EU AI Act: Compliance für Wirtschaftsprüfungsgesellschaften – was die Dokumentationspflichten wirklich bedeuten

Der EU AI Act ist kein Zukunftsprojekt mehr. Er ist am 1. August 2024 in Kraft getreten. Verbotene KI-Praktiken und Pflichten zur KI-Kompetenz gelten seit Februar 2025. Transparenzpflichten nach Artikel 50 gelten ab August 2026.

Für Wirtschaftsprüfungsgesellschaften, Bewertungspraxen und M&A-Beratungsteams ergibt sich daraus eine konkrete Compliance-Frage: Erfüllt die KI, die Sie heute in der fachlichen Analyse einsetzen, den Dokumentations- und Aufsichtsstandard, den die Verordnung nun verlangt?

Dieser Artikel legt dar, was der Act tatsächlich sagt, was er für die Prüfungs- und Bewertungsarbeit in der Praxis bedeutet und was Prüfungsteams hinsichtlich ihrer aktuellen Werkzeuge prüfen müssen.

Was der EU AI Act sagt und für wen er gilt

Der EU AI Act (Verordnung 2024/1689) gilt für Anbieter und Betreiber von KI-Systemen, die in der EU tätig sind. Wirtschaftsprüfungsgesellschaften, Bewertungspraxen und Beratungsteams, die KI-Werkzeuge in der Mandatsarbeit einsetzen, sind Betreiber im Sinne des Act.

Betreiber sind verantwortlich für:

• die Gewährleistung von menschlicher Aufsicht und Überwachung der von ihnen genutzten KI-Systeme
• die Meldung schwerwiegender Vorfälle und Fehlfunktionen an die zuständige Behörde
• das Führen von Aufzeichnungen darüber, wie KI-Systeme genutzt und wie Ergebnisse überprüft werden

Diese Pflichten sind nicht auf Unternehmen beschränkt, die KI entwickeln. Sie gelten für jedes professionelle Unternehmen, das KI-Werkzeuge von Drittanbietern in Arbeit einsetzt, die andere betrifft.

Wie der Act KI-Systeme klassifiziert

Der Act unterteilt KI-Systeme in Risikokategorien. Die Klassifizierung bestimmt, welche Pflichten gelten.

Verbotene Systeme sind vollständig untersagt. Dazu zählen KI, die für Social Scoring, biometrische Echtzeit-Überwachung im öffentlichen Raum sowie Systeme, die psychologische Schwächen ausnutzen, eingesetzt wird.

Hochrisiko-Systeme unterliegen den weitreichendsten Pflichten. Anhang III des Act listet die Kategorien auf. Für Finanz- und professionelle Dienstleistungen relevant: KI-Systeme, die in der Bonitätsbewertung und im Betrieb kritischer Infrastruktur eingesetzt werden, sind ausdrücklich aufgeführt. KI, die Finanzentscheidungen, Bewertungen oder Due-Diligence-Schlussfolgerungen unterstützt, kann je nach konkreter Anwendung und Art der unterstützten Entscheidung in diese Kategorie fallen. Ob ein bestimmter Anwendungsfall als hochriskant gilt, erfordert eine rechtliche Beurteilung anhand der Definitionen des Act und des Anhangs III. Unternehmen sollten die Antwort ohne diese Analyse in keine Richtung annehmen.

Systeme mit minimalem Risiko unterliegen keinen verbindlichen Pflichten nach dem Act, wobei die Kommission freiwillige Verhaltenskodizes befürwortet.

Die überwiegende Mehrheit der derzeit in der EU genutzten KI-Systeme fällt in die Kategorie mit minimalem Risiko. KI, die jedoch fachliche Schlussfolgerungen unterstützt, die mit rechtlicher oder finanzieller Haftung verbunden sind, steht in einer anderen Position. Die Dokumentations- und Aufsichtsstandards, die in der professionellen Praxis gelten, sowie die mit dieser Arbeit verbundene Haftung bedeuten, dass die Anforderungen des Act hochrelevant sind – unabhängig davon, wie ein bestimmtes Werkzeug letztlich klassifiziert wird.

Die drei Anforderungen, die für Prüfungs- und Bewertungsarbeit am wichtigsten sind

1. Quellendokumentation und Nachvollziehbarkeit

Der Act verlangt, dass KI-generierte Ergebnisse, die in der fachlichen Analyse verwendet werden, mit überprüfbaren Quellen verknüpft werden können. Transparenzpflichten nach Artikel 50, einschließlich Anforderungen an KI-generierte Inhalte und deren Herkunft, gelten ab August 2026.

In der Praxis bedeutet das: Wenn ein KI-Werkzeug eine Marktzahl, einen Benchmark oder eine Vergleichsgruppe von Unternehmen erzeugt, ohne zu zeigen, woher diese Daten stammen, erfüllt dieses Ergebnis nicht den Standard, auf den sich der Act für den regulierten professionellen Einsatz zubewegt.

Die Frage, die zu jedem aktuell genutzten KI-Werkzeug zu stellen ist: Lässt sich jede Zahl im Ergebnis auf eine benannte, überprüfbare Primärquelle zurückführen?

2. Reproduzierbarkeit und Prüfpfade

Nach dem Act müssen Anbieter über ein System zur Beobachtung nach dem Inverkehrbringen verfügen, und Anbieter wie Betreiber müssen schwerwiegende Vorfälle und Fehlfunktionen melden. Für Prüfungsteams ist die praktische Konsequenz unmittelbar: Die in der fachlichen Arbeit genutzten KI-Werkzeuge müssen Ergebnisse liefern, die im Nachhinein überprüft, erneut ausgeführt und erklärt werden können.

Ein KI-Werkzeug, das aus denselben Eingaben unterschiedliche Ergebnisse erzeugt oder nicht darlegen kann, welche Daten es verwendet hat, kann kein Arbeitspapier tragen, das einer Überprüfung standhalten muss. Das ist kein neuer Qualitätsstandard. Es ist nun auch eine regulatorische Erwartung.

3. Menschliche Aufsicht

Der Act verlangt von Betreibern, menschliche Aufsicht und Überwachung von KI-Systemen sicherzustellen. Für Prüfungs- und Bewertungspraxen lautet der erwartete Standard, dass eine qualifizierte Fachkraft KI-generierte Ergebnisse überprüft, bevor sie in einer Schlussfolgerung, einem Bericht oder einer Stellungnahme herangezogen werden.

Das ist gängige gute Praxis. Was der Act hinzufügt, ist eine Dokumentationspflicht: Die Aufsicht muss dokumentiert werden – nicht nur als erfolgt unterstellt.

Was das für Wirtschaftsprüfungsgesellschaften bedeutet, die heute KI nutzen

Viele Prüfungs- und Beratungsteams haben universelle KI-Werkzeuge in Marktrecherche-, Benchmarking- oder Unternehmensanalyse-Workflows integriert. In vielen Fällen wirken die Ergebnisse glaubwürdig, doch die zugrunde liegende Quellenbasis ist undurchsichtig, und die Resultate variieren bei erneuter Ausführung.

Nach den geltenden Prüfungsstandards ist das bereits ein Qualitätsproblem. Nach dem EU AI Act ist es zudem ein Dokumentations- und Aufsichtsproblem mit rechtlichen Konsequenzen für Betreiber.

Die konkreten Fragen, die Prüfungsteams zu den derzeit genutzten KI-Werkzeugen stellen sollten:

• Lässt sich jeder Datenpunkt im Ergebnis auf eine benannte Primärquelle zurückführen?
• Erzeugt das Werkzeug aus identischen Eingaben identische Ergebnisse?
• Gibt es eine vollständige Aufzeichnung darüber, welche Daten wann verwendet wurden?
• Ist die menschliche Überprüfung der Ergebnisse dokumentiert, bevor sie in der Mandatsarbeit verwendet werden?
• Unterstützt das Werkzeug stichtagsbezogene Analysen für historische Bewertungen oder Gerichtsverfahren?

Wenn die Antwort auf eine dieser Fragen Nein oder unsicher lautet, trägt das Unternehmen ein Compliance- und Haftungsrisiko, das in diesem Umfang vor Geltung des Act nicht bestand.

Stichtagsbezogene Analyse: eine spezifische Anforderung für Steuer-, Rechts- und Bewertungsarbeit

Eine Anforderung, die weniger Aufmerksamkeit erhält, als sie verdient, ist die stichtagsbezogene Analyse, in der deutschsprachigen Bewertungspraxis auch stichtagsbezogene Rückrechnung genannt.

Bei Steuerstreitigkeiten, Gerichtsverfahren, Scheidungsbewertungen und regulatorischen Angelegenheiten liegt der maßgebliche Stichtag oft Monate oder Jahre in der Vergangenheit. Die Analyse muss die Markt- oder Unternehmenssicht so rekonstruieren, wie sie zu diesem bestimmten historischen Stichtag bestand – mit vollständiger Quellendokumentation, die belegt, dass die Daten zu diesem Zeitpunkt verfügbar und überprüfbar waren.

Die meisten universellen KI-Werkzeuge können dies nicht zuverlässig leisten. Sie verwenden entweder aktuelle Daten oder erzeugen Ergebnisse, die sich nicht mit nachvollziehbaren Quellen auf einen bestimmten historischen Stichtag beziehen lassen.

Für Prüfungs- und Bewertungsarbeit mit historischen Stichtagen ist das keine geringfügige Einschränkung. Es ist eine grundlegende Lücke in der Qualität der Analyse.

Häufig gestellte Fragen

Gilt der EU AI Act für Wirtschaftsprüfungsgesellschaften, die KI-Werkzeuge von Drittanbietern nutzen?

Ja. Wirtschaftsprüfungsgesellschaften, die KI-Werkzeuge in der fachlichen Arbeit einsetzen, sind Betreiber im Sinne des Act. Betreiber sind verantwortlich für die menschliche Aufsicht und Überwachung von KI-Systemen sowie für die Meldung schwerwiegender Vorfälle und Fehlfunktionen.

Wann treten die Transparenzanforderungen in Kraft?

Transparenzpflichten nach Artikel 50, einschließlich Anforderungen an KI-generierte Inhalte und deren Herkunft, gelten ab August 2026. Pflichten zur menschlichen Aufsicht und zur Meldung von Vorfällen für Betreiber sind bereits in Kraft.

Was macht ein KI-Ergebnis nach den geltenden Standards für Arbeit auf Prüfungsniveau geeignet?

Quellenangabe je Datenpunkt, reproduzierbare Ergebnisse aus identischen Eingaben, ein vollständiger Prüfpfad und eine dokumentierte menschliche Überprüfung, bevor Ergebnisse herangezogen werden. Das sind die Qualitätsstandards, die in der professionellen Prüfungspraxis gelten und die der Act nun als regulatorische Erwartungen bekräftigt.

Wird in der Due Diligence eingesetzte KI nach dem Act automatisch als hochriskant klassifiziert?

Nicht automatisch. Ob eine bestimmte KI-Anwendung nach Anhang III als hochriskant gilt, erfordert eine rechtliche Analyse der Definitionen des Act und des konkreten Anwendungsfalls. Unternehmen sollten ohne diese Beurteilung nicht annehmen, dass in der Finanzanalyse eingesetzte KI innerhalb oder außerhalb der Hochrisiko-Kategorie liegt.

Wie hoch ist die Strafe bei Nichteinhaltung?

Der Act sieht Bußgelder von bis zu 35 Millionen Euro oder 7 % des weltweiten Jahresumsatzes für Verstöße gegen die Bestimmungen zu verbotener KI vor sowie bis zu 15 Millionen Euro oder 3 % des weltweiten Jahresumsatzes für andere Verstöße. Die Durchsetzung erfolgt durch nationale Marktüberwachungsbehörden. Unternehmen sollten unabhängigen rechtlichen Rat einholen, wie der Act auf ihre spezifischen KI-Anwendungsfälle und Rechtsordnungen anzuwenden ist.

Wie StrategyBridgeAI für Anforderungen auf Prüfungsniveau gebaut ist

StrategyBridgeAI ist gezielt für die Dokumentations- und Reproduzierbarkeitsstandards gebaut, die professionelle Prüfungs- und Bewertungsarbeit erfordert. Die Plattform ist beim Institut der Wirtschaftsprüfer (IDW) gelistet und wird von mehr als 150 Kunden aus Wirtschaftsprüfungsgesellschaften, M&A-Beratern und Banken genutzt.

Deterministische, reproduzierbare Ergebnisse. Identische Eingaben erzeugen identische Ergebnisse. Jede Analyse ist reproduzierbar und kann von einem Prüfer, einer Aufsichtsbehörde oder einer Gegenpartei erneut ausgeführt und überprüft werden.

Quellenangabe je Datenpunkt. Jede Zahl ist mit einer verifizierten Primärquelle verknüpft, nach Quellenqualität klassifiziert (Tier 1 bis 5) und über eine strukturierte Drei-Punkt-Plausibilitätsprüfung validiert: möglich, plausibel, wahrscheinlich.

Stichtagsbezogene Analyse. StrategyBridgeAI unterstützt historische Bewertungen mit stichtagsgenauen, nachvollziehbaren Datenabrufen. Für Steuerstreitigkeiten, Gerichtsverfahren und regulatorische Angelegenheiten ist das eine Kernanforderung, die nur sehr wenige KI-Werkzeuge auf dem Markt überhaupt unterstützen.

Direktes Wettbewerbs-Benchmarking. Statt Durchschnittswerten auf Branchenebene liefert die Plattform ein Benchmarking gegen strukturell vergleichbare Unternehmen, was eine wesentliche Qualitätsverbesserung für Bewertungen und Fairness-Opinion-Arbeit darstellt.

DSGVO-konforme Infrastruktur. Gehostet auf deutschen Servern. Keine Datenweitergabe an Dritte. Vollständige Datentrennung zwischen Kunden und Mandaten.

Der EU AI Act ändert nicht, wie gute Prüfungspraxis aussieht. Er macht die Dokumentation dieser Praxis zu einer rechtlichen Pflicht. Unternehmen, die sich auf KI-Werkzeuge verlassen, die ihre Arbeitsweise nicht darlegen können, tragen nun ein Risiko, das sie zuvor nicht hatten.

Erfahren Sie, wie StrategyBridgeAI Analysen auf Prüfungsniveau für Bewertung, Due Diligence und Compliance-Arbeit unterstützt. Demo buchen.

Quellen: Europäische Kommission, offizieller Text des EU AI Act und Umsetzungszeitplan; Europäisches Parlament, Artificial Intelligence Act, Verordnung 2024/1689. Dieser Artikel dient ausschließlich Informationszwecken und stellt keine Rechtsberatung dar. Unternehmen sollten unabhängigen rechtlichen Rat zur Anwendung des EU AI Act auf ihre spezifischen Umstände einholen.