// Kanzlei & Mandant

KI in der Steuerkanzlei: Diese Regeln brauchst Du vor dem Start

// 24. Oktober 2026 ·6 min Lesezeit

KI in der Steuerkanzlei: Kanzleiteam bespricht am Tisch eine einseitige KI-Hausordnung, Regeln für Datenschutz, Verschwiegenheit und Freigabe von KI-Ergebnissen

KI in der Steuerkanzlei ist längst Alltag, nur oft nicht offiziell. Die Steuerberaterkammer Sachsen hat am 20.10.2026 eine Sammlung von Arbeitshilfen veröffentlicht, die genau dort ansetzt (Meldung „KI in der Kanzlei – so geht es“). Die Kernaussage von Steuerberaterin Stefanie Baischer aus dem Kammer-Ausschuss „Dialog und Zukunft“: „Der Einstieg in die KI-Nutzung kann berufs- und datenschutzrechtlich gelingen. Wir geben dafür Basisinformationen und Praxistipps.“

Der Satz, der hängen bleibt, steht im Konzeptpapier: „Die größere Gefahr ist nicht der geregelte Einsatz, sondern unkontrollierte ‚Schatten-KI‘ in der eigenen Kanzlei.“ Schatten-KI heißt: Mitarbeitende nutzen KI-Tools auf eigene Faust, ohne dass jemand festgelegt hat, was erlaubt ist.

Darum geht es in diesem Beitrag: Was steht in den Papieren, und was gehört daraus in eine kurze, schriftliche KI-Hausordnung, also eine KI-Richtlinie auf einer Seite, für Deine Kanzlei?

Was die Kammer veröffentlicht hat

Auf der Meldungsseite der Kammer stehen vier Downloads. Alle tragen den Stand Oktober 2026, Version 1.1:

Konzeptpapier „KI-Einstieg in der Steuerkanzlei“ (6 Seiten): der rechtliche und organisatorische Rahmen, eine Übersicht der Anwendungsfelder und Verweise auf weitere Arbeitshilfen.
Argumentationsleitfaden „KI in der Steuerkanzlei: das Gespräch im eigenen Team führen“ (8 Seiten), für Inhaber und Führungskräfte: zehn typische Einwände mit Antworten, vier Mitarbeitertypen und ein 30-Tage-Plan.
Prompt-Bibliothek „18 erprobte Prompts für den Kanzleialltag“ (11 Seiten), in sechs Kategorien, etwa Mandantenkommunikation, Einsprüche und Qualitätssicherung.
Praxisbeispiele „Generative KI im Kanzleialltag: fünf konkrete Anwendungen“ (14 Seiten), mit Rechtshinweisen und drei Grundregeln für jeden KI-Einsatz.

Wichtig für die Einordnung: Auf der Meldungsseite heißt ein Download „Muster-Anwendungs-Richtlinie KI für die interne Regelung“. Der Link führt aber zum Konzeptpapier. Das Konzeptpapier kündigt die Muster-Richtlinie zwar als Arbeitshilfe an („Download (Link folgt)“, S. 6), nennt als Vorlage aber die Muster-KI-Anwendungsrichtlinie des Deutschen Steuerberaterverbands (DStV) (S. 3). Die ist frei abrufbar (Version 1.0, Stand April 2026). Eine eigene Muster-Richtlinie der Kammer liegt dort also nicht.

Die Werkzeug-Übersichten in den Papieren bleiben hier bewusst außen vor. Die Kammer schreibt selbst, das seien „ausdrücklich nicht“ Empfehlungen einzelner Produkte oder Anbieter.

Der Rahmen: drei Regelwerke, ein Grundsatz

Laut Konzeptpapier (S. 2) bilden drei Bereiche die Leitplanken für jeden KI-Einsatz mit Mandantendaten:

Die berufsrechtliche Verschwiegenheit nach §§ 57, 62 und 62a StBerG. § 62a StBerG erlaubt es, Dienstleister einzubinden, also auch Cloud- und KI-Anbieter. Der Dienstleister muss sorgfältig ausgewählt und im Vertrag in Textform zur Verschwiegenheit verpflichtet werden. Wird die Dienstleistung im Ausland erbracht, muss der Geheimnisschutz dort grundsätzlich vergleichbar sein (Abs. 4). Und dient die Dienstleistung unmittelbar einem einzelnen Mandat, muss der Mandant eingewilligt haben (Abs. 5).
Die Auftragsverarbeitung nach Art. 28 DSGVO, also der Auftragsverarbeitungsvertrag (AVV) mit dem Anbieter.
Die EU-KI-Verordnung, vor allem die Pflicht zur KI-Kompetenz der Beschäftigten.

Der Grundsatz dazu: „DSGVO-Konformität allein genügt dafür nicht.“ Berufsrecht und Datenschutz stehen nebeneinander. In den Praxisbeispielen (S. 13) sagt die Kammer es noch kürzer: „Eine Lizenz ohne Auftragsverarbeitungsvertrag ist keine Lizenz für Kanzleiarbeit.“

Die typische Fehlerfalle benennt das Konzeptpapier (S. 3) ebenfalls: Öffentliche KI-Tools in der Standardkonfiguration, die Kammer nennt als Beispiel ChatGPT Free/Plus ohne besondere Konfiguration, sind für Mandantendaten nicht zulässig.

Zur KI-Kompetenz schreibt die Kammer: Art. 4 der KI-Verordnung verpflichtet jeden Arbeitgeber, der KI einsetzt, die KI-Kompetenz seiner Beschäftigten zu fördern. Seit dem Digital Omnibus (laut Kammer in Kraft seit 27. Juli 2026) müsse kein bestimmtes Kompetenzniveau mehr garantiert werden (geänderter Wortlaut von Art. 4 beim AI Act Service Desk der EU-Kommission). Die Kammer empfiehlt, Anlass, Inhalte und Teilnehmer einer KI-Unterweisung schriftlich festzuhalten und regelmäßig aufzufrischen.

Alltagsszenario: der Bescheid im privaten Chatfenster

Stell Dir eine Kanzlei mit acht Leuten vor. Eine Steuerfachangestellte nutzt KI privat schon lange und ist begeistert. Ein Mandant hat einen Bescheid nicht verstanden, also kopiert sie den Bescheidtext samt Namen und Steuernummer in ihren privaten Chat-Zugang und lässt sich ein Erklärschreiben vorformulieren. Das Ergebnis ist gut, der Mandant ist zufrieden.

Verboten hat es ihr niemand. Erlaubt aber auch nicht. Genau das meint die Kammer mit Schatten-KI: Das Risiko entsteht nicht durch böse Absicht, sondern durch fehlende Regeln. Nach den Kammer-Papieren wäre der Fall klar gewesen: Mandantendaten nur in einem Tool mit AVV und Verschwiegenheitsvereinbarung, und das Schreiben gibt vor dem Versand ein Berufsträger frei. Weil es um den Bescheid eines einzelnen Mandanten geht, käme die Einwilligung des Mandanten dazu oder ein Text ohne Namen und Steuernummer (§ 62a Abs. 5 StBerG, BStBK-FAQ).

Der Argumentationsleitfaden würde diese Kollegin übrigens als „Enthusiast“ einordnen und empfiehlt, sie als Multiplikatorin einzusetzen, sie aber „nicht alleine vorpreschen“ zu lassen.

Checkliste: Deine KI-Richtlinie auf einer Seite

Der 30-Tage-Plan der Kammer endet mit dieser Zielmarke: „Eine schriftliche, einseitige KI-Hausordnung: Was ist erlaubt, was nicht, mit welchen Werkzeugen?“ (Argumentationsleitfaden, S. 8). Abgeleitet aus den vier Papieren gehört das auf diese Seite:

Welche Tools für welche Daten? Die Praxisbeispiele (S. 14) unterscheiden drei Gruppen: öffentliche Inhalte, interne Kanzleidaten und Mandantendaten. Für jede Gruppe steht fest, welche Werkzeuge zugelassen sind.
Mandantendaten nur mit Vertragsklarheit: AVV nach Art. 28 DSGVO und vertraglich gesicherte Verschwiegenheit des Dienstleisters nach § 62a StBerG, schriftlich, bevor das Tool im Alltag läuft. Dient der KI-Einsatz unmittelbar einem einzelnen Mandat, braucht es zusätzlich die Einwilligung des Mandanten (§ 62a Abs. 5 StBerG). Ob diese Regel bei KI wie ChatGPT in einem einzelnen Mandat greift oder nur etwa für Sachverständige, Übersetzer oder freie Mitarbeitende gilt, ist laut Bundessteuerberaterkammer nicht zweifelsfrei zu beantworten. Sie rät deshalb, vor der Eingabe sensibler Mandantendaten die Einwilligung einzuholen, sonst die Daten zu anonymisieren oder zu pseudonymisieren (BStBK-FAQ KI, S. 20).
Wer darf was? Wer KI nutzen darf, und wer Ergebnisse freigibt. Die Kammer ist deutlich: Jede KI-Antwort ist ein Entwurf, die Sichtprüfung durch den Berufsträger ist „nicht verhandelbar“. Dokumentiert wird, wer wann was geprüft hat.
Schulung dokumentieren: Anlass, Inhalte und Teilnehmer festhalten und regelmäßig auffrischen (Art. 4 KI-VO).
Kennzeichnung klären: Laut Praxisbeispielen (S. 12) gelten seit 02.08.2026 die Transparenzpflichten nach Art. 50 KI-VO. Ein Chatbot auf der Kanzleiwebseite muss als KI erkennbar sein, KI-erzeugte Bilder werden gekennzeichnet. Für Texte, die Du fachlich prüfst und unter Deinem Namen versendest, verlangt Art. 50 nach Lesart der Kammer keine Kennzeichnung. Wie Ihr gegenüber Mandanten offen mit KI umgeht, entscheidet Ihr trotzdem bewusst.
Austausch festlegen: eine monatliche Viertelstunde, in der das Team neue Erfahrungen teilt.

Und die Fehlerfalle gehört als eigener Satz ganz nach oben: Keine Mandantendaten in öffentliche KI-Tools in der Standardkonfiguration.

Der 30-Tage-Plan der Kammer

Wie man dahin kommt, beschreibt Teil E des Argumentationsleitfadens (S. 8) in vier Schritten:

Woche 1: eine freiwillige KI-Botschafterin oder einen KI-Botschafter benennen und einen ersten konkreten Anwendungsfall festlegen, am besten etwas, das ohnehin ansteht.
Woche 2: den ersten Prompt ausprobieren, etwa ein Mandantenschreiben oder die Zusammenfassung eines BMF-Schreibens, mit Vorlagen aus der Prompt-Bibliothek.
Woche 3: kurzes Team-Feedback, 20 Minuten genügen.
Woche 4: entscheiden, welche Tools dauerhaft bleiben und welche Regeln gelten, zu Datenschutz, Freigabe und Kennzeichnung gegenüber Mandanten.

Ein Detail ist wichtig: Die vollständige Hausordnung steht am Ende der vier Wochen. Die Spielregel für Mandantendaten gehört laut Leitfaden (S. 2) aber schon vor das erste Teamgespräch: „Welche Spielregeln gelten ab Tag 1: Was ist mit Mandantendaten erlaubt, was nicht?“ Meine Lesart deshalb: Diese eine Regel sofort, die ganze Seite nach 30 Tagen.

Für wen ist das wichtig?

Kanzleiinhaber und Führungskräfte: Die Verantwortung für den Rahmen liegt bei Euch. Der Leitfaden liefert Antworten auf Einwände wie „Das ist doch alles nicht datenschutzkonform“ oder „Ich bin kein Technik-Mensch“.
Kleine Kanzleien ohne eigene IT-Abteilung: Gerade hier fehlt oft jemand, der Tools zentral prüft. Eine Seite mit klaren Regeln ist der kleinste sinnvolle Schritt.
Buchhalterinnen, Buchhalter und Mitarbeitende, die KI schon privat nutzen: Eine Hausordnung schützt auch Euch, weil klar ist, was Ihr dürft.
Unternehmerinnen und Unternehmer als Mandanten: Du darfst Deine Kanzlei ruhig fragen, wie sie mit KI und Deinen Daten umgeht.

Einordnung: KI und Digitale Belegverarbeitung

Im Konzeptpapier (S. 5) steht die Buchhaltung als erstes Anwendungsfeld: „Belege werden ausgelesen, kontiert und vorgebucht. Die Sachbearbeiterin prüft, statt zu tippen.“ Was KI in der Belegverarbeitung heute wirklich leistet und wo die letzte Meile manuell bleibt, steht in KI-Belegverarbeitung: Was wirklich funktioniert. Für die Fachrecherche mit KI gibt es den Überblick Steuerrecht recherchieren mit KI. Und warum ein KI-Ergebnis eine feste Ablage braucht, zeigt DATEV per MCP an eine KI anbinden: was die Demo nicht löst.

Meine Einordnung: Die Hausordnung ist kein Bremsklotz. Sie ist die Voraussetzung dafür, dass KI in der Kanzlei aus dem Schatten kommt und dort eingesetzt wird, wo sie hilft.

Mein Fazit

Die Kammer-Papiere sind kein Gesetz, aber eine gute Arbeitsgrundlage. Die wichtigste Botschaft: Nicht warten, bis alles perfekt geregelt ist, aber auch nicht ohne Regeln loslegen. Erst die Regel für Mandantendaten, dann ein einziger Anwendungsfall, nach 30 Tagen die Hausordnung auf einer Seite.

Habt Ihr in der Kanzlei schon schriftliche KI-Regeln? Schreib mir gern auf LinkedIn.

Hinweis: Dieser Beitrag fasst Veröffentlichungen der Steuerberaterkammer Sachsen allgemein zusammen und ersetzt keine Rechts- oder Steuerberatung. Stand: 22.10.2026. Ich bin Produktmanager bei der hmd software AG, einem Anbieter von Software für Kanzleien und Buchhaltung, und schreibe hier aus der Praxis der Digitalen Belegverarbeitung.