KI für Steuerberater — So nutzt du KI in der Kanzlei 2026 ohne Berufsrechts-Probleme

Das Problem

Mandanten-Korrespondenz, Belegerkennung und Steuerrecht-Recherche binden in typischen österreichischen Kanzleien laut KSW-Branchenreport 2025 zwischen 55 und 65 Prozent der Mitarbeitenden-Zeit. Gleichzeitig steigt der Druck: mehr Mandanten pro Berufsträger:in, kürzere Fristen, immer komplexere Regulatorik. Die naheliegende Antwort heißt KI — aber die meisten Kanzleien probieren ChatGPT im Browser-Tab aus, kippen Mandantendaten rein und stoßen damit gleich gegen WT-BO §91 (Verschwiegenheit) und DSGVO. Es geht besser.

So funktioniert die KI-Lösung

Wir bauen für Kanzleien ein 3-Säulen-Setup, das den Berufsrechtsrahmen respektiert:

Säule 1 — Korrespondenz-Assistent: Outlook-Plugin oder Standalone-Webapp, das Mandanten-E-Mails analysiert, Antwort-Entwürfe erstellt und Standardvorgänge (Honorarnoten-Erinnerungen, Termin-Bestätigungen, Fristen-Hinweise) automatisiert. Berufsträger:in gibt frei, bevor irgendetwas rausgeht.

Säule 2 — Beleg-Pipeline: Mail-In oder Scan-In für Mandanten-Belege, OCR plus KI-Kontierung gegen den jeweiligen Kontoplan, Vorbuchung in BMD oder RZL. Detail dazu im verwandten Use Case zur KI-Buchhaltung.

Säule 3 — Steuerrecht-RAG: Interne Wissensdatenbank über BAO, UStG, EStG, KStG inklusive Richtlinien (KStR, EStR, UStR) und BMF-Erlässe. Recherche funktioniert per Frage in natürlicher Sprache, jede Antwort kommt mit zitierfähigen Quellen — Pflicht für Berufshaftpflicht.

Architektur-Skizze

Produktives Setup für eine mittelgroße österreichische Steuerkanzlei (5-20 Berufsträger:innen):

• Hosting: On-Premise im Kanzlei-Rechenzentrum oder dediziert auf Hetzner Falkenstein/Wien — keine Mandantendaten in OpenAI-/Google-Cloud ohne DPA und EU-Datenresidenz
• Korrespondenz-Tool: Outlook-Plugin (Microsoft 365 Add-In) oder Standalone-Webapp mit Mandanten-Kontext-Aware Drafting
• Beleg-Pipeline: Mail-In-Adresse pro Mandant, OCR-Layer, KI-Kontierung, Vorbuchung in BMD-NTCS oder RZL
• Steuerrecht-RAG: PostgreSQL plus pgvector, Indexierung von BAO, UStG, EStG, KStG, BMF-Erlässen, KStR/EStR/UStR, höchstgerichtlicher Judikatur (VwGH, OGH) — alle Quellen mit Stand-Datum
• LLM-Layer: Claude Sonnet 4.5 mit EU-Endpoint und DPA, Mandantendaten bleiben pseudonymisiert wo möglich
• Audit-Logging: Jede KI-Anfrage protokolliert mit Mandant, Berufsträger:in, Frage, gelieferter Antwort, Quellen — 7 Jahre aufbewahrt für Berufshaftpflicht-Nachweise
• Zugriffsschutz: Rollen-basiert nach Mandanten-Zuordnung, MFA Pflicht, Session-Logging

DSGVO und Berufsrecht

Drei Pflichten, die nicht verhandelbar sind. Erstens: Mandantengeheimnis nach WT-BO §91. Mandantendaten dürfen die Kanzlei-Sphäre nicht verlassen — das heißt EU-Datenresidenz mit DPA, keine US-Cloud ohne Garantien, keine öffentlichen LLM-Endpoints. Zweitens: DSGVO-Auftragsverarbeitung mit jedem beteiligten Dienstleister (LLM-Anbieter, Hosting, OCR). Drittens: Audit-Logging für Berufshaftpflicht — bei Beratungsfehler muss nachvollziehbar sein, welche KI-Antwort der Berater:in vorlag, mit welcher Quelle und mit welchem Stand-Datum.

EU-AI-Act-Klassifikation: Steuerberatungs-KI ist überwiegend minimal- oder limited-risk. Hochrisiko wäre erst, wenn die KI autonome Entscheidungen über Mandanten trifft (z. B. Mandatsablehnung) — das tut sie in einem sauberen Setup explizit nicht. Transparenz gegenüber Mandanten ist trotzdem Best Practice (Hinweis in der Auftragsbestätigung).

ROI-Beispiel

Wiener Steuerkanzlei, 8 Mitarbeitende (3 Berufsträger:innen, 5 Mitarbeiter:innen), 220 Mandanten, klassische Mischung KMU plus Privatpersonen:

• Zeitersparnis Korrespondenz und Recherche: 12 h/Mitarbeiter:in/Woche
• Mandanten-Antwortzeit (Standard-Anfragen): 48 h → 24 h
• Beleg-Verarbeitungszeit: 4,5 → 1,8 Min pro Beleg
• Mandate pro Berufsträger:in: 73 → 88 (+20 %)
• Honorar-Margen: +18 % durch höhere Mandanten-Dichte bei gleichem Team
• Software-Kosten: €1.500/Monat (LLM-API, Hosting, RAG-Wartung)
• Setup-Kosten: €32.000 einmalig (alle drei Säulen)
• Amortisation: 5 Monate

Die Rechnung hält, wenn das Team die freigewordene Zeit für höherwertige Beratung (Steuerplanung, Gestaltungsberatung) nutzt statt für Pause. In den Audits, die wir 2026 gemacht haben, war exakt das der Punkt, an dem ROI zwischen "okay" und "exzellent" geteilt hat.

Implementation-Aufwand

• Sprint S (4 Wochen, €15.000–22.000): Eine Säule (meist Korrespondenz-Tool) für eine Kanzlei mit bis zu 5 Mitarbeitenden
• Sprint M (8 Wochen, €30.000–48.000): Zwei Säulen (Korrespondenz plus Beleg-Pipeline) mit BMD- oder RZL-Anbindung, bis 15 Mitarbeitende
• Sprint L (12–16 Wochen, €60.000–95.000): Alle drei Säulen inklusive vollständigem Steuerrecht-RAG, Audit-Logging, Schulung, Berufshaftpflicht-Doku

Häufige Fehler

1. ChatGPT öffentlich für Mandantendaten: Ein klarer WT-BO-§91-Verstoß plus DSGVO-Verstoß. Disziplinarrechtlich relevant und im Schadensfall haftungserhöhend.
2. Kein Audit-Log: Wenn die Berufshaftpflicht im Schadensfall nachvollziehen will, was die KI dem Berater geliefert hat, und es keinen Log gibt, ist der Schutz oft weg.
3. RAG ohne Quellen-Zitierung: Eine KI-Antwort ohne Verweis auf BAO-Paragraph, UStR-Randzahl oder VwGH-Erkenntnis ist im Beratungskontext wertlos und im Haftungsfall gefährlich. Quellen-Pflicht ist nicht optional.
4. US-Cloud ohne EU-Endpoint: Selbst mit Standardvertragsklauseln nach Schrems II rechtlich heikel, wenn Mandantendaten beteiligt sind. EU-Endpoints mit dediziertem DPA sind 2026 Standard.
5. Modell vertraut sich blind: LLMs erfinden Paragraphen und Erkenntnisse, wenn das RAG nicht greift. Wer die Output-Validierung gegen die zitierten Quellen auslässt, baut sich eine Haftungsfalle.

Bereit für ein erstes Audit?

Wenn deine Kanzlei mehr als 50 Mandanten betreut und du KI zwischen "spannend" und "Berufsrechtsproblem" einsortieren willst, ist der Audit der richtige Einstieg. Im Audit S (€3.500) analysieren wir die drei Säulen für deine konkrete Kanzlei-Struktur, prüfen die WT-BO-Compliance deines aktuellen Setups und liefern einen Implementations-Pfad mit Berufshaftpflicht-tauglicher Dokumentation. Buch dir einen 30-minütigen Discovery-Call — danach weißt du, wie du KI ohne Disziplinarrechtsrisiko einsetzt.