Künstliche Intelligenz in der Praxis rechtssicher einsetzen
Der Einsatz von künstlicher Intelligenz entwickelt sich in der beruflichen Praxis mit hoher Geschwindigkeit. Umso wichtiger ist eine klare Orientierung dazu, wie KI Werkzeuge fachlich sinnvoll und zugleich rechtssicher genutzt werden können. Aktuell wurde der Fragen und Antworten Katalog zum Einsatz von künstlicher Intelligenz in der Praxis der Wirtschaftsprüfung überarbeitet. Die Aktualisierung greift vor allem berufsrechtliche Fragen auf, also Vorschriften, die das berufliche Verhalten und die Pflichten bestimmter Berufsgruppen regeln. Im Mittelpunkt stehen die Verschwiegenheit, die Inanspruchnahme von Dienstleistungen sowie Verwertungsverboten. Zusätzlich wurde das Grundverständnis von künstlicher Intelligenz um Hinweise zur Unterscheidung verschiedener Datenarten ergänzt.
Für Unternehmen, Steuerberatende, prüfungsnahe Funktionen und Finanzinstitutionen ist diese Entwicklung weit über die Wirtschaftsprüfung hinaus relevant. Denn die wesentlichen Fragestellungen stellen sich überall dort, wo sensible Daten verarbeitet, externe Software genutzt und Arbeitsergebnisse auf automatisierten Systemen aufbauen. Das betrifft kleine und mittelständische Unternehmen ebenso wie spezialisierte Branchen, etwa Pflegeeinrichtungen, Krankenhäuser oder stark digitalisierte Onlinehändler. Wer KI zur Analyse, Dokumentation, Texterstellung, Datenaufbereitung oder Prozesssteuerung einsetzt, sollte die rechtlichen und organisatorischen Grundlagen sauber definieren.
Verschwiegenheit bei KI und der Umgang mit sensiblen Daten
Besondere Aufmerksamkeit verdient die Verschwiegenheit. Gemeint ist die Pflicht, vertrauliche Informationen von Mandanten, Kunden, Patienten, Geschäftspartnern oder internen Unternehmensbereichen nicht unbefugt offenzulegen. Gerade bei KI Anwendungen entsteht das Risiko, dass Daten an externe Systeme übermittelt werden, ohne dass der Umfang der weiteren Verarbeitung vollständig überblickt wird. Die überarbeiteten fachlichen Hinweise machen deutlich, dass der Einsatz von KI nicht losgelöst von bestehenden Berufs und Geheimhaltungspflichten betrachtet werden darf.
In der Praxis bedeutet das, dass vor jeder Nutzung einer KI Lösung geklärt werden muss, welche Daten verarbeitet werden und ob sie personenbeziehbar, vertraulich oder besonders schutzwürdig sind. Personenbezogene Daten sind Informationen, die sich auf eine identifizierte oder identifizierbare natürliche Person beziehen. Vertrauliche Unternehmensdaten können etwa Kalkulationen, Verträge, Finanzzahlen, Prüfungsunterlagen oder strategische Planungen sein. In Pflegeeinrichtungen und Krankenhäusern kommt hinzu, dass Gesundheitsdaten regelmäßig einem besonders hohen Schutz unterliegen. Schon aus diesem Grund ist die unreflektierte Eingabe solcher Inhalte in frei zugängliche Systeme regelmäßig problematisch.
Die ergänzten Hinweise zur Unterscheidung verschiedener Datenarten sind deshalb für die betriebliche Praxis besonders wertvoll. Sie lenken den Blick darauf, dass nicht jede Information gleich behandelt werden darf. Anonymisierte Daten, also Daten ohne Personenbezug, sind anders zu beurteilen als Rohdaten mit direktem Mandanten oder Kundenbezug. Ebenso ist zwischen internen Arbeitsentwürfen, finalen Berichten und originären Fremddaten zu unterscheiden. Diese Differenzierung hilft dabei, ein praktikables Berechtigungskonzept zu entwickeln und festzulegen, welche KI Anwendungen nur mit abstrahierten oder bereinigten Datensätzen arbeiten dürfen.
Externe KI Dienstleistungen und Verwertungsverbote richtig prüfen
Ein weiterer Schwerpunkt der Aktualisierung liegt auf der Inanspruchnahme von Dienstleistungen. Gemeint ist die Nutzung externer Anbieter, Plattformen oder technischer Services, die Leistungen rund um künstliche Intelligenz bereitstellen. Das klingt zunächst selbstverständlich, hat aber erhebliche rechtliche Konsequenzen. Sobald Daten an einen Dritten übermittelt werden, stellen sich Fragen nach Zulässigkeit, Verantwortlichkeit, technischer Sicherheit und vertraglicher Ausgestaltung. Unternehmen sollten deshalb nicht nur die Funktionalität eines Tools prüfen, sondern auch dessen vertragliche und datenschutzrechtliche Einbindung.
Besonders sensibel ist in diesem Zusammenhang das Thema Verwertungsverbote. Ein Verwertungsverbot bedeutet vereinfacht, dass bestimmte Informationen oder Arbeitsergebnisse wegen rechtlicher Grenzen nicht oder nur eingeschränkt verwendet werden dürfen. Im KI Kontext kann sich die Problematik etwa dann stellen, wenn Daten unter Verstoß gegen Geheimhaltungsregeln, Zugriffsgrenzen oder Zweckbindungen verarbeitet wurden. Selbst ein inhaltlich nützliches Ergebnis kann dann rechtlich belastet sein. Für Unternehmen ist das nicht nur eine theoretische Gefahr. Werden auf dieser Basis Berichte, Entscheidungen oder Kommunikation aufgebaut, können Haftungsrisiken, Reputationsschäden und Konflikte mit Aufsichtsbehörden oder Vertragspartnern entstehen.
Für kleine und mittelständische Unternehmen empfiehlt sich daher ein nüchterner Prüfungsmaßstab. Entscheidend ist nicht, ob ein KI Werkzeug beeindruckende Resultate liefert, sondern ob seine Nutzung in den bestehenden Compliance Rahmen passt. Compliance bezeichnet die Einhaltung gesetzlicher, vertraglicher und interner Vorgaben. Dazu gehören klare Nutzungsrichtlinien, dokumentierte Freigaben, eine Begrenzung sensibler Eingaben und die Prüfung, ob der Anbieter Inhalte zu Trainingszwecken weiterverarbeitet oder dauerhaft speichert. Gerade Finanzinstitutionen und Unternehmen mit erhöhten Dokumentationspflichten sollten zusätzlich festlegen, wann Ergebnisse menschlich geprüft, plausibilisiert und freigegeben werden müssen.
Was Unternehmen jetzt organisatorisch und technisch umsetzen sollten
Die überarbeiteten fachlichen Hinweise zeigen vor allem eines: Der rechtssichere Einsatz von künstlicher Intelligenz ist in erster Linie eine Organisationsaufgabe. Es reicht nicht aus, neue Software bereitzustellen. Vielmehr müssen Unternehmen definieren, für welche Anwendungsfälle KI überhaupt eingesetzt werden darf, welche Daten ausgeschlossen sind und wer die Verantwortung für Kontrolle und Qualität trägt. Das gilt im Rechnungswesen, in der Buchhaltung, im Controlling, in der internen Revision und in allen dokumentationsintensiven Bereichen gleichermaßen.
Praktisch sinnvoll ist eine Trennung zwischen unkritischen Standardanwendungen und sensiblen Fachprozessen. Unkritisch können etwa erste Formulierungshilfen, Strukturierungsaufgaben oder interne Wissensrecherchen sein, soweit keine vertraulichen Inhalte eingegeben werden. Deutlich strenger zu steuern sind Anwendungen mit Mandantendaten, Finanzinformationen, Personalakten, Gesundheitsdaten oder prüfungsrelevanten Unterlagen. In solchen Fällen sollte die Verarbeitung nur in freigegebenen Systemen mit nachvollziehbaren Sicherheits und Löschkonzepten erfolgen. Ebenso wichtig ist die Schulung der Mitarbeitenden. Viele Risiken entstehen nicht aus böser Absicht, sondern aus Unsicherheit im Umgang mit neuen Werkzeugen.
Für Onlinehändler kann das etwa bedeuten, KI im Kundenservice und in der Produktdatenpflege zu nutzen, dabei aber Zahlungsinformationen, Retourendaten mit Personenbezug oder interne Margekalkulationen konsequent auszuklammern. In Pflegeeinrichtungen und Krankenhäusern ist die Schwelle noch niedriger anzusetzen, weil hier regelmäßig besonders schutzwürdige Informationen betroffen sind. Mittelständische Unternehmen mit eigener Buchhaltung sollten zudem darauf achten, dass KI gestützte Prozesse in die bestehende Verfahrensdokumentation eingebunden werden. Eine Verfahrensdokumentation beschreibt nachvollziehbar, wie steuerlich und organisatorisch relevante Prozesse im Unternehmen ablaufen.
Im Ergebnis schafft die aktuelle Überarbeitung wertvolle Orientierung für alle, die KI nicht nur experimentell, sondern strukturiert und verantwortungsvoll einsetzen wollen. Wer frühzeitig Regeln für Datenarten, Verschwiegenheit, externe Dienstleistungen und die Verwendbarkeit von Ergebnissen definiert, reduziert Risiken und erhöht zugleich den praktischen Nutzen. Wir begleiten kleine und mittelständische Unternehmen bei der Digitalisierung ihrer kaufmännischen Abläufe mit besonderem Fokus auf prozesssichere Buchhaltung und effiziente Strukturen. Gerade im Mittelstand zeigen sich dabei regelmäßig erhebliche Kostenersparungen, wenn Digitalisierung, interne Prozesse und der rechtssichere Einsatz moderner Technologien in unserer Kanzlei sauber aufeinander abgestimmt werden.
Gerichtsentscheidung lesen
