Setzt das Unternehmen KI-Systeme in seiner Dienstleistung ein?

Setzt das Unternehmen KI-Systeme in ihrer Dienstleistung ein

Diese Frage stammt meist aus einem Nachhaltigkeitsfragebogen und befasst sich nicht mit KI-Risiken an sich, sondern damit, ob die KI-Nutzung Auswirkungen auf die Informationen hat, die das Unternehmen bereits berichtet. Es gibt keine separate Antwort "ja, wir nutzen KI", die für sich allein steht: relevant ist, ob diese Nutzung Auswirkungen auf Dinge wie Datenqualität, Kundeninformationen, Arbeitsbedingungen oder Governance-Prozesse hat, die bereits unter die Berichterstattung fallen.

Konkrete Beweise existieren normalerweise nicht als separates Dokument. Was es normalerweise gibt: eine interne Notiz über KI-Nutzung, eine Verarbeitungsvereinbarung mit einem Softwareanbieter oder eine Passage in der Risikopolitik. Wenn es das nicht gibt, ist "nein" oder "nicht zutreffend" eine realistische Antwort — vorausgesetzt, das entspricht der Praxis. Diese Frage hängt oft mit anderen Teilen des Kettenbestandsdossiers zusammen, wie ob das Unternehmen einen Plan zur Fortsetzung des Geschäftsbetriebs bei einer schwerwiegenden Störung hat, weil KI-Abhängigkeit manchmal als Kontinuitätsrisiko berücksichtigt wird. Auch die Frage in welchem Sektor das Unternehmen tätig ist spielt mit: In einigen Sektoren wird die KI-Nutzung expliziter abgefragt als in anderen.

Soweit dies aus der CSRD-Berichterstattungsverpflichtung folgt

Die CSRD selbst, Richtlinie (EU) 2022/2464, nennt KI nicht als separates Berichterstattungsthema. Die Richtlinie verpflichtet jedoch zur Berichterstattung über "Auswirkungen, Risiken und Chancen" im Bereich Umwelt, Soziales und Unternehmensführung, über die der Richtlinie entsprechenden Berichterstattungsstandards. Eine Frage zur KI-Nutzung in einer Kundenfrageliste ist in der Regel eine Konkretisierung dieses umfassenderen Governance- oder Risikoteils und keine eigenständige CSRD-Anforderung. Das bedeutet, dass die Antwort davon abhängt, wie der Kunde diese Frage in seinem eigenen Format eingeordnet hat, nicht von einer festen gesetzlichen Definition von "KI-Nutzung", die in der Richtlinie selbst vorkommt.