Vägledning: AI och ESG-data – frågor och svar

Begreppet ESG-data* definieras inte i något av de regelverk som tas upp i denna vägledning. Vi har tillsammans med referensgruppen arbetat fram en definition som är gällande inom ramen för denna vägledning. Med ESG-data avses därför i denna vägledning följande.

ESG-data är information (kvantitativ och kvalitativ) som rör ESG-faktorer (miljömässiga, sociala och styrningsmässiga) hos ett företag eller en investering, exempelvis i produkter, tillgångar, fonder, obligationer eller säkerheter. Det kan både handla om hur något påverkas av ESG-faktorer och hur företagets verksamhet påverkar faktorerna. Information om ESG-faktorer är ofta nödvändiga för att olika intressenter ska kunna förstå och bedöma regelefterlevnad och fatta välgrundade beslut om investeringar, affärseffektivitet, strategier och risker.

ESG-data kan därför exempelvis vara information som ett företag lämnar i olika sammanhang eller som det behöver för att kunna uppfylla vissa regelkrav. ESG-data kan också vara en obligatorisk datapunkt i europeiska standarder för hållbarhetsrapportering (ESRS**), såsom de upplysningskrav som återfinns i E1–E5.

*) ESG står för Environment, Social and Governance (miljö, social och styrning). ESG-risk och ESG-faktorer definieras i regelverk liksom även hållbarhetsrisk och hållbarhetsfaktorer. Termen ESG används inom banksektorn och termen hållbarhet används inom försäkringssektorn.

**) ESRS står för European Sustainability Reporting Standards, Kommissionens delegerade förordning (EU) 2023/2772 av den 31 juli 2023 om komplettering av Europaparlamentets och rådets direktiv 2013/34/EU vad gäller standarder för hållbarhetsrapportering, bilaga 1. Nya reviderade ESRS är i kraft 10 november 2026.

   ESG-data eller hållbarhetsdata används brett inom alla berörda finansiella sektorer. Det förekommer såväl inom regelverken för riskhantering (exempelvis kapitaltäckningsregelverket CRD* och Solvens 2**), hållbarhetsrapportering (CSRD***) och inom ramen för hållbarhetsrelaterade upplysningar (SFDR). Även om begreppet inte definieras inom något av de nämnda regelverken finns det ändå reglering som kan tillämpas på ESG-data. 

*) CRD står för Capital Requirements Directive och är Europaparlamentets och rådets direktiv (EU) 2013/36/EU av den 26 juni 2013 om behörighet att utöva verksamhet i kreditinstitut och om tillsyn av kreditinstitut och värdepappersföretag, om ändring av direktiv 2002/87/EG och om upphävande av direktiv 2006/48/EG och 2006/49/EG, införlivat bland annat i lag (2004:297) om bank- och finansieringsrörelse.

**)  Kommissionens delegerade förordning (EU) 2015/35 av den 10 oktober 2014 om komplettering av Europaparlamentets och rådets direktiv 2009/138/EG om upptagande och utövande av försäkringsverksamhet (Solvens 2).   

***) CSRD står för Corporate Sustainability Reporting Directive och är ett ändringsdirektiv som har införlivats i svensk rätt genom ändringar i bland annat årsredovisningslagen (1995:1554), lagen (1995:1559) om årsredovisning i kreditinstitut och värdepappersbolag samt lagen (1995:1560) om årsredovisning i försäkringsföretag. Bakgrund och avvägningar framgår av proposition 2023/24:124.

Det finns inget enskilt regelverk som reglerar all ESG-datahantering. Vilka regler som är relevanta beror på vad ESG-datan ska användas till.  

  Med ESG-datahantering avses i denna vägledning att samla in, strukturera, analysera och använda ESG-data. Datahanteringen kan sägas utgöra en del av företagets övergripande interna styrning av data. De bestämmelser som gäller för kreditinstitut som hanterar ESG-data kan variera beroende på vad datan ska användas till. För ett kreditinstitut kan det exempelvis handla om reglerna som avser riskhantering, kredithantering och rapportering och även reglerna för intern styrning och kontroll. Inom ramen för vad som är tillämpligt tillkommer flera riktlinjer från Europeiska bankmyndigheten (EBA)*.

*) Se exempelvis EBA GL 2020/06 (intern styrning och kontroll), 2021/14 och 2025/01 (särskilt om riskhantering och kreditgivning). Notera dock att detta inte är en uttömmande beskrivning.

Det finns ingen enhetlig definition av AI som gäller i alla sammanhang. Definitionen av ett AI-system i AI-förordningen* (se förklaring nedan) är viktig för att avgöra om just AI-förordningen är tillämplig på ett visst system.

I denna vägledning är det dock generellt sett inte avgörande om en viss metod omfattas av AI-förordningens definition av ett AI-system. De regelverk vi tar upp här är i huvudsak teknikneutrala. Det innebär att kraven på exempelvis datakvalitet, dokumentation, intern styrning och verifierbarhet gäller oavsett om informationen har hanterats med hjälp av AI, andra automatiserade metoder, statistiska metoder eller manuellt.

Det centrala är därför vilka egenskaper som informationen har och om företaget kan säkerställa att informationen är tillförlitlig och ändamålsenlig för det aktuella användningsområdet.

*) Europaparlamentets och rådets förordning (EU) 2024/16897

AI-förordningen innehåller en definition av ett AI-system i artikel 3.1. Med AI-system avses i korthet ett maskinbaserat system som, med varierande grad av autonomi, utifrån den information det tar emot kan generera exempelvis förutsägelser, rekommendationer eller beslut. Läs mer om definitionen och vägledning kring AI-förordningen hos EU-kommissionen.*

Definitionen har rättslig betydelse inom AI-förordningen, eftersom den avgör om ett visst system omfattas av förordningen och vilka krav som i så fall kan bli tillämpliga.

De regelverk som vi behandlar i denna vägledning innehåller ingen definition av ett AI-system. De ställer däremot krav på hur information används, kontrolleras och dokumenteras. Dessa krav gäller oberoende av vilken teknik som har använts i hanteringen.

Hur informationen har hanterats kan däremot påverka hur företaget kan behöva agera för att uppfylla kraven. Om informationen exempelvis har samlats in och strukturerats med hjälp av AI-baserade metoder kan det påverka vilka kontroller, vilken dokumentation eller vilka verifieringsåtgärder som behövs. Om metoden dessutom omfattas av AI-förordningens definition av ett AI-system kan företaget även behöva beakta de krav som följer av AI-förordningen.

Flera av svaren i denna vägledning ger exempel på hur dessa överväganden kan aktualiseras i praktiken.

*) AI Act Single Information Platform

Som utgångspunkt nej.

Ett AI-system blir inte ett AI-system med hög risk enligt AI-förordningen enbart för att det hanterar ESG-data. Bestämmelserna om hög risk kan dock bli aktuella om AI-systemet används inom något av de användningsområden som anges i bilaga 3, exempelvis för kreditvärdighetsbedömning av fysiska personer.  

Vilka krav som gäller enligt AI-förordningen beror bland annat på hur ett AI-system används. Särskilda krav gäller för AI-system som klassificeras som hög risk. Hantering av ESG-data är inte i sig ett användningsområde som klassificeras som hög risk enligt bilaga 3 till AI-förordningen. ESG-data kan däremot hanteras inom ett sådant användningsområde. Ett exempel är AI-system som används för att bedöma fysiska personers kreditvärdighet. Även AI-system som utför förberedande uppgifter inom ett sådant användningsområde kan omfattas, beroende på systemets funktion och påverkan på den efterföljande bedömningen. Ett system som inte väsentligt påverkar resultatet kan under vissa förutsättningar undantas från klassificeringen som hög risk enligt artikel 6.3. Hos EU-kommissionen finns publicerade riktlinjer för hur ett AI-system ska klassificeras.*

Utöver bestämmelserna om hög risk innehåller AI-förordningen även andra regler som kan vara relevanta beroende på vilken AI-teknik som används och hur den används. Det kan exempelvis gälla regler om transparens eller bestämmelser som gäller AI-modeller för allmänna ändamål. 

Det är företagens ansvar att bedöma hur AI-förordningen är tillämplig i den verksamhet som företaget bedriver.

*) Guidelines on the classification of high-risk AI systems (EU-kommissionen)

Nej. Att ESG-data samlas in, struktureras, analyseras och används med hjälp av AI förändrar inte företagets ansvar för att ESG-datan lever upp till de regelkrav som finns.  

Företaget har ett eget ansvar för att den ESG-data som används i verksamheten lever upp till de regelkrav som finns. Det gäller oavsett om ESG-datan hanteras

• manuellt,
• med hjälp av AI eller andra tekniska lösningar,
• internt, eller
• av en extern leverantör genom exempelvis utkontraktering (se vidare fråga 8).

Detta följer av de allmänna reglerna om företagens ansvar och av att regelverken är teknikneutrala, vilket innebär att användningen av AI i sig inte förändrar ansvarsfördelningen.  

AI kan göra det svårare att förstå och kontrollera hur ESG-data har tagits fram, eftersom bearbetningssteg, metoder och antaganden inte alltid framgår av resultatet. Det kan därför vara värdefullt att tidigt överväga hur datans ursprung och bearbetning kan följas upp och hur resultatets kvalitet kan bedömas. Det kan även vara relevant att beakta hur datan ska användas och vilka krav det ställer på dess tillförlitlighet och kvalitet.  

Företagets ansvar för ESG-datan påverkas inte av om informationen tas fram manuellt, med hjälp av AI eller med andra metoder. Läs vidare i fråga 5. AI kan däremot göra vissa delar av kontrollen och kvalitetssäkringen mer utmanande.

När AI används kan det vara värdefullt att redan tidigt i processen reflektera över hur ESG-datans ursprung, bearbetning, kvalitet och användning kan dokumenteras eller följas upp. Det kan bidra till att skapa en bättre förståelse för hur ESG-datan har tagits fram och använts, vilket leder till bättre kontroll och kvalitetssäkring.

Det kan exempelvis handla om följande:

• ESG-datans ursprung – i vilken utsträckning går det att identifiera vilka datakällor som AI har utgått från och på vilket sätt som resultatet kan relateras till dessa?
• Hur ESG-datan har bearbetats – om AI har använts för att extrahera, uppskatta, komplettera eller klassificera ESG-datan, i vilken utsträckning går det att beskriva den bearbetning, de metoder eller de antaganden som har påverkat resultatet?
• Hur resultatets kvalitet kan bedömas – kan ESG-datan jämföras med andra tillgängliga uppgifter, relateras till ursprungskällor om sådana finns, eller finns det något annat sätt bedöma rimligheten i resultatet?
• Hur ESG-datan är tänkt att användas – i vilken utsträckning är ESG-datans tillförlitlighet, osäkerheter och begränsningar lämpliga i förhållande det avsedda användningsområdet, exempelvis rapportering, riskhantering eller andra verksamhetsprocesser?

Exemplen ovan är inte avsedda som en uttömmande beskrivning eller checklista, utan illustrerar olika typer av överväganden som kan vara relevanta att göra beroende på hur AI används i den aktuella processen. Vilka av dessa frågor som får störst betydelse kan bero på vad AI används till i ESG-data-processen. Detta utvecklas närmare i svaret på fråga 7.

Utmaningarna kan variera beroende på hur AI används i ESG-data-processen. Vid extrahering och strukturering kan spårbarhet och verifierbarhet få särskild betydelse. Vid uppskattning och komplettering kan även frågor om metoder och antaganden aktualiseras. När AI används för analyser och bedömningar kan i stället frågor om styrning, uppföljning och kontroll bli mer framträdande.  

Samma krav gäller oavsett om AI används eller inte. Läs vidare i svaret på fråga 5. Vilka aspekter som kan få ökad betydelse kan däremot variera beroende på hur AI används i ESG-data-processen. Nedan ger vi tre exempel på olika typer av användning och de frågor som då kan bli särskilt relevanta.

• När AI används för att extrahera eller strukturera information från identifierbara källor, kan frågor om datakvalitet, spårbarhet och verifierbarhet få ökad betydelse. Det kan exempelvis handla om att extrahera utsläppsdata ur hållbarhetsrapporter. Exempel på avsnitt i EBA:s riktlinjer (EBA GL 2025/01) som behandlar liknande frågor finns på sidorna 25–26 och 28.
• När AI används för att uppskatta, komplettera eller klassificera information, kan frågor om metodik, antaganden och dokumentation få sådan ökad betydelse. Det kan exempelvis handla om att uppskatta saknade utsläppsvärden med hjälp av så kallade proxyvariabler (proxies)* eller branschgenomsnitt eller att klassificera motparter utifrån ESG-risker. Exempel på avsnitt i EBA:s riktlinjer (EBA GL 2025/01) som behandlar liknande frågor finns på sidorna 26, 37–39 och 62.
• När AI används för analyser eller bedömningar som utgör underlag för riskhantering, strategisk planering eller andra verksamhetsbeslut kan frågor om intern styrning, dokumentation, uppföljning och kontroll få ökad betydelse. Det kan exempelvis handla om analyser som används för att identifiera eller bedöma ESG-risker, göra väsentlighetsbedömningar eller ta fram underlag för företagets riskhantering och strategiska planering. Exempel på avsnitt i EBA:s riktlinjer (EBA GL 2025/01) som behandlar liknande frågor finns på sidorna 37–42, 50–62 och 72–74. 

Beskrivningen ovan syftar endast till att ge exempel och illustrera vilka aspekter av dessa krav som i praktiken ofta kan komma i särskilt fokus beroende på användningsområdet för ESG-datan.

*) Proxyvariabler: Variabler eller indikatorer som används för att uppskatta ESG-data när direkt eller företagsspecifik data saknas.

Företaget ansvarar för all den ESG-data som används i verksamheten, oavsett om den tas fram internt, köps in från en extern tredjepartsleverantör eller tas fram inom ramen för utkontraktering. Svaret blir detsamma oavsett om ESG-datan tas fram manuellt eller med AI. Om ESG-data tas fram inom ramen för utkontraktering tillkommer ytterligare krav.  

Ansvaret för tjänster och risker som är kopplade till verksamheten kan aldrig läggas ut på en annan part. Det finansiella företagets egen riskanalys är helt avgörande för om verksamhet över huvud taget kan läggas ut och i vilken omfattning arbetet ska följas upp.

För ESG-data som tas fram genom utkontraktering gäller särskilda regler och riktlinjer. Det innebär exempelvis att kreditinstitut behöver uppfylla de krav som anges i bland annat FFFS 2014:1 kapitel 10* och beakta EBA:s riktlinjer om outsourcing (2019/02)**.

Om ESG-data i stället köps in från en extern leverantör utan att det handlar om utkontraktering, gäller inte de särskilda utkontrakteringskraven.

Skiljelinjen mellan utkontraktering och köp av tjänst är dynamisk och beror i varje enskilt fall på vilka tjänster det gäller och hur kritiska de är för bolagets verksamhet. Att definiera om ett visst avtal är utkontraktering eller köp av tjänst kan endast med säkerhet göras baserat på företagets genomförda riskanalys. Alltså bör all verksamhet som involverar tredjepartsleverantörer analyseras utifrån ett riskperspektiv och hanteras enligt analysens utfall. FI har tidigare, i samband med att EBA antog sina riktlinjer för utkontraktering, publicerat allmänna frågor och svar om utlagd verksamhet, se länk: Utlagd verksamhet | Finansinspektionen.

*) Finansinspektionens föreskrifter och allmänna råd om styrning, riskhantering och kontroll i kreditinstitut.

**) EBA GL 2019/02 kommer ersättas av EBA GL 2026/09 som publicerades av EBA 18 september 2026.

EBA:s riktlinjer anger inte någon specifik nivå för hur detaljerad förståelsen behöver vara. Hur stor förståelse som är relevant beror bland annat på hur informationen används, vilken betydelse den har i sammanhanget den används i och vilka risker som kan uppstå om informationen är felaktig eller missvisande.  

Ett kreditinstitut ansvarar för sin egen riskhantering även när det använder ESG-data från en tredjepartsleverantör. Det framgår av EBA:s riktlinjer för ESG-riskhantering (bland annat EBA GL 2025/01 punkt 26) att företaget bör ha rutiner för att förstå de datakällor och metoder som ligger till grund för informationen samt känna till metodernas begränsningar. Det räcker i normalfallet inte att tredjepartsleverantören anger att den har gjort en kvalitetssäkring eller försäkrar att ESG-datan är korrekt. Företaget bör göra en egen bedömning av om metoden, datan och källorna som används är tillräckliga samt dokumentera den bedömningen. Något som kan avgöra om företaget har tillräcklig förståelse för metoden är om företaget till exempel har kapacitet att utmana den. Detta gäller oavsett om ESG-datan ska användas för exempelvis kreditgivning eller hållbarhetsrelaterad rapportering. Om ESG-datan används i företagets väsentliga riskprocesser bör även företagets ledning och kontrollfunktioner förstå den metod som används. Detta framgår bland annat av EBA:s riktlinjer för intern styrning (se till exempel EBA GL 2021/05 punkt 22, 23, 27 och 34).

Hur djup förståelse företaget behöver ha kan variera beroende på hur ESG-datan har tagits fram. Vilka aspekter som kan få särskild betydelse beroende på hur ESG-datan har tagits fram behandlar vi närmare i svaret på fråga 7. Om företaget har utkontrakterat hanteringen av ESG-data till en tredjepartsleverantör kan ytterligare krav bli aktuella, vilket vi tar upp i svaret på fråga 8.  

Det finns inga särskilda regler om vilken kvalitetsnivå ESG-data som hanteras med hjälp av AI behöver nå upp till. Vilka krav som ställs på informationens kvalitet beror i stället på vilket område och ändamål som informationen används för. Samma ESG-data kan därför vara tillräcklig och tillförlitlig för ett användningsområde men otillräcklig för ett annat. För att ta reda på om ESG-datan håller godtagbar kvalitet eller inte, behöver företaget gå tillbaka till det grundläggande regelverkskrav som finns.  

Ytterst handlar datakvalitet om kravet på att kreditinstitut ska ha en god intern styrning, riskhantering och kontroll. Om exempelvis viss data saknas eller har brister bör företaget identifiera dessa, bedöma hur det påverkar användningen av ESG-datan. Företaget bör också dokumentera användningen av uppskattningar och proxyvariabler.

Det framgår av exempelvis punkten 162 i EBA:s riktlinjer (EBA GL) 2021/05 att företaget bör tillse att den ESG-data som ingår i rapporteringen är korrekt, koncis, begriplig och meningsfull för att relevant information ska kunna delas inom företaget för bland annat hantering av riskerna.

Om ESG-data används som underlag för exempelvis kreditbeslut bör företaget enligt punkt 84 i EBA GL 2020/06 säkerställa att ESG-datan är tillräcklig, korrekt och aktuell.

Det framgår av EBA:s riktlinjer (EBA GL) 2025/01 punkt 26–27 att när ett företag använder sig av tredjepartsleverantörer av ESG-data så bör företaget säkerställa att det finns tillräcklig inblick i de källor, uppgifter och metoder som dataleverantörerna använder, inbegripet deras möjliga begränsningar. Om datakvalitén inledningsvis inte är tillräcklig, bör företaget utvärdera dessa luckor och dess möjliga konsekvenser. Det kan innebära korrigerande åtgärder, däribland användningen av uppskattningar och proxyvariabler.

Det finns alltså inte en specifik nivå som avgör när ESG-data är ”tillräcklig och tillförlitlig”. Bedömningen av om ESG-datan är tillräcklig och tillförlitlig behöver i dessa fall göras utifrån vad den ska användas till och de krav som gäller för detta. Samma ESG-data kan vara tillräcklig för ett ändamål, men otillräcklig för ett annat.

Det kan förekomma fall där företaget anser att det är svårt att avgöra om ESG-datan håller den nivå som är godtagbar enligt regelverken. Det kan till exempel vara en följd av att den data som AI har bearbetat, uppskattat eller analyserat, innebär ett slutresultat som bygger på flera bearbetningssteg, statistiska samband eller antaganden som inte alltid framgår direkt av slutresultatet. Då kan det vara svårare att i efterhand förstå eller beskriva hur informationen har tagits fram (se svar på fråga 6 om hur ett sådant scenario skulle kunna förebyggas).

När det gäller frågor om ESG-datan håller godtagbar nivå eller inte, behöver företaget kontrollera de grundläggande regelverkskrav som finns och säkerställa att datan blir tillförlitlig och tillräcklig. Först därefter kan företaget använda sig av ESG-datan.

Frågor om kontroll och kvalitetssäkring när företag använder AI behandlas närmare i svaret på fråga 6. Frågor om vilka utmaningar som kan få särskild betydelse beroende på hur AI används i ESG-data-processen behandlas i svaret på fråga 7.  

Ett kreditbeslut ska vara välgrundat, spårbart och fattat enligt företagets interna regler. Det finns inga särskilda krav på AI-hanterad ESG-data utan grundläggande dokumentationskrav gäller. Vilken dokumentation som är relevant kan bland annat bero på informationens betydelse för bedömningen och vad som behöver kunna förstås och följas upp i efterhand.

Dokumentation behövs för att kreditinstitutet ska förstå sitt underlag. Underlaget behöver innehålla tillräcklig information för att den eller de som fattar kreditbeslutet ska kunna förstå risken. Dokumentationen behövs även för att ge tillräcklig information till den som granskar eller följer upp ett beslut fattat av företaget. Denne ska kunna förstå vilken information som har använts och varför till exempel en kredit har beviljats eller avslagits. Dokumentationen kan då innefatta hur datakvaliteten har bedömts, hur och varför informationen påverkat bedömningen och även vilka eventuella begränsningar eller osäkerheter av betydelse som finns i dataunderlaget.

Detta innebär i förlängningen att det i princip inte behövs någon särskild motivering i beslutsunderlag om varför företaget har bedömt att det är relevant att låta AI-hanterad ESG-data ingå i underlaget. Det avgörande är att underlaget ska kunna spåras. Det är alltså ESG-datans innehåll som spelar roll, inte hur den är framtagen. 

Frågor om kontroll och kvalitetssäkring av AI-hanterad ESG-data behandlar vi närmare i svaret på fråga 6. I svaret på fråga 7 tar vi upp vilka aspekter som kan få särskild betydelse beroende på hur AI används i ESG-data-processen.

I dag finns det inte några särskilda bestämmelser som hindrar att ESG-data, som har hämtats in för exempelvis riskhantering, också används för hållbarhetsrapportering. Det nya ändringsdirektivet, som ska införas i svensk rätt, innehåller inte heller några särskilda bestämmelser som reglerar sådan användning.  

I ett nytt ändringsdirektiv som ska införas i svensk rätt finns bestämmelser som i korthet innebär att medlemsländerna ska införa ett tak för den information som företag som omfattas av hållbarhetsrapporteringen får hämta in för sådan rapportering. I skälen till det nya ändringsdirektivet anges att inhämtande av information för riskhantering föreslås vara undantagen från detta tak. ESG-data för riskhantering kan i vissa fall och med viss omfattning vara densamma som den ESG-data som företaget kan ha behov av i sin hållbarhetsrapportering. Det finns inga specifika bestämmelser i det nya ändringsdirektivet som styr hur ESG-data får användas i verksamheten när den väl har hämtats in.

Förslag till lagändringar för att genomföra direktivet i svensk rätt har lämnats i delbetänkandet Lättnader i kraven på hållbarhetsrapportering (SOU 2026:27). Ändringarna förslås träda i kraft den 1 januari 2027.