblem ist und nicht nur ein neuer Werthebel

Über die meiste Zeit der Geschichte der technischen Due Diligence waren die Fragen stabil: Ist die Architektur solide, lässt sie sich skalieren, ist der Code wartbar, ist das Team ein Risiko. KI nimmt keine dieser Fragen weg, aber sie fügt eine Kategorie hinzu, die die alte Checkliste nie berücksichtigen musste. Wenn ein Ziel künstliche Intelligenz in sein Produkt baut oder sie still über seinen Betrieb hinweg eingeführt hat, übernimmt es Exponierungen, die sich anders verhalten als gewöhnliches Softwarerisiko: teils rechtlich, teils regulatorisch und teils bezogen auf die Herkunft von Daten und Modellen, die nirgends dokumentiert sein mögen.

Die Branche hat die letzten beiden Jahre damit verbracht, KI als Werttreiber zu bewerten, und gefragt, ob die Daten und Fähigkeiten eines Ziels es einen Vorsprung ausbauen lassen. Diese Frage ist wichtig und verdient gestellt zu werden. Doch sie ist nur die halbe Wahrheit. Die andere Hälfte ist jene, in der Fonds weniger geübt sind: Was könnte uns diese KI kosten? Ein Modell, das mit Daten trainiert wurde, für deren Nutzung das Ziel kein Recht hatte, eine Produktfunktion, die unter ein sich verschärfendes Regime fällt, eine Kernfähigkeit, die von einem einzigen externen Anbieter zu Bedingungen gemietet ist, die sich ändern können - jedes davon ist eine Haftung, die einer wertorientierten Bewertung völlig entgehen kann, weil diese nach Chancen sucht und nicht nach Exponierung.

Die praktische Folge ist, dass eine KI-Due-Diligence mit einer bewusst anderen Haltung durchzuführen ist als der optimistischen, die die meisten KI-Gespräche umgibt. Ihre Aufgabe ist es, das zu finden, was die KI-Erzählung auslässt.

Das regulatorische Bild 2026

Jeder Fonds, der 2026 ein KI-gestütztes Ziel bewertet, tut dies vor einem lebendigen und noch beweglichen regulatorischen Hintergrund, und den aktuellen Stand richtig zu erfassen, ist wesentlich, denn er hat sich dieses Jahr deutlich verändert. Die KI-Verordnung, seit 2024 in Kraft, führt ihre Pflichten in Stufen ein. Ihre Regeln zu verbotenen Praktiken gelten seit Anfang 2025. Die Pflichten für Anbieter von KI-Modellen mit allgemeinem Verwendungszweck gelten seit August 2025, und seit August 2026 sind die Befugnisse der Europäischen Kommission zur Aufsicht und Durchsetzung dieser Pflichten aktiv. Die Transparenzpflichten der Verordnung, die eine Offenlegung der KI-Interaktion und die Kennzeichnung KI-generierter Inhalte verlangen, sind ebenfalls im August 2026 wirksam geworden.

Der am meisten beachtete Teil, das Regime für Hochrisiko-KI-Systeme, hat sich verschoben. Mit den Mitte 2026 verabschiedeten Änderungen wurde der Großteil der Hochrisiko-Pflichten für eigenständige Systeme auf Dezember 2027 aufgeschoben und jener für in bereits regulierte Produkte eingebettete KI auf August 2028. Für einen Fonds lautet die Lehre nicht, dass die Hochrisiko-Compliance verschwunden ist. Sie lautet, dass ein Ziel nun ein definiertes Fenster zur Vorbereitung hat und dass die Dokumentations- und Governance-Arbeit hinter der Compliance weit länger dauert, als die Frist vermuten lässt, sodass ein Ziel, das nichts getan hat, künftige Kosten trägt, selbst wenn es heute technisch konform ist. Die Bußgelder geben der Exponierung ihr Gewicht: Die Bußgelder der Verordnung reichen in die zweistelligen Millionenbeträge in Euro oder einen Prozentsatz des weltweiten Umsatzes, auf einer Skala, die mit dem Datenschutzrecht vergleichbar ist oder darüber hinausgeht, und ihre Reichweite erstreckt sich auf Anbieter außerhalb der EU, deren Systeme innerhalb der EU genutzt werden.

Da dieser Bereich noch in Bewegung ist, besteht der richtige Schritt in einem konkreten Deal darin, den aktuellen Stand zu prüfen, statt sich auf eine Zusammenfassung zu verlassen. Was sich nicht verschiebt, ist der zugrunde liegende Punkt: Die regulatorische Einstufung eines Ziels und der Stand seiner Compliance-Arbeit sind nun ein Bewertungsfaktor.

Was eine KI-Due-Diligence tatsächlich prüft

Eine fokussierte KI-Due-Diligence betrachtet eine Risikofläche, die eine allgemeine technische Prüfung nicht abdeckt. Mehrere Dimensionen kehren über Deals hinweg wieder.

Die erste ist regulatorische Einstufung und Exponierung. Vor allem anderen stellt die Prüfung fest, was die KI des Ziels regulatorisch tatsächlich ist: ob eines ihrer Systeme in Hochrisiko-Kategorien fällt, ob das Unternehmen als Anbieter oder als Betreiber auftritt, ob es Transparenzpflichten auslöst und wie weit seine derzeitige Dokumentation und Governance es in Richtung Compliance tragen würde. Das ist der Unterschied zwischen einem beherrschbaren Punkt auf der Roadmap und einem ungeplanten Arbeitsprogramm.

Die zweite und oft größte verborgene Exponierung ist die Datenherkunft und das geistige Eigentum. Die Fragen sind unbequem und im Ziel häufig unbeantwortet: Mit welchen Daten wurden die Modelle trainiert, waren sie rechtmäßig beschafft und für diese Nutzung lizenziert, enthalten sie personenbezogene Daten, die datenschutzrechtliche Fragen aufwerfen, und könnte irgendetwas davon das Unternehmen Ansprüchen aus geistigem Eigentum aussetzen. Ein Modell ist nur so sauber wie die Daten darunter, und diese Daten erscheinen selten in einem Datenraum.

Die dritte ist Modellabhängigkeit und Konzentration. Viele als KI beschriebene Produkte sind auf einem fremden Foundation-Modell gebaut, das über eine Schnittstelle angesprochen wird. Das ist eine legitime Architektur, aber auch ein Konzentrationsrisiko, das ein Fonds klar sehen sollte: Es betrifft die Kosten bei wachsender Nutzung, die Kontinuität, falls der Anbieter die Bedingungen ändert oder ein Modell einstellt, und die Kontrolle über eine Fähigkeit, die das Unternehmen als eigene darstellt. Ein Ziel, dessen Kerndifferenzierung gemietet statt besessen ist, ist ein anderes Asset als eines, das seine eigenen Modelle kontrolliert, und die Prüfung sollte sagen, welches von beiden es ist.

Die vierte ist Schatten-KI und Governance. Jenseits des Produkts haben sich KI-Werkzeuge oft über den eigenen Betrieb eines Ziels verbreitet - in Engineering, Support, Vertrieb und Verwaltung -, ohne Richtlinie, Inventar oder Aufsicht. Das schafft eine Exponierung gegenüber Datenabfluss und Compliance, die niemand kartiert hat. Ein reifes Ziel kann eine KI-Governance vorweisen: ein Inventar, wo KI eingesetzt wird, Kontrollen über die in externe Werkzeuge eingespeisten Daten und menschliche Aufsicht dort, wo es darauf ankommt. Ihr Fehlen ist selbst ein Befund.

Die fünfte ist Zuverlässigkeit und Evaluierung. Für jede KI, die Entscheidungen trifft oder informiert, fragt die Prüfung, woher das Ziel weiß, dass das System funktioniert: ob es eine systematische Evaluierung gibt, eine Überwachung auf Drift und Verschlechterung und eine dem Einsatz angemessene menschliche Aufsicht. Eine KI-Funktion ohne Evaluierung dahinter ist ein Zuverlässigkeitsrisiko im Kostüm einer Fähigkeit.

Unter allen fünf liegt eine einfachere Frage, zu der eine gute KI-Due-Diligence immer wieder zurückkehrt: Wie viel von der KI-Erzählung des Ziels ist real. Manche als KI-nativ präsentierten Produkte sind eine dünne Schicht über einem fremden Modell mit wenig Verteidigungsfähigkeit; andere haben echte Datenbestände und echtes Engineering dahinter. Die beiden auseinanderzuhalten, ist oft das Wertvollste, was die Prüfung leistet.

Risiko und Wert sind zwei Blickwinkel auf dasselbe Asset

Nichts davon verdrängt die Wertfrage. Ob die Daten und KI-Fähigkeiten eines Ziels einen Vorsprung ausbauen können, bleibt zentral für die Investitionsthese, und ein Fonds sollte es bewerten. Der Punkt ist, dass der Wertblick und der Risikoblick dasselbe Asset betrachten und Verschiedenes sehen, und dass eine vollständige Prüfung beide nutzt. Der Reifeblick fragt, was diese KI wert sein könnte. Der Risikoblick fragt, was sie kosten könnte. Ein Ziel kann beim einen gut und beim anderen schlecht abschneiden: Ein wirklich leistungsfähiges KI-Produkt kann zugleich eine ernste Exponierung bei der Datenherkunft tragen, und eine bescheidene KI-Fähigkeit kann völlig sauber sein. Nur beide Blickwinkel zugleich zu halten, gibt einem Fonds das vollständige Bild, für das er tatsächlich zahlt.

Wie Altimi KI-Due-Diligence angeht

Altimi erbringt käuferseitige technische Due Diligence für Private-Equity-Häuser, Venture-Capital-Fonds und Wachstumsinvestoren in Europa, und die KI- und Datenreife ist eines der acht darin angelegten Prüffelder, das KI-Einsatz, die Reife der Datenpipelines, die Modell-Governance und das Wertschöpfungspotenzial abdeckt. In der Praxis bedeutet das, dass die Prüfung die KI eines Ziels durch beide beschriebenen Blickwinkel liest: als Werttreiber über den KI-Reifegrad und als Risikofläche über die Fragen nach Herkunft, Abhängigkeit, Governance und regulatorischer Exponierung, die ein Fonds vor der Unterzeichnung beantwortet haben muss. Die Befunde kommen in derselben komiteereifen Form wie der Rest der Prüfung: ein RAG-bewerteter Bericht, eine nach Schweregrad geordnete Risikomatrix mit Go- oder No-Go-Empfehlung und eine 90-Tage-Roadmap, die Exponierungen in einen Plan für die Zeit nach dem Closing überführt.

Unabhängigkeit ist dabei ein Arbeitsprinzip: Altimi arbeitet ausschließlich für den Investor, zu einem Festhonorar ohne Anreize für Folgeaufträge, legt frühere Verbindungen zum Zielunternehmen offen und lehnt Mandate mit wesentlichem Interessenkonflikt ab. Die Prüfung erfolgt zum Festpreis in einem vor Kickoff vereinbarten Scope innerhalb von zwei Wochen und stützt sich auf über hundert käuferseitige Prüfungen und mehr als 150 Engineering-Projekte. Als in der EU ansässige, nach ISO 27001 zertifizierte Organisation hält Altimi Quellcode und Transaktionsdaten über den gesamten vertraulichen Prozess innerhalb des europäischen Datenschutzraums, was besonders dann zählt, wenn der Gegenstand der Prüfung die Daten und Modelle des Ziels selbst sind.

Hinweis für Fonds in DACH und Europa

Für Fonds, die in der DACH-Region, in Mittel- und Osteuropa und im weiteren europäischen Markt aktiv sind, ist die KI-regulatorische Dimension keine ferne Sorge, sondern ein naher Bewertungsfaktor, gerade weil die KI-Verordnung jedes in der EU genutzte KI-System erfasst, unabhängig davon, wo dessen Anbieter sitzt. Ein Ziel, das nach Europa verkauft, ist im Regime, ob es das bemerkt hat oder nicht. Das macht einen europäischen Anbieter, der mit den stufenweisen Pflichten der Verordnung vertraut ist und die Exponierung eines Ziels daran messen kann, bei grenzüberschreitenden KI-Deals zu mehr als einer Bequemlichkeit. Es macht auch relevant, wo die Prüfung selbst läuft: Die Modelle und Trainingsdaten eines Ziels zu untersuchen, ist sensible Arbeit, und sie innerhalb des europäischen Datenschutzraums zu halten, mit einem zertifizierten Partner, gehört dazu, sie verantwortungsvoll durchzuführen.

Was kaufen Sie also tatsächlich, wenn Sie ein KI-Unternehmen kaufen?

Die ehrliche Antwort lautet: Sie wissen es nicht vollständig, bis Sie unter die Erzählung geschaut haben. Ein KI-gestütztes Ziel kann genau das sein, als was es sich darstellt: ein echtes Daten- und Engineering-Asset mit einer verteidigungsfähigen Fähigkeit und sauberer Herkunft. Es kann auch eine dünne Schicht über dem Modell eines anderen sein, trainiert mit Daten unsicherer Herkunft, tätig in einem Regime, auf das es sich nicht vorbereitet hat. Von außen, und oft aus dem Pitch Deck, sehen die beiden bemerkenswert ähnlich aus. Eine KI-Due-Diligence existiert, um sie auseinanderzuhalten, und 2026, mit einem lebendigen regulatorischen Bild und einer Technologie, die schneller läuft, als die meiste Governance Schritt halten kann, ist dieses Auseinanderhalten nicht länger optional.

Wenn Sie ein KI-gestütztes Ziel bewerten und dessen KI sowohl als Werttreiber als auch als Risiko geprüft haben möchten, ist ein kurzes Gespräch über das Unternehmen und die These der schnellste Einstieg.