Die meisten Kanzleien und Unternehmen nutzen KI mit begrenztem Risiko. Pflichtfrei ist das trotzdem nicht.
Zuletzt fachlich geprüft am 25. Juli 2026 · Rechtsstand 2026
Die KI-Verordnung (EU) 2024/1689 gilt seit August 2024 und wird gestaffelt anwendbar: verbotene Praktiken und KI-Kompetenz seit 2. Februar 2025, Regeln für Allzweck-KI seit 2. August 2025, die Hauptpflichten für Hochrisiko-Systeme folgen 2026/2027. Entscheidend ist deine Rolle: Wer KI im beruflichen Kontext nutzt, ist Betreiber. Kernpflichten in der Praxis: Risikoklasse bestimmen, KI-Kompetenz sicherstellen (Art. 4), menschliche Aufsicht organisieren und KI-erzeugte Inhalte transparent kennzeichnen (Art. 50).
Anbieter oder Betreiber – deine Rolle entscheidet
Die Verordnung unterscheidet vor allem zwischen Anbietern (wer ein KI-System entwickelt und unter eigenem Namen in Verkehr bringt) und Betreibern (wer ein KI-System unter eigener Verantwortung verwendet). Kanzleien und Unternehmen sind fast immer Betreiber.
Vorsicht bei einer Falle: Wer ein zugekauftes System wesentlich verändert, es unter eigenem Namen anbietet oder den Zweck grundlegend ändert, kann selbst zum Anbieter werden – mit deutlich weitergehenden Pflichten. Ein eigener, für Mandanten nutzbarer Chatbot auf Basis eines Fremdmodells ist genau dieser Grenzfall.
Die vier Risikoklassen
| Klasse | Bedeutung für die Praxis |
|---|---|
| Verboten | Social Scoring, Emotionserkennung am Arbeitsplatz, manipulative Systeme – seit Februar 2025 untersagt. |
| Hochrisiko | Etwa KI im Personalauswahlverfahren oder bei Kreditwürdigkeitsprüfungen. Umfangreiche Pflichten zu Risikomanagement, Daten-Governance, Protokollierung und menschlicher Aufsicht. |
| Transparenzpflicht | Chatbots, KI-generierte Texte und Bilder: Nutzer müssen erkennen können, dass sie mit KI interagieren bzw. dass Inhalte künstlich erzeugt sind (Art. 50). |
| Minimales Risiko | Recherche- und Formulierungshilfen ohne Personenbezug – frei nutzbar, freiwillige Verhaltenskodizes empfohlen. |
Für Steuerkanzleien liegt der Regelfall in den unteren zwei Klassen. Achtung im Personalbereich: Wird KI zur Vorauswahl von Bewerbungen oder zur Leistungsbewertung eingesetzt, kann das hochrisikorelevant sein – hier lohnt eine gesonderte Prüfung.
KI-Kompetenz: die unterschätzte Pflicht
Art. 4 KI-VO verpflichtet Anbieter und Betreiber, für ein ausreichendes Maß an KI-Kompetenz ihres Personals zu sorgen – angemessen zu Kenntnissen, Erfahrung, Einsatzkontext und betroffenen Personen. Diese Pflicht gilt bereits seit Februar 2025 und trifft jede Kanzlei, die KI einsetzt.
Nachweisbar wird das durch drei Bausteine: eine interne KI-Richtlinie (was darf mit welchen Daten in welches Tool), eine dokumentierte Schulung aller Nutzenden und ein Verzeichnis der eingesetzten Systeme mit Zweck, Anbieter und Verantwortlichem.
Ein zweiseitiges Richtlinienpapier, eine Teilnehmerliste der Schulung und eine Tabelle der Tools genügen für den Anfang – wichtig ist, dass es existiert, gelebt und datiert ist.
Transparenz und Kennzeichnung (Art. 50)
Interagieren Menschen direkt mit einem KI-System, müssen sie das erkennen können – es sei denn, es ist aus dem Kontext offensichtlich. Künstlich erzeugte oder manipulierte Bild-, Audio- und Videoinhalte sind maschinenlesbar zu kennzeichnen; bei Texten, die zur Information der Öffentlichkeit veröffentlicht werden, ist die KI-Erzeugung offenzulegen, wenn kein Mensch inhaltlich geprüft hat.
Genau das ist der Grund, warum unter jedem Beitrag SteuerNest ein Hinweis auf die KI-Erstellung und die redaktionelle Prüfung steht – nachzulesen auf unserer Seite zur KI-Transparenz.
Zusammenspiel mit der DSGVO
Die KI-Verordnung regelt das Produkt, die DSGVO die Datenverarbeitung. Beide gelten parallel: Selbst ein Tool mit minimalem KI-Risiko braucht eine Rechtsgrundlage, einen Auftragsverarbeitungsvertrag nach Art. 28 DSGVO und – bei riskanten Verarbeitungen – eine Datenschutz-Folgenabschätzung nach Art. 35 DSGVO.
Für den konkreten Tool-Einsatz führt der schnellste Weg über unseren KI-Tool-Check: fünf Angaben, eine Ampel, konkrete Maßnahmen.
Deine Checkliste
Hak ab, was du erledigt hast – dein Fortschritt wird automatisch gespeichert.
KI-Pflichten umsetzen
0 von 7 erledigt- Rolle bestimmenBetreiber oder – bei Eigenentwicklung – Anbieter?
- Tools inventarisierenVerzeichnis mit Zweck, Anbieter, Verantwortlichem.
- Risikoklasse einordnenVerboten, Hochrisiko, Transparenz oder minimal?
- KI-Richtlinie schreibenErlaubte Tools, verbotene Daten, Prüfpflichten.
- Schulung dokumentierenArt. 4 KI-VO: Teilnehmer, Datum, Inhalte.
- Kennzeichnung einführenArt. 50: Chatbots und veröffentlichte Inhalte.
- DSGVO-Ebene sichernAV-Vertrag, Verarbeitungsverzeichnis, ggf. DSFA.
Häufige Fragen (FAQ)
Gilt die KI-Verordnung auch für kleine Kanzleien?
Ja. Die Verordnung kennt Erleichterungen für kleine und mittlere Unternehmen, aber keine generelle Ausnahme. Die Pflicht zur KI-Kompetenz nach Art. 4 trifft jeden Betreiber, unabhängig von der Größe.
Ist ein KI-Chatbot auf meiner Website hochrisikorelevant?
In der Regel nicht. Er unterliegt aber der Transparenzpflicht nach Art. 50: Nutzer müssen erkennen, dass sie mit einem KI-System sprechen.
Was passiert bei Verstößen?
Die Verordnung sieht gestaffelte Sanktionen vor, bei verbotenen Praktiken bis zu 35 Mio. Euro oder 7 % des weltweiten Jahresumsatzes. Für Betreiber sind vor allem Verstöße gegen Transparenz- und Aufsichtspflichten relevant.
Brauche ich eine Datenschutz-Folgenabschätzung?
Wenn die Verarbeitung voraussichtlich ein hohes Risiko birgt – etwa bei umfangreicher Verarbeitung sensibler Daten oder systematischer Bewertung von Personen. Für einfache Formulierungshilfen ohne Personenbezug ist sie nicht erforderlich.
Muss ich Mandanten über den KI-Einsatz informieren?
Die KI-Verordnung verlangt es nur in den Fällen des Art. 50. Berufsrechtlich und vertraglich ist Transparenz aber dringend zu empfehlen – idealerweise als Klausel in den Mandatsbedingungen.
Quellen & Rechtsgrundlagen
Alle Angaben wurden am 25. Juli 2026 anhand der folgenden Quellen geprüft. Rechtsstand: 2026.
- Verordnung (EU) 2024/1689 (KI-Verordnung).
- Art. 35 DSGVO – Datenschutz-Folgenabschätzung.
- Leitlinien der Europäischen Kommission zu verbotenen KI-Praktiken.
Wir übersetzen Steuer- und Datenschutzrecht in verständliche Sprache und prüfen jede Aussage gegen die Primärquelle. Dieser Beitrag ersetzt keine individuelle Beratung durch Steuerberater, Rechtsanwalt oder Lohnsteuerhilfeverein.