KI-Governance im Unternehmen: So setzen Sie KI sicher ein

Published: 20.10.2026 · Aktualisiert: 20.10.2026 · Stand der Rechtslage: October 2026

Können Sie KI in Ihrem Unternehmen bereits sicher and verantwortungsvoll einsetzen? Die Antwort darauf gibt eine funktionierende KI-Governance im Unternehmen. Sie ist 2026 keine IT-Frage mehr, sondern Aufgabe von Geschäftsführung, Vorstand and Aufsichtsrat. Seit dem 2. August 2026 ist die europäische KI-Verordnung weitgehend anwendbar, and der Digital Omnibus hat nur einen Teil der Pflichten verschoben. Gleichzeitig nutzen Mitarbeitende längst Chatbots, Assistenzfunktionen and Automatisierungen, oft ohne Freigabe. Dieser Beitrag zeigt, wie Sie KI-Anwendungen einordnen, Risiken mit einem pragmatischen Prüfrahmen bewerten and welche Nachweise eine wirksame Aufsicht braucht. Zum Schluss erfahren Sie, was das für Steuerkanzleien bedeutet and wie wir Kanzleien bei der Digitalisierung unterstützen.

Kurz gefasst KI-Governance im Unternehmen bedeutet: Sie wissen, welche KI wo eingesetzt wird, wer verantwortlich ist, wie Ergebnisse kontrolliert werden and wie Sie das belegen. Rechtlicher Kern ist die KI-Verordnung. Verbote and die Pflicht zur Förderung der KI-Kompetenz gelten bereits, Transparenzpflichten seit August 2026, Hochrisiko-Pflichten ab Dezember 2027. Wer jetzt KI-Inventar, Richtlinie and Freigaben aufsetzt, ist vorbereitet.

Inhaltsverzeichnis

1. Warum ist KI-Governance jetzt Chefsache?
2. Welche Rollen kann KI im Unternehmen einnehmen?
3. Wie bewerten Sie KI-Risiken mit einem pragmatischen Prüfrahmen?
4. Welche Nachweise braucht eine wirksame Aufsicht?
5. KI in der eigenen Aufsichtsratsarbeit nutzen
6. Was bedeutet KI-Governance für Steuerkanzleien?
7. Digitalisierung für Kanzleien: von Steuerberatern mit Steuerberatern
8. Fazit
9. Häufige Fragen

Warum ist KI-Governance jetzt Chefsache? {#chefsache}

Weil die KI-Verordnung Unternehmen unmittelbar in die Pflicht nimmt, auch wenn sie KI nur einkaufen and nutzen. Und weil die Sorgfaltspflichten der Unternehmensleitung für den Einsatz von KI genauso gelten wie für jedes andere Werkzeug.

Die KI-Verordnung (EU) 2024/1689 gilt als EU-Verordnung direkt in allen Mitgliedstaaten. Wer ein KI-System in eigener Verantwortung beruflich einsetzt, ist dort „Betreiber“. Das trifft auf nahezu jedes Unternehmen zu, das heute mit Chatbots, Assistenzfunktionen in Office-Software oder automatisierter Belegverarbeitung arbeitet.

Im Sommer 2026 hat der EU-Gesetzgeber nachjustiert. Mit der Digital-Omnibus-Verordnung zur KI (EU) 2026/1744, in Kraft seit dem 27. Juli 2026, wurden ausschließlich die Hochrisiko-Pflichten verschoben. Verbote, Transparenzpflichten and die KI-Kompetenz behielten ihren Zeitplan.

Pflicht	Fundstelle	Gilt ab (Stand: 10/2026)
Verbotene KI-Praktiken	Art. 5 KI-VO	02.02.2025; zwei zusätzliche Verbote ab 02.12.2026
Förderung der KI-Kompetenz	Art. 4 KI-VO	02.02.2025; Wortlaut neu gefasst zum 27.07.2026
Transparenzpflichten (z. B. Chatbots, Deepfakes)	Art. 50 KI-VO	02.08.2026
Hochrisiko-KI nach Anhang III (z. B. Bewerberauswahl, Kreditwürdigkeitsprüfung)	Kapitel III KI-VO	02.12.2027
Hochrisiko-KI in regulierten Produkten nach Anhang I	Kapitel III KI-VO	02.08.2028

Besonders oft missverstanden wird Art. 4. Die Pflicht zur KI-Kompetenz wurde nicht gestrichen, sondern neu formuliert. Anbieter and Betreiber müssen Maßnahmen ergreifen, die die Entwicklung der KI-Kompetenz ihres Personals unterstützen. Ein bestimmtes Kompetenzniveau je Person müssen sie dagegen nicht garantieren. Schulungen, Leitfäden and deren Dokumentation bleiben damit Pflichtprogramm.

Dazu kommt das Gesellschaftsrecht. Vorstände schulden die Sorgfalt eines ordentlichen and gewissenhaften Geschäftsleiters nach § 93 AktG, GmbH-Geschäftsführer nach § 43 GmbHG. Der Aufsichtsrat überwacht die Geschäftsführung nach § 111 AktG. Für die Praxis heißt das: Ob der KI-Einsatz organisiert, kontrolliert and dokumentiert ist, gehört auf die Agenda beider Organe.

Welche Rollen kann KI im Unternehmen einnehmen? {#rollen}

KI ist nicht gleich KI. Für die Governance entscheidend ist nicht die Technologie, sondern die Rolle, die ein System im Prozess spielt, and wie viel menschliches Urteil zwischen KI-Ergebnis and Wirkung liegt.

Rolle der KI	Typische Beispiele	Hauptrisiko	Kontrollanforderung
Recherche- und Assistenzwerkzeug	Texte entwerfen, Dokumente zusammenfassen, recherchieren	Falsche oder erfundene Inhalte, Abfluss vertraulicher Daten	Freigegebene Tools, klare Datenregeln, inhaltliche Prüfung jedes Ergebnisses
Prognose- und Analysesystem	Liquiditätsplanung, Absatzprognosen, Auffälligkeitsanalysen	Scheinbare Präzision, verzerrte Datengrundlage	Validierung, Plausibilisierung, dokumentierte Annahmen
Entscheidungs- oder Entscheidungsunterstützungssystem	Bewerbervorauswahl, Kreditprüfung, Priorisierung von Fällen	Diskriminierung, fehlende Nachvollziehbarkeit, ggf. Hochrisiko nach Anhang III	Menschliche Aufsicht, Protokollierung, Einstufung nach KI-VO
In Prozesse eingebettete KI und Agenten	E-Mail-Triage, Belegverarbeitung, Workflows, die selbst Aktionen auslösen	Fehler skalieren unbemerkt, Verantwortung verschwimmt	Freigabepunkte, Berechtigungskonzept, Monitoring, Notabschaltung

Je weiter unten in dieser Tabelle ein System steht, desto seltener sieht ein Mensch jedes einzelne Ergebnis. Umso stärker muss die Kontrolle deshalb in den Prozess selbst eingebaut sein.

Daneben zählt die Rolle Ihres Unternehmens nach der KI-VO. Die meisten Unternehmen sind Betreiber. Wer ein KI-System jedoch unter eigenem Namen anbietet oder wesentlich verändert, kann selbst in die strengere Anbieterrolle rücken. Diese Abgrenzung sollte vor dem Rollout geklärt sein, nicht danach.

Wie bewerten Sie KI-Risiken mit einem pragmatischen Prüfrahmen? {#pruefrahmen}

Mit sechs Fragen, die Sie für jede KI-Anwendung beantworten and dokumentieren. Sie ersetzen keine Rechtsprüfung im Einzelfall, verhindern aber, dass ein System ungeprüft in den Betrieb geht.

Checkliste: Prüfrahmen für KI-Anwendungen

1. Zweck and Rolle: Wofür wird das System genutzt, and welche der vier Rollen nimmt es ein?
2. Daten: Werden personenbezogene Daten, Geschäftsgeheimnisse oder Berufsgeheimnisse verarbeitet? Wo findet die Verarbeitung statt, and liegt ein Auftragsverarbeitungsvertrag nach Art. 28 DSGVO vor?
3. Einstufung nach KI-VO: Verbotene Praktik, Hochrisiko nach Anhang III, Transparenzfall nach Art. 50 oder geringes Risiko?
4. Mensch in der Schleife: Wer prüft das Ergebnis, bevor es wirkt? Hat diese Person dafür die nötige Kompetenz and Zeit?
5. Anbieter and Vertrag: Ist geregelt, ob Eingaben zum Training genutzt werden, wo Daten gespeichert and wann sie gelöscht werden?
6. Nachweis: Ist dokumentiert, wer das System freigegeben hat, wer geschult wurde and wie Fehler gemeldet werden?

Aus den Antworten ergibt sich eine einfache Ampel. Grün sind Anwendungen ohne sensible Daten mit vollständiger menschlicher Prüfung. Gelb sind Anwendungen mit vertraulichen Daten oder teilautomatisierten Abläufen, die zusätzliche Kontrollen brauchen. Rot sind Anwendungen mit Hochrisiko-Bezug oder ungeklärter Datenlage; sie gehen erst nach vertiefter Prüfung in Betrieb.

Praxishinweis: Der häufigste Schwachpunkt ist nicht das offizielle KI-Projekt, sondern die „Schatten-KI“. Mitarbeitende kopieren Vertragsentwürfe oder Kundendaten in private Chatbot-Konten, weil es schnell geht. Ein reines Verbot hilft dagegen wenig. Wirksamer ist ein freigegebenes Werkzeug mit klaren Regeln, das die Arbeit genauso erleichtert.

Welche Nachweise braucht eine wirksame Aufsicht? {#nachweise}

Aufsicht braucht keine Detailkenntnis jedes Modells, sondern belastbare Informationen. Fünf Unterlagen bilden das Minimum, an dem sich Vorstand, Geschäftsführung and Aufsichtsrat orientieren können:

• KI-Inventar: alle eingesetzten Systeme mit Rolle, Verantwortlichem and Risikoeinstufung, einschließlich KI-Funktionen in bestehender Software
• KI-Richtlinie: erlaubte Tools, verbotene Datenkategorien, Freigabeprozess, Kennzeichnungsregeln
• Nachweise zur KI-Kompetenz: Schulungen, Unterweisungen and Leitfäden im Sinne von Art. 4 KI-VO
• Risikobewertungen: je relevanter Anwendung, nach dem Prüfrahmen oben
• Vorfall- and Änderungsprotokoll: Fehler, Beschwerden, Modell- oder Anbieterwechsel

Fünf Fragen an Vorstand and Management

1. Welche KI-Systeme setzen wir ein, and wer ist jeweils verantwortlich?
2. Fällt eines davon unter Hochrisiko nach Anhang III, and sind wir bis Dezember 2027 vorbereitet?
3. Wie stellen wir sicher, dass vertrauliche Daten nicht in ungeprüfte Tools gelangen?
4. Wie fördern and dokumentieren wir die KI-Kompetenz unserer Mitarbeitenden?
5. Woran würden wir erkennen, dass ein KI-System systematisch falsche Ergebnisse liefert?

Bewährt hat sich ein kurzer, regelmäßiger Bericht an Aufsichtsrat oder Beirat, etwa halbjährlich. So wird KI-Governance zum festen Tagesordnungspunkt statt zum Thema nach dem ersten Vorfall.

KI in der eigenen Aufsichtsratsarbeit nutzen {#aufsichtsrat}

KI kann Aufsichtsräte spürbar entlasten, etwa beim Strukturieren umfangreicher Sitzungsunterlagen. Die Grenze liegt dort, wo Vertraulichkeit, eigenes Urteil oder persönliche Verantwortung berührt sind.

Sinnvolle Einsatzfelder sind die Vorbereitung kritischer Rückfragen, Gegenüberstellungen von Plan and Ist, Glossare zu Fachbegriffen oder die Gliederung eigener Notizen. Dabei bleibt jedes Ergebnis ein Arbeitsentwurf.

Aufsichtsratsmitglieder sind nach § 116 AktG insbesondere zur Verschwiegenheit über vertrauliche Berichte and Beratungen verpflichtet. Vertrauliche Unterlagen gehören deshalb nur in Systeme, die das Unternehmen für diesen Zweck freigegeben hat, nicht in private Chatbot-Konten. Die Bewertung selbst bleibt beim Gremium: KI liefert Vorarbeit, keine Entscheidung, auf die man sich ungeprüft verlassen darf.

Was bedeutet KI-Governance für Steuerkanzleien? {#steuerkanzleien}

Steuerkanzleien sind in aller Regel Betreiber im Sinne der KI-VO and haben damit dieselben Grundpflichten wie andere Unternehmen. Hinzu kommt das Berufsrecht, das beim Umgang mit Mandantendaten strenger ist als das allgemeine Datenschutzrecht.

• Eigenverantwortlichkeit and Verschwiegenheit: Nach § 57 Abs. 1 StBerG üben Steuerberater ihren Beruf unter anderem eigenverantwortlich and verschwiegen aus. Ein KI-Ergebnis ist daher immer ein Entwurf, den der Berufsträger prüft and verantwortet.
• Dienstleister: § 62a StBerG verlangt die sorgfältige Auswahl externer Dienstleister and einen Vertrag in Textform mit Verschwiegenheitsverpflichtung. Bei Leistungen im Ausland muss der Geheimnisschutz vergleichbar sein. Dient ein Dienst unmittelbar einem einzelnen Mandat, ist die Einwilligung des Mandanten nötig.
• Haftung and Versicherung: Prüfen Sie mit Ihrem Versicherer, ob KI-gestützte Tätigkeiten von der Berufshaftpflichtversicherung umfasst sind.
• Orientierung des Berufsstands: Die Bundessteuerberaterkammer hat einen FAQ-Katalog zum KI-Einsatz in Kanzleien veröffentlicht

Beim Aufbau unserer eigenen KI-Workflows, etwa für die Vorsortierung von Anfragen oder für Nachrichtenentwürfe, gilt bei uns ein klares Prinzip: Der Agent entwirft, ein Steuerberater prüft and gibt frei. Wie Steuerberatung and künstliche Intelligenz in der Praxis zusammenfinden können, zeigt auch unser Beitrag über eine Mandantenbeziehung aus dem Dubai Silicon Oasis.

Digitalisierung für Kanzleien: von Steuerberatern mit Steuerberatern {#digitalisierung}

PSK Steuerberatung bietet die Digitalisierung von Kanzleiprozessen auch für andere Steuerkanzleien an. Das Angebot entsteht aus der eigenen Praxis: Wir kennen DATEV-Workflows, Fristendruck and Berufsrecht aus dem Kanzleialltag and entwickeln Lösungen gemeinsam mit IT-Spezialisten and mit den Kanzleien, die sie später nutzen.

Unter dem Namen KaNext umfasst das Angebot fünf Bausteine:

• Mandanten-Onboarding: vom Erstkontakt über die Unterlagenanforderung bis zur Mandatsannahme, mit klaren Freigabepunkten
• Datenaufbereitung des Mandantenbestands: saubere, strukturierte Stammdaten als Voraussetzung jeder Automatisierung
• Qualitätssicherung im Jahresabschluss: KI-gestützte Plausibilitäts- and Vollständigkeitsprüfungen mit Anbindung an die DATEV-Schnittstelle
• KI-Governance für die Kanzlei: KI-Inventar, Kanzlei-Richtlinie, Dienstleisterprüfung nach § 62a StBerG and Schulungskonzept nach Art. 4 KI-VO
• Workflows im Freigabemodus: Automatisierung dort, wo sie entlastet, menschliche Freigabe dort, wo Verantwortung liegt

„Von Steuerberatern mit Steuerberatern“ heißt für uns: Wir liefern kein Tool von außen, das an Ihrem Team vorbei eingeführt wird. Wir erarbeiten Prozesse mit Ihren Mitarbeitenden, testen sie im laufenden Betrieb and übergeben sie so, dass Ihre Kanzlei sie selbst weiterführen kann. Einen Überblick über unsere spezialisierten Leistungen jenseits der klassischen Steuerberatung finden Sie auf unserer Website.

Die Zusammenarbeit läuft vollständig digital. Als deutsche Steuerberatung mit Sitz in Dubai arbeiten wir ohnehin standortunabhängig mit Mandanten and Partnerkanzleien in Deutschland. Wie ein Projekt mit uns typischerweise vom Erstgespräch bis zur Umsetzung abläuft, haben wir transparent beschrieben.

Fazit {#fazit}

KI-Governance im Unternehmen ist kein Großprojekt, das erst mit den Hochrisiko-Fristen 2027 relevant wird. Verbote, die Förderung der KI-Kompetenz and Transparenzpflichten gelten bereits. Wer die Rolle jedes KI-Systems kennt, Risiken mit einem festen Prüfrahmen bewertet and die nötigen Nachweise vorhält, kann KI mit gutem Gewissen breiter einsetzen. Aufsichtsräte and Beiräte wissen dann, welche Fragen sie stellen and welche Unterlagen sie verlangen sollten.

Der sinnvollste erste Schritt ist ein KI-Inventar: Welche Systeme laufen bei Ihnen bereits, offiziell oder inoffiziell? Wenn Sie als Kanzlei Ihre Prozesse digitalisieren and dabei Berufsrecht and KI-Verordnung von Anfang an mitdenken möchten, sprechen Sie uns gern an. Einen Überblick über alle Beratungsleistungen der PSK Steuerberatung finden Sie ebenfalls auf unserer Website.

Häufige Fragen {#faq}

Gilt die KI-Verordnung auch, wenn wir KI nur einkaufen and nutzen?

Ja. Wer ein KI-System in eigener Verantwortung beruflich einsetzt, ist Betreiber im Sinne der KI-Verordnung. Für Betreiber gelten insbesondere die Verbote nach Art. 5, die Pflicht zur Förderung der KI-Kompetenz nach Art. 4 and bestimmte Transparenzpflichten nach Art. 50. Deutlich umfangreichere Zusatzpflichten entstehen erst, wenn ein eingesetztes System als Hochrisiko-KI einzustufen ist.

Ist die KI-Schulungspflicht durch den Digital Omnibus weggefallen?

Nein. Art. 4 KI-VO wurde mit Wirkung zum 27. Juli 2026 neu gefasst, aber nicht gestrichen. Anbieter and Betreiber müssen Maßnahmen ergreifen, die die KI-Kompetenz ihres Personals fördern. Ein bestimmtes Kompetenzniveau je Person müssen sie nicht garantieren. Schulungen, Leitfäden and deren Dokumentation bleiben der praktische Weg, die Pflicht nachweisbar zu erfüllen.

Ab wann gelten die Pflichten für Hochrisiko-KI?

Für eigenständige Hochrisiko-Systeme nach Anhang III, etwa in der Bewerberauswahl oder bei der Kreditwürdigkeitsprüfung, gelten sie ab dem 2. Dezember 2027. Für KI in regulierten Produkten nach Anhang I gilt der 2. August 2028. Die Verschiebung ändert die Anforderungen nicht, sondern verschafft Zeit für Dokumentation, Protokollierung and menschliche Aufsicht.

Dürfen Steuerberater Mandantendaten in KI-Tools eingeben?

Nur unter den Voraussetzungen des § 62a StBerG and des Datenschutzrechts. Der Anbieter muss sorgfältig ausgewählt and vertraglich zur Verschwiegenheit verpflichtet sein. Bei Verarbeitung im Ausland muss der Geheimnisschutz vergleichbar sein. Dient der Dienst unmittelbar einem einzelnen Mandat, ist die Einwilligung des Mandanten erforderlich. Private Chatbot-Konten erfüllen diese Anforderungen regelmäßig nicht.

Welche Rolle hat der Aufsichtsrat beim Einsatz von KI?

Der Aufsichtsrat überwacht die Geschäftsführung, steuert den KI-Einsatz aber nicht selbst. Seine Aufgabe ist es, die richtigen Fragen zu stellen and Nachweise zu verlangen: ein KI-Inventar, eine Richtlinie, Risikobewertungen and regelmäßige Berichte. Nutzt er KI für die eigene Arbeit, bleiben Verschwiegenheitspflicht and eigenes Urteil unberührt.

Wie beginnt man am besten mit KI-Governance?

Mit einer Bestandsaufnahme: Welche KI-Systeme sind im Einsatz, auch inoffiziell? Darauf bauen Richtlinie, Freigabeprozess and Schulungskonzept auf. Für die meisten mittelständischen Unternehmen and Kanzleien lässt sich dieser Grundrahmen mit überschaubarem Aufwand schaffen. Aufwendiger wird es vor allem dann, wenn Hochrisiko-Anwendungen betroffen sind.