Die regulatorische Landkarte, die jede Firma heute lesen muss

# Die regulatorische Landkarte, die jede Firma heute lesen muss

Ein Partner einer mittelgroßen Wirtschaftsprüfungsgesellschaft nutzt ein KI-Tool, um das Verrechnungspreis-Memo eines Klienten zu entwerfen. Das Tool wurde teilweise auf OpenAIs GPT-Modellen trainiert, läuft auf Microsoft-Infrastruktur, wird für einen in Irland eingetragenen Klienten mit Aktivitäten in Kalifornien eingesetzt und von einem in UK zugelassenen Associate geprüft. Fünf verschiedene Regelwerke kkThe average number of new users each existing user generates through referrals. Above 1.0, growth compounds on itself and becomes exponential.Vollständige Definition ansehen →önnen auf dieses eine Memo anwendbar sein, und keines davon versteht unter „KI-Nutzung“ dasselbe. Das ist 2026 kein Grenzfall. Das ist Dienstag.

Professional-Services-Firmen (Recht, Audit, Consulting, Steuern, Finanzberatung) sitzen heute im Schnittpunkt von mindestens vier überlappenden Regulierungslogiken: horizontales KI-Recht, sektorspezifische Finanz- und Rechtsregulierung, Berufsrecht und privates Vertragsrecht. Wer nur eine dieser Karten liest, verläuft sich.

Ebene 1: horizontale KI-Regulierung (der EU AI Act)

Der EU AI Act (Verordnung (EU) 2024/1689, offizieller Text hier) ist das erste umfassende, sektorübergreifende KI-Gesetz. Es klassifiziert KI-Systeme nach Risikostufe, nicht nach Branche:

• Unannehmbares Risiko: vollständig verboten (z. B. Social Scoring).
• Hohes Risiko: umfangreiche Pflichten (Risikomanagement, menschliche Aufsicht, Logging, Konformitätsbewertung). Zu dieser Stufe gehören KI in Personalentscheidungen, Credit Scoring und bestimmte biometrische Anwendungen. Bemerkenswert: Die meisten alltäglichen generativen KI-Tools zur Texterstellung, die Anwälte oder Berater nutzen, fallen nicht automatisch hierunter.
• Begrenztes Risiko: nur Transparenzpflichten (z. B. offenlegen, dass ein Chatbot eine KI ist).
• Minimales Risiko: keine spezifischen Pflichten.

Für Professional Services liegt die schärfste Kante im Indirekten: Wenn ein Klient den KI-gestützten Output Ihrer Firma für eine Hochrisikoentscheidung verwendet (etwa eine KI-gescorte Kreditwürdigkeitsbewertung, die in die Kreditentscheidung einer Bank einfließt), wandert die Klassifizierung mit dem Use Case, nicht mit dem Anbieter. Eine Beratungsfirma, die dieses Scoring-Tool baut, kann nach dem Act zum „Anbieter“ mit allen Hochrisikopflichten werden, selbst wenn sie sich als Dienstleister und nicht als Softwarehaus versteht.

Schlüsselbegriff: GPAI (General-Purpose-AI-Modelle wie GPT-4 oder Claude) unterliegen nach dem Act eigenen, separaten Transparenz- und Systemrisikopflichten, die sich auf alles auflegen, was Ihre Firma damit tut.

Ebene 2: Sektorregulierer warten nicht auf horizontales Recht

Finanz- und Rechtsaufsichten schrieben KI-nahe Regeln schon, bevor es den AI Act gab, und sie bewegen sich weiterhin unabhängig.

• SEC (U.S. Securities and Exchange Commission): geht gegen „AI Washing“ vor, also gegen Firmen, die ihre KI-Fähigkeiten gegenüber Investoren überzeichnen, und hat Regeln zu Interessenkonflikten aus prädiktiver Datenanalytik bei Broker-Dealern und Anlageberatern vorgeschlagen.
• FCA (UK Financial Conduct Authority): wendet bestehende Frameworks auf KI-Nutzung an, insbesondere die Consumer Duty und SMCR (Senior Managers and Certification Regime). In UK gibt es keinen separaten „AI Act“; die Position der FCA (Stand ihres AI-Updates 2024, siehe FCA-Seiten zu AI) ist, dass die bestehenden prinzipienbasierten Regeln die meisten KI-Schäden bereits abdecken: Die Verantwortung liegt bei einem namentlich benannten Senior Manager, unabhängig davon, welches Modell die Empfehlung erzeugt hat.
• Anwaltskammern und Law Societies: Die Formal Opinion 512 (2024) der American Bar Association und diverse Guidance einzelner State Bars behandeln Kompetenzpflichten bei generativer KI, Vertraulichkeit beim Einspeisen von Klientendaten in Drittanbieter-Tools und Abrechnung (Firmen dürfen durch KI gesparte Stunden nicht abrechnen, als wäre nichts gespart worden).
• Aufsichtsgremien für Audit: Das PCAOB (US Public Company Accounting Oversight Board) und entsprechende Stellen in Europa prüfen die KI-Nutzung in Audit-Sampling und Analytik genau, mit Fokus darauf, ob KI-Tools die Unabhängigkeit des Prüfers oder die professionelle Skepsis untergraben, einen zentralen Standard der Prüfungsqualität.

Keine dieser Instanzen verwendet die Risikostufen des EU AI Act. Ein Tool mit „minimalem Risiko“ nach dem Act kann trotzdem ein vollständiges SEC-Verfahren auslösen, wenn die Marketingaussagen dazu falsch sind, oder eine Kammerbeschwerde, wenn es privilegierte Klientendaten geleakt hat.

Ebene 3: Berufsrecht hängt an der Zulassung, nicht am Tool

Das ist die Ebene, die nicht-technische Leser oft übersehen. Berufspflichten (Kompetenzpflicht, Vertraulichkeit, Unabhängigkeit, professionelle Skepsis) knüpfen an die zugelassene Person an, nicht an den Softwareanbieter.

Beispiel: Ein Anwalt, der ein KI-Recherchetool nutzt, das eine erfundene Fundstelle halluziniert, ist weiterhin persönlich sanktionierbar, wie mehrere US-Gerichtssanktionen seit 2023 zeigen (der Fall *Mata v. Avianca* bleibt der Referenzpunkt). Die Konformitätsbewertung des AI Act schützt diesen Anwalt in keiner Weise. Berufsaufsicht ist ein separater, parallel laufender Strang.

Für Berater und Prüfer ist das Äquivalent das Übervertrauen: KI-generierte Analysen zu nutzen, ohne den Schritt professioneller Urteilsbildung, für den der Klient eigentlich zahlt und den Regulierer erwarten.

Ebene 4: Klientenverträge fügen eine vierte, private Rechtsebene hinzu

Mandats- und Rahmenverträge legen zunehmend fest:

• Welche KI-Tools Klientendaten berühren dürfen und welche nicht.
• Ob Klientendaten zum Trainieren oder Fine-TuningFine-TuningFine-tuning adapts a pre-trained model to a specific task or domain by continuing training on a smaller, targeted dataset, improving accuracy and style for that use case.Vollständige Definition ansehen → von Modellen verwendet werden dürfen (die meisten anspruchsvollen Klienten sagen inzwischen ausdrücklich nein).
• Offenlegungspflichten: Muss die Firma dem Klienten mitteilen, wenn KI wesentlich zu einem Deliverable beigetragen hat?
• Haftungsverteilung, wenn KI-gestützte Arbeit einen Schaden verursacht.

Diese Klauseln sind weder über Jurisdiktionen hinweg harmonisiert noch über die Klienten derselben Firma. Eine Firma mit 200 Klienten kann 200 leicht unterschiedlichen privaten KI-Policies gegenüberstehen, aufgelegt auf das öffentliche Recht. Deshalb führen viele Firmen heute ein internes AI Use Register: ein Log darüber, welche Tools für welche Aufgabentypen unter welchen Vertragsbedingungen freigegeben sind.

Example: minimal AI use register schema
tool_name, vendor, data_residency, client_data_allowed (Y/N),
approved_use_cases[], risk_tier_eu_ai_act, human_review_required (Y/N)

Ein solches strukturiertes Register ist die praktische BrBrThe percentage of visitors who leave after viewing only one page, often a signal of poor relevance, mismatched intent, or weak user experience.Vollständige Definition ansehen →ücke zwischen allen vier Ebenen: Es ist das Artefakt, das ein Regulierer, ein Kammerermittler oder ein Klientenaudit sehen will.

Was das für grenzüberschreitende Beratung bedeutet

Eine Firma, die einen Klienten mit Berührungspunkten in EU, USA und UK berät, kann nicht einfach „die strengste Regel“ wählen und überall anwenden; die Regeln sind nicht gestapelt, sie sind qualitativ unterschiedlich. Der EU AI Act fragt: „Welche Risikostufe hat dieses System?“ Die SEC fragt: „Haben Sie es falsch dargestellt?“ Die FCA fragt: „Welcher Senior Manager ist verantwortlich?“ Die Kammer fragt: „Haben Sie Kompetenz und Vertraulichkeit gewahrt?“ Der Vertrag fragt: „Haben Sie offengelegt und Zustimmung eingeholt?“

Praktische Governance-Antwort, in dieser Reihenfolge:

1. Mappen Sie den Use Case, nicht das Tool. Derselbe GPT-basierte Schreibassistent kann in einem Workflow risikoarm sein (interne Zusammenfassungen) und in einem anderen hochriskant (Input für eine Kreditentscheidung beim Klienten).

2. Benennen Sie pro KI-Use-Case eine namentlich verantwortliche Person, analog zur SMCR-Logik der FCA, auch außerhalb UK-regulierter Einheiten. Diffuse Verantwortung ist der häufigste Einzelbefund bei Fehlschlägen in der KI-Governance.

3. Bauen Sie einen Human-in-the-Loop-Checkpoint überall dort ein, wo professionelles Urteil das verkaufte Produkt ist. Das ist berufsrechtliche Anforderung und Vertrauensfrage gegenüber dem Klienten zugleich.

4. Bringen Sie Vertragsklauseln und AI Use Register vor dem Rollout in Einklang, nicht erst nach einer Klientenbeschwerde.

5. Dokumentieren Sie die Begründung, nicht nur den Output. Prüfer und Regulierer fragen zunehmend nach dem „Warum“, nicht nur nach dem KI-generierten „Was“.

Als lebender, nicht erfundener Referenzpunkt dafür, wie Regulierer sich koordinieren (oder nicht), verfolgt das OECD AI Policy Observatory nationale KI-Regulierungsentwicklungen nahezu in Echtzeit.

Key Takeaways

• Vier unterschiedliche Regulierungsebenen gelten für KI-Nutzung in Professional Services: horizontales Recht (Risikostufen des EU AI Act), Sektorregulierer (SEC, FCA, PCAOB), Berufsrecht (Anwaltskammern, Prüfungsstandards) und private Klientenverträge. Sie klassifizieren denselben KI-Use-Case unterschiedlich und nehmen nicht aufeinander Rücksicht.
• Die Risikoklassifizierung folgt dem Use Case, nicht dem Anbieter oder Tool: Dasselbe zugrundeliegende Modell kann in einem Workflow minimales Risiko haben und in einem anderen hochriskant oder berufsrechtlich sanktionierbar sein.
• Berufsaufsicht (Kammerbeschwerden, Feststellungen zur Prüferunabhängigkeit) ist ein persönliches Risiko auf Zulassungsebene, das unabhängig davon existiert, ob eine Firma technisch mit dem EU AI Act konform ist.
• Ein AI Use Register, das Tool, Use Case, Datenverarbeitung und verantwortliche Person abbildet, ist das praktische Governance-Artefakt, mit dem eine Firma allen vier Ebenen auf einmal Rede und Antwort stehen kann.
• Grenzüberschreitende Beratung erfordert, diese Regime abzugleichen, nicht zu ranken; es gibt keine Abkürzung über eine einzige „strengste Regel“.