Art. 4 der europäischen KI-Verordnung (VO (EU) 2024/1689) ist seit dem 2. Februar 2025 in Kraft. Er verpflichtet jeden Betreiber eines KI-Systems, für ein „ausreichendes Maß an KI-Kompetenz" bei den eigenen Mitarbeitern zu sorgen. Die Vorschrift gilt unmittelbar, ohne nationale Umsetzung, und erfasst jede Steuerkanzlei, in der auch nur ein Mitarbeiter ChatGPT für eine Recherche nutzt. Dreizehn Monate später zeigt die Realität: Die Pflicht existiert, die Umsetzung in den meisten Kanzleien nicht.
Was Art. 4 der KI-Verordnung konkret verlangt
Die Formulierung des Gesetzes ist bewusst offen gehalten. Art. 4 verlangt, dass Anbieter und Betreiber von KI-Systemen „Maßnahmen ergreifen, um nach bester Möglichkeit sicherzustellen", dass ihre Mitarbeiter „über ein ausreichendes Maß an KI-Kompetenz verfügen". Die Verordnung definiert KI-Kompetenz in Art. 3 Nr. 56 als „die Fähigkeiten, die Kenntnisse und das Verständnis, die es Anbietern, Betreibern und Betroffenen unter Berücksichtigung ihrer jeweiligen Rechte und Pflichten ermöglichen, KI-Systeme sachkundig einzusetzen".
Drei Aspekte sind für Kanzleiinhaber entscheidend:
Erstens: Die Pflicht trifft den Betreiber. Steuerberater, die in der Kanzlei KI-Tools eigenverantwortlich einsetzen, sind Betreiber im Sinne von Art. 3 Nr. 4 der KI-Verordnung. Ob es sich um ChatGPT für Mandantenbriefe, ein Steuerfach-KI-Tool für Bescheidprüfung oder eine Multi-LLM-Plattform für Dokumentenanalyse handelt: Sobald ein KI-System im Kanzleialltag zum Einsatz kommt, greift Art. 4.
Zweitens: Der Maßstab ist verhältnismäßig. Die Verordnung fordert kein Informatikstudium. Sie verlangt Kompetenz, die der konkreten Nutzung angemessen ist. Eine Steuerfachangestellte, die KI für Mandantenbriefe verwendet, braucht andere Kenntnisse als ein Berufsträger, der KI-gestützte Steuerrechtsrecherche betreibt. Der Erwägungsgrund 20 der Verordnung nennt als Maßstab unter anderem den „technischen Kenntnisstand" und die „Erfahrung und Ausbildung" der betreffenden Person sowie den „Kontext, in dem die KI-Systeme eingesetzt werden".
Drittens: Es gibt keine Übergangsfrist. Anders als bei den Hochrisiko-Vorschriften (ab August 2026) oder den Kennzeichnungspflichten gilt Art. 4 seit dem 2. Februar 2025 unmittelbar. Wer heute keine Maßnahmen ergriffen hat, ist seit über einem Jahr nicht konform.
Warum gerade Steuerkanzleien ein Problem haben
Die STAX 2024 der BStBK zeigt: 63 % der Steuerberater erwarten, dass KI ihren Beruf stark verändern wird. Gleichzeitig belegt die SWI Finance Studie 2025, dass 91,6 % der Kanzleien KI bereits in Teilbereichen einsetzen. Zwischen Nutzung und formaler Kompetenzstruktur klafft eine Lücke, die für Steuerkanzleien aus drei Gründen besonders riskant ist.
Die berufsrechtliche Doppelbelastung ist der erste Grund. Steuerberater unterliegen nicht nur der KI-Verordnung, sondern auch der berufsrechtlichen Fortbildungspflicht nach §57 Abs. 2 Nr. 4 StBerG. Die BStBK hat im FAQ-Katalog KI vom Februar 2026 ausdrücklich festgestellt, dass der kompetente Umgang mit KI zur fachgerechten Berufsausübung gehört. Wer KI nutzt, ohne die Kompetenz nachzuweisen, hat also ein regulatorisches und ein berufsrechtliches Problem.
Der zweite Grund: die Haftungsfrage. Wenn ein Mandantenbrief auf Basis einer KI-Halluzination verschickt wird und daraus ein Schaden entsteht, ist die erste Frage des Mandanten: „Waren Ihre Mitarbeiter für den Umgang mit diesem Tool geschult?" Wenn die Antwort „Nein" lautet und keine dokumentierte Schulung existiert, verschlechtert das die Haftungsposition der Kanzlei erheblich, auch gegenüber der Berufshaftpflichtversicherung.
Der dritte Grund ist der Zeitdruck. Das KI-Marktüberwachungs- und Innovationsförderungsgesetz (KI-MIG), das die KI-Verordnung in deutsches Recht umsetzt, wurde am 20. März 2026 erstmals im Bundestag beraten. Die Bundesnetzagentur wird als KI-Marktüberwachungsbehörde zuständig sein und ein Koordinierungs- und Kompetenzzentrum (KoKIVO) einrichten. Ab August 2026 werden die Sanktionsbefugnisse vollständig durchsetzbar. Das Fenster, in dem fehlende Compliance folgenlos bleibt, schließt sich.
Was Kanzleien konkret nachweisen müssen
Art. 4 selbst enthält keine explizite Dokumentationspflicht. Wer daraus schließt, dass nichts dokumentiert werden muss, liegt falsch. Im Haftungs- oder Prüfungsfall trägt die Kanzlei die Beweislast dafür, dass sie „Maßnahmen ergriffen" hat. Ohne Dokumentation gibt es keinen Beweis.
| Nachweis-Element | Was dokumentiert wird | Warum relevant |
|---|---|---|
| Schulungskonzept | Welche Inhalte, für welche Rollen, in welcher Frequenz | Zeigt, dass die Kanzlei die Pflicht kennt und strukturiert umsetzt |
| Teilnehmerlisten | Wer wurde wann geschult, mit Unterschrift | Individueller Nachweis pro Mitarbeiter |
| Schulungsinhalte | Agenda, Materialien, Trainer | Belegt, dass die Schulung substanziell war |
| Rollenspezifische Zuordnung | Welcher Mitarbeiter nutzt welche KI-Systeme | Zeigt Verhältnismäßigkeit: Kompetenz passt zur Nutzung |
| Aktualisierungsnachweis | Datum der letzten Auffrischung | Zeigt, dass die Kompetenz aktuell gehalten wird |
Die Steuerberaterkammern reagieren bereits. Die StBK Stuttgart bietet seit 2025 ein Seminar „Künstliche Intelligenz: Was Steuerberatungskanzleien zum EU AI-Act wissen müssen" an. Die Teilnahmebescheinigungen bestätigen explizit den Erwerb der KI-Kompetenz gemäß Art. 4. Solche Nachweise sind ein guter Anfang, ersetzen aber nicht die kanzleiinterne Schulung, die sich auf die tatsächlich eingesetzten Tools und die eigene KI-Richtlinie bezieht.
Welche KI-Kompetenz Art. 4 für Kanzleimitarbeiter verlangt
Aus dem Normtext, den Erwägungsgründen und den ersten Orientierungshilfen (u.a. vom Bundesministerium für Digitales und Staatsmodernisierung, Oktober 2025) lassen sich drei Kompetenzbereiche ableiten:
Technisches Grundverständnis: Wie funktioniert ein Sprachmodell? Was ist eine Halluzination, was ist Bias? Warum kann ein KI-Ergebnis sachlich falsch, grammatisch perfekt und überzeugend formuliert sein? Mitarbeiter müssen verstehen, dass KI kein Steuerexperte ist, sondern ein Werkzeug, das statistisch wahrscheinliche Antworten erzeugt.
Regulatorisches Wissen: Welche berufsrechtlichen Regeln gelten für den KI-Einsatz in der Kanzlei? Hier treffen §203 StGB, DSGVO und KI-Verordnung aufeinander. Mitarbeiter müssen die Grundzüge kennen: keine Mandantendaten in ungesicherte Tools, Prüfpflicht vor jeder Weitergabe, Dokumentation des KI-Einsatzes. Die Details regelt die kanzleiinterne KI-Richtlinie.
Praktische Anwendungskompetenz: Wie formuliere ich einen Prompt, der brauchbare Ergebnisse liefert? Wie erkenne ich, ob eine KI-Antwort halluziniert ist? Wie anonymisiere ich einen Sachverhalt für die Eingabe in ein Tool ohne §203-Vertrag? Diese Kompetenz ist nicht durch eine Frontalschulung vermittelbar, sondern erfordert begleitetes Arbeiten mit den konkreten Tools der Kanzlei.
Was passiert ab August 2026?
Die Sanktionsstruktur der KI-Verordnung ist dreistufig. Für Verstöße gegen Art. 4 gilt die mittlere Stufe: Bußgelder bis zu 15 Mio. Euro oder 3 % des weltweiten Jahresumsatzes, je nachdem welcher Betrag höher ist. Für eine Kanzlei mit 5 Mio. Euro Jahresumsatz wären das maximal 150.000 Euro.
In der Praxis wird die Bundesnetzagentur als zuständige Behörde zunächst keine Einzelkanzleien mit Bußgeldbescheiden überziehen. Die Behörde baut gerade erst die Kapazitäten auf. Wer daraus aber ein „Dann haben wir ja noch Zeit" ableitet, übersieht den entscheidenden Punkt: Das Bußgeld ist nicht das primäre Risiko. Das primäre Risiko ist der Haftungsfall.
Unsere Erfahrung aus Beratungsprojekten mit Kanzleien zeigt: Die Frage, ob Mitarbeiter geschult wurden und ob eine dokumentierte KI-Richtlinie existiert, wird nicht von der Bundesnetzagentur gestellt. Sie wird vom Mandantenanwalt gestellt, wenn etwas schiefgegangen ist. Und von der Berufshaftpflichtversicherung, wenn sie prüft, ob sie den Schaden reguliert.
Vier Maßnahmen, die bis August 2026 stehen müssen
Erstens: KI-Richtlinie erstellen. Definieren Sie, welche Tools zugelassen sind, welche Daten eingegeben werden dürfen und wie Ergebnisse geprüft werden. In unserem Artikel KI-Richtlinie für Ihre Kanzlei erstellen beschreiben wir die sechs Regelungsbereiche im Detail.
Zweitens: Erstschulung durchführen und dokumentieren. Ein 90-minütiger Workshop reicht für den Einstieg. Inhalte: Funktionsweise von Sprachmodellen, typische Fehlerquellen, kanzleiinterne Regeln, berufsrechtliche Rahmenbedingungen. Teilnehmer und Datum dokumentieren.
Drittens: Rollenspezifische Zuordnung festlegen. Nicht jeder Mitarbeiter nutzt die gleichen KI-Systeme. Dokumentieren Sie, wer welche Tools einsetzt und welche Kompetenz dafür erforderlich ist.
Viertens: Auffrischungszyklus definieren. Mindestens jährlich, besser halbjährlich. Bei Einführung neuer Tools oder relevanten regulatorischen Änderungen anlassbezogen.
Wie eine §203-konforme KI-Einführung in der Kanzlei konkret aussieht, von der Kompetenzstruktur bis zur Mitarbeiterschulung, zeigen wir auf unserer Übersichtsseite für Steuerkanzleien.
Häufige Fragen
Gilt Art. 4 auch, wenn meine Kanzlei nur ChatGPT für interne Recherchen nutzt?
Ja. Art. 4 gilt für jeden Betreiber eines KI-Systems, auch bei rein interner Nutzung. Selbst die gelegentliche ChatGPT-Recherche macht die Kanzlei zum Betreiber im Sinne der Verordnung. Der Umfang der Kompetenzmaßnahmen darf geringer ausfallen als bei intensivem KI-Einsatz, aber die Pflicht besteht.
Reicht eine externe Kammer-Schulung als Art.-4-Nachweis?
Eine Kammer-Schulung ist ein guter Baustein, reicht aber allein nicht aus. Art. 4 verlangt Kompetenz, die sich an der konkreten Nutzung orientiert. Eine allgemeine Schulung zum EU AI Act deckt das regulatorische Wissen ab, aber nicht die praktische Anwendungskompetenz mit den spezifischen Tools Ihrer Kanzlei. Die Empfehlung: Kammer-Schulung plus kanzleiinterner Workshop zu den eigenen Tools und Richtlinien.
Wie hoch sind die Bußgelder bei Verstößen gegen die KI-Kompetenzpflicht?
Für Verstöße gegen Art. 4 der KI-Verordnung drohen Bußgelder bis zu 15 Mio. Euro oder 3 % des weltweiten Jahresumsatzes. Die Sanktionsbefugnisse werden ab August 2026 vollständig durchsetzbar, wenn das KI-MIG in Kraft tritt und die Bundesnetzagentur als Marktüberwachungsbehörde operativ arbeitet. Für Kanzleien ist das Haftungsrisiko im Mandantenfall praktisch relevanter als das Bußgeldrisiko.
