Cos'è la due diligence? Come i VC verificano le startup AI

La due diligence è la verifica strutturata delle dichiarazioni di un'azienda prima che denaro, quote o una firma cambino di mano. Nel venture capital significa che l'investitore controlla conti, struttura legale, tecnologia, mercato e team di una startup, confrontandoli con ciò che dice il pitch deck. In pratica, cos'è la due diligence? Una lista di richieste, una data room e alcune settimane in cui ogni numero viene verificato due volte. Per le startup AI nel 2026, la checklist ha due voci in più: chi possiede i dati di addestramento e cosa costa l'inferenza sul margine lordo.

Cosa copre la due diligence in un deal venture?

Cinque aree di lavoro procedono in parallelo. Ognuna ha un responsabile, una lista di evidenze e una regola di arresto.

• Finanza: qualità dei ricavi, burn, runway, retention per coorte. Evidenze: P&L mensile, estratti conto, bridge dell'ARR.

• Legale: cap table, costituzione della società, contratti, contenziosi. Evidenze: atto costitutivo, patto parasociale, piano di stock option, MSA con i clienti.

• Tecnologia: architettura, sicurezza, titolarità della proprietà intellettuale, scalabilità. Evidenze: code review, penetration test, accesso al repository.

• Commerciale: dimensione del mercato, pipeline, churn, concentrazione dei clienti. Evidenze: call con i clienti, export del CRM, note su trattative vinte e perse.

• Team: background dei fondatori, figure chiave, referenze. Evidenze: backchannel con ex colleghi, contratti di lavoro.

Più il deal è early, meno pesano le prime quattro righe. Un check pre-seed si appoggia quasi interamente sulla riga team, perché non c'è altro da verificare. Alla Serie A, finanza e legale portano la maggior parte del peso e l'investitore si aspetta conti puliti. Kruze Consulting pubblica checklist di due diligence per fase che mostrano quali documenti gli investitori chiedono di norma nelle fasi pre-seed, Serie A e Serie B.

Una distinzione conta prima di tutto il resto. La due diligence non è un audit. Un revisore certifica che i bilanci seguano le regole contabili. Un team di diligence chiede se l'azienda è davvero quella che il venditore descrive, e attribuisce un prezzo alla differenza. I risultati non si limitano a promuovere o bocciare un deal: spostano la valutazione, i termini di escrow e le condizioni di chiusura.

Chi la gestisce e quanto dura?

Dal lato acquirente, un partner o un principal guida il processo, un associate costruisce il modello e uno studio legale esterno si occupa della riga legale. Commercialisti e consulenti tecnici entrano per domande specifiche, non per l'intero fascicolo. Dal lato venditore, il CFO o un responsabile finanziario in forma fractional prepara la data room e risponde alle domande.

I tempi cambiano con la dimensione del deal. Un round seed con un lead che già conosce i fondatori può chiudersi in due o tre settimane. Una Serie B con investitori nuovi si avvicina piuttosto a sei o otto settimane. Un'acquisizione di controllo dura di più, perché si allargano le righe legale e fiscale. Questi valori vanno letti come intervalli operativi, non come benchmark: nessun dataset pubblico traccia la durata delle diligence, e chi cita una media precisa sta tirando a indovinare.

Il costo vero raramente è il listino dei compensi. È l'attenzione dei fondatori. Una squadra che passa quattro settimane a rispondere a richieste non sta costruendo prodotto, e gli investitori che lo sanno inviano un'unica lista consolidata invece di cinque.

La sequenza in sette passi seguita dalla maggior parte dei deal

1. Screening. Coerenza con la tesi, fase, dimensione dell'assegno. Gran parte della pipeline si chiude qui, ed è il senso del passaggio.

2. Call con il management. I fondatori illustrano i numeri. L'investitore ascolta ciò che il deck omette.

3. Lista di richieste. Un file strutturato di documenti, inviato una volta sola. La lista campione di Cooley GO per i VC è un modello molto riutilizzato.

4. Revisione della data room. Le righe finanziaria, legale e tecnologica vengono controllate in parallelo.

5. Call con referenze e clienti. Backchannel con ex colleghi, poi tre o cinque clienti.

6. Memo dei risultati. I red flag vengono classificati come bloccanti, capaci di muovere il prezzo o sistemabili dopo il closing.

7. Adeguamento del term sheet o recesso. I risultati si traducono in garanzie, indennizzi, escrow o un prezzo più basso.

Saltare il passo 5 è la scorciatoia più comune e la più costosa. Un cliente che dice «stiamo valutando alternative» dà un segnale che nessuna data room contiene.

Cosa cambia quando il target è una startup AI?

Una diligence su software tradizionale verifica qualità del codice, sicurezza e architettura. Quelle voci restano valide. Il livello AI aggiunge quattro domande che decidono il deal.

L'azienda possiede ciò su cui addestra i modelli? I dati di addestramento possono essere concessi in licenza, raccolti tramite scraping, acquistati o generati dagli utenti, e ogni fonte porta diritti diversi. L'investitore chiede la licenza di ogni dataset rilevante e verifica che l'addestramento sia un uso consentito. Una provenienza mancante non è una nota a piè di pagina: nei casi seri lascia un modello inutilizzabile. I revisori regolatori chiedono anche le valutazioni d'impatto sulla protezione dei dati e la base giuridica per ogni dato personale presente nel training set.

La capacità è proprietaria o in affitto? I modelli fondazionali sono ormai una commodity. Se il prodotto è un prompt e un workflow costruito attorno all'API di una terza parte, un concorrente con un piccolo team di ingegneria può copiarlo. I segnali da cercare sono dati proprietari, rigore nelle valutazioni e profondità dell'integrazione nei workflow. Una demo non dimostra nessuno dei tre.

I costi unitari reggono con la scala? Il costo di inferenza cresce con l'uso. Una startup che dichiara un margine lordo dell'80 per cento su un pilota con dieci clienti amichevoli non dice quale sarà il margine con diecimila richieste al giorno. Chiedi il costo per task, per coorte di clienti, sugli ultimi sei mesi.

Il modello è riproducibile e difendibile? Model card, log di addestramento, set di valutazione e storico delle versioni sono l'equivalente AI dei bilanci certificati. Se il team non riesce a rieseguire l'accuratezza dichiarata del trimestre scorso su un dataset nuovo, la previsione di adozione costruita su quel numero è fragile.

La sicurezza merita una riga a parte. Agenti con permessi ampi, esposizione a prompt injection e accesso a dati di terze parti sono superfici di attacco che le revisioni classiche del software non erano pensate per testare. Il red flag è semplice: dati sensibili raggiungibili da un sistema che non ha motivo di vederli.

Da dove arrivano i dati: il livello outside-in

Prima che si apra la data room, il team costruisce una vista dall'esterno a partire dai database. Chi ha già finanziato l'azienda, come si presenta la pipeline delle assunzioni, come è cambiata la pagina dei prezzi del prodotto. Questo livello costa poco rispetto al resto e fissa le domande per la call con il management.

Crunchbase è il punto di ingresso. Secondo le schede dei fornitori, il piano Pro self-serve costa circa $49 per utente al mese con fatturazione annuale, con esportazioni limitate a 2,000 righe al mese. Quel tetto è il vincolo da pianificare: basta per un controllo su una singola società, ed è troppo basso per mappare un verticale.

PitchBook sta all'estremo opposto. Copre circa 4.5 milioni di aziende e 525,000 investitori, si vende su preventivo, con prezzo per postazione e un livello enterprise. La copertura giustifica il costo quando servono comparabili di deal, dati a livello di fondo e storico delle operazioni di M&A in un unico posto. Non lo giustifica per un controllo una tantum.

Dealroom è l'opzione più solida per i target europei. Il prezzo riportato parte da circa EUR 12,600 per un minimo di tre postazioni, quindi è uno strumento da team e non da analista singolo.

Tracxn organizza le aziende in una tassonomia settoriale curata, con report di landscape scritti da analisti, ed è più forte in India e nel Sud-Est asiatico. Per un target AI in quei mercati, spesso fa emergere concorrenti che i database occidentali non vedono.

Nessuno di questi strumenti sostituisce la data room. Dicono quali affermazioni verificare per prime. La differenza tra ciò che mostra un database e ciò che dice il fondatore è il punto in cui la call con il management deve concentrare il tempo.

Quali red flag cambiano il prezzo e quali chiudono il deal?

Non tutti i risultati pesano allo stesso modo. L'ordinamento utile è per ciò che l'investitore può farne.

Chiudono il deal:

• Proprietà intellettuale di un fondatore o di una figura chiave non assegnata alla società

• Dati di addestramento ottenuti in violazione della licenza, senza un percorso di rimedio

• Ricavi che non si riconciliano con gli estratti conto

Muovono il prezzo:

• Costi di inferenza che comprimono il margine lordo sotto il livello indicato nel deck

• Concentrazione dei clienti oltre un terzo dell'ARR su un singolo account

• Conflitti di licenza open source che richiedono una riprogettazione dell'architettura

Sistemabili dopo il closing:

• Verbali del consiglio mancanti o stock option non aggiornate

• Lacune di sicurezza con un piano di rimedio definito

• Versionamento dei modelli non documentato

L'ordinamento guida la documentazione. Gli elementi che chiudono il deal fermano il processo. Quelli che muovono il prezzo diventano una valutazione più bassa o un earn-out legato alla performance verificata. Quelli sistemabili dopo il closing diventano condizioni di chiusura, escrow o trattenute legate a milestone di rimedio.

Come deve prepararsi un fondatore prima che si apra la data room?

Parti da 60 a 90 giorni prima del round. Esegui le stesse cinque aree come autovalutazione e sistema ciò che costa poco: assegna la proprietà intellettuale, ripulisci la cap table, riconcilia i ricavi con la banca, documenta le licenze sui dati di addestramento. Gli investitori prezzano ciò che i fondatori sanno dimostrare, e durante la diligence ogni affermazione non provata si trasforma in uno sconto.

Costruisci la data room come uno strumento operativo, non come una corsa dell'ultimo momento. Una chiusura mensile che produce gli stessi artefatti che un investitore chiederà rende il round successivo un'operazione di copia e incolla.

Per le aziende AI, prepara quattro documenti prima che qualcuno li chieda: un inventario dei dataset con i termini di licenza, una model card per ogni modello in produzione, un report di valutazione che descriva il set di test, e una tabella del costo per task per coorte. Questi quattro documenti rispondono in un solo passaggio alla maggior parte delle domande specifiche sull'AI.

Cosa faremmo davvero

Per un check seed o Serie A, rinuncia al pacchetto completo di consulenti esterni. Fai il passaggio database outside-in, due call con clienti e un controllo legale di una pagina su assegnazione dell'IP e cap table. Copre i fallimenti che davvero fanno saltare i deal.

Per una Serie B o un'acquisizione, paga per la revisione tecnica se la tesi AI è ciò che sostiene la valutazione. Un modello in affitto e uno proprietario hanno prezzi molto diversi, e l'unico modo per distinguerli è chiedere le prove.

Segnali, non narrazioni: il fascicolo di diligence è completo quando ogni affermazione del deck ha accanto un documento, oppure uno sconto.