Техническая проверка продукта, собранного на AI
Продукт, собранный за месяц с AI-ассистентом, может выглядеть таким же зрелым, как продукт, на который ушли годы. Технический due diligence нужен, чтобы понять разницу до сделки, а не после неё.
Кратко
Обычная техническая проверка смотрит на код, архитектуру, безопасность, команду, лицензии и инфраструктуру. У продукта, собранного с AI, к этому добавляются шесть вопросов: чьи права на код, какие лицензии пришли вместе с зависимостями, проверяет ли сервер доступ к данным, насколько продукт привязан к платформе, на которой собран, сколько стоит AI на одного пользователя и есть ли человек, который понимает систему без ассистента. Результат проверки не оценка «хорошо или плохо», а реестр: что исправить, сколько это стоит и что из этого должно войти в условия сделки.
Что входит в любую техническую проверку
- Качество кода и тесты: можно ли менять систему, не ломая её.
- Архитектура и масштабирование: выдержит ли система рост, заложенный в бизнес-плане.
- Безопасность: известные уязвимости, работа с секретами, контроль доступа.
- Команда: кто знает систему и что будет, если этот человек уйдёт.
- Лицензии и интеллектуальная собственность: что можно продавать.
- Инфраструктура и эксплуатация: сколько стоит содержать, как выкатываются изменения.
Это основа. Ниже то, что меняется, когда код писал AI.
Шесть вопросов, специфичных для AI
1. Чьи права на код
Бюро авторского права США в своём докладе об охраноспособности пришло к выводу, что результат работы AI охраняется, только если человек определил достаточно его выразительных элементов, и что одних промптов для этого недостаточно. Использование AI в работе человека само по себе не исключает охрану. Для сделки это значит: код, сгенерированный AI и не переработанный человеком, может оказаться активом с неясными правами. Проверяем, какая доля кода была существенно доработана людьми и как это отражено в истории репозитория.
2. Какие лицензии пришли вместе с зависимостями
Согласно отчёту Black Duck об открытом коде в коммерческих продуктах, открытый код есть почти во всех проверенных кодовых базах, а конфликты лицензий встречаются более чем в половине из них, причём заметная часть таких конфликтов приходит через транзитивные зависимости. AI-ассистент быстро подключает пакеты и не смотрит на лицензию. Проверяем полный список зависимостей, включая транзитивные, а также наличие пакетов, которых не существует или которые заброшены.
3. Проверяет ли сервер доступ к данным
Самый частый дефект AI-кода: права доступа проверяются в интерфейсе, а сервер выполняет запрос любого пользователя. Для покупателя это не технический долг, а риск утечки, который может обнаружиться уже после закрытия сделки. Проверяем доступ к каждой таблице и попытки прочитать чужие записи.
4. Насколько продукт привязан к платформе
Продукт, собранный в Lovable или Bolt, часто завязан на связку платформы, Supabase и нескольких облачных сервисов. Вопрос в том, собирается ли он из репозитория без платформы, кому принадлежат аккаунты и что будет, если платформа изменит условия.
5. Сколько стоит AI на одного пользователя
Если продукт сам обращается к моделям, у него появляется себестоимость, которой нет у обычного SaaS: каждый запрос пользователя стоит денег. Проверяем, сколько вызовов делает типичная сессия, есть ли лимиты и кеширование, и сходится ли это с ценой подписки из бизнес-плана.
6. Есть ли человек, который понимает систему
У продукта, собранного с AI, команда может состоять из основателя и ассистента. Проверяем, может ли кто-то объяснить, почему система устроена именно так, найти причину ошибки и выкатить исправление. Если нет, это главный пункт плана после сделки.
Что получает инвестор или покупатель
| Раздел отчёта | Что в нём |
|---|
| Реестр рисков | Каждый найденный дефект, его последствия и примерная трудоёмкость исправления |
| Что должно войти в сделку | Условия до закрытия, гарантии продавца, то, что стоит учесть в цене или в отложенном платеже |
| План первых ста дней | Порядок исправлений: сначала то, что нельзя исправить задним числом (утечки, доступ, резервные копии) |
| Карта зависимостей | Платформы, облачные сервисы, AI-провайдеры, лицензии |
Отчёт пишется для человека, который принимает решение о деньгах, а не для разработчика: каждый пункт сформулирован как риск и его цена, а не как замечание к коду.
Как проходит проверка
- Доступ на чтение к репозиторию, список сервисов и аккаунтов, описание продукта и плана роста.
- Разговор с тем, кто писал систему: как она устроена, что делал AI, что делали люди.
- Проверка кода, зависимостей, доступа к данным и инфраструктуры.
- Отчёт и разбор с инвестором или покупателем.
Доступ к рабочей базе с данными клиентов для проверки не нужен. Ключи и пароли не запрашиваются.
Частые вопросы
Чем due diligence AI-продукта отличается от обычного?
К обычным вопросам о коде, архитектуре и команде добавляются права на код, сгенерированный AI, лицензии автоматически подключённых зависимостей, проверка доступа к данным на сервере, привязка к платформе, себестоимость вызовов моделей и наличие человека, который понимает систему без ассистента.
Принадлежат ли права на код, написанный AI?
Согласно позиции Бюро авторского права США, результат AI охраняется, только если человек определил достаточно его выразительных элементов, одних промптов для этого недостаточно. Поэтому важно, какая часть кода была существенно переработана людьми. Окончательный вывод о правах делает юрист, а проверка даёт ему факты из репозитория.
Можно ли проверить продукт без доступа к данным клиентов?
Да. Достаточно доступа на чтение к репозиторию, списка сервисов и тестовой среды или учётной записи обычного пользователя. Рабочие ключи и пароли не нужны.
Что чаще всего находится в таких проверках?
Права доступа, которые проверяются только в интерфейсе, секреты в коде или в истории репозитория, зависимости с несовместимыми лицензиями, отсутствие проверенной резервной копии и ситуация, когда систему понимает только основатель вместе с AI-ассистентом.
Кто заказывает проверку?
Обычно инвестор или покупатель перед сделкой. Иногда сам основатель перед раундом: найти и закрыть проблемы до того, как их обнаружит чужая проверка, дешевле.
SLAtech LTD