Künstliche Intelligenz ist längst auch im Nachhaltigkeitsreporting angekommen. Sie kann Daten zusammenführen, größere Informationsmengen auswerten, Auffälligkeiten sichtbar machen und Berichtsentwürfe vorbereiten. Rechtlich bleibt der Einsatz jedoch anspruchsvoll: Unternehmen müssen klären, welche Vorgaben aus Nachhaltigkeitsberichtspflichten, Datenschutzrecht und KI-Regulierung einschlägig sind.
CSRD und ESRS: Berichtspflichten als Ausgangspunkt
Die Corporate Sustainability Reporting Directive, kurz CSRD, erweitert die Vorgaben zur Nachhaltigkeitsberichterstattung in der Europäischen Union. Ziel ist es, Nachhaltigkeitsinformationen vergleichbarer, verlässlicher und prüfbarer zu machen. Inhaltlich werden die Berichtspflichten durch die European Sustainability Reporting Standards konkretisiert. Der erste Satz der ESRS wurde durch die Delegierte Verordnung (EU) 2023/2772 eingeführt.
Für Unternehmen ist zunächst entscheidend, ob und ab wann sie nach den geänderten CSRD-Vorgaben berichtspflichtig sind. Durch das Omnibus-I-Paket wurde der Kreis der betroffenen Unternehmen auf EU-Ebene deutlich eingeschränkt; im Fokus stehen derzeit insbesondere Unternehmen mit mehr als 1.000 Beschäftigten und mehr als 450 Mio. Euro Nettoumsatzerlösen. Die nationale Umsetzung in Deutschland und die weitere Überarbeitung der ESRS sollten weiterhin beobachtet werden.
Unabhängig von einer gesetzlichen Berichtspflicht kann Nachhaltigkeitsberichterstattung auch faktisch relevant sein. Unternehmen können etwa durch Kunden, Banken, Investoren oder berichtspflichtige Geschäftspartner aufgefordert werden, Nachhaltigkeitsinformationen bereitzustellen.
KI-Einsatz im Reportingprozess
KI-Systeme können im Nachhaltigkeitsreporting an unterschiedlichen Stellen eingesetzt werden, zum Beispiel bei:
- der Sammlung und Strukturierung von Nachhaltigkeitsdaten,
- der Zusammenführung von Informationen aus verschiedenen Unternehmensbereichen,
- der Analyse größerer Datenmengen,
- der Identifikation von Auffälligkeiten oder Lücken,
- der Unterstützung bei Wesentlichkeitsanalysen,
- der Erstellung, Übersetzung oder Überarbeitung von Berichtstexten.
Rechtlich ist nicht allein der Einsatz von KI entscheidend. Maßgeblich ist vor allem, welchem Zweck das System dient, welche Daten es verarbeitet und welche Bedeutung die erzeugten Ergebnisse im weiteren Reportingprozess haben.
Ein KI-Tool, das lediglich Formulierungsvorschläge für einen Bericht erstellt, ist anders zu bewerten als ein System, das eigenständig Risiken bewertet, Personenprofile erstellt oder Entscheidungen vorbereitet.
Einordnung nach der KI-Verordnung
Die KI-Verordnung (Verordnung (EU) 2024/1689) verfolgt einen risikobasierten Ansatz. Nicht jedes KI-System unterliegt denselben Anforderungen. Die rechtliche Einordnung hängt insbesondere vom Zweck und vom Einsatzkontext des Systems ab.
Für KI im Nachhaltigkeitsreporting bedeutet das: Ein KI-System wird nicht allein deshalb zur Hochrisiko-KI, weil es im Zusammenhang mit CSRD- oder ESRS-Berichten eingesetzt wird. Eine Hochrisiko-Einordnung kommt vielmehr nur in Betracht, wenn der konkrete Einsatz einem der geregelten Hochrisikobereiche zugeordnet werden kann.
Besondere Vorsicht ist zum Beispiel geboten, wenn KI-Systeme eingesetzt werden für:
- Bewertungen von Beschäftigten oder Bewerbenden,
- Entscheidungen oder Empfehlungen im Personalmanagement,
- Kreditwürdigkeitsprüfungen oder finanzbezogene Risikobewertungen,
- Anwendungen in regulierten Finanzdienstleistungen,
- automatisierte Bewertungen, die erhebliche Auswirkungen auf betroffene Personen haben können.
Im Nachhaltigkeitsreporting können solche Bezüge etwa entstehen, wenn KI-Systeme Daten zu Beschäftigten, Arbeitsschutz, Diversität oder Governance nicht nur zusammenfassen, sondern bewerten oder für Entscheidungen nutzbar machen.
Betreiber, Anbieter oder bloßer Anwender?
Die KI-Verordnung unterscheidet zwischen verschiedenen Rollen. Besonders relevant sind die Rollen als Anbieter und Betreiber eines KI-Systems.
Ein Unternehmen, das ein externes KI-Tool im eigenen Reportingprozess nutzt, wird regelmäßig eher als Betreiber einzuordnen sein. Entwickelt ein Unternehmen dagegen selbst ein KI-System oder bringt es ein solches System unter eigenem Namen auf den Markt, können Anbieterpflichten relevant werden.
Die genaue Rolle ist wichtig, weil sich daraus unterschiedliche Pflichten ergeben können. Je nach System und Risikoklasse können unter anderem Anforderungen an Transparenz, Dokumentation, menschliche Aufsicht, Risikomanagement oder bestimmungsgemäße Verwendung entstehen.
Für die Praxis bedeutet das: Unternehmen sollten nicht nur das Tool selbst erfassen, sondern auch dokumentieren, in welcher Rolle sie handeln und wofür das System konkret eingesetzt wird.
Datenschutz und Geschäftsgeheimnisse
Beim KI-Einsatz im Nachhaltigkeitsreporting können personenbezogene Daten verarbeitet werden. Das betrifft zum Beispiel Angaben zu Beschäftigten, Diversität, Arbeitsschutz, Weiterbildung, Beschwerden oder Governance-Strukturen. In solchen Fällen ist zusätzlich die Datenschutz-Grundverordnung, also die Verordnung (EU) 2016/679, zu beachten.
Unternehmen sollten insbesondere prüfen:
- Welche personenbezogenen Daten werden verarbeitet?
- Gibt es eine tragfähige Rechtsgrundlage?
- Werden besondere Kategorien personenbezogener Daten verarbeitet?
- Werden Daten an externe KI-Anbieter übermittelt?
- Liegt eine Auftragsverarbeitung oder eine andere datenschutzrechtliche Konstellation vor?
- Werden Eingaben gespeichert oder zum Training des Modells verwendet?
Neben dem Datenschutz können auch vertrauliche Unternehmensinformationen oder Geschäftsgeheimnisse betroffen sein. Werden unveröffentlichte Nachhaltigkeitsdaten, interne Risikobewertungen oder strategische Informationen in externe KI-Systeme eingegeben, sollte geprüft werden, ob dies mit internen Vertraulichkeitsvorgaben und dem Schutz von Geschäftsgeheimnissen vereinbar ist.
Verantwortung für Berichtsinhalte bleibt beim Unternehmen
Der Einsatz von KI ändert nichts daran, dass das Unternehmen für die Richtigkeit, Vollständigkeit und Nachvollziehbarkeit seiner Nachhaltigkeitsinformationen verantwortlich bleibt. KI kann den Reportingprozess unterstützen, übernimmt aber keine rechtliche Verantwortung.
KI-generierte Texte, Analysen oder Zusammenfassungen sollten daher nicht ungeprüft übernommen werden. Besonders wichtig sind:
- fachliche Kontrolle der Ergebnisse,
- Prüfung auf Plausibilität und Widerspruchsfreiheit,
- Dokumentation der verwendeten Datenquellen,
- Nachvollziehbarkeit der wesentlichen Aussagen,
- klare Freigabeprozesse,
- eindeutige Zuständigkeiten im Unternehmen.
Gerade bei Nachhaltigkeitsberichten können fehlerhafte oder nicht belegbare Aussagen rechtliche und reputative Risiken auslösen. Das gilt insbesondere bei Aussagen zu Klimazielen, Emissionen, Lieferketten, sozialen Kennzahlen oder Governance-Strukturen.
Bedeutung des KI-MIG
Das KI-Marktüberwachungs- und Innovationsförderungsgesetz, kurz KI-MIG, dient der nationalen Durchführung der europäischen KI-Verordnung. Es konkretisiert insbesondere Zuständigkeiten, Aufsichtsstrukturen, innovationsfördernde Maßnahmen und Vorschriften für Bußgeldverfahren.
Eine zentrale Rolle übernimmt dabei die Bundesnetzagentur. Sie wird, vorbehaltlich bestimmter Sonderzuständigkeiten, nationale Aufsichtsbehörde für KI-Systeme und fungiert zugleich als zentrale Anlauf- und Beschwerdestelle. Je nach Einsatzbereich können daneben weitere Behörden zuständig sein, etwa die BaFin bei KI-Systemen mit direktem Bezug zu regulierten Finanztätigkeiten, Datenschutzaufsichtsbehörden bei datenschutzrechtlichen Fragen oder sektorspezifische Marktaufsichtsbehörden bei bestimmten KI-Produkten.
Für Unternehmen, die KI im Nachhaltigkeitsreporting einsetzen, ist das KI-MIG vor allem relevant, weil es die behördliche Aufsicht in Deutschland konkretisiert. Die materiellen Anforderungen ergeben sich jedoch vor allem aus der KI-Verordnung selbst sowie aus weiteren einschlägigen Regelungen, etwa Datenschutzrecht, Berichtspflichten und gegebenenfalls branchenspezifischem Aufsichtsrecht. (weitere Informationen im Beitrag Neues Gesetz zur deutschen Marktaufsicht für KI)
Praxis-Check: Was Unternehmen dokumentieren sollten
Unternehmen sollten den Einsatz von KI im Nachhaltigkeitsreporting strukturiert erfassen. Sinnvoll ist insbesondere eine Dokumentation zu folgenden Punkten:
- Eingesetzte KI-Systeme: Welche KI-Tools werden im Reportingprozess verwendet?
- Zweck des Einsatzes: Dient das System nur der Unterstützung oder beeinflusst es Bewertungen, Priorisierungen oder Entscheidungen?
- Rolle des Unternehmens: Handelt das Unternehmen als Betreiber, Anbieter oder in einer anderen Rolle?
- Risikoeinstufung: Könnte der konkrete Einsatz einem Hochrisikobereich der KI-Verordnung zugeordnet werden?
- Datenbasis: Welche Daten werden verarbeitet? Sind personenbezogene, vertrauliche oder geschäftskritische Informationen betroffen?
- Kontrollmechanismen: Wer prüft KI-generierte Ergebnisse fachlich und rechtlich, bevor sie verwendet oder veröffentlicht werden?
- Nachvollziehbarkeit: Können wesentliche Berichtsaussagen auf belastbare Datenquellen zurückgeführt werden?
- Anbieterprüfung: Welche Informationen stellt der Anbieter des KI-Systems zu Datenschutz, Sicherheit, Transparenz und Datennutzung bereit?
Fazit
KI kann das Nachhaltigkeitsreporting erheblich erleichtern. Sie ersetzt aber weder belastbare Daten noch fachliche Prüfung oder rechtliche Verantwortung. Maßgeblich ist nicht der bloße Einsatz von KI, sondern der konkrete Zweck, die Datenbasis, die Rolle des Unternehmens und die Bedeutung der KI-Ergebnisse im Reportingprozess.
Nicht jedes KI-System im CSRD- oder ESRS-Kontext ist Hochrisiko-KI. Unternehmen sollten den Einsatz dennoch als Compliance-Thema behandeln: Systeme erfassen, Rollen klären, Risiken prüfen, Daten schützen und Ergebnisse kontrollieren. So lässt sich KI im Nachhaltigkeitsreporting rechtssicherer und verantwortungsvoller einsetzen.
Hinweis zur Aktualität:
Die Rechtslage zur CSRD, zu den ESRS und zur KI-Regulierung entwickelt sich weiter. Unternehmen sollten daher vor konkreten Umsetzungsentscheidungen aktuelle Gesetzesfassungen, behördliche Hinweise und gegebenenfalls rechtliche Beratung heranziehen.
Weiterführende Quellen
- Corporate sustainability reporting: https://finance.ec.europa.eu/financial-markets/company-reporting-and-auditing/company-reporting/corporate-sustainability-reporting_en
- Gesetz zur Umsetzung der Richtlinie (EU) 2022/2464 hinsichtlich der Nachhaltigkeitsberichterstattung von Unternehmen in der durch die Richtlinie (EU) 2025/794 geänderten Fassung: https://www.bmjv.de/SharedDocs/Gesetzgebungsverfahren/DE/2025_CSRD-UmsG.html?nn=110490 [extrnal_link]
- Gesmann-Nuissl/Tacke, Grün in die Zukunft – Rechtssichere Einführung und Umsetzung von Energiemanagementsystemen, in Gert/Heim (Hrsg.) Entrepreneurship der Zukunft, https://link.springer.com/book/9783658511326 (im Erscheinen)
