EU AI Act für Steuerberater: Was Kanzleien jetzt wissen und tun müssen

Hinweis: Dieser Beitrag ist eine Einordnung aus der Praxis und keine Rechtsberatung. Fristen und Details des AI Act werden auf EU-Ebene weiter angepasst. Maßgeblich ist der jeweils aktuelle Stand der Verordnung.

Worum es geht

Der EU AI Act, die Verordnung (EU) 2024/1689, ist seit dem 1. August 2024 in Kraft und wird stufenweise wirksam. Er regelt KI nach Risiko: Verbotene Praktiken, Hochrisiko-Systeme mit strengen Auflagen, Systeme mit Transparenzpflichten und alles Übrige ohne besondere Vorgaben. Für Steuerkanzleien ist vor allem wichtig, in welcher Rolle sie auftreten.

Betreiber, nicht Anbieter

Der AI Act unterscheidet Anbieter (wer ein KI-System entwickelt und in Verkehr bringt) und Betreiber (wer es unter eigener Verantwortung beruflich einsetzt). Eine Kanzlei, die ChatGPT, Copilot, eine Belegerkennung oder KanzleiGPT nutzt, ist Betreiber. Die umfangreichen Pflichten der Anbieter, etwa Konformitätsbewertung und technische Dokumentation, treffen sie nicht.

Was seit Februar 2025 gilt: KI-Kompetenz

Artikel 4 verpflichtet Anbieter und Betreiber, dafür zu sorgen, dass ihr Personal über ausreichende KI-Kompetenz verfügt. Was „ausreichend“ heißt, hängt vom Einsatz ab. Für eine Kanzlei genügt in der Praxis: eine dokumentierte Schulung zu Funktionsweise, Grenzen und Risiken der eingesetzten Systeme, zu Datenschutz und Verschwiegenheit sowie zu den internen Regeln. Ebenfalls seit Februar 2025 sind bestimmte Praktiken verboten, etwa manipulative Systeme oder Social Scoring. Für Kanzleien spielt das praktisch keine Rolle.

Transparenz

Artikel 50 enthält Transparenzpflichten: Menschen sollen erkennen können, wenn sie mit einem KI-System interagieren, und bestimmte KI-erzeugte Inhalte sind zu kennzeichnen. Für Kanzleien heißt das konkret: Ein Telefonassistent stellt sich als digitaler Assistent vor, ein Chatbot auf der Website ist als solcher erkennbar. Für interne Entwürfe, die ein Mensch prüft und freigibt, entsteht daraus in der Regel keine Kennzeichnungspflicht gegenüber Mandanten. Sinnvoll ist ein Hinweis in der Datenschutzinformation trotzdem.

Ist Kanzlei-KI Hochrisiko?

Hochrisiko-Systeme sind in Anhang III aufgelistet, unter anderem KI in Beschäftigung und Personalmanagement, bei Kreditwürdigkeit, in der Strafverfolgung und in der Justiz. Belege auslesen, E-Mails zuordnen, Fristen berechnen und Fragen zu Akten beantworten gehören nach unserer Einschätzung nicht dazu. Achtung: Wer KI zur Vorauswahl von Bewerbern einsetzt, bewegt sich im Hochrisiko-Bereich und hat als Betreiber zusätzliche Pflichten, darunter menschliche Aufsicht und Information der Betroffenen.

Wie der AI Act zum Berufsrecht passt

Die Grundgedanken decken sich mit dem, was Berufsrecht und DSGVO ohnehin verlangen: Der Berufsträger bleibt verantwortlich, Entscheidungen werden nicht an eine Maschine abgegeben, Verarbeitungen sind dokumentiert. Wer seine KI-Anwendungen sauber nach DSGVO und § 203 StGB aufgesetzt hat, ist für den AI Act zum größten Teil vorbereitet.

Checkliste für Kanzleien

1. Inventar anlegen. Welche KI-Systeme werden genutzt, auch inoffiziell? Für jedes: Zweck, Anbieter, Datenarten.
2. Rolle und Risiko einordnen. Betreiber oder Anbieter? Berührt eine Anwendung Anhang III?
3. KI-Richtlinie beschließen. Erlaubtes, Verbotenes, Prüfpflicht, Zuständigkeit. Eine Seite genügt.
4. Team schulen und dokumentieren. Einmal jährlich und bei neuen Systemen.
5. Transparenz sicherstellen. Telefonassistent und Chatbot geben sich zu erkennen, die Datenschutzinformation nennt den KI-Einsatz.
6. Menschliche Aufsicht festschreiben. Keine Außenwirkung ohne Freigabe. Jede KI-Aktion wird protokolliert.
7. Verfahrensbeschreibung führen. Datenfluss, Systeme, Rechte, Freigaben je Ablauf, im Verarbeitungsverzeichnis.

In unseren Projekten liefern wir Kennzeichnung, Freigabe-Regeln, Protokoll und Verfahrensbeschreibung mit. Die Schulung zur KI-Kompetenz ist Teil der Einführung.