AI Act für Steuerberater: DATEV-KI, Mandantenkommunikation & Pflichten 2026

Die EU KI-Verordnung 2024/1689 betrifft Steuerberatungskanzleien in zweifacher Hinsicht: Sie sind selbst Betreiber von KI-Systemen (DATEV-KI, ChatGPT, Belegklassifizierung), und Sie werden zunehmend von Mandanten gefragt, was zu tun ist. Dieser Leitfaden zeigt, wo Sie als Kanzlei rechtlich stehen, welche Pflichten konkret gelten und wo die Verschwiegenheitspflicht nach § 57 StBerG mit dem AI Act kollidiert.

Sind Steuerkanzleien überhaupt betroffen?

Ja, eindeutig, und zwar in zweifacher Hinsicht:

1. Als Betreiber von KI-Systemen. Jede Kanzlei, die DATEV-KI-Module nutzt, ChatGPT für Schriftsätze einsetzt, KI-basierte Belegklassifizierung verwendet oder einen Mandanten-Chatbot auf der Website hat, ist Betreiber im Sinne von Art. 3 Nr. 4 KI-VO. Damit greifen die Betreiberpflichten, allen voran die KI-Kompetenz nach Art. 4.

2. Als Berater Ihrer Mandanten. Ein wachsender Teil Ihrer Mandanten ist selbst betroffen, von Arztpraxen über Handwerksbetriebe bis zu Finanzdienstleistern. Wenn Mandanten Sie fragen, was zu tun ist, sollten Sie die wichtigsten Pflichten und Fristen sicher benennen können. Das ist neben StBerG/StBVV mittlerweile Erwartungshorizont.

Typische KI-Einsätze in der Kanzlei und ihre Risikoklasse

DATEV-KI: Was tut sich, was müssen Sie tun?

DATEV integriert seit 2024 KI-Funktionen in die Kanzleisoftware (DATEV Online, DATEV Smart Insights, Belegerkennung). Das bedeutet für Sie als Steuerkanzlei:

• DATEV ist Anbieter (Provider) der KI-Funktionen nach Art. 3 Nr. 3 KI-VO. Damit liegt die technische Doku (Art. 11), Logging (Art. 12) und Konformitätsbewertung bei DATEV, nicht bei Ihnen.
• Sie sind Betreiber (Deployer) nach Art. 3 Nr. 4. Ihre Pflichten: KI-Kompetenz Ihrer Mitarbeiter (Art. 4), Verwendung gemäß DATEV-Anleitung (Art. 26 Abs. 1), bei Hochrisiko-Modulen menschliche Aufsicht (Art. 26 Abs. 2).
• AVV / DSGVO-Schnittstelle: DATEV bietet eine eigene Auftragsverarbeitungsvereinbarung an. Achten Sie darauf, dass darin die KI-Nutzung explizit erwähnt ist: Standard-AVVs von vor 2024 decken das oft nicht ausreichend ab.

Was Sie aktiv tun müssen: Inventar führen, welche DATEV-Module mit KI-Anteil bei Ihnen aktiv sind. Bei Behördenanfrage müssen Sie das vorlegen können: Stichwort Art. 26 Abs. 6 (Logs mind. 6 Monate aufbewahren).

AI Act vs. § 57 StBerG (Verschwiegenheit)

Eine berufsrechtliche Frage, die in keinem AI-Act-Ratgeber für Steuerberater fehlen darf: Wie verträgt sich der KI-Einsatz mit der Verschwiegenheitspflicht nach § 57 StBerG?

Die Antwort ist nüchtern: § 57 StBerG bleibt vom AI Act unberührt. Aber: KI-Tools verschärfen die praktische Anforderung. Konkret:

Praktikable Lösungen:

• DATEV-interne KI mit AVV ist meist unproblematisch (Daten bleiben im DATEV-Rechenzentrum).
• Microsoft Copilot for Business / Enterprise mit explizit verhandelter Datenschutzvereinbarung (kein Training auf Eingaben) ist nutzbar, wenn die Kanzlei einen entsprechenden Vertrag hat. Free-/Pro-Versionen sind nicht ausreichend.
• Lokale Open-Source-Modelle (Llama, Mistral) auf eigenem Server: maximale Kontrolle, aber Betreiberverantwortung steigt.
• ChatGPT Plus / Enterprise: nur unter sehr spezifischen Bedingungen (kein Training-Opt-In, Data Processing Addendum) und ohne sensible Mandanteninformationen.

Bei Verstoß drohen nicht nur AI-Act-Bußgelder, sondern auch berufsrechtliche Sanktionen durch die Steuerberaterkammer und potenziell zivilrechtliche Schadenersatzpflichten aus der Mandatsverletzung.

Konkrete Pflichten: Schritt für Schritt

1. KI-Inventar anlegen (sofort)

Alle KI-Tools auflisten, die in der Kanzlei genutzt werden, inklusive der versteckten Copilot-Funktionen in Microsoft 365 und der KI-Module in DATEV. Risikoklasse pro Tool bestimmen.

2. KI-Kompetenz dokumentieren (gilt seit 02.02.2025)

Art. 4 KI-VO verlangt Maßnahmen, die die KI-Kompetenz aller Personen unterstützen, die KI-Systeme einsetzen oder beaufsichtigen. Eine zweistündige interne Schulung mit Teilnehmerliste und Datum genügt, wichtig ist die Nachweisbarkeit der Maßnahme, nicht ein geprüftes Kompetenzniveau (so ausdrücklich Art. 4 n. F. seit 27.07.2026). [Art. 4 KI-VO + ErwGr 20–21]

3. Mandantenkommunikation prüfen

Wenn Sie einen Chatbot auf der Website betreiben oder KI für Mandanten-Newsletter nutzen, prüfen Sie die Transparenzpflichten nach Art. 50. Pflicht-Beginn: 02.08.2026. Die maschinenlesbare Kennzeichnung durch Anbieter (Art. 50 Abs. 2) gilt ebenfalls seit dem 02.08.2026; nur generative Systeme, die vorher in Verkehr gebracht wurden, haben bis 02.12.2026 Zeit (Art. 111 Abs. 4).

4. AVVs aktualisieren

Standard-AVVs ohne KI-Klausel sind nicht mehr ausreichend. Sprechen Sie aktiv mit DATEV, Microsoft und anderen Software-Anbietern: Ist die KI-Nutzung im AVV abgedeckt? Wo werden Daten verarbeitet? Wird auf Eingaben trainiert?

5. KI-Richtlinie für die Kanzlei

Eine interne Policy regelt verbindlich, welche Tools erlaubt sind, welche Daten eingegeben werden dürfen, wer was darf. Das ist nicht direkt KI-VO-Pflicht, aber bei Behördenanfrage Gold wert, und schützt vor Mandatsverletzungen.

Drei Fallen, in die Kanzleien aktuell tappen

Falle 1: „Wir nutzen nur DATEV, da ist KI doch automatisch erlaubt.“: Falsch. DATEV als Anbieter erfüllt seine Pflichten, aber Sie als Betreiber haben eigene Pflichten (Art. 4, Art. 26). Eine Schulung müssen Sie selbst dokumentieren, kein Software-Anbieter macht das für Sie.

Falle 2: „Mandantendaten in ChatGPT, aber anonymisiert.“: Heikel. Bei Steuerthemen lassen sich Namen oft aus Kontext (Umsatzhöhe, Branche, Region) re-identifizieren. § 203 StGB (Verletzung von Privatgeheimnissen) gilt auch bei „nur“ pseudonymisierten Daten in externen Diensten ohne ausreichende vertragliche Grundlage.

Falle 3: „Hochrisiko gilt erst ab Dezember 2027, wir haben Zeit.“: Trügerisch. Das Datum (02.12.2027) ist seit dem 27.07.2026 zwar verbindlich, aber es gilt nur für Kapitel III. Der 2. August 2026 bleibt unverändert: Transparenzpflichten nach Art. 50 und die Sanktionsstruktur sind davon nicht betroffen. Und KI-Recruiting-Tools (Anhang III Nr. 4) müssen Sie ohnehin heute schon inventarisieren, wenn Sie als Kanzlei selbst KI bei der Einstellung nutzen.

Häufige Fragen

Stand: Juli 2026. Dieser Artikel ist Recherche und Hilfestellung, keine Rechts- oder Steuerberatung. Für berufsrechtlich heikle Konstellationen (Verschwiegenheit nach § 57 StBerG, Mandantenakquise mit KI) konsultieren Sie bitte Ihre Steuerberaterkammer oder eine spezialisierte Rechtsanwältin.