KI, ESG & Sanktionen: Neue Risiken in der Due Diligence

Im Jahr 2026 konzentrieren sich Regulierungsbehörden längst nicht mehr nur darauf, ob Unternehmen eine Drittpartei überprüft haben. Entscheidend ist heute vielmehr, ob Organisationen ESG-Faktoren in ihre Korruptions- und Risikoanalysen integriert haben, Governance-Strukturen und Datenherkunft von KI-Anbietern bewerten, wirtschaftlich Berechtigte über oberflächliche Unternehmensstrukturen hinaus identifizieren und kontinuierliches Monitoring statt einmaliger Prüfungen durchführen.

Weltweit steigen sowohl der regulatorische Druck als auch die Anforderungen an Compliance-Frameworks. Dadurch geraten insbesondere drei Schwachstellen zunehmend in den Fokus der Aufsichtsbehörden: KI-Governance, ESG-Verifizierung und komplexe Eigentümerstrukturen im Zusammenhang mit Sanktionen.

KI in der Compliance: Innovation ohne Kontrolle?

Künstliche Intelligenz ist mittlerweile fest in Screening-, Monitoring-, Zusammenfassungs- und Reporting-Prozesse integriert. Neue regulatorische Entwicklungen machen jedoch deutlich: Der Einsatz von KI reduziert die Verantwortung nicht – er erhöht sie sogar.

Der EU AI Act, der seit August 2024 in Kraft ist, verpflichtet Unternehmen dazu, Risiken von KI-Systemen zu klassifizieren und Due-Diligence-Prüfungen hinsichtlich Anbietern und Datensätzen durchzuführen. Parallel dazu verlangt der Digital Operational Resilience Act (DORA), dass Finanzinstitute Risiken im Zusammenhang mit Drittanbietern von Technologie aktiv steuern – andernfalls drohen Sanktionen.

Auch international verschärfen sich die Anforderungen. Südkoreas AI Basic Act schreibt ab Januar 2026 menschliche Aufsicht für KI-Systeme mit hohem Einfluss vor. Singapur führte 2026 Governance-Regeln für Agentic AI ein und Brasilien plant KI-Regulierungen mit verpflichtenden Risikoanalysen und Transparenzanforderungen.

Wenn KI Einfluss auf Due-Diligence-Entscheidungen nimmt, müssen Unternehmen nachvollziehen können, wie die Systeme funktionieren, woher die Daten stammen und wie Risiken wie Bias oder Halluzinationen minimiert werden. Die unzureichende Bewertung von KI-Anbietern gilt zunehmend selbst als Compliance- und Due-Diligence-Versäumnis.

ESG unter Druck: Von Reporting zu echter Verantwortung

Menschenrechte, Umweltauswirkungen, Klimarisiken und Governance-Standards sind heute fest in regulatorische Anforderungen integriert.

Die EU-Richtlinie zur Nachhaltigkeits-Sorgfaltspflicht von Unternehmen (CSDDD) verpflichtet Unternehmen innerhalb der EU dazu, negative Auswirkungen auf Menschenrechte und Umwelt entlang ihrer gesamten Geschäfts- und Lieferketten zu identifizieren, zu verhindern und zu minimieren.

Das deutsche Lieferkettensorgfaltspflichtengesetz verlangt umfassendes Risikomanagement und entsprechende Gegenmaßnahmen entlang der Lieferkette. Verstöße können erhebliche finanzielle Konsequenzen nach sich ziehen.

Weitere internationale Entwicklungen verschärfen den Druck zusätzlich. Norwegens Transparenzgesetz verpflichtet Unternehmen zur öffentlichen Berichterstattung über menschenrechtliche Sorgfaltspflichten. Singapur verlangt die Integration von Umweltrisiken in Due-Diligence-Frameworks von Finanzinstituten. Brasiliens Anti-Korruptionsstrategie 2025–2027 fordert ausdrücklich die Einbindung von ESG-Aspekten in Korruptionsrisikoanalysen.

ESG darf deshalb nicht länger isoliert im Nachhaltigkeitsbericht behandelt werden. Regulatoren erwarten zunehmend, dass ESG-Risiken vollständig in das Third-Party-Risk-Management integriert sind. Oberflächliche Richtlinienprüfungen reichen nicht mehr aus. Unternehmen müssen belastbare Risikoanalysen, Transparenz in der Lieferkette und kontinuierliches Monitoring nachweisen können.

Sanktionen & Eigentümerstrukturen: Warum einfaches Screening nicht mehr reicht

Sanktionsrisiken sind durch geopolitische Konflikte und unterschiedliche internationale Regulierungsansätze deutlich komplexer geworden. Ein reines Screening von Unternehmensnamen reicht heute nicht mehr aus.

Eine risikobasierte Due Diligence umfasst inzwischen:

• Screening gegen globale Sanktionslisten (UN, OFAC, EU, UK)
• Watchlist- und PEP-Screening
• Untersuchungen zu Rechtsverfahren
• Umfassende Analysen wirtschaftlich Berechtigter
• Monitoring negativer Medienberichte in mehreren Sprachen

Verdeckte Eigentümerstrukturen stellen dabei ein erhebliches Risiko dar – insbesondere im Zusammenhang mit Korruption, Betrug oder Geldwäsche. Regulierungsbehörden empfehlen deshalb kontinuierliches Monitoring statt statischer Prüfungen beim Onboarding.

Wenn ein Compliance-Framework nicht nachvollziehbar dokumentieren kann, wie versteckte Eigentümerstrukturen identifiziert oder sich verändernde Sanktionsrisiken überwacht wurden, steigt das Risiko regulatorischer Beanstandungen erheblich.

MEHR DAZU: Third Party Compliance: Mehr als Pflicht für den Mittelstand und Familienunternehmen

Die gefährliche Schnittstelle von KI, ESG und Sanktionen

Die größten Schwachstellen entstehen dort, wo mehrere Risiken gleichzeitig auftreten. Dazu gehören KI-Systeme, die auf unvollständigen Sanktionsdaten basieren, ESG-Risiken innerhalb komplexer Eigentümerstrukturen, Drittparteien in unterschiedlichen regulatorischen Umfeldern sowie getrennte Compliance-, ESG- und Procurement-Funktionen ohne ausreichende Integration.

Regulierungsbehörden weltweit fordern zunehmend integrierte Due-Diligence-Ansätze. Die Richtung ist klar: Compliance-Frameworks müssen risikobasiert, dokumentiert, integriert und kontinuierlich überwacht sein.

Risikobasierte Due Diligence statt reiner Checklisten

Best Practice im Jahr 2026 bedeutet einen klar risikobasierten Ansatz. Dazu gehören vereinfachte Due Diligence für niedrig-riskante Geschäftspartner, Enhanced Due Diligence für risikoreiche Beziehungen, externe Untersuchungen bei erhöhtem Risiko sowie automatisiertes, kontinuierliches Monitoring und regelmäßige Reviews.

Dafür benötigen Unternehmen Zugang zu hochwertigen, nachvollziehbaren globalen Datenquellen in Bereichen wie:

• Sanktionen
• PEPs
• Watchlists
• Gerichts- und Rechtsverfahren
• ESG-Daten
• Negative Media / Adverse Media

Das regulatorische Umfeld wird nicht einfacher, sondern strenger. Behörden arbeiten zunehmend grenzüberschreitend zusammen, KI-Regulierung entwickelt sich rasant weiter und ESG-Due-Diligence-Anforderungen werden immer stärker rechtlich durchgesetzt.

Die Folgen unzureichender Due Diligence gehen heute weit über Bußgelder hinaus. Sie reichen von operativen Störungen über Reputationsschäden bis hin zum Ausschluss von Geschäftsbeziehungen und Ausschreibungen.

MEHR DAZU: Third-Party Due Diligence neu gedacht: Warum risikobasierte Ansätze immer wichtiger werden

Jetzt handeln, bevor Regulierungsbehörden es tun

Die entscheidende Frage im Jahr 2026 lautet nicht mehr, ob Unternehmen eine Checkliste haben, sondern ob diese risikobasiert ist, KI-, ESG- und Sanktionsrisiken integriert, auf belastbaren Daten basiert, kontinuierlich überwacht wird und revisionssicher dokumentiert ist. Denn Due Diligence ist heute keine administrative Pflicht mehr – sondern strategische Risiko-Intelligenz.