KI für die GRI-Berichterstattung nutzen: Was automatisiert werden kann und was menschliches Urteilsvermögen erfordert

Die GRI-Anforderungen gelten für die berichtende Organisation. Ein KI-System kann Texte, Klassifizierungen oder Hinweise auf Anomalien erzeugen, wird dadurch aber nicht zum Datenverantwortlichen, Genehmiger der Wesentlichkeit, Rechtsberater, Anbieter von Prüfungssicherheit oder höchsten Leitungsorgan. Die Organisation muss weiterhin die Berichtsgrundsätze anwenden, überprüfbare Nachweise aufbewahren und jedes Urteil stützen.

Es gibt außerdem keine einzelne Kontrolle für die „KI-Genauigkeit“. Die Risiken unterscheiden sich je nach Aufgabe: Ein Fehler bei der Zusammenfassung, eine erfundene Angabe, eine fehlerhafte Berechnung, ein Verstoß gegen die Vertraulichkeit und eine übermäßig selbstsichere Schlussfolgerung zur Wesentlichkeit erfordern unterschiedliche Kontrollen. Das Betriebsmodell sollte den Anwendungsfall klassifizieren, bevor das Werkzeug eingesetzt wird.

1. Anwendungsfall und Risiko klassifizieren. Festlegen, ob das System einen Prozess automatisiert, unterstützt, eine Entscheidung informiert oder eine öffentliche Aussage entwirft.

2. Quellen- und Datenumfang genehmigen. Aktuelle offizielle Standards, kontrollierte Aufzeichnungen der Organisation und zulässige Zugriffsebenen verwenden.

3. Ausgabevertrag definieren. Das erforderliche Schema, unzulässige Aussagen, Vertrauenskennzeichnungen und das, was das System als unbekannt kennzeichnen muss, festlegen.

4. Mit Rückverfolgbarkeit generieren. Quellenanker, Modell/Version, Prompt/Vorlage, Abrufmenge und Ausgabe bewahren.

5. Technische Prüfung und Evidenzprüfung durchführen. Offenlegungskennungen, Abgrenzungen, Berechnungen, Fakten, Beispiele und Einschränkungen validieren.

6. Fachentscheidungen eskalieren. Rechtliche, menschenrechtliche, wissenschaftliche, versicherungsmathematische, Assurance- oder Datenschutzfragen qualifizierten Prüfern zuweisen.

7. Die kanonische Antwort und die öffentliche Formulierung genehmigen. Vorbereitung von der abschließenden technischen oder Governance-Genehmigung trennen.

8. Archivieren und überwachen. Akzeptierte Änderungen, abgelehnte Ausgaben, Vorfallaufzeichnungen, Regressionstests und Auslöser für Aktualisierungen aufbewahren.

Keine Quelle, keine normative Aussage: Das System muss eine Quellenlücke zurückgeben, statt die Logik aus dem Gedächtnis zu vervollständigen.

Abrufe aus genehmigten Dokumenten verwenden und für jede Aussage genaue Quellenanker speichern.

Alle GRI-Nummern, Titel, Ausgaben, Gültigkeitsdaten und Regeln zu Begründungen für Auslassungen unabhängig überprüfen.

Berechnungen in transparenten Tabellenkalkulationen oder in Code durchführen, nicht durch freie Sprachgenerierung.

Kandidatenzuordnungen von genehmigten Zuordnungen und Kandidatenformulierungen von veröffentlichten Formulierungen trennen.

Ein Register mit nicht zu verwendenden Aussagen zu Compliance, Zertifizierung, Gleichwertigkeit, Assurance und kausalen Auswirkungen verwenden.

Vertrauenskennzeichnungen verlangen und Bedingungen gemeinsam mit der Aussage, die sie qualifizieren, bewahren.

Regressionstests zu bekannten schwierigen Szenarien durchführen und Ausgaben vergleichen, wenn sich das Modell oder der Prompt ändert.

Personenbezogene, Beschwerde-, privilegierte oder vertrauliche Kundeninformationen von nicht genehmigten Systemen fernhalten.

Fehler und Beinahefehler überwachen und KI-generierte Inhalte zurückziehen, die nicht verifiziert werden können.

Das freiwillige AI Risk Management Framework des NIST strukturiert das Risikomanagement durch Govern, Map, Measure und Manage. Sein Generative AI Profile ergänzt auf Risiken generativer KI zugeschnittene Maßnahmen, während das Playbook vorgeschlagene Umsetzungsmaßnahmen und keine verpflichtende Checkliste bietet. Die OECD-KI-Prinzipien bekräftigen Transparenz, Erklärbarkeit, Robustheit, Sicherheit und Rechenschaftspflicht. Dies sind allgemeine Quellen zur Governance; sie ändern die GRI-Anforderungen nicht und machen einen KI-Output nicht technisch korrekt.

Ein hypothetisches Berichtsteam bittet ein generatives KI-Tool, aus einem Berichtsentwurf einen GRI Content Index zu erstellen. Das Tool identifiziert viele korrekte Verweise auf Angaben, erfindet jedoch zwei Angabennummern, kennzeichnet mehrere teilweise erfüllte Anforderungen als vollständig und beschreibt eine Assurance-Erklärung zu ausgewählten Emissionen als den Bericht abdeckend. Der kontrollierte Arbeitsablauf erkennt die Fehler, weil jeder Eintrag mit einer genehmigten Anforderung, einer genauen Stelle im Bericht und einer für den Nachweis verantwortlichen Person verknüpft werden muss. Der abschließende Prüfer verwirft die erfundenen Identifikatoren, erfasst unvollständige Anforderungen präzise und schränkt die Formulierung zur Assurance ein.

Einen Tonfall mit hoher Zuversicht als Beleg für die Richtigkeit zu behandeln.

Eine unkontrollierte Websuche zu verwenden, wenn aktuelle offizielle Standards im Quellenpaket verfügbar sind.

Dem Modell zu erlauben, GRI-, ESRS- und IFRS-Anforderungen zu einer falschen Gleichsetzung zusammenzuführen.

Die genaue Bedingung oder Ausnahme, die einer normativen Aussage beigefügt ist, nicht zu bewahren.

KI zu verwenden, um ohne rechtliche Beratung eine Begründung für die Auslassung oder eine rechtliche Schlussfolgerung zu formulieren.

Eine automatisierte Zuordnung auf Ebene des Titels der Angabe zu akzeptieren und dabei Teilanforderungen zu übersehen.

Keine Aufzeichnung des Modells, des Prompts, des Quellensatzes oder der Änderungen durch Menschen zu führen.

Zugriffsbeschränkte Beschwerde- oder personenbezogene Informationen in eine nicht genehmigte Umgebung einzugeben.

Die abschließende Genehmigung von Aussagen und Veröffentlichung derselben Person zu übertragen, die den Entwurf erstellt hat.

Für jede wesentliche KI-unterstützte Aufgabe sind der Anwendungsfall, das Modell, der Anbieter und die Version, die Version des Prompts oder Workflows, die genehmigte Quelle und der Abrufsatz, die Klassifizierung der Eingabe, die Ausgabe, die Quellenanker, die Vertrauenswürdigkeit und Einschränkungen, die menschliche Prüfung sowie die endgültige Entscheidung aufzubewahren. Bewahren Sie angenommene Bearbeitungen, verworfene Ausgaben, Vorfälle, Regressionstests und Auslöser für Aktualisierungen auf, damit das Ergebnis reproduziert und erneut geprüft werden kann, wenn sich Nachweise, Standards oder das Modell ändern.