AI Act in der Steuerkanzlei: Pflichten, wenn KI Mandantendaten anfasst

Steuerkanzleien, die KI mit Mandantendaten nutzen, müssen drei Regelwerke gleichzeitig beachten: die EU-Verordnung 2024/1689, die DSGVO und die Verschwiegenheitspflicht nach § 203 StGB. In der Praxis sind 4 von 6 typischen Kanzlei-Use-Cases unkritisch bis begrenzt riskant, wenn Hosting in Deutschland und eine dokumentierte Richtlinie vorliegen. Hochrisiko trifft vor allem Bewerberauswahl und automatisierte Mandanten-Risikobewertung. Die Art.-4-Schulungspflicht gilt seit Februar 2025 für alle Kanzleimitarbeiter mit KI-Zugang.

Hinweis: Dieser Artikel beschreibt die technisch-organisatorische Umsetzung. Er ersetzt keine Rechtsberatung und keine berufsrechtliche Einzelfallprüfung.

Welche Kanzlei-Use-Cases sind unkritisch?

Use-Case	AI-Act-Einstufung	Voraussetzung
Belegextraktion für DATEV	Minimal	Hosting DE, AVV, Validierung durch Mensch
Interne Wissensdatenbank (Hinweise, Checklisten)	Minimal	Berechtigungen, kein Mandanten-Prompt in US-Cloud
E-Mail-Entwürfe ohne Mandantendaten	Minimal	Klare Richtlinie
Fristen- und Terminassistenz	Minimal	Keine automatisierte Rechtsberatung

Die Belegverarbeitung in der Kanzlei vertieft den operativen Workflow.

Wo wird es heikel?

Use-Case	Risiko	Maßnahme
Mandantenschreiben in öffentlichem Chat zusammenfassen	§ 203, DSGVO	Interne KI auf IONOS
Bewerber-Vorsortierung für Kanzlei-Stellen	AI Act Hochrisiko	Konformitätsmanagement bis 08/2026
Automatische Mandanten-Kommunikation ohne Prüfung	Berufsrecht	Menschliche Freigabe Pflicht
KI-gestützte Steueroptimierungs-Vorschläge an Mandanten	Berufsrecht, Haftung	Nur als Entwurf mit Prüfung

Die Hochrisiko-Einstufung hilft bei der Einordnung.

Was müssen Kanzleien dokumentieren?

1. KI-Inventar aller Tools (inkl. Schatten-KI)
2. Richtlinie mit Datenklassen für Mandantendaten
3. Art.-4-Schulung für alle Nutzer
4. AVV-Kette mit Hosting- und KI-Anbietern
5. Risikobewertung pro Use-Case
6. Freigabeprotokoll für Mandanten-Kommunikation über KI

Wie sieht eine tragfähige Architektur aus?

Mandantendaten → On-Premise/DATEV → Extraktion auf IONOS
                                    → Kein US-Training
                                    → Logging + menschliche Freigabe
                                    → Löschfrist 90 Tage Prompts

Als Entwicklungspartner mit Festpreisen aus Oberhausen setzen wir diesen Stack mit n8n-Anbindung an DATEV und einer Validierungs-Oberfläche um. Made in Germany ist hier keine Marketingphrase, sondern Berufshaftungs-Thema.

Was kostet Compliance in der Kanzlei?

Maßnahme	Festpreis / Aufwand
KI-Readiness-Audit	1.250 EUR
AI-Act-Compliance-Audit inkl. Schulungskonzept	3.000 EUR
Belegworkflow mit KI-Extraktion	5.000 bis 8.000 EUR
Interne Wissensdatenbank	ab 4.500 EUR Prototyp

Der Audit-Preis wird bei Folge-Implementation voll angerechnet.

Was sagen Mandanten und Berufsträger dazu?

Kanzleien berichten uns zunehmend von zwei Fragen in Mandantengesprächen: „Nutzen Sie KI mit unseren Daten?” und „Wo werden die Daten verarbeitet?” Eine dokumentierte Antwort mit deutschem Hosting und Richtlinie ist inzwischen ein Vertrauensargument, nicht nur Compliance.

Multiplikatoren wie Verbandsnewsletter und Fortbildungen greifen das Thema 2026 flächendeckend auf. Wer vorbereitet ist, positioniert sich als moderne Kanzlei. Wer nicht vorbereitet ist, muss in Gesprächen improvisieren.

Wie unterscheidet sich Kanzlei-KI von allgemeiner Büro-KI?

Aspekt	Allgemeines Büro	Steuerkanzlei
Daten	Interne Memos	Mandantengeheimnisse
Hosting	EU oft ausreichend	Deutschland stark bevorzugt
Freigabe	Teamleiter	Partner plus Datenschutz
Dokumentation	Richtlinie	Richtlinie plus Berufsrecht-Bezug
Use-Case-Fokus	Texte, Summaries	Belege, Fristen, Wissensdatenbank

Die Belegverarbeitung in der Kanzlei und die Hochrisiko-Einstufung ergänzen diesen Branchenüberblick.

Wann lohnt sich der Einstieg?

Jede Kanzlei mit mehr als 200 Mandanten und mindestens einem offenen KI-Tool sollte 2026 handeln. Die Verschwiegenheitspflicht war vor KI da und gilt danach strenger, weil Datenabfluss einfacher geworden ist.

Das AI-Act-Compliance-Audit liefert in 10 Werktagen einen Kanzlei-spezifischen Maßnahmenplan mit Berücksichtigung von Berufsrecht, DSGVO und AI Act.

Welche Quick Wins gibt es in der Kanzlei?

Drei Maßnahmen mit schneller Wirkung:

1. Belegextraktion auf deutschem Hosting mit Validierung durch Menschen
2. Interne Wissensdatenbank für Checklisten und interne Hinweise statt öffentlichem Chat
3. Art.-4-Schulung mit Kanzlei-Beispielen zu Mandantendaten

Jede Maßnahme ist in 4 bis 8 Wochen umsetzbar und senkt das Risiko eines Datenabflusses über Schatten-KI.

Wie sprechen Sie Mandanten proaktiv an?

Ein kurzer Satz in der Mandanteninformation reicht oft:

„Wir nutzen KI nur mit Ihrer Zustimmung, auf Servern in Deutschland und ohne Weitergabe Ihrer Daten an öffentliche Chat-Dienste.”

Wer das vorab kommuniziert, vermeidet Nachfragen im Einzelfall und signalisiert Professionalität. Die technische Umsetzung dazu liefert ein Festpreis-Projekt auf IONOS mit dokumentiertem Datenfluss.

Was empfiehlt der Berufsverband praktisch?

Verbandsempfehlungen bewegen sich in dieselbe Richtung wie dieser Artikel: KI ja, aber mit Dokumentation, Schulung und ohne unkontrollierte Cloud-Eingaben. Nutzen Sie Verbands-Fortbildungen als Ergänzung, nicht als Ersatz für eine kanzleiinterne Richtlinie. Ihre Mandanten und Ihre IT-Landschaft sind zu spezifisch für generische Leitfäden.

Wie verzahnen Sie AI Act und Belegverarbeitung?

Die meisten Kanzleien starten mit Belegextraktion, weil der ROI sofort sichtbar ist. Gleichzeitig entsteht ein KI-Inventar und eine dokumentierte Architektur. Der Belegverarbeitungs-Artikel und dieses Compliance-Thema lassen sich in einem Projekt bündeln, statt zwei getrennte Initiativen zu fahren.