KI in M&A: Anwendungsfälle, Vertraulichkeitsrisiken und ein sicherer Workflow

KI hilft in M&A am meisten dort, wo die Arbeit aus umfangreichem Lesen und Montieren besteht: Dokumentenprüfung in der Due Diligence, Extraktion von Klauseln aus Vertragsbeständen, Vergleichstabellen aus freigegebenen Daten und Gremienunterlagen aus kontrollierten Quellen. Sie hilft am wenigsten, und erzeugt die größte Exponierung, ausgerechnet dort, wo die Versuchung zuerst hinführt: ein Allzweckwerkzeug auf einen Datenraum zu richten.

Der Grund ist nicht Modellqualität. Der Grund ist, dass M&A eine Vertraulichkeitsstruktur hat, die kaum ein anderer Geschäftsprozess kennt, und die meisten KI Werkzeuge wurden nicht mit dieser Struktur im Kopf gebaut.

Ich lege dar, wo die Linie liegt.

Was M&A anders macht

Drei Eigenschaften, und jede einzelne würde eine Sonderbehandlung rechtfertigen.

Information ist bewusst kompartimentiert. Deal Teams sind absichtlich getrennt. Wall Crossing ist ein dokumentiertes Ereignis. Wer wann was weiß, ist kein Verwaltungsdetail, sondern die Kontrollstruktur.

Zusagen wirken gegenüber Dritten. Eine Vertraulichkeitsvereinbarung mit der Gegenseite kann beschränken, wer Zugriff hat, wo verarbeitet werden darf und was bei einem Abbruch passiert. Eine Werkzeugentscheidung kann einen Vertrag verletzen, den Ihr Haus unterschrieben hat, und geschädigt wird die Gegenseite.

Material kann kursrelevant sein. Wo Insiderinformationen im Spiel sind, ist eine unbeabsichtigte Offenlegung nicht bloß peinlich. Sie zieht eine ganz andere Kategorie von Folgen nach sich.

Jeder KI Einsatz in dieser Umgebung muss alle drei respektieren, und zwar strukturell und nicht dadurch, dass Menschen um zwei Uhr nachts während eines Diligence Sprints sorgfältig sind.

Wo KI wirklich hilft

Dokumentenprüfung in großem Umfang. Der stärkste Anwendungsfall im gesamten Prozess. Ein Vertragsbestand mit mehreren tausend Dokumenten, gelesen gegen konkrete Fragen: Change of Control Klauseln, Abtretungsverbote, Kündigungsrechte, Exklusivität, Meistbegünstigung, ungewöhnliche Haftungsobergrenzen. Voraussetzung: Jeder Befund trägt eine Fundstelle mit Dokument und Seite, und das System meldet, was es nicht gefunden hat, statt nichts zu melden.

Extraktion von Klauseln in eine strukturierte Tabelle. Einen Vertragsbestand in einen vergleichbaren Datensatz überführen. Enorm schneller als manuelle Prüfung und überprüfbar, weil jede Zeile auf eine Quelle zeigt.

Vergleichstabellen zu Unternehmen und Transaktionen. Aus freigegebenen Daten mit Stichtagen. Mechanisch, umfangreich, prüfbar.

Montage von Managementpräsentationen und Gremienunterlagen. Aus kontrollierten Quellen in die freigegebene Vorlage, mit nativen Diagrammen samt Daten.

Synthese von Prüfungsergebnissen. Befunde aus den Workstreams in eine strukturierte Issue Liste mit Schweregrad, Owner und Status überführen. Nützlich, weil die Quellbefunde existieren und geprüft werden können.

Qualitätsprüfung des Dokumentensatzes. Zahlenkonsistenz über das Paket, Verwendung definierter Begriffe, Querverweise, fehlende Anlagen, Einheiten und Währungen. Nur lesend, sofortiger Nutzen, fängt die Fehler, die in einem Gremium Glaubwürdigkeit kosten.

Index und Lückenanalyse des Datenraums. Was angefordert, was geliefert, was offen ist. Mechanisch und stumpf, also genau das Profil, das sich gut automatisiert.

Wo sie nichts zu suchen hat

Investmentthese und Bewertungssicht. Das sind die Urteile, für die das Deal Team einsteht. Entwurfsunterstützung rund um eine getroffene Entscheidung ist in Ordnung. Die Entscheidung nicht, und ein Gremium, das nicht benennen kann, welcher Mensch eine Sicht gebildet hat, hat unabhängig vom Werkzeug ein Governanceproblem.

Rechtliche Schlussfolgerungen. Ob eine Klausel durchsetzbar ist, ob eine Change of Control Regelung ausgelöst wird, ob eine Genehmigung nötig ist. Extraktion und Markierung ja. Schlussfolgerung nein.

Alles, was eine Transaktionsgrenze überschreitet. Das ist eine harte strukturelle Grenze und keine Richtlinienpräferenz.

Material mit Insiderbezug ohne die dort erforderlichen Kontrollen. Hat Ihre Compliance den Prozess für diese Kategorie nicht ausdrücklich freigegeben, ist er nicht freigegeben.

Nicht abgestimmte Zahlen in einer Gremienunterlage. Jede Zahl, die ein Gremium sieht, sollte auf eine Quelle zurückführen. Eine plausible Zahl in einem professionell formatierten Deck führt zu Handlungen.

Die Vertraulichkeitsarchitektur

Dieser Teil entscheidet, ob irgendetwas oben sicher ist, deshalb werde ich konkret.

Deal Team Trennung ist absolut. Jede Transaktion erhält einen eigenen Workspace. Retrieval überschreitet nie eine Grenze. Nicht mit Warnung, nicht mit Berechtigungsabfrage. Es liefert nichts und deutet nicht an, dass etwas existiert.

Der Agent läuft mit den Rechten der Nutzerin. Nie mit einer Dienstidentität mit breitem Lesezugriff. Das ist die Abkürzung, die Demos beeindruckend macht und einen Pfad zur Rechteausweitung mit freundlicher Oberfläche schafft.

Die Grenze gegnerisch testen, vor der Transaktion. Legen Sie eine Nutzerin außerhalb eines Deal Teams an. Formulieren Sie eine Anfrage, die zum Abruf über die Wand verleitet. Bestätigen Sie, dass die Antwort Schweigen ist. Fahren Sie den Test über Hauptoberfläche, Suche, Export, Freigabelinks und jede Schnittstelle, denn das Versagen sitzt fast immer in einer anderen Oberfläche als der Hauptoberfläche.

Das Werkzeug gegen die Vertraulichkeitsvereinbarung prüfen, nicht nur gegen Ihre Richtlinie. Beschränkt eine Zusage Verarbeitungsorte, Unterauftragsvergabe oder Zugriffe, muss das Werkzeug der Zusage entsprechen, die Ihr Haus unterschrieben hat. Das sollte das Transaktionsrecht bestätigen, bevor das Werkzeug Material der Gegenseite berührt.

Löschung muss real und vorführbar sein. Platzt ein Deal, muss das Material weg. Uploads, Prompts, Suchindizes, Entwürfe, erzeugte Dateien, Protokolle und Backups. Lassen Sie sich eine Löschung vor Beginn vorführen, nicht danach.

Die DSGVO Lage in der Due Diligence

Personenbezogene Daten sind in der Due Diligence durchgehend vorhanden und werden häufig unterschätzt. Mitarbeiterlisten mit Vergütung. Managementbewertungen. Kundendaten. Verträge mit Personennennung. Prozessakten. Versorgungsdaten, häufig besondere Kategorien.

Vier Punkte brauchen eine Entscheidung statt einer Annahme:

Rechtsgrundlage. Für die Verarbeitung von Beschäftigtendaten der Gegenseite in der Due Diligence muss sie bestimmt und dokumentiert werden, und Einwilligung ist es selten.

Minimierung vor dem Upload. Schwärzen, aggregieren oder ausnehmen. Am sichersten sind die personenbezogenen Daten, die der Prozess nie erhält, und die Due Diligence ist einer der einfachsten Orte, um zu viel zu erheben, weil der Datenraum alles auf einmal liefert.

Auftragsverarbeitung. Eine Vereinbarung nach Artikel 28 mit dem Anbieter, wo er als Auftragsverarbeiter handelt, mit Bedingungen, die zu den tatsächlichen Datenflüssen passen.

Aufbewahrung nach der Transaktion. Was passiert mit personenbezogenen Daten bei Abschluss und bei Abbruch. Diese Frage stellt am Anfang niemand und am Ende brauchen alle die Antwort.

Der sichere Workflow

Vor Beginn der Transaktion. Das Werkzeug für diese Transaktionskategorie freigeben. Verarbeitungskette, Trainingsposition und Löschfähigkeit bestätigen. Vereinbarkeit mit der Vertraulichkeitsvereinbarung prüfen. Einen isolierten Workspace anlegen. Verbotene Eingaben definieren. Das Team briefen, was hochgeladen werden darf und was nicht.

Während der Due Diligence. An der Quelle minimieren, vor dem Upload. Das Werkzeug für Lesen und Extraktion nutzen, mit Quellenpflicht bei jedem Befund. Befunde bis zu Dokument und Seite nachvollziehbar halten. Eine extrahierte Klausel wird nie ohne juristische Prüfung zur rechtlichen Schlussfolgerung.

Während der Erstellung der Unterlagen. Aus kontrollierten Quellen in die freigegebene Vorlage montieren. Native Diagramme mit Daten. Quellenangaben an jeder wesentlichen Zahl. Lückenmarkierungen, wo Evidenz fehlt, und keine Freigabe, solange Markierungen bestehen.

Vor dem Gremium. Automatisch abstimmen: Summen, Konsistenz über Dokumente, Einheiten, Währungen, definierte Begriffe, Querverweise. Danach prüft ein Mensch Argument und Urteil, und dafür ist seine Zeit da.

Bei Abschluss oder Abbruch. Finale Fassungen mit Quellensets einfrieren. Löschung über alle Orte ausführen. Bestätigen. Nur das archivieren, was Ihre eigenen Aufbewahrungspflichten verlangen.

Die Checkliste für das Deal Team

Der EU AI Act, kurz

Die Pflicht zur KI Kompetenz nach Artikel 4 gilt für Betreiber seit dem 2. Februar 2025. In einem Deal Team ist das keine Formalie: Wer ein System zur Dokumentenprüfung nutzt, ohne zu verstehen, wie es scheitert, kann über dessen Ergebnisse kein sinnvolles Urteil fällen, und das typische Fehlerbild ist hier ein selbstbewusster Befund ohne Grundlage.

Die Transparenzpflichten nach Artikel 50 gelten seit dem 2. August 2026. Die Pflichten für Hochrisikosysteme nach Anhang III wurden durch die Verordnung (EU) 2026/1744 auf den 2. Dezember 2027 verschoben.

Ein Werkzeug zur Prüfung von Unterlagen ist meist kein Hochrisikosystem, kommen Sie zu diesem Ergebnis aber über eine dokumentierte Prüfung, besonders wenn Ergebnisse Beschäftigungsfragen berühren.

Was sich für ein Deal Team tatsächlich ändert

Das realistische Bild, gestützt auf das, was in der Praxis hält, und nicht auf das, was versprochen wird.

Das Lesen in der Due Diligence komprimiert deutlich. Eine Vertragsprüfung, die eine Woche Associate Zeit verbraucht hat, schrumpft erheblich, und die Qualität steigt oft, weil ein System jedes Dokument gleich sorgfältig liest, während ein müder Mensch die letzten zweihundert überfliegt.

Die Erstellung der Unterlagen komprimiert. Montage, Formatierung, Diagrammbau und Abstimmung sind mechanisch.

Urteil komprimiert nicht, und das ist richtig so. Die gewonnene Zeit sollte in bessere Rückfragen zu den Befunden fließen, in härteres Prüfen der These und in mehr Prozesszeit für die zwei oder drei Themen, die tatsächlich über den Erfolg entscheiden.

Das Fehlerbild, auf das zu achten ist: ein Team, das weniger liest, weil die Zusammenfassung gut war. Eine erzeugte Issue Liste ist ein Ausgangspunkt für Untersuchung und kein Ersatz dafür, und die Themen, die Transaktionen töten, lassen sich selten gut zusammenfassen.

Wo offgen passt

offgen hält Transaktionsmaterial in nativer PowerPoint Form und innerhalb von Workspace Grenzen, die auf Ihre Deal Teams abbilden. Retrieval läuft mit den Rechten der Nutzerin, und eine Anfrage ohne Treffer erzeugt eine markierte Lücke statt einer Erfindung. Quellenangaben und Datensatzkennungen überleben bis in die Unterlage, was zählt, wenn ein Gremium eine Zahl hinterfragt.

Unser Trust Center, die Security Übersicht und der Auftragsverarbeitungsvertrag liefern das Material für die oben beschriebene Bewertung, einschließlich Verarbeitungsorten, Unterauftragsverarbeitern und der vertraglichen Position zum Training.

Die Regel, an der ich in diesem Sektor festhalten würde: Die Grenze ist keine Richtlinie, sie ist eine Eigenschaft des Systems. Hängt Ihre Vertraulichkeit davon ab, dass Menschen um zwei Uhr nachts während eines Diligence Sprints vorsichtig sind, haben Sie keine Grenze. Sie haben eine Hoffnung.