Was Ihre Nachhaltigkeitserklärung über Ihren KI-Einsatz aussagt — und wer das prüft

In den Nachhaltigkeitserklärungen deutscher Versicherer taucht künstliche Intelligenz seit etwa zwei Berichtszyklen regelmäßig auf. Meist in zwei oder drei Sätzen: Man setze KI verantwortungsvoll ein, achte auf Diskriminierungsfreiheit, halte den Menschen in der Entscheidung. Diese Sätze sind gut gemeint, und sie sind in aller Regel auch ehrlich gemeint.

Sie haben nur eine Eigenschaft, die dieselben Sätze auf der Unternehmenswebsite nicht haben. Sie werden geprüft.

Das ist der eigentliche Unterschied zwischen Nachhaltigkeitskommunikation und Nachhaltigkeitsberichterstattung. Die eine ist eine Aussage über das Unternehmen. Die andere ist Bestandteil der Rechnungslegung, für den ein Abschlussprüfer ein Testat abgibt. Dieser Beitrag behandelt eine schlichte Frage, die in vielen Häusern zwischen zwei Abteilungen hindurchfällt: Woher kommt die Evidenz, die diese Sätze trägt?

Der Omnibus hat den Mittelstand entlastet. Ihr Haus vermutlich nicht.

Die im Februar 2026 veröffentlichte Richtlinie (EU) 2026/470 hat den Anwendungsbereich der CSRD drastisch verkleinert. Berichtspflichtig bleiben im Grundsatz nur noch Unternehmen, die mehr als 1.000 Mitarbeitende und mehr als 450 Mio. Euro Nettoumsatzerlöse aufweisen; die Kriterien sind kumulativ zu erfüllen. Schätzungen gehen davon aus, dass damit rund vier Fünftel der bislang erfassten Unternehmen aus der Pflicht fallen.

Für den werteorientierten Mittelstand ist das eine echte Entlastung — und sie hat den regulatorischen Auslöser dort vollständig verändert. Für einen Regionalversicherer oder einen VVaG mit deutlich vierstelliger Mitarbeiterzahl gilt das Gegenteil. Die Mitarbeiterschwelle ist erreicht, und die Umsatzschwelle knüpft bei Versicherungsunternehmen an die gebuchten Bruttobeiträge an, nicht an eine handelsrechtliche Umsatzgröße, die man aus dem Konzernabschluss eines Industrieunternehmens kennt. Wer 450 Mio. Euro Beitragseinnahmen überschreitet, bleibt im Anwendungsbereich.

Dazu kommt eine deutsche Besonderheit, die den Zeitpunkt betrifft, nicht die Substanz. Das CSRD-Umsetzungsgesetz war zum Redaktionsschluss dieses Beitrags noch nicht in Kraft; formal gilt weiterhin der Rahmen des CSR-Richtlinie-Umsetzungsgesetzes von 2017, nach dem Unternehmen von öffentlichem Interesse mit mehr als 500 Beschäftigten eine nichtfinanzielle Erklärung abgeben. Versicherungsunternehmen sind Unternehmen von öffentlichem Interesse. Das heißt in der Praxis: Die meisten Häuser der hier betrachteten Größenklasse berichten bereits — nur derzeit noch nach dem älteren Regime. Die neuen Schwellenwerte sollen nach dem vorliegenden Änderungsantrag für Geschäftsjahre ab dem 1. Januar 2027 greifen.

Die Verschiebung, die den Mittelstand aus der Pflicht genommen hat, nimmt den Versicherer also nicht heraus. Sie verschafft ihm Zeit.

Warum der Wegfall sektorspezifischer Standards die Frage verschärft statt entschärft

Mit dem Omnibus-Paket ist auch entschieden worden, dass es keine sektorspezifischen Berichtsstandards geben wird, und die überarbeiteten ESRS reduzieren die Zahl der vorgegebenen Datenpunkte erheblich. Man kann das als Vereinfachung lesen. Für die Frage nach KI-Governance ist es das Gegenteil.

Es wird keinen Standard geben, der einem Versicherer vorschreibt, welche Angaben er zu algorithmischer Entscheidungsunterstützung im Underwriting oder in der Schadenregulierung zu machen hat. Es gibt keinen Datenpunkt, den man abhaken kann. Was es weiterhin gibt, ist der Grundsatz der doppelten Wesentlichkeit — und der ist unverändert geblieben.

Damit verlagert sich die Beweislast. Ein Haus, das Tarifierungs-, Risikobewertungs- oder Betrugsprognosemodelle einsetzt, die auf Personen wirken, muss im Rahmen seiner Wesentlichkeitsanalyse begründen, wie es diesen Sachverhalt einordnet. Kommt es zu dem Schluss, dass die Auswirkung auf Versicherungsnehmerinnen und Versicherungsnehmer wesentlich ist, berichtet es darüber — sinnvollerweise unter ESRS S4 für die Betroffenendimension und unter ESRS G1 sowie den allgemeinen Governance-Angaben für die Steuerungsdimension. Kommt es zu dem Schluss, dass sie nicht wesentlich ist, muss auch diese Einschätzung tragfähig sein.

Beide Wege führen zu derselben Anforderung: Es braucht eine dokumentierte, nachvollziehbare Grundlage. Der Wegfall des vorgeschriebenen Datenpunkts hat die Frage nicht beseitigt. Er hat sie vom Ausfüllen einer Vorgabe zur eigenen Begründungspflicht verschoben.

Was „geprüft“ hier tatsächlich heißt

An dieser Stelle ist Genauigkeit wichtiger als Dringlichkeit, deshalb die Einschränkung vorweg: Die Nachhaltigkeitsberichterstattung unterliegt weiterhin nur einer Prüfung mit begrenzter Sicherheit. Der ursprünglich vorgesehene Übergang zur hinreichenden Sicherheit ist mit dem Omnibus gestrichen worden; ein harmonisierter europäischer Prüfungsstandard für die begrenzte Sicherheit soll bis Mitte 2027 vorliegen.

Begrenzte Prüfungssicherheit ist ein niedrigerer Maßstab als die Abschlussprüfung. Der Prüfer bestätigt nicht positiv, dass die Angaben zutreffen, sondern dass ihm nichts bekannt geworden ist, was dagegen spricht. Wer daraus einen unmittelbaren Prüfungsdruck konstruiert, überzeichnet.

Was der Maßstab aber sehr wohl leistet: Er erfasst genau den Fall, in dem für eine Aussage überhaupt keine Grundlage vorliegt. Eine Erklärung, dass die eingesetzten Modelle diskriminierungsfrei arbeiten, ist keine Absichtserklärung, sondern eine Tatsachenbehauptung. Auf die Frage, worauf sie beruht, gibt es im Ergebnis zwei mögliche Antworten. Die eine verweist auf datierte, reproduzierbare Testergebnisse an den konkreten Modellen. Die andere verweist auf eine Selbsteinschätzung der Fachbereiche. Der Unterschied zwischen beiden wird spätestens dann sichtbar, wenn jemand nachfragt — der Prüfer, die Aufsicht, ein Ratinganalyst oder ein Journalist.

Die Evidenz entsteht nicht in der Nachhaltigkeitsfunktion

Hier liegt der strukturelle Kern, und er ist der Grund, warum dieses Thema in vielen Häusern zwischen den Stühlen liegt.

Die Nachhaltigkeitsfunktion formuliert die Aussage. Erzeugen kann sie die Evidenz nicht. Diese entsteht dort, wo die Modelle entwickelt und validiert werden — im Aktuariat, in der Modellvalidierung, in der Data-Science-Einheit.

Nur prüft die bestehende Modellvalidierung etwas anderes. Prudenzielle Validierung nach Solvency II adressiert Angemessenheit, Kalibrierung, Trennschärfe, Stabilität. Sie stellt sicher, dass ein Modell das Risiko korrekt abbildet. Sie prüft nicht algorithmische Fairness gegenüber geschützten Gruppen, nicht die Nachvollziehbarkeit der Entscheidung gegenüber der betroffenen Person, nicht die Grundrechtsdimension. Diese Lücke habe ich in zwei vorangegangenen Beiträgen ausführlich behandelt; hier interessiert nur ihre Folge.

Die Folge ist, dass die Nachhaltigkeitserklärung die Lücke erbt. Ein Haus mit exzellenter, aufsichtlich anerkannter Modellvalidierung kann trotzdem keine belastbare Aussage über Diskriminierungsfreiheit treffen — nicht weil schlecht gearbeitet würde, sondern weil das vorhandene Prüfwerk auf eine andere Frage antwortet. Wer den Satz im Bericht stehen lassen will, braucht einen zweiten, dokumentierten Prüfpfad neben der prudenziellen Validierung. Das ist kein zusätzliches Modellrisikomanagement, sondern eine ergänzende Prüfdimension auf denselben Modellen.

Ein Nebenpfad, der schneller relevant wird als erwartet

Sobald für diesen zweiten Prüfpfad externe Unterstützung ins Haus kommt, greift ein anderer Regelkreis: DORA und die Anforderungen an das Management von IKT-Drittparteienrisiken, ergänzt um die Auslagerungsvorgaben aus MaRisk. In der Praxis entscheidet häufig weniger die fachliche Eignung eines Dienstleisters über den Zugang als die Frage, ob Daten das Haus verlassen.

Das ist der Grund, warum wir waveTest so gebaut haben, wie wir es gebaut haben: Die Berechnung läuft client-seitig in einem Container in Ihrer Umgebung, das Haus gibt Modelle und Daten nicht heraus, und nur die Evidenz- und Berichtsschicht liegt auf EU-residenter Infrastruktur. Die Auslagerungsprüfung wird dadurch nicht überflüssig, aber deutlich kleiner. Für ein Haus, das zwischen einem sechsmonatigen Onboarding-Verfahren und einer Berichtsfrist steht, ist das oft der entscheidende Unterschied.

Fünf Fragen zur Selbstprüfung

Ein pragmatischer Einstieg, der ohne Projekt auskommt. Die Fragen zielen nicht auf Reifegrade, sondern darauf, ob eine Aussage im Bericht heute belegbar wäre.

→ Existiert ein vollständiges Verzeichnis der KI-gestützten Systeme mit Personenbezug, einschließlich zugekaufter Komponenten und Modelle in Fachbereichen außerhalb des Aktuariats?

→ Ist für jedes dieser Systeme dokumentiert, ob es unter Anhang III des AI Act fällt — und wer diese Einordnung verantwortet?

→ Liegen für die personenwirksamen Modelle datierte Testergebnisse zu Fairness und Nachvollziehbarkeit vor, die jemand außerhalb des entwickelnden Teams nachvollziehen kann?

→ Ist geregelt, in welchem Turnus diese Tests wiederholt werden, und existiert ein Ergebnis aus mehr als einem Zeitpunkt?

→ Kann die Nachhaltigkeitsfunktion diese Nachweise anfordern, ohne dass dafür ein Sonderprojekt aufgesetzt werden muss?

Wer die ersten vier Fragen bejaht, hat die Evidenz. Wer die fünfte verneint, hat sie zwar, bekommt sie aber nicht rechtzeitig in den Bericht — was praktisch auf dasselbe hinausläuft.

Warum das mehr ist als eine Berichtsfrage

Für Versicherungsvereine auf Gegenseitigkeit und öffentlich-rechtliche Häuser hat dieses Thema eine Dimension, die über die Berichtspflicht hinausgeht. Gesellschaftliche Verantwortung ist dort nicht Positionierung, sondern Satzungsrealität. Ein Modell, das im Underwriting systematisch anders entscheidet als beabsichtigt, berührt in einem solchen Haus den Zweck der Organisation, nicht nur ihre Außendarstellung.

Das ist der Grund, warum ich die Nachhaltigkeitserklärung für den nützlicheren Einstieg in dieses Thema halte als die AI-Act-Frist. Die Frist zwingt irgendwann. Der Bericht fragt jetzt — und er fragt in einer Sprache, die im Vorstand ohnehin gesprochen wird.

Eine Frage an diejenigen unter Ihnen, die den Prozess von innen kennen: Wer stellt in Ihrem Haus die Frage nach der KI-Evidenz zuerst — die Nachhaltigkeitsfunktion, die Modellvalidierung, oder bislang niemand?

Dr. Valentin José Mayr ist Gründer und Geschäftsführer der waveImpact GmbH in Bremen. Für eine sachliche Einordnung Ihrer konkreten Situation genügt eine formlose E-Mail — kein Formular, keine Registrierung: valentin@waveimpact.ai