KI-Telefonassistent für Steuerkanzleien: Was Art. 50 AI Act ab 2. August 2026 fordert

Am 2. August 2026 wird aus einer EU-Verordnung geltendes Recht — auch für Steuerkanzleien. Wer bis dahin einen KI-Telefonassistenten betreibt, ohne die Transparenzpflichten aus Art. 50 erfüllt zu haben, handelt ordnungswidrig. Die gute Nachricht: Die vier zentralen Pflichten sind eindeutig, technisch umsetzbar und in einer normal ausgestatteten Kanzlei in 1–2 Wochen abgedeckt. Dieser Beitrag zeigt, was konkret verlangt wird, wo die Schnittstelle zum Mandantengeheimnis liegt und wie eine saubere Implementierung aussieht.

Was Art. 50 EU AI Act verlangt — in drei Sätzen

Art. 50 regelt die Transparenzpflichten für KI-Systeme, die als „limited risk“ eingestuft sind. Dazu zählen Chatbots, Telefonassistenten, Systeme zur Erkennung von Emotionen und Systeme, die synthetische Inhalte (Audio, Bild, Video, Text) erzeugen. Die Verordnung sagt im Kern: Der Betroffene muss wissen, dass er es mit einer KI zu tun hat — und zwar rechtzeitig, unmissverständlich und dokumentiert.

Die vier Pflichten für Steuerkanzleien

Von den Transparenzpflichten in Art. 50 sind vier für den Kanzleialltag relevant. Sie gelten additiv — nicht „eine von vier“, sondern alle zutreffenden gleichzeitig.

1. Offenlegung der KI-Interaktion (Abs. 1). Bei jedem KI-System, das direkt mit natürlichen Personen interagiert, muss der Betreiber sicherstellen, dass die natürliche Person über die KI-Interaktion informiert wird — es sei denn, es ist aus dem Kontext bereits klar. Für einen Telefonassistenten heißt das: Eröffnungssatz nennt, dass es sich um einen automatischen Assistenten handelt.
2. Kennzeichnung synthetischer Inhalte (Abs. 2). Wenn das System Audio, Text oder andere Inhalte erzeugt, müssen diese maschinenlesbar als KI-generiert markiert sein. Für eine Kanzlei betrifft das vor allem automatisch versandte Zusammenfassungen, Mandanten-E-Mails aus Textbausteinen und Rückruf-SMS. Der Hinweis darf dezent sein — er muss aber technisch auslesbar existieren.
3. Offenlegung bei Emotionserkennung / biometrischer Kategorisierung (Abs. 3). Systeme, die Stimmmerkmale analysieren, um Emotionen, Alter oder Herkunft zu schlussfolgern, lösen eine zusätzliche Meldepflicht aus. Ein reiner KI-Telefonassistent ohne solche Analyse ist nicht betroffen — sobald aber „Sentiment-Scoring“ oder „Caller-Mood-Analyse“ verwendet wird, fällt das hier drunter.
4. Kennzeichnung von Deepfakes und öffentlich informierenden Texten (Abs. 4). Praktisch relevant für Kanzleien, die KI-generierte Erklärvideos, Social-Media-Posts oder Blogartikel veröffentlichen. Auch hier gilt: kennzeichnen oder mit redaktioneller menschlicher Aufsicht veröffentlichen.

Warum Steuerkanzleien eine eigene Risikolage haben

Eine Friseurin kann in Ruhe Art. 50 abarbeiten — eine Steuerkanzlei nicht. Neben dem AI Act gelten parallel:

• § 203 StGB — Verletzung von Privatgeheimnissen, Strafnorm. Offenbarung eines Mandantengeheimnisses ist potenziell strafbar, auch wenn sie über einen technischen Dienstleister geschieht.
• § 57 StBerG in Verbindung mit der Berufsordnung (BOStB) — Verschwiegenheitspflicht als berufsrechtliche Kernpflicht; Verstöße können bis zum Ausschluss aus dem Beruf führen.
• DSGVO Art. 28 — jeder Dienstleister, der Mandantendaten berührt, braucht einen Auftragsverarbeitungsvertrag mit technischen und organisatorischen Maßnahmen (TOMs).
• TTDSG / § 201 StGB — für Aufzeichnungen von Telefonaten. In Deutschland gilt Zweiparteieneinwilligung. Ein Assistent, der Gespräche mitschneidet, ohne dies offenzulegen und die Einwilligung einzuholen, ist rechtswidrig — unabhängig vom AI Act.

Das Zusammenspiel dieser Regime macht die Kanzlei-Implementierung zu einer dreidimensionalen Aufgabe: Transparenz (AI Act), Datenschutz (DSGVO/TTDSG) und Berufsrecht (StBerG/StGB). Einzelne Maßnahmen schlagen oft in mehrere Dimensionen gleichzeitig ein.

Pflicht, Deadline, Bußgeld — der Überblick

Die folgende Tabelle bündelt die vier AI-Act-Pflichten aus Art. 50 mit den parallel wirkenden DE-Regelungen. Alle Stichtage und Bußgeldrahmen stammen aus dem offiziellen EU-Rechtstext (Verordnung (EU) 2024/1689) sowie den deutschen Ausführungsgesetzen zum Stand April 2026.

Quellen: Verordnung (EU) 2024/1689 (EU AI Act), StBerG, BOStB, DSGVO, TTDSG, StGB. Kein Ersatz für berufsrechtliche Einzelfallberatung.

Wie ein rechtskonformer KI-Telefonassistent konkret aussieht

Übersetzt in eine technische Architektur heißt das sieben Dinge. Keine davon ist neu oder exotisch — alle sind mit etablierten Komponenten abbildbar, ohne ein KI-Produkt „von Grund auf neu“ zu bauen.

1. Eröffnungsformel als feste Systemvorgabe. Nicht optional, nicht vom Modell improvisiert — ein statischer Text, der mitgesprochen wird, bevor der eigentliche Dialog beginnt. Beispiel: „Kanzlei Müller, automatischer Assistent. Wie darf ich helfen?“
2. Harter Themen-Gate zu Beginn. Der Assistent nimmt nur Termine, Standardauskünfte und Rückrufbitten an. Steuerberatung im engeren Sinne, Mahnverfahren, Rückfragen zu laufenden Betriebsprüfungen werden sofort eskaliert.
3. Keine Aufzeichnung per Default. Transkript nur in Textform, Audio wird nicht gespeichert. Falls Audio erforderlich ist (z. B. für Qualitätsprüfung), greift Zweiparteien-Einwilligung mit expliziter Ansage.
4. EU-Serverstandort ist Pflicht, nicht Option. Telefonie, Spracherkennung, Sprachsynthese und Sprachmodell laufen auf europäischer Infrastruktur. Alle vier müssen geprüft sein — ein deutsches Provider-Frontend mit US-Backend zählt nicht.
5. Auftragsverarbeitungsvertrag pro Dienstleister. Für jede eingebundene Komponente ein AVV. Die Kanzlei unterschreibt den AVV, nicht der Implementierer — die Verantwortlichkeit bleibt bei der Kanzlei.
6. Kein Training auf Kanzleidaten. Die Verträge müssen ausdrücklich ausschließen, dass Gesprächsinhalte oder Transkripte in Trainingsdaten des Modellanbieters einfließen. Anbieter, die das nicht zusichern, fallen raus.
7. Protokollierung der Offenlegung. Jedes Gespräch erzeugt einen Eintrag in einem Compliance-Log: Zeitstempel, Nummer des Anrufers (hashiert), bestätigte KI-Offenlegung. Im Ernstfall ist das Ihre Nachweisgrundlage gegenüber der BNetzA.

7-Schritte-Checkliste für die nächsten 6 Wochen

Wenn Sie heute noch nicht angefangen haben: Sie haben gut 15 Wochen bis zum Stichtag. Der folgende Plan ist so getaktet, dass in jeder Woche ein konkreter Output entsteht, den Sie dokumentieren können.

1. Woche 1 — Bestandsaufnahme: Welche KI-Tools sind in der Kanzlei im Einsatz? Auch ChatGPT-Konten einzelner Mitarbeiter, automatische Diktat-Software, Mailbox-Transkription.
2. Woche 2 — Risikoklassifizierung: Für jedes Tool: limited risk / minimal risk / high risk. Die allermeisten Kanzlei-Anwendungen sind limited risk und fallen unter Art. 50.
3. Woche 3 — Anbieter-Check: EU-Standort, AVV, Trainingsausschluss, Datenlöschung. Alles, was nicht alle vier erfüllt, wird entweder ersetzt oder abgeschaltet.
4. Woche 4 — Eröffnungsformeln definieren: Pro System ein abgestimmter Offenlegungssatz. Nicht „auch KI möglich“, sondern eindeutig: „Sie sprechen / schreiben / lesen mit einer KI.“
5. Woche 5 — Kennzeichnungsautomatik: Für Mails und SMS aus Textbausteinen: einen maschinenlesbaren Marker ergänzen. Im E-Mail-Header ist das ein einfaches Custom-Header-Feld.
6. Woche 6 — Mitarbeiter-Briefing + Probelauf: Alle Kanzleimitarbeitenden wissen, wie eskaliert wird. Interner Anruf als Testfall dokumentieren.
7. Woche 7 bis Stichtag — Dokumentation finalisieren: Compliance-Ordner: Art.-50-Mapping, AVV-Sammlung, TOM-Beschreibung, Logging-Ausschnitt, Schulungsnachweis.

Fehler, die wir in Steuerkanzleien am häufigsten sehen

Drei wiederkehrende Muster aus laufenden Implementierungen:

• „Unsere Telefonanlage macht eh schon Text-to-Speech.“ Text-to-Speech ohne KI-gestützte Intent-Erkennung ist kein KI-System im Sinne der Verordnung — aber sobald Routing, Antwortwahl oder Terminbuchung vom Modell entschieden werden, greift Art. 50. Die Grenze wird oft falsch gezogen.
• „Wir haben DSGVO schon, das reicht.“ DSGVO und AI Act sind parallele Pflichtsysteme. Eine DSGVO-konforme Implementierung kann Art.-50-widrig sein (z. B. keine Offenlegung) und umgekehrt. Beide müssen separat abgearbeitet werden.
• „Das macht der IT-Dienstleister.“ Verantwortlicher im Sinne des AI Act wie der DSGVO ist die Kanzlei, nicht der Implementierer. Verträge können Aufgaben delegieren, nicht aber die rechtliche Verantwortung. Das Compliance-Log gehört in die Kanzlei, nicht zum Dienstleister.

Weiterführende Werkzeuge

• Art. 50 für KMU — die Pflichten-Checkliste — Der allgemeine Leitfaden für alle KMU. Gute Grundlage, bevor die Kanzlei-Spezifika aufgesetzt werden.
• Branchenlösung Steuerkanzleien — Wie wir konkret in Kanzleien implementieren — Use Cases, Beispiele, Integrationen.
• EU AI Act Art. 50 Self-Check — 10 Fragen. 4 Minuten. Eine klare Einschätzung, wo Ihre Kanzlei steht.
• AVV- / DSGVO-Art.-28-Check — Verträge mit KI-Dienstleistern prüfen — ohne juristische Vorkenntnisse.

Häufige Fragen