AI due diligence: co fundusze PE muszą wiedzieć w 2026 roku

W skrócie: Ponieważ coraz więcej spółek buduje albo osadza w produkcie sztuczną inteligencję, samo klasyczne techniczne due diligence już nie wystarcza. AI wnosi odrębną powierzchnię ryzyka, której tradycyjne badanie nigdy nie musiało wyceniać: ekspozycję regulacyjną wynikającą z aktu o sztucznej inteligencji, niejasne pochodzenie danych i kwestie własności intelektualnej, zależność od cudzych modeli fundacyjnych, niekontrolowaną „shadow AI" rozproszoną po całej firmie oraz przepaść między opowieścią o AI a rzeczywistością AI. Ten artykuł pokazuje, co badanie AI realnie sprawdza w 2026 roku, jak wygląda obraz regulacyjny po tegorocznych zmianach i dlaczego ocena AI jako zobowiązania jest dziś równie ważna co ocena AI jako źródła wartości. Sedno jest takie: fundusz, który wycenia wyłącznie szansę tkwiącą w AI spółki, a nie jej ryzyko, obejmuje pozycję, której nie zobaczył do końca.

Najważniejsze wnioski

• AI due diligence to odrębna dyscyplina obok ogólnego przeglądu technicznego, bo AI dokłada ryzyka - regulacyjne, prawne i operacyjne - których zwykłe badanie nie wydobywa.
• Akt o sztucznej inteligencji jest już częściowo w mocy: obowiązki dla modeli ogólnego przeznaczenia oraz obowiązki przejrzystości z artykułu 50 obowiązują od sierpnia 2026, podczas gdy większość obowiązków dla systemów wysokiego ryzyka przesunięto na późne 2027 i 2028, co zmienia harmonogram spółki, ale nie kierunek.
• Pochodzenie danych i własność intelektualna to często największa ukryta ekspozycja: to, na czym spółka wytrenowała modele, na czyich danych i na jakich licencjach, potrafi rodzić zobowiązania, które przetrwają transakcję.
• Zależność od cudzego modelu fundacyjnego to przebrane ryzyko koncentracji, dotykające kosztu, ciągłości i kontroli, które fundusz powinien wycenić na wejściu.
• Ocena AI jako ryzyka uzupełnia ocenę AI jako źródła wartości, a nie ją zastępuje. Pełny obraz wymaga obu soczewek.

Dlaczego AI to nowy problem badania, a nie tylko nowa dźwignia wartości

Przez większość historii technicznego due diligence pytania były stałe: czy architektura jest solidna, czy da się ją skalować, czy kod jest utrzymywalny, czy zespół stanowi ryzyko. AI nie usuwa żadnego z nich, ale dokłada kategorię, której stara lista kontrolna nie musiała brać pod uwagę. Kiedy spółka wbudowuje sztuczną inteligencję w produkt albo po cichu wprowadza ją w swoją działalność, przyjmuje ekspozycje zachowujące się inaczej niż zwykłe ryzyko oprogramowania: częściowo prawne, częściowo regulacyjne, a częściowo dotyczące pochodzenia danych i modeli, które mogą nie być nigdzie udokumentowane.

Branża spędziła ostatnie dwa lata, ucząc się oceniać AI jako źródło wartości i pytając, czy dane oraz możliwości spółki pozwalają jej kumulować przewagę. To pytanie jest ważne i warto je zadawać. Ale to tylko połowa obrazu. Druga połowa jest tą, w której fundusze są mniej wprawne: ile ta AI może nas kosztować. Model wytrenowany na danych, do których spółka nie miała prawa, funkcja produktu, która wpadnie pod zaostrzający się reżim, kluczowa zdolność wynajęta od jednego zewnętrznego dostawcy na warunkach, które mogą się zmienić - każde z tych zjawisk jest zobowiązaniem, które ocena skupiona na wartości może zupełnie przeoczyć, bo szuka szansy, a nie ekspozycji.

Praktyczny wniosek jest taki, że badanie AI trzeba prowadzić z celowo innym nastawieniem niż ten optymizm, który otacza większość rozmów o AI. Jego zadaniem jest znaleźć to, co opowieść o AI pomija.

Obraz regulacyjny w 2026 roku

Każdy fundusz oceniający w 2026 roku spółkę opartą na AI robi to na żywym i wciąż ruchomym tle regulacyjnym, a trafne uchwycenie aktualnego stanu ma znaczenie, bo w tym roku zmienił się on istotnie. Akt o sztucznej inteligencji, obowiązujący od 2024 roku, wprowadza swoje obowiązki etapami. Przepisy o praktykach zakazanych obowiązują od początku 2025 roku. Obowiązki dostawców modeli sztucznej inteligencji ogólnego przeznaczenia obowiązują od sierpnia 2025 roku, a od sierpnia 2026 aktywne są uprawnienia Komisji Europejskiej do nadzoru i egzekwowania tych obowiązków. Obowiązki przejrzystości wynikające z aktu, które wymagają ujawnienia interakcji z AI oraz oznaczania treści generowanych przez AI, również weszły w życie w sierpniu 2026 roku.

Najbaczniej obserwowany element, czyli reżim dla systemów wysokiego ryzyka, przesunął się. Na mocy zmian przyjętych w połowie 2026 roku większość obowiązków dla samodzielnych systemów wysokiego ryzyka odroczono na grudzień 2027 roku, a te dla AI osadzonej w już regulowanych produktach na sierpień 2028 roku. Dla funduszu wniosek nie brzmi, że zgodność w obszarze wysokiego ryzyka zniknęła. Brzmi on tak, że spółka ma teraz określone okno na przygotowanie, a praca dokumentacyjna i nadzorcza stojąca za zgodnością trwa znacznie dłużej, niż sugeruje termin, więc spółka, która nic nie zrobiła, ponosi przyszły koszt, nawet jeśli dziś jest formalnie zgodna. Ciężar tej ekspozycji nadają kary: kary przewidziane w akcie sięgają dziesiątek milionów euro albo odsetka światowego obrotu, w skali porównywalnej z prawem ochrony danych lub ją przekraczającej, a zasięg aktu obejmuje dostawców spoza Unii Europejskiej, których systemy są używane na jej terytorium.

Ponieważ ten obszar wciąż jest w ruchu, właściwym krokiem przy konkretnej transakcji jest sprawdzenie aktualnego stanu, a nie poleganie na streszczeniu. Nie zmienia się natomiast fakt leżący u podstaw: klasyfikacja regulacyjna spółki i stan jej prac nad zgodnością są dziś czynnikiem wyceny.

Co realnie bada AI due diligence

Skupione badanie AI przygląda się powierzchni ryzyka, której ogólny przegląd techniczny nie obejmuje. Kilka wymiarów powtarza się z transakcji na transakcję.

Pierwszy to klasyfikacja regulacyjna i ekspozycja. Przede wszystkim badanie ustala, czym AI spółki jest w kategoriach regulacyjnych: czy któryś z jej systemów wpada w kategorie wysokiego ryzyka, czy spółka występuje jako dostawca, czy jako podmiot stosujący, czy wywołuje obowiązki przejrzystości i jak daleko w stronę zgodności zaprowadziłaby ją obecna dokumentacja i nadzór. To różnica między możliwą do opanowania pozycją w roadmapie a nieplanowanym programem prac.

Drugi, i często największa ukryta ekspozycja, to pochodzenie danych i własność intelektualna. Pytania są niewygodne i wewnątrz spółki często pozostają bez odpowiedzi: na jakich danych wytrenowano modele, czy pozyskano je zgodnie z prawem i licencją na to zastosowanie, czy zawierają dane osobowe rodzące kwestie ochrony danych i czy cokolwiek z tego mogłoby narazić firmę na roszczenia z tytułu własności intelektualnej. Model jest tylko tak czysty jak dane pod nim, a te dane rzadko pojawiają się w data roomie.

Trzeci to zależność od modelu i koncentracja. Wiele produktów opisywanych jako AI jest zbudowanych na cudzym modelu fundacyjnym, do którego sięga się przez interfejs. To prawomocna architektura, ale też ryzyko koncentracji, które fundusz powinien widzieć wyraźnie: wpływa na koszt przy rosnącym użyciu, na ciągłość, jeśli dostawca zmieni warunki albo wycofa model, oraz na kontrolę nad zdolnością, którą firma przedstawia jako własną. Spółka, której kluczowe wyróżnienie jest wynajęte, a nie posiadane, to inne aktywo niż taka, która kontroluje własne modele, i badanie powinno powiedzieć, którym z nich jest.

Czwarty to shadow AI i nadzór. Poza produktem narzędzia AI często rozprzestrzeniły się po własnej działalności spółki - w inżynierii, wsparciu, sprzedaży i administracji - bez polityki, bez inwentaryzacji i bez nadzoru. Rodzi to ekspozycję na wyciek danych i na kwestie zgodności, której nikt nie zmapował. Dojrzała spółka potrafi pokazać ład nad AI: wykaz miejsc, w których AI jest używana, kontrolę nad danymi wprowadzanymi do zewnętrznych narzędzi oraz nadzór człowieka tam, gdzie to ważne. Jego brak sam w sobie jest ustaleniem.

Piąty to niezawodność i ewaluacja. Dla każdej AI, która podejmuje albo wspiera decyzje, badanie pyta, skąd spółka wie, że system działa: czy istnieje systematyczna ewaluacja, monitorowanie dryfu i pogorszenia jakości oraz nadzór człowieka proporcjonalny do stawki. Funkcja AI bez ewaluacji za sobą to ryzyko niezawodności w kostiumie zdolności.

Pod wszystkimi pięcioma leży prostsze pytanie, do którego dobre badanie AI wciąż wraca: ile z opowieści spółki o AI jest prawdziwe. Część produktów przedstawianych jako natywnie oparte na AI to cienka warstwa na cudzym modelu, z niewielką zdolnością obrony pozycji; inne mają za sobą prawdziwe zasoby danych i prawdziwą inżynierię. Odróżnienie jednych od drugich jest często najcenniejszą rzeczą, jaką robi badanie.

Ryzyko i wartość to dwie soczewki na tym samym aktywie

Nic z tego nie wypiera pytania o wartość. To, czy dane i możliwości AI spółki potrafią kumulować przewagę, pozostaje centralne dla tezy inwestycyjnej i fundusz powinien to oceniać. Rzecz w tym, że soczewka wartości i soczewka ryzyka patrzą na to samo aktywo i widzą co innego, a pełne badanie używa obu. Spojrzenie przez pryzmat dojrzałości pyta, ile ta AI mogłaby być warta. Spojrzenie przez pryzmat ryzyka pyta, ile mogłaby kosztować. Spółka może wypaść dobrze w jednym, a źle w drugim: naprawdę zdolny produkt AI może jednocześnie nieść poważną ekspozycję związaną z pochodzeniem danych, a skromna zdolność AI może być całkowicie czysta. Dopiero trzymanie obu soczewek naraz daje funduszowi pełny obraz, za który faktycznie płaci.

Jak Altimi podchodzi do AI due diligence

Altimi realizuje techniczne due diligence po stronie kupującego dla funduszy private equity, venture capital i inwestorów wzrostowych w Europie, a dojrzałość w obszarze AI i danych jest jednym z ośmiu wbudowanych w nie pól oceny, obejmującym wykorzystanie AI, gotowość potoków danych, nadzór nad modelami oraz potencjał tworzenia wartości. W praktyce oznacza to, że badanie czyta AI spółki przez obie opisane soczewki: jako źródło wartości, poprzez ocenę dojrzałości AI, oraz jako powierzchnię ryzyka, poprzez pytania o pochodzenie, zależność, nadzór i ekspozycję regulacyjną, na które fundusz musi mieć odpowiedź przed podpisaniem umowy. Ustalenia trafiają w tej samej gotowej dla komitetu formie co reszta badania: raport w skali RAG, macierz ryzyka z rekomendacją go lub no-go oraz 90-dniowa roadmapa, która zamienia ekspozycje w plan na okres po transakcji.

Niezależność jest tu zasadą operacyjną: Altimi działa wyłącznie na rzecz inwestora, na stałym honorarium bez zachęt do dalszych zleceń, ujawnia wcześniejsze powiązania ze spółką badaną i nie przyjmuje mandatów obarczonych istotnym konfliktem interesów. Badanie jest dostarczane w stałej cenie i ustalonym z góry zakresie, w ciągu dwóch tygodni, i opiera się na ponad stu badaniach po stronie kupującego oraz ponad stu pięćdziesięciu projektach inżynierskich. Jako organizacja z siedzibą w Unii Europejskiej, posiadająca certyfikat ISO 27001, Altimi utrzymuje kod źródłowy i dane transakcyjne w europejskim obszarze ochrony danych przez cały poufny proces, co ma znaczenie szczególnie wtedy, gdy przedmiotem badania są same dane i modele spółki.

Uwaga dla funduszy w Europie i regionie DACH

Dla funduszy działających w regionie DACH, Europie Środkowo-Wschodniej i na szerszym rynku europejskim regulacyjny wymiar AI nie jest odległą troską, lecz bliskim czynnikiem wyceny, właśnie dlatego, że akt o sztucznej inteligencji obejmuje każdy system AI używany w Unii Europejskiej, niezależnie od tego, gdzie siedzibę ma jego dostawca. Spółka sprzedająca do Europy jest w tym reżimie, czy to zauważyła, czy nie. To sprawia, że europejski dostawca, obeznany z etapowymi obowiązkami aktu i zdolny zmierzyć ekspozycję spółki względem nich, jest przy transgranicznych transakcjach AI czymś więcej niż wygodą. Znaczenie ma też to, gdzie prowadzi się samo badanie: analizowanie modeli i danych treningowych spółki to praca wrażliwa, a utrzymanie jej w europejskim obszarze ochrony danych, z certyfikowanym partnerem, jest częścią prowadzenia jej odpowiedzialnie.

Co więc naprawdę kupujesz, kupując spółkę AI?

Uczciwa odpowiedź brzmi: nie wiesz tego do końca, dopóki nie zajrzysz pod opowieść. Spółka oparta na AI może być dokładnie tym, na co się przedstawia: prawdziwym aktywem danych i inżynierii, ze zdolnością możliwą do obrony i czystym pochodzeniem. Może też być cienką warstwą na cudzym modelu, wytrenowaną na danych niepewnego pochodzenia, działającą w reżimie, na który się nie przygotowała. Z zewnątrz, a często z prezentacji inwestorskiej, obie wyglądają uderzająco podobnie. AI due diligence istnieje po to, by je odróżnić, a w 2026 roku, przy żywym obrazie regulacyjnym i technologii biegnącej szybciej, niż nadąża większość mechanizmów nadzoru, to odróżnienie przestało być opcjonalne.

Jeśli oceniasz spółkę opartą na AI i chcesz, by jej AI zbadano zarówno jako źródło wartości, jak i jako ryzyko, najprościej zacząć od krótkiej rozmowy o firmie i tezie, którą masz przed sobą.