Fragen Sie den Inhaber einer kleinen Steuerberatungskanzlei, ob sein Team KI-Tools nutzt, und die meisten werden sagen: „ein bisschen, eher informell". Fragen Sie, ob es eine schriftliche KI-Richtlinie gibt, und im Raum wird es meist still. Diese Lücke ist größer, als es klingt. Aktuelle Branchendaten beziffern die KI-Akzeptanz in Steuerberatungskanzleien auf 73%, einen Anstieg von 340% gegenüber dem Niveau von 2022 — doch laut Karbons „State of AI in Accounting Report" haben nur 37% der Kanzleien überhaupt in eine formale KI-Schulung investiert. Der Großteil dieses Wachstums fand ohne jede darunterliegende Governance-Schicht statt.
Genau diese Diskrepanz will der Artikel des Journal of Accountancy vom Juli 2026 zum Verfassen einer KI-Richtlinie schließen. Er richtet sich grundsätzlich an Steuerberatungskanzleien jeder Größe, doch die Ratschläge treffen kleine und mittlere Kanzleien am härtesten — jene, die am wenigsten wahrscheinlich eine Compliance-Abteilung haben und am ehesten aus einem Einzelpraktiker oder einem Zweier-Team bestehen, das zwischen Mandantengesprächen still mit ChatGPT experimentiert.
Das eigentliche Risiko ist nicht die KI — es ist das Schweigen
Hier kommt der unangenehme Teil: Ihre Kanzlei muss KI nicht „eingeführt" haben, um ein KI-Risikoproblem zu haben. Wenn auch nur ein Mitarbeiter jemals die Summen- und Saldenliste eines Mandanten in einen Chatbot eingefügt hat, um eine zweite Meinung zu einer Buchung einzuholen, besteht bereits ein Risiko — unabhängig davon, ob eine Richtlinie existiert.
Das wird häufig als „Schatten-KI" bezeichnet: Tool-Nutzung, die außerhalb jeder genehmigten Liste, außerhalb jedes Vertrags und außerhalb jeglichen Bewusstseins stattfindet. Das ist kein hypothetisches Szenario. Aktuelle Sicherheitsforschung hat ergeben, dass mittlerweile rund 34.8% der ChatGPT-Eingaben von Mitarbeitern sensible Unternehmensdaten enthalten — gegenüber nur 11% im Jahr 2023. Im Rechnungswesen bedeutet das konkret, dass Umsatzzahlen, Kapitalflussrechnungen und Steuerunterlagen von Mandanten in einem Drittanbietersystem landen, das die Kanzlei nie geprüft, mit dem sie nie einen Vertrag geschlossen hat und das sie nicht kontrollieren kann.
Die rechtliche Gefahr ist ebenfalls nicht abstrakt. Gibt ein Mitarbeiter Finanzdaten eines Mandanten in ein persönliches KI-Konto ein, werden diese Daten an einen Dritten außerhalb jeder bestehenden Mandantenvereinbarung übertragen und dort gespeichert — was die rechtliche Definition einer Datenschutzverletzung erfüllen und Meldepflichten nach staatlichem Recht auslösen kann. Für eine Kanzlei, die an die Regel zu vertraulichen Mandanteninformationen der AICPA (Abschnitt 1.700.001 des Code of Professional Conduct) gebunden ist, ist das keine Kleinigkeit. Es ist dieselbe Regel, die festlegt, ob Sie mit irgendjemandem außerhalb des Mandats über die Finanzen eines Mandanten sprechen dürfen — und sie gilt für KI-Tools genauso wie für ein zwangloses Gespräch auf einer Networking-Veranstaltung.
Was eine echte KI-Richtlinie tatsächlich abdeckt
Die Anleitung des Journal of Accountancy gliedert eine brauchbare Richtlinie in acht Bausteine: Geltungsbereich und Zweck, Governance-Struktur, Datenschutz, Qualitäts- und Genauigkeitskontrollen, Dokumentationsprotokolle, Bias-Bewertung, Transparenz gegenüber Mandanten und Regeln für die zulässige Nutzung. Das ist eine Menge, die eine Fünf-Personen-Kanzlei auf einmal bewältigen soll — daher lohnt es sich, sich auf die drei zu konzentrieren, die den größten Schutz bieten.
1. Dokumentieren Sie den Prompt, die Ausgabe und wer sie geprüft hat
Die Anleitung ist hier unmissverständlich: „Was nicht dokumentiert ist, hat nicht stattgefunden." Das ist kein neuer Standard für Steuerberater — es ist dieselbe Logik, die für Arbeitspapiere und Mandatsakten gilt —, muss sich nun aber auch auf KI erstrecken. Wenn ein Mitarbeiter ein KI-Tool nutzt, um ein Mandantenmemo zu entwerfen, eine fachliche Frage zu recherchieren oder ein Dokument zusammenzufassen, sollte die Kanzlei Folgendes nachweisen können:
- Welcher Prompt verwendet wurde
- Was das Tool ausgegeben hat
- Wer die Ausgabe geprüft hat, und wie
Dieser Nachweis gehört in die Mandantenakte, zusammen mit jeder anderen Dokumentation von Drittanbieter-Tools — nicht in einen Slack-Thread, der nach 90 Tagen verschwindet.
2. Verlangen Sie eine menschliche Überprüfung, bevor irgendetwas den Mandanten erreicht
Das ist der Satz, der über jedem Arbeitsplatz hängen sollte: KI darf nicht verwendet werden, um Entscheidungen im Zusammenhang mit Mandantenleistungen zu treffen, zu finalisieren oder zu unterstützen, ohne dass eine gründliche menschliche Überprüfung stattfindet — im Einklang mit den bestehenden Aufsichtsrichtlinien der Kanzlei. In der Praxis bedeutet das: KI-generierte Recherchen, fachliche Erläuterungen oder Zitate müssen direkt anhand von Primärquellen überprüft werden — dem Internal Revenue Code, den Treasury-Verordnungen, den FASB-Standards — und nicht akzeptiert werden, nur weil die Antwort überzeugend klang. Generative KI-Tools sind dafür bekannt, plausibel klingende Zitate zu erzeugen, die es in Wirklichkeit gar nicht gibt; ein Mitarbeiter, der einen zitierten Gesetzesabschnitt nicht eigenständig bestätigt, bevor dieser in einem Mandantenschreiben landet, hat den eigentlichen Sinn fachlicher Urteilskraft verfehlt.
3. Wissen Sie genau, was mit den eingegebenen Daten geschieht
Bevor irgendein Tool mit Mandanteninformationen in Berührung kommt, muss jemand in der Kanzlei vier Fragen dazu beantworten: Wo werden die Daten gespeichert? Wer hat Zugriff darauf? Werden sie anonymisiert? Werden sie zum Trainieren des Modells verwendet? Ist die Antwort auf eine dieser Fragen unklar — und bei den meisten KI-Tools für Verbraucher wird sie das sein —, sollte die Richtlinie schlicht verbieten, persönliche, vertrauliche oder proprietäre Informationen in dieses Tool einzugeben. Kanzleien, die das gut handhaben, versuchen nicht, jede einzelne Interaktion zu überwachen; sie führen eine Liste zugelassener Tools und einen unkomplizierten Prozess, mit dem Mitarbeiter Ergänzungen beantragen können, und behandeln KI-Governance als kanzleiweite Entscheidung statt als individuelle.
Die Fehler, die Kanzleien immer wieder machen
Ein paar Muster tauchen immer wieder auf, wenn kleine Kanzleien in KI-Risiken hineinstolpern, und keines davon erfordert böse Absicht — nur das Fehlen einer Richtlinie.
„Wir haben KI noch nicht eingeführt" als Schutz zu betrachten. Eine Kanzlei kann null KI-Tools im offiziellen Technologie-Stack haben und trotzdem hat jeder Mitarbeiter während der Arbeitszeit ein privates ChatGPT-Konto auf dem Handy im Einsatz. Richtlinienlücken warten nicht auf die offizielle Einführung — sie bestehen in dem Moment, in dem ein Mitarbeiter Internetzugang und eine Deadline hat.
Anzunehmen, dass kostenlose und kostenpflichtige Tarife sich gleich verhalten. Viele KI-Tools für Verbraucher nutzen Unterhaltungen im kostenlosen Tarif standardmäßig, um ihre zugrunde liegenden Modelle zu trainieren, während kostenpflichtige oder Enterprise-Tarife oft vertragliche Datenschutzgarantien enthalten. Ein Mitarbeiter, der sich für ein kostenloses Konto anmeldet, um Zeit zu sparen, lässt die Mandantendaten der Kanzlei häufig unbemerkt in eine Trainingspipeline einfließen. Genau deshalb müssen die vier oben genannten Fragen zum Umgang mit Daten — Speicherung, Zugriff, Anonymisierung, Nutzung zum Training — pro Tool beantwortet werden, nicht einmal angenommen und dann vergessen.
„Es klang richtig" als Ersatz für Überprüfung gelten zu lassen. KI-generierte Steuerzitate, Verweise auf Gesetzesabschnitte und fachliche Zusammenfassungen können flüssig formuliert und trotzdem völlig falsch sein. Ein Mitarbeiter unter Zeitdruck ist am ehesten geneigt, den Überprüfungsschritt zu überspringen — genau deshalb muss die Richtlinie die menschliche Überprüfung als Vorschrift festschreiben und nicht als Empfehlung, die dem individuellen Ermessen überlassen bleibt.
Kein Nachweis darüber, was gefragt oder geprüft wurde. Selbst Kanzleien, die inhaltlich alles richtig machen, lassen die Dokumentation oft aus. Fragt ein Mandant oder eine Aufsichtsbehörde später, wie eine bestimmte Zahl oder Empfehlung zustande kam, ist „wir haben KI zu Hilfe genommen" ohne einen Nachweis über den Prompt, die Ausgabe und die verantwortliche Freigabe keine Antwort.
Eine erste Checkliste für eine zweiseitige Richtlinie
Sie brauchen keinen externen Rechtsbeistand, um eine erste Fassung zu entwerfen. Eine praktikable Richtlinie für eine kleine Kanzlei passt auf ein bis zwei Seiten und sollte Folgendes abdecken:
- Eine Liste zugelassener Tools — benennen Sie die konkreten KI-Produkte, die Mitarbeiter für Mandantenarbeit nutzen dürfen, sowie einen einfachen Prozess (und sei es nur „den Partner fragen"), um neue zu beantragen.
- Eine Regel zum Umgang mit Daten — keine persönlichen, vertraulichen oder proprietären Mandanteninformationen dürfen in ein Tool eingegeben werden, das nicht auf der zugelassenen Liste steht.
- Eine Pflicht zur menschlichen Überprüfung — keine KI-Ausgabe wird zur Finalisierung von Mandantenarbeit, Leistungen oder Empfehlungen verwendet, ohne dass ein qualifizierter Mitarbeiter sie geprüft und in der Akte vermerkt hat.
- Eine Regel zur Überprüfung von Zitaten — jeder KI-generierte Verweis auf einen Gesetzesabschnitt, eine Verordnung oder einen Standard muss anhand der Primärquelle geprüft werden, bevor er einem Mandanten gegenüber zitiert oder in einer Einreichung verwendet wird.
- Eine Dokumentationsgewohnheit — ein Ort, an dem Mitarbeiter KI-unterstützte Arbeit protokollieren (ein Feld im Kanzleimanagement-System, ein Vermerk in der Mandatsakte — Hauptsache dauerhaft und durchsuchbar).
- Ein Hinweis zur Transparenz gegenüber Mandanten — ein klar formulierter Satz im Mandatsschreiben, der beschreibt, dass die Kanzlei im Rahmen der Leistungserbringung KI-Tools einsetzen kann, vorbehaltlich der oben genannten Schutzmaßnahmen.
Nichts davon erfordert eine technologische Rundumerneuerung. Es erfordert lediglich, schriftlich festzulegen, was die Kanzlei informell ohnehin schon voraussetzt — und sicherzustellen, dass jeder Mitarbeiter von denselben Annahmen ausgeht.
Kleine Kanzleien tragen mehr von diesem Risiko, nicht weniger
Es liegt nahe anzunehmen, KI-Governance sei ein „Problem großer Kanzleien" — etwas für landesweite Praxen mit eigenen Risikobeauftragten. Das Gegenteil kommt der Wahrheit näher. Kleineren Kanzleien fehlt in der Regel eine Compliance-Funktion, sie verlassen sich stärker auf allgemeine KI-Tools für Verbraucher statt auf geprüfte Enterprise-Produkte und haben weniger Redundanz, falls die Abkürzung eines Mitarbeiters zu einem Haftungsfall wird. Eine Zwei-Partner-Kanzlei ohne schriftliche KI-Richtlinie verlässt sich vollständig auf informelle Gewohnheiten, um die Vertraulichkeit der Mandantendaten zu schützen — und informelle Gewohnheiten halten nicht gut stand, wenn ein Mandant während eines Mandats genau nachfragt, wie mit seinen Daten umgegangen wurde.
Die Lösung braucht kein Rechtsteam. Eine ein- bis zweiseitige Richtlinie, die zugelassene Tools benennt, die Pflicht zur menschlichen Überprüfung klar in Worte fasst und den Mitarbeitern sagt, wo sie KI-unterstützte Arbeit protokollieren sollen, deckt den größten Teil des Risikos ab. Die oben genannten Bausteine sind eine vernünftige erste Checkliste; am wichtigsten ist, dass etwas Schriftliches existiert, bevor der nächste Mitarbeiter bei einer Mandantenangelegenheit zu einem Chatbot greift.
Wo die Finanzbuchhaltung hier ins Spiel kommt
KI-Governance und Finanzbuchhaltung lösen im Kern dasselbe Problem: sicherzustellen, dass hinter jeder Zahl und jeder Entscheidung eine klare, überprüfbare Spur existiert. Eine Kanzlei, die nicht zeigen kann, wie eine KI-unterstützte Antwort verifiziert wurde, hat dieselbe Lücke wie ein Unternehmen, das nicht zeigen kann, wie eine Transaktion kategorisiert wurde — in beiden Fällen kommt es darauf an, ob die Spur existiert und ob tatsächlich ein Mensch sie sich angesehen hat.
Das ist dasselbe Prinzip, das hinter Plain-Text-Accounting steht. Beancount.io verwaltet Ihre Finanzunterlagen als versionskontrollierten, menschenlesbaren Text statt als undurchsichtige Datenbankeinträge — jede Änderung hat eine sichtbare Historie, und nichts geschieht in einer Blackbox. Für einen Berufsstand, der sich zunehmend Gedanken über Erklärbarkeit macht, ist diese Art von Transparenz kein nettes Extra. Kostenlos loslegen und erleben, wie ein vollständig auditierbares Hauptbuch zu einer Kanzlei passt, die Dokumentation ernst nimmt.