AI gebruiken voor GRI-rapportage: wat kan worden geautomatiseerd en waarvoor menselijk oordeel vereist is

De vereisten van GRI zijn van toepassing op de rapporterende organisatie. Een AI-systeem kan tekst, classificaties of signaleringen van afwijkingen produceren, maar het wordt niet de gegevenseigenaar, goedkeurder van materialiteit, juridisch adviseur, assuranceverlener of hoogste bestuursorgaan. De organisatie moet de rapportageprincipes nog steeds toepassen, verifieerbaar bewijs bewaren en elk oordeel onderbouwen.

Er is ook geen enkele beheersingsmaatregel voor “AI-nauwkeurigheid”. Risico's verschillen per taak: een fout in een samenvatting, een verzonnen openbaarmakingsgetal, een onjuiste berekening, een inbreuk op de vertrouwelijkheid en een overmoedige materialiteitsconclusie vereisen verschillende beheersingsmaatregelen. Het operationele model moet de use case classificeren voordat de tool wordt gebruikt.

1. Classificeer de use case en het risico. Bepaal of het systeem een openbare claim zal automatiseren, ondersteunen, een beslissing zal informeren of opstellen.

2. Keur de bron- en gegevensafbakening goed. Gebruik actuele officiële standaarden, gecontroleerde organisatieregisters en toegestane toegangsniveaus.

3. Definieer het outputcontract. Vermeld het vereiste schema, verboden claims, betrouwbaarheidslabels en wat het systeem als onbekend moet markeren.

4. Genereer met traceerbaarheid. Behoud bronankers, model/versie, prompt/template, retrievalset en output.

5. Voer een technische beoordeling en een bewijsbeoordeling uit. Valideer openbaarmakingsidentificatoren, afbakeningen, berekeningen, feiten, voorbeelden en beperkingen.

6. Schakel specialisten in voor beslissingen. Verwijs juridische kwesties, mensenrechtenkwesties, wetenschappelijke, actuariële, assurance- of privacykwesties naar gekwalificeerde beoordelaars.

7. Keur het canonieke antwoord en de openbare formulering goed. Scheid de voorbereiding van de definitieve technische of governancegoedkeuring.

8. Archiveer en monitor. Bewaar geaccepteerde bewerkingen, afgewezen outputs, incidentregistraties, regressietests en triggers voor updates.

Geen bron, geen normatieve claim: het systeem moet een lacune in de bronnen retourneren in plaats van de redenering vanuit het geheugen te voltooien.

Gebruik retrieval uit goedgekeurde documenten en sla bij iedere claim exacte bronankers op.

Verifieer alle GRI-nummers, titels, edities, ingangsdata en regels voor redenen van weglating onafhankelijk.

Voer berekeningen uit in transparante spreadsheets of code, niet met vrijevormige taalgeneratie.

Scheid kandidaat-mapping van goedgekeurde mapping en kandidaatformulering van gepubliceerde formulering.

Gebruik een register met wat niet mag worden gezegd voor claims over naleving, certificering, gelijkwaardigheid, assurance en causale impact.

Stel betrouwbaarheidslabels verplicht en behoud voorwaarden bij de verklaring waarop zij betrekking hebben.

Voer regressietests uit op bekende moeilijke scenario's en vergelijk outputs wanneer het model of de prompt verandert.

Blokkeer persoonlijke informatie, klachteninformatie, informatie die onder een verschoningsrecht valt of cliëntvertrouwelijke informatie uit niet-goedgekeurde systemen.

Monitor fouten en bijna-incidenten en trek AI-gegenereerde inhoud in die niet kan worden geverifieerd.

Het vrijwillige AI Risk Management Framework van NIST organiseert risicobeheer aan de hand van Govern, Map, Measure en Manage. Het Generative AI Profile voegt acties toe die zijn afgestemd op risico’s van generatieve AI, terwijl de Playbook voorgestelde implementatieacties biedt en geen verplichte checklist is. De AI-beginselen van de OESO versterken transparantie, uitlegbaarheid, robuustheid, veiligheid en verantwoordingsplicht. Dit zijn algemene bronnen voor governance; ze veranderen de GRI-vereisten niet en maken een AI-output technisch niet correct.

Een hypothetisch rapportageteam vraagt een generatieve-AI-tool om op basis van een conceptrapport een GRI-inhoudsopgave op te stellen. De tool identificeert veel juiste verwijzingen naar informatieverschaffingen, maar verzint twee informatienummers, markeert verschillende gedeeltelijk vervulde vereisten als volledig vervuld en beschrijft een assuranceverklaring over geselecteerde emissies alsof deze het rapport dekt. De beheerste workflow vangt de fouten op, omdat elke vermelding moet verwijzen naar een goedgekeurde bronvereiste, de exacte locatie in het rapport en de eigenaar van het bewijsmateriaal. De eindbeoordelaar verwerpt de verzonnen identificatoren, legt onvolledige vereisten nauwkeurig vast en beperkt de formulering over assurance.

Een toon met veel vertrouwen behandelen als bewijs van juistheid.

Een ongecontroleerde zoekopdracht op het web gebruiken wanneer actuele officiële standaarden beschikbaar zijn in het bronpakket.

Het model toestaan om vereisten uit GRI, ESRS en IFRS samen te voegen tot een onjuiste gelijkwaardigheid.

De exacte voorwaarde of uitzondering bij een normatieve uitspraak niet behouden.

AI gebruiken om zonder juridisch adviseur een reden voor weglating of juridische conclusie op te stellen.

Geautomatiseerde mapping op het niveau van de titel van de informatieverschaffing accepteren terwijl subvereisten worden gemist.

Geen registratie bijhouden van het model, de prompt, de bronnenset of menselijke bewerkingen.

Beperkte informatie over klachten of persoonsgegevens in een niet-goedgekeurde omgeving plaatsen.

De uiteindelijke goedkeuring van beweringen en publicatie delegeren aan dezelfde persoon die het concept heeft gegenereerd.

Bewaar voor elke materiële AI-ondersteunde taak de use case, het model, de provider en de versie, de prompt- of workflowversie, de goedgekeurde bron en retrievalset, de inputclassificatie, de output, de bronankers, de betrouwbaarheid en beperkingen, de menselijke beoordeling en de definitieve beslissing. Bewaar geaccepteerde bewerkingen, afgewezen outputs, incidenten, regressietests en triggers voor updates, zodat het resultaat kan worden gereproduceerd en opnieuw beoordeeld wanneer bewijs, standaarden of het model veranderen.