FAQ-Katalog zum KI-Einsatz in Steuerkanzleien

Die Bundessteuerberaterkammer (BStBK) hat jüngst einen umfangreichen FAQ-Katalog zum Einsatz Künstlicher Intelligenz im steuerberatenden Berufsstand veröffentlicht. Das Dokument adressiert praxisrelevante Fragen aus den Bereichen Datenschutz, Berufsrecht, Tool-Governance und Qualitätssicherung – und ist damit auch für Datenschutzbeauftragte in Kanzleien von unmittelbarer Relevanz.

Datenschutz und Berufsgeheimnis als zentrale Leitplanken

Der Katalog stellt klar: Mandantendaten dürfen grundsätzlich nicht in öffentlich zugängliche KI-Dienste wie ChatGPT eingegeben werden, sofern keine ausreichende vertragliche Absicherung besteht. Die berufsrechtliche Verschwiegenheitspflicht nach § 57 StBerG und § 203 StGB gilt technologieneutral – also auch beim KI-Einsatz. Sollen mandatsbezogene Daten verarbeitet werden, sind entweder eine Anonymisierung oder der Abschluss eines Auftragsverarbeitungsvertrags sowie einer Verschwiegenheitsvereinbarung nach § 62a StBerG erforderlich. EU-basierte Anbieter sind ausdrücklich zu bevorzugen; bei Drittstaatenanbietern – insbesondere außerhalb der EU – gelten erhöhte Anforderungen.

DSGVO-Compliance und Datenschutz-Folgenabschätzung

Sobald KI-Systeme personenbezogene Daten verarbeiten, greifen vollumfänglich die DS-GVO-Grundsätze: Rechtsgrundlage, Datenminimierung, Zweckbindung, Löschkonzepte und Drittstaatentransfers müssen geprüft und dokumentiert sein. Die Aufsichtsbehörden verlangen nach Art. 35 DS-GVO eine Datenschutz-Folgenabschätzung, wenn der KI-Einsatz voraussichtlich hohe Risiken für Betroffenenrechte birgt. In diesem Fall entsteht auch für kleinere Kanzleien die Pflicht zur Bestellung eines Datenschutzbeauftragten.

KI-Kompetenz als Betreiberpflicht

Kanzleien, die KI eigenverantwortlich einsetzen, gelten als Betreiber im Sinne von Art. 3 Nr. 4 KI-VO und sind nach Art. 4 KI-VO verpflichtet, für ausreichende KI-Kompetenz ihres Personals zu sorgen. Eine gesetzliche Pflicht zur Nutzung von KI oder zur Bestellung eines KI-Beauftragten besteht nicht – die BStBK empfiehlt jedoch ausdrücklich, einen internen Ansprechpartner zu benennen sowie ein KI-Verzeichnis als Compliance-Werkzeug einzuführen. Fachliche Endverantwortung verbleibt stets beim Berufsträger; KI-Ergebnisse sind grundsätzlich kritisch zu prüfen und dürfen nicht ungeprüft übernommen werden.

(Foto: Sina Ettmer – stock.adobe.com)