Die Risiken generativer KI, die Buchhaltungs- und Treuhandkanzleien managen müssen

Generative KI kann Buchhaltungsteams Zeit sparen, aber dieselben Funktionen, die sie nützlich machen, können auch neue Risiken schaffen. Ein Modell kann eine ausgefeilte, aber falsche Antwort liefern, mehr Mandanteninformationen annehmen, als eine Aufgabe erfordert, oder Mitarbeitende dazu verleiten, sich auf ein Ergebnis zu verlassen, das sie nicht unabhängig geprüft haben.

Für Buchhaltungskanzleien sollte das Ziel nicht sein, generative KI ganz zu meiden. Es sollte darin bestehen, zu verstehen, wo die Technologie versagen kann, und die Kontrollen für die wichtigsten Einsatzbereiche zu verstärken.

1. Vertrauliche Mandanteninformationen können kontrollierte Systeme verlassen

Buchhaltungsteams arbeiten routinemäßig mit Bankdaten, Gehaltsabrechnungen, Steuerinformationen, Kundendaten, Jahresabschlüssen, Prognosen, Verträgen und weiteren vertraulichen Informationen. Ein Prompt oder ein Dateiupload kann diese Informationen in Sekunden in eine KI-Umgebung eines Drittanbieters verlagern.

Die Leitlinien der IESBA von 2026 zu neuen Technologien erklären, dass Merkmale wie Datenabhängigkeit, Undurchsichtigkeit, Autonomie, Skalierbarkeit und Geschwindigkeit ethische Bedrohungen schaffen oder verstärken können. Sie betonen zudem, dass Berufsangehörige der Rechnungslegung weiterhin dafür verantwortlich bleiben, die grundlegenden ethischen Prinzipien einzuhalten, einschließlich der Vertraulichkeit.

Die praktische Kontrolle ist Datenminimierung. Bevor Sie Informationen an ein KI-System übermitteln, fragen Sie sich, ob das Modell die echten Mandantendaten wirklich braucht. Ein fiktives Beispiel, ein Platzhalter, ein geschwärzter Auszug oder ein kleinerer Datensatz kann dieselbe Aufgabe oft erfüllen.

2. Eine flüssige Antwort kann trotzdem ungenau sein

Generative KI ist sehr gut darin, Sprache zu erzeugen, die vollständig und selbstsicher klingt. Das bedeutet nicht, dass die Antwort fachlich richtig ist.

Ein KI-System kann eine bilanzielle Behandlung missverstehen, eine relevante Bedingung auslassen, schwache Annahmen verwenden, eine unbelegte Erklärung liefern oder eine Berechnung falsch durchführen.

Die IESBA betont, dass Berufsangehörige der Rechnungslegung unabhängig vom Grad der technologischen Automatisierung für ihre Urteile und Entscheidungen verantwortlich bleiben. Ihre Leitlinien heben professionelles Urteilsvermögen, eine kritische Grundhaltung und angemessene menschliche Aufsicht bei der Bewertung technologiegenerierter Ergebnisse hervor.

Bei fachlichen Buchhaltungsfragen, Berechnungen oder Mandantenergebnissen sollten wichtige Aussagen anhand maßgeblicher Vorgaben und der zugrunde liegenden Unterlagen geprüft werden, bevor man sich auf sie stützt.

3. Automatisierung kann das professionelle Urteilsvermögen schwächen

Das Problem ist nicht immer, dass die KI eine schlechte Antwort gibt. Manchmal misst der Nutzer einer KI-Antwort zu viel Gewicht bei.

Ein Mitarbeitender kann eine KI-generierte Abweichungserklärung akzeptieren, weil sie plausibel klingt, eine vom Modell vorgeschlagene Klassifizierung übernehmen, ohne die Transaktion zu prüfen, oder die Untersuchung beenden, weil eine KI-Zusammenfassung vollständig wirkt.

Dieses Risiko wird gravierender, wenn die KI von der Formulierungshilfe zur Unterstützung von Analysen oder fachlichen Schlussfolgerungen übergeht.

Kanzleien können es verringern, indem sie festlegen, welche KI-Ergebnisse eine unabhängige Überprüfung erfordern, und sicherstellen, dass wichtige Schlussfolgerungen auf Quellunterlagen oder maßgebliche Vorgaben zurückgeführt werden können.

4. Schwache Eingaben können überzeugende, aber dünne Analysen hervorbringen

Die Ergebnisse der KI hängen stark von den Informationen ab, die dem System zur Verfügung gestellt werden.

Ist eine Tabelle unvollständig, lässt ein Dokumentensatz eine wichtige Vereinbarung aus oder übergeht der Prompt einen wesentlichen Sachverhalt, kann die KI dennoch eine selbstsichere Antwort erzeugen. Eine saubere Darstellung kann eine schwache Informationsbasis verdecken.

Die IFAC hat sowohl die Chancen als auch die Risiken hervorgehoben, die KI und intelligente Automatisierung für Berufsangehörige der Rechnungslegung schaffen. Sie weist darauf hin, dass Buchhalter weiterhin eine wichtige Rolle dabei spielen, starke Kontrollen aufrechtzuerhalten und die Qualität von Eingabe- und Ausgabedaten in zunehmend automatisierten Umgebungen sicherzustellen.

Bevor Sie sich auf eine KI-gestützte Analyse verlassen, fragen Sie, ob die bereitgestellten Informationen vollständig, richtig, aktuell und für die gestellte Frage geeignet waren.

5. Datenschutzpflichten gegenüber Mandanten gelten weiterhin

Generative KI schafft keine Ausnahme von bestehenden Datenschutzverantwortlichkeiten.

Das Office of the Privacy Commissioner of Canada erklärt, dass Organisationen, die KI einsetzen, die Datenschutzanforderungen für personenbezogene Daten beachten sollten, und nennt den verantwortungsvollen Einsatz generativer KI als fortlaufende Datenschutzpriorität. Die kanadischen Datenschutzleitlinien empfehlen Organisationen außerdem, personenbezogene Daten zu minimieren und gegebenenfalls de-identifizierte oder synthetische Informationen zu verwenden.

Das ist für Buchhaltungskanzleien relevant, weil Mandantenakten häufig Informationen über Mitarbeitende, Kunden, Gesellschafter und andere identifizierbare Personen enthalten.

Kanzleien sollten wissen, welche personenbezogenen Daten in ein KI-System gelangen, warum sie benötigt werden, wo sie verarbeitet werden, wer darauf zugreifen kann und wie lange sie dort verbleiben.

6. KI von Drittanbietern schafft Anbieterrisiken

Das Produkt, das der Buchhalter sieht, kann im Hintergrund auf mehrere andere Unternehmen angewiesen sein.

Ein KI-Anbieter kann einen externen Modellanbieter, Cloud-Infrastruktur, Analysewerkzeuge oder weitere Unterauftragsverarbeiter einsetzen. Das kann einen längeren Datenpfad schaffen, als den Mitarbeitenden bewusst ist.

Das Generative-AI-Profil des NIST benennt Risiken, die für generative KI einzigartig sind oder durch sie verstärkt werden, und gibt Organisationen Maßnahmen zum Steuern, Erfassen, Messen und Managen dieser Risiken über den gesamten KI-Lebenszyklus an die Hand. Es behandelt auch die Beschaffung generativer KI und Abhängigkeiten von Dritten.

Bevor ein KI-Tool für die Mandantenarbeit genehmigt wird, sollten Buchhaltungskanzleien Aufbewahrung, Praktiken beim Modelltraining, Zugriffskontrollen, Unterauftragsverarbeiter, Sicherheit, Löschverfahren und vertragliche Schutzmaßnahmen prüfen.

Die Genehmigung sollte außerdem konkret sein. Ein Anbieter, der für Recherchen mit öffentlichen Informationen genehmigt ist, sollte nicht automatisch für vertrauliche Finanzunterlagen von Mandanten genehmigt sein.

7. Nicht genehmigte KI kann ein unsichtbares Risiko schaffen

Selbst eine starke Richtlinie hat nur begrenzten Wert, wenn Mitarbeitende Tools nutzen, die die Kanzlei nicht kennt.

Mitarbeitende experimentieren womöglich mit kostenlosen Chatbots, privaten Konten, Browser-Erweiterungen, Meeting-Assistenten oder KI-Funktionen, die plötzlich in bestehenden Anwendungen auftauchen.

Buchhaltungskanzleien sollten Mitarbeitenden klare genehmigte Alternativen und ein unkompliziertes Verfahren zur Beantragung neuer Tools bieten. Andernfalls können sich nützliche KI-Arbeitsabläufe außerhalb der üblichen Datenschutz-, Sicherheits- und Anbieterkontrollen der Kanzlei entwickeln.

Nutzen Sie eine einfache Risikoprüfung

Bevor Sie generative KI in einen Buchhaltungsablauf einführen, fragen Sie:

1. Welche Mandanten- oder Kanzleidaten erhält die KI?
2. Erfordert die Aufgabe tatsächlich all diese Informationen?
3. Ist das Tool für genau diese Daten und diesen Zweck genehmigt?
4. Lässt sich das Ergebnis unabhängig überprüfen?
5. Könnte die KI ein buchhalterisches Urteil oder ein Mandantenergebnis beeinflussen?
6. Verstehen wir die Praktiken des Anbieters bei Aufbewahrung, Training, Sicherheit und Dritten?
7. Was passiert, wenn sensible Informationen übermittelt werden oder die KI ein falsches Ergebnis liefert?

Die Risiken generativer KI in der Buchhaltung sind beherrschbar, wenn Kanzleien die Technologie mit Kontrollen verbinden, die sie bereits verstehen: Vertraulichkeit, Datenschutz, Datenqualität, Anbietermanagement, menschliche Prüfung und Verantwortlichkeit.

Der größte Fehler ist, KI entweder als völlig sicher oder als völlig unbrauchbar zu betrachten. Ein besserer Ansatz ist zu entscheiden, wo sie Mehrwert bringt, die Informationen zu begrenzen, die sie erhält, wichtige Ergebnisse zu überprüfen und die berufliche Verantwortung beim Buchhalter zu belassen.

Mehrere der oben genannten Risiken, von der Offenlegung von Mandantendaten bis zu nicht genehmigten Tools, teilen ein Zeitproblem: Sobald ein Prompt an ein KI-Tool übermittelt wurde, lässt er sich nicht mehr zurückholen. Ein Kontoauszug, der in eine Bitte um eine Abweichungserklärung eingefügt wird, oder eine Gehaltsabrechnungsdatei, die für eine Zusammenfassung hochgeladen wird, ist in dem Moment fort, in dem der Nutzer die Eingabetaste drückt. Auf diesem Prinzip baut Sanitized Ai auf: Mandantenkennungen und andere vertrauliche Finanzdetails zu erkennen und zu schwärzen, bevor der Prompt das Tool erreicht, damit die Kontrolle wirkt, solange sie noch etwas bewirken kann.

Nehmen Sie in diesem Quartal die oben genannte Risikoprüfung mit sieben Fragen und wenden Sie sie auf die KI-Aufgabe an, die Ihr Buchhaltungsteam am häufigsten nutzt, bevor eine weitere echte Mandantendatei damit in Berührung kommt. Halten Sie fest, welche Mandantendaten die Aufgabe nicht benötigt, und machen Sie deren Entfernung zum Standardschritt statt zur Ausnahme. Wenn Sie sehen möchten, wie Schwärzung vor der Übermittlung stattfinden kann, fordern Sie eine Demo an und gehen Sie Ihren eigenen Arbeitsablauf gemeinsam mit uns durch.