Due diligence legal en una ronda de inversión: qué revisa el inversor y qué corregir antes de abrir la ronda

La ronda está encaminada. Hay un term sheet firmado, una valoración pactada y un fondo que ha dicho que sí. Lo que viene después no lo controla el equipo fundador: el abogado del inversor abre el data room y empieza a buscar motivos para pagar menos, exigir más garantías o condicionar el desembolso. No es hostilidad, es su trabajo. Cada hallazgo que encuentre se traduce en un descuento sobre la valoración, en una cláusula de indemnidad o en una condición suspensiva que retrasa el cierre semanas.

Casi todos esos hallazgos son previsibles y casi todos se corrigen antes de abrir la ronda a un coste muy inferior al que cuestan una vez detectados por la otra parte. La diferencia entre las dos situaciones no está en el fondo del problema, que suele ser el mismo, sino en quién lo encuentra primero y quién fija el precio de resolverlo. Lo que sigue es la lista de lo que un abogado especializado revisa en una startup tecnológica española, ordenada por lo que más pesa en la negociación, y lo que conviene tener resuelto antes de que alguien externo lo lea.

Cap table y pacto de socios: lo primero que se lee

La revisión empieza por comprobar que quien dice ser socio lo es, con qué porcentaje y con qué derechos. Suena elemental y es donde más rondas se atascan. Los problemas habituales: participaciones prometidas a colaboradores tempranos sin documento que las respalde, phantom shares o stock options concedidas por correo electrónico sin plan aprobado en junta, notas convertibles con cláusulas de conversión incompatibles con la ronda actual y transmisiones de participaciones nunca elevadas a público ni inscritas en el libro registro de socios.

El pacto de socios se lee entero. Si no existe, el inversor lo redactará él y en sus términos. Si existe, se comprueba que el vesting de los fundadores esté vivo, que las cláusulas de arrastre y acompañamiento no bloqueen una salida futura y que no haya derechos de veto de socios minoritarios que puedan paralizar la propia ampliación de capital. Un pacto de socios de plantilla, firmado en la constitución y nunca revisado, es un hallazgo casi seguro.

Los préstamos participativos merecen atención propia. Los de ENISA y organismos similares computan como patrimonio neto a efectos de la causa de disolución por pérdidas del artículo 363.1.e) de la Ley de Sociedades de Capital, lo que salva a muchas startups de estar formalmente en causa de disolución. Pero sus contratos suelen incorporar obligaciones de información y limitaciones que el inversor querrá conocer, y la ronda puede exigir la autorización previa del prestamista.

Propiedad intelectual: quién es dueño del código

Es el hallazgo que más valoración destruye cuando aparece, y aparece con frecuencia. La pregunta es simple: ¿la sociedad es titular de los derechos de explotación sobre el software que constituye su producto? La respuesta depende de quién lo escribió y bajo qué relación.

Si lo escribió un empleado en el ejercicio de sus funciones, el artículo 97.4 del texto refundido de la Ley de Propiedad Intelectual atribuye los derechos de explotación al empresario, salvo pacto en contrario. Ese es el caso fácil. El caso difícil es el habitual en fases tempranas: el código lo escribieron los fundadores antes de constituir la sociedad, un freelance contratado por factura o una agencia externa. En ninguno de esos supuestos opera la presunción legal. Sin una cesión expresa y por escrito de los derechos de explotación, que exige el artículo 45 de la misma ley, los derechos siguen en manos de quien escribió el código, y la sociedad está explotando un activo que no es suyo.

La solución antes de la ronda es un contrato de cesión de derechos con cada persona que haya contribuido al producto, fundadores incluidos, con efecto retroactivo y con contraprestación identificada. La solución durante la ronda es la misma, pero negociada con prisa, con el freelance sabiendo que la ronda depende de su firma y con el inversor exigiéndola como condición suspensiva.

El segundo frente son las licencias de código abierto. Un componente bajo licencia copyleft fuerte, como GPL o AGPL, integrado en el núcleo de un producto que se comercializa como propietario, obliga en determinadas condiciones a liberar el código derivado bajo la misma licencia. Un inventario de dependencias con sus licencias, y un análisis de compatibilidad con el modelo de negocio, forma parte de la documentación que el abogado del inversor pedirá y que conviene tener hecha.

Las marcas y los dominios cierran el bloque. La marca del producto registrada a nombre de un fundador y no de la sociedad, o sin registrar en absoluto mientras un tercero la tiene en la OEPM o la EUIPO, son incidencias menores en coste y mayores en efecto sobre la confianza.

Datos personales: la parte que se audita con más método

Casi toda startup tecnológica trata datos personales, y el RGPD lleva vigente desde 2018, de modo que aquí no hay fase transitoria que invocar. Lo que se pide: el registro de actividades de tratamiento del artículo 30, los contratos de encargo del artículo 28 con cada proveedor que accede a datos (hosting, analítica, CRM, soporte, proveedores de IA), la base jurídica de cada tratamiento y las evaluaciones de impacto cuando procedan. La ausencia del registro de actividades se corrige en días. La ausencia de contratos de encargo con proveedores estadounidenses obliga a revisar además el mecanismo de transferencia internacional.

Ese punto tiene calendario propio. El Data Privacy Framework UE-EE. UU. sigue vigente tras la sentencia del Tribunal General de 3 de septiembre de 2025 en el asunto Latombe, pero el recurso ante el Tribunal de Justicia (asunto C-703/25 P) está pendiente y Microsoft se ha personado en junio de 2026 para defender el marco. Un inversor informado preguntará qué pasa con la infraestructura de la startup si el DPF cae por tercera vez. La respuesta razonable es tener las cláusulas contractuales tipo firmadas en paralelo con los proveedores críticos, y poder enseñarlas. Si la empresa vende a clientes de fuera de la Unión, la revisión se amplía a la arquitectura de cumplimiento que cubre nuestro servicio de EU Data Compliance.

Sistemas de IA: la clasificación que el inversor ya pide

Desde 2025 es raro el data room que no incluya una pregunta sobre el AI Act, y desde el 2 de agosto de 2026 la pregunta viene con obligaciones exigibles detrás. Lo que el inversor quiere ver es un inventario de los sistemas de IA que la startup desarrolla o utiliza, la clasificación de riesgo de cada uno con el razonamiento por escrito y la respuesta a una pregunta que cambia el importe de las obligaciones: en cada sistema, ¿la empresa es proveedor o responsable del despliegue?

El calendario, tal como queda tras el Reglamento (UE) 2026/1744, es este: las obligaciones de transparencia del artículo 50 se aplican desde el 2 de agosto de 2026; el 2 de diciembre de 2026 entran dos prohibiciones nuevas del artículo 5 y termina el transitorio de marcado de contenido sintético para sistemas ya comercializados; las obligaciones de alto riesgo del Anexo III quedan aplazadas al 2 de diciembre de 2027. Ninguna de esas fechas aplaza la clasificación, que es el trabajo previo sin el cual no se sabe qué fecha aplica. Lo desglosamos en el checklist del AI Act.

El hallazgo caro en este bloque es el proveedor accidental del artículo 25: una startup que se considera usuaria de un modelo de terceros pero lo ha reentrenado con sus propios datos, lo comercializa bajo su marca o lo usa para una finalidad distinta de la prevista por el fabricante. En cualquiera de esos casos asume las obligaciones de proveedor, y si el sistema encaja en el Anexo III, las de proveedor de alto riesgo. Un inversor que detecte eso no descuenta el coste de la documentación: descuenta el riesgo de que el producto no pueda comercializarse en la Unión tal como está construido.

Contratos: lo que se firmó y lo que se firmará

Los contratos con clientes se revisan buscando tres cosas: cláusulas de cambio de control que permitan a un cliente relevante resolver el contrato al entrar el inversor, limitaciones de responsabilidad inexistentes o inaplicables y compromisos de nivel de servicio que la empresa no puede cumplir con su infraestructura actual. Los términos y condiciones de la plataforma se revisan buscando si son ejecutables frente a consumidores conforme a la normativa española, porque unos T&C traducidos de un modelo estadounidense casi nunca lo son.

Hay una capa reciente que se está colando en los contratos B2B: las cláusulas de ciberseguridad que trasladan obligaciones de NIS2 a proveedores que no son entidades esenciales ni importantes. Si la startup vende a gran empresa o a sector público, probablemente ya ha firmado alguna. Lo que asumió en ella, y en particular el régimen de responsabilidad, lo explicamos en la guía sobre cláusulas NIS2 para proveedores.

Laboral, fiscal y el estatus de empresa emergente

La revisión laboral busca falsos autónomos entre quienes trabajan a jornada completa para la empresa bajo contrato mercantil, pactos de exclusividad y no competencia sin compensación, que son nulos, y planes de retribución variable no documentados. En la fiscal, además de las declaraciones al día, se comprueba si la empresa ha obtenido la certificación de empresa emergente de ENISA conforme a la Ley 28/2022. La certificación condiciona el tipo reducido del 15 % en el Impuesto sobre Sociedades, la exención de hasta 50.000 euros anuales en la entrega de participaciones a empleados y la deducción del 50 % para el propio inversor en la ronda. Si no está tramitada, el inversor pierde un incentivo y lo hará constar; si está tramitada pero los requisitos han dejado de cumplirse, el problema es mayor, porque los beneficios ya aplicados pueden regularizarse.

Qué pasa con cada hallazgo en la negociación

Los hallazgos de una due diligence no desaparecen: se trasladan al contrato de inversión de una de estas formas. Como condición suspensiva, que retrasa el desembolso hasta que se resuelvan (la cesión de derechos del freelance, el contrato de encargo que faltaba). Como manifestación y garantía de los fundadores, que convierte cada afirmación del data room en una obligación de indemnizar si resulta falsa. Como indemnidad específica, cuando el riesgo es identificable y cuantificable (una reclamación pendiente, una inspección abierta). O como ajuste de valoración, cuando el riesgo es difuso y el inversor prefiere pagar menos a negociar garantías.

El orden de preferencia de los fundadores es el inverso al del inversor. Por eso conviene llegar a la ronda con los hallazgos ya identificados y, en lo posible, resueltos: lo que se corrigió antes no aparece en el informe, lo que se identificó pero no se pudo corregir se negocia con un plan y un coste conocidos, y solo lo que se descubre durante el proceso se paga a precio de contraparte.

Hacer ese trabajo antes de abrir la ronda es lo que cubre nuestro servicio de Due Diligence Tech, con alcance y precio cerrado desde 5.000 € + IVA definidos antes de empezar y sin sorpresas por el número de hallazgos. Si la sociedad todavía no está constituida o acaba de constituirse, el momento de resolver casi todo lo anterior es la propia constitución, y ahí encaja el Founding Pack. Los precios de referencia de ambos, y del resto de encargos para empresas tecnológicas, están publicados en esta guía de honorarios para startups.

Preguntas frecuentes

¿Cuánto dura una due diligence legal en una ronda seed o serie A?

Entre dos y cuatro semanas desde la apertura del data room, si la documentación está ordenada. Cada hallazgo que exija subsanación añade el tiempo de obtener la firma de un tercero, y ahí se van las semanas: un freelance que ya no colabora con la empresa, un socio minoritario que no contesta, un proveedor que tarda en firmar el contrato de encargo.

¿Puede un inversor retirarse por un hallazgo de la due diligence?

Sí, si el term sheet condiciona la inversión al resultado satisfactorio de la revisión, que es lo habitual. En la práctica los inversores rara vez se retiran por hallazgos subsanables; lo que hacen es trasladarlos al contrato como condiciones suspensivas, garantías o ajustes de valoración. La retirada se produce ante hallazgos que afectan a la titularidad del producto o a la legalidad del modelo de negocio.

¿Qué es una due diligence vendedora y cuándo compensa?

Es la revisión que encarga la propia startup antes de abrir la ronda, con el mismo método que aplicará el abogado del inversor. Compensa siempre que la ronda tenga cuantía suficiente para que un descuento de valoración supere el coste del encargo, y eso ocurre desde importes bajos: un solo hallazgo de propiedad intelectual sin resolver puede costar más que la revisión completa.

¿Los fundadores responden personalmente de las manifestaciones y garantías?

Depende de cómo se redacte el contrato de inversión. Es frecuente que las manifestaciones las otorguen la sociedad y los fundadores conjuntamente, con responsabilidad limitada en importe y en plazo. Negociar esos límites, y excluir de las garantías lo que ya se ha revelado en el data room, es una de las funciones del asesor de los fundadores en la ronda.

¿Es lo mismo la due diligence legal que la tecnológica?

No. La tecnológica revisa arquitectura, deuda técnica, seguridad y escalabilidad del producto. La legal revisa quién es titular de ese producto, bajo qué licencias se construyó, qué datos trata y con qué base, y qué obligaciones regulatorias le aplican. En una empresa de software las dos se solapan en la propiedad del código y en la clasificación de los sistemas de IA, y conviene que quien haga la legal pueda leer el resultado de la tecnológica.