EU AI Act: Das müssen Steuerkanzleien jetzt umsetzen

Nutzen Sie in Ihrer Kanzlei bereits KI, etwa für Textentwürfe, Recherchen oder als Chatbot auf der Website Dann sollten Sie prüfen, welche Vorgaben des EU AI Act für diese Anwendungen gelten. Die Verordnung ist am 1. August 2024 in Kraft getreten und wird schrittweise anwendbar. Im Juli 2026 hat der Gesetzgeber nachgebessert: Am 27. Juli 2026 ist die Digital-Omnibus-Verordnung (EU) 2026/1744 in Kraft getreten, die den AI Act an mehreren Stellen ändert. Seit dem 2. August 2026 gelten zudem die Transparenzpflichten des Art. 50 für bestimmte KI-Systeme und KI-generierte oder manipulierte Inhalte. Für Steuerkanzleien stellen sich damit ganz praktische Fragen: Welche KI-Systeme müssen erfasst werden? Wann ist die Kanzlei Betreiber, wann Anbieter? Welche Anwendungen sind besonders reguliert? Und welche organisatorischen Maßnahmen sind erforderlich? Die gute Nachricht: Das ist für Kanzleien gut zu bewältigen. In diesem Beitrag erfahren Sie, was der EU AI Act für Ihren Kanzleialltag bedeutet und auf was Sie achten sollten.

Welche Rolle hat Ihre Kanzlei?

Der AI Act unterscheidet zwischen verschiedenen Rollen. Anbieter entwickeln KI-Systeme und bringen sie unter eigenem Namen auf den Markt. Betreiber setzen KI-Systeme unter ihrer Verantwortung ein. Steuerkanzleien, die fertige KI-Werkzeuge einkaufen und für ihre Arbeit nutzen, sind daher in der Regel Betreiber. Dabei sollten Sie nicht nur eigenständige KI-Anwendungen im Blick haben. Ein KI-System kann auch Bestandteil einer eingekauften Software sein. Nutzt Ihre Kanzlei beispielsweise KI-Funktionen für Textentwürfe oder Recherchen oder einen KI-Chatbot auf der Kanzleiwebsite, sollte auch dieser Einsatz in die Prüfung einbezogen werden. Voraussetzung ist jeweils, dass die betreffende Funktion tatsächlich unter die Definition eines KI-Systems nach dem AI Act fällt. Für die meisten Kanzleien ist die Betreiberrolle der Ausgangspunkt. Sie sollte trotzdem für jeden Anwendungsfall einzeln geprüft werden. Denn durch eigene Veränderungen oder eine neue Zweckbestimmung kann eine Kanzlei unter bestimmten Voraussetzungen selbst zum Anbieter werden.

Seit Februar 2025 – Pflicht zur KI-Kompetenz

Seit Februar 2025 gilt die Pflicht zur KI-Kompetenz nach Art. 4 AI Act. Der Digital Omnibus hat die Pflicht inzwischen abgeschwächt. Ihre Kanzlei muss nicht mehr garantieren, dass die Mitarbeitenden kompetent im Umgang mit KI sind. Sie muss aber Maßnahmen ergreifen, um ihre KI-Kompetenz zu fördern. Die Pflicht, etwas zu tun, verlagert sich vom Ergebnis auf den Prozess. Das heißt, dass man Schulungsangebote, Leitlinien und Regeln nachgewiesen werden müssen. Berücksichtigen Sie dabei auch Personen, die im Auftrag mit den Systemen arbeiten, wie Dienstleister und freie Mitarbeitende.

Seit dem 2. August 2026 gelten die Transparenzpflichten nach Art. 50 AI Act. Für Steuerkanzleien sind vor allem drei Fälle relevant. Veröffentlicht eine Kanzlei KI-erzeugte oder manipulierte Bild-, Ton- oder Videoinhalte, die bestehenden Personen, Orten, Einrichtungen oder Ereignissen täuschend echt ähneln, muss sie solche Deepfakes grundsätzlich als künstlich erzeugt oder manipuliert kenntlich machen.

Auch bei KI-generierten Texten kann eine Kennzeichnung erforderlich sein. Das betrifft veröffentlichte Texte, die die Öffentlichkeit über Angelegenheiten von öffentlichem Interesse informieren sollen. Für Kanzleien können deshalb beispielsweise Beiträge zu steuerrechtlichen Entwicklungen, Gesetzesänderungen oder anderen öffentlich relevanten Steuerfragen in den Anwendungsbereich fallen. Eine Kennzeichnung ist jedoch nicht erforderlich, wenn der Inhalt fachlich durch eine natürliche Person geprüft oder tatsächlich redaktionell kontrolliert wurde und die redaktionelle Verantwortung geklärt ist. Ein bloßer Rechtschreib- oder Grammatikcheck genügt dafür nicht.

Praktisch bedeutet das: Nutzt eine Steuerkanzlei KI beispielsweise für den Entwurf eines Fachbeitrags und prüft eine Steuerberaterin oder ein Steuerberater anschließend Aussagen, Quellen und fachliche Richtigkeit, kann die Ausnahme von der Kennzeichnungspflicht greifen. Wird ein Text dagegen weitgehend automatisiert erzeugt und ohne solche inhaltliche Kontrolle veröffentlicht, kann eine Kennzeichnung erforderlich sein. Ob ein konkreter Kanzleibeitrag tatsächlich eine „Angelegenheit von öffentlichem Interesse“ betrifft, muss im Einzelfall beurteilt werden.

Bei einem KI-Chatbot auf der Kanzleiwebsite liegt die Transparenzpflicht nach Art. 50 Abs. 1 grundsätzlich beim Anbieter des KI-Systems: Das System muss so gestaltet sein, dass Nutzerinnen und Nutzer erkennen, dass sie mit KI interagieren, sofern dies nicht ohnehin offensichtlich ist. Kanzleien sollten deshalb bei der Auswahl und Einrichtung eines Chatbots prüfen, ob dieser Hinweis tatsächlich vorgesehen und sichtbar ist.

Verstöße gegen die Transparenzpflichten des Art. 50 können mit Geldbußen von bis zu 15 Mio. Euro oder 3 % des weltweiten Jahresumsatzes geahndet werden. Bei kleineren und mittleren Unternehmen sind die besonderen Vorgaben zur Verhältnismäßigkeit der Sanktionen zu berücksichtigen.

Wenn die Kanzlei selbst zum KI-Anbieter wird 

Vorsicht bei einer neuen Zweckbestimmung: Eine Kanzlei kann vom Betreiber zum Anbieter eines Hochrisiko-KI-Systems werden. Das kann beispielsweise passieren, wenn ein bislang nicht als Hochrisiko-System eingestuftes KI-System für einen neuen Zweck eingesetzt wird und dadurch in eine Hochrisiko-Kategorie des AI Act fällt. Wer etwa ein allgemeines KI-System so einrichtet, dass es Bewerbungen sichtet, filtert oder Bewerberinnen und Bewerber bewertet, bewegt sich im Bereich der in Anhang III genannten Hochrisiko-Anwendungen. Die Kanzlei kann dann selbst Anbieterpflichten übernehmen. Für die Praxis heißt das: Eingekaufte KI-Systeme sollten grundsätzlich innerhalb ihrer vorgesehenen Zweckbestimmung eingesetzt werden. Soll ein System für einen neuen Anwendungsfall genutzt, technisch verändert oder in einen eigenen Workflow eingebaut werden, sollte vorher geprüft werden, ob sich dadurch die rechtliche Rolle der Kanzlei oder die Risikoeinstufung des Systems ändert. 

Was wurde verschoben und was gilt bereits? 

Der AI Omnibus verschiebt vor allem die Anwendung der Vorschriften für Hochrisiko-KI. Für Hochrisiko-Systeme nach Anhang III gelten die entsprechenden Regeln erst ab dem 2. Dezember 2027. Bei Hochrisiko-KI-Systemen, die unter die in Anhang I Abschnitt A genannten Produktvorschriften fallen, ist der neue Stichtag der 2. August 2028. 

Andere Pflichten des AI Act sind davon nicht automatisch betroffen. Die bereits anwendbaren Verbote gelten weiterhin. Anbieter und Betreiber müssen außerdem Maßnahmen ergreifen, um die KI-Kompetenz der mit KI befassten Beschäftigten zu fördern. Die Transparenzpflichten des Art. 50 gelten grundsätzlich seit dem 2. August 2026. Die Pflichten für Anbieter von KI-Modellen mit allgemeinem Verwendungszweck gelten grundsätzlich seit dem 2. August 2025.