Kontrollquoten bei KI-gestützter Verarbeitung

KI-gestützte Verarbeitung verspricht Effizienz – aber wie viel davon darf ohne menschliche Kontrolle laufen? Die Frage nach der richtigen Kontrollquote beschäftigt viele Kanzleien. Eine pauschale Antwort gibt es nicht, aber es gibt einen systematischen Ansatz.

Das Dilemma

Zu viel Kontrolle

Wenn jede KI-generierte Buchung manuell geprüft wird, ist der Effizienzgewinn dahin. Die Automatisierung lohnt sich nicht mehr.

Zu wenig Kontrolle

Wenn Fehler durchrutschen, entstehen Haftungsrisiken. Im schlimmsten Fall wird die Buchführung bei der Betriebsprüfung verworfen.

Die Lösung: Risikobasierte Kontrolle

Nicht alles gleich behandeln, sondern nach Risiko differenzieren. Hohe Risiken erfordern mehr Kontrolle, niedrige Risiken weniger.

Was die Regulierung sagt

EU AI Act

Der EU AI Act unterscheidet Risikostufen für KI-Systeme. Hochrisiko-Anwendungen erfordern menschliche Aufsicht. Für buchhalterische Anwendungen gilt: Sie fallen in der Regel nicht unter die Hochrisiko-Kategorie, aber die Grundsätze der menschlichen Kontrolle sind trotzdem relevant.

BSI-Empfehlungen

Das Bundesamt für Sicherheit in der Informationstechnik (BSI) hat 2025 einen Kriterienkatalog für KI-Systeme im Finanzsektor veröffentlicht. Zentrale Anforderungen sind die Transparenz der Entscheidungsprozesse, die Nachvollziehbarkeit der Ergebnisse, menschliche Aufsicht bei kritischen Entscheidungen und kontinuierliche Qualitätssicherung. Diese Anforderungen lassen sich auch auf KI-Systeme in Steuerkanzleien übertragen.

GoBD

Die GoBD verlangen ein internes Kontrollsystem – unabhängig davon, ob Prozesse manuell oder automatisiert ablaufen. Die Nachvollziehbarkeit jedes Geschäftsvorfalls muss gewährleistet sein. Mehr zu den GoBD-Risiken bei automatisierten Buchungsvorschlägen in unserem ausführlichen Artikel. Automatisierung entbindet nicht von dieser Pflicht, sie verändert nur die Art der Kontrolle.

Risikokategorien definieren

Faktoren für die Risikobewertung

Faktor	Niedriges Risiko	Hohes Risiko
Betrag	Kleine Beträge	Große Beträge
Häufigkeit	Wiederkehrend, standardisiert	Einmalig, ungewöhnlich
Komplexität	Einfache Sachverhalte	Ermessensspielräume
Fehlerfolgen	Korrigierbar	Schwer korrigierbar
Erkennungsrate	KI treffsicher	KI unsicher

Beispielhafte Kategorisierung

In Kategorie A mit niedrigem Risiko fallen wiederkehrende Standardbuchungen wie Miete, Telefon oder Versicherung, Buchungen von bekannten Geschäftspartnern mit eindeutiger Kontierung sowie kleine Beträge unter einer definierten Schwelle. Hier ist die KI typischerweise treffsicher, und Fehler wären leicht korrigierbar.

In Kategorie B mit mittlerem Risiko gehören neue Geschäftspartner, bei denen das System noch keine Erfahrungswerte hat, Buchungen über einer definierten Schwelle und komplexere Sachverhalte wie Abgrenzungen. Hier ist erhöhte Aufmerksamkeit angebracht.

Kategorie C mit hohem Risiko umfasst ungewöhnliche Transaktionen, Sachverhalte mit steuerlichem Ermessen und Buchungen mit potenziell hoher Fehlerauswirkung. Diese erfordern immer menschliche Prüfung.

Kontrollquoten festlegen

Differenzierte Ansätze

Kategorie	Kontrollquote	Methode
A – Niedrig	5-10%	Zufallsstichprobe
B – Mittel	30-50%	Systematische Auswahl
C – Hoch	100%	Vollständige Prüfung

Wichtig: Quoten sind Richtwerte

Diese Quoten sind keine starren Regeln, sondern Ausgangspunkte. Sie müssen an die konkreten Verhältnisse angepasst werden:

• Qualität des KI-Systems
• Fehlerhistorie
• Mandantenstruktur
• Eigene Risikobereitschaft

Prüfmethoden

Die Vollprüfung, bei der jede Buchung geprüft wird, ist sinnvoll bei hohem Risiko oder kritischen Prozessen. Der Aufwand ist hoch, aber die Fehlerentdeckung maximal.

Bei der systematischen Stichprobe erfolgt eine regelmäßige Auswahl nach definierten Kriterien, etwa jede zehnte Buchung oder alle Buchungen über 1.000 Euro. Der Aufwand ist mittel, die Fehlerentdeckung gut bei systematischen Fehlern.

Die Zufallsstichprobe wählt eine definierte Anzahl von Fällen zufällig aus. Der Aufwand ist gering, die Fehlerentdeckung gut bei zufällig verteilten Fehlern.

Bei der ausnahme-basierten Prüfung werden nur Fälle geprüft, die das System als unsicher markiert oder die von Normalwerten abweichen. Der Aufwand variiert je nach Anzahl der Ausnahmen. Diese Methode funktioniert gut bei erkannten Abweichungen, hat aber Schwächen bei systematischen Blindstellen des Systems.

Die beste Strategie kombiniert mehrere Methoden: Vollprüfung bei hohem Risiko, ausnahme-basierte Prüfung als Grundlage und ergänzende Zufallsstichproben zur Kontrolle der Kontrolle. So werden sowohl systematische als auch zufällige Fehler entdeckt.

Dokumentation der Kontrolle

Die Dokumentation muss festhalten, welche Buchungen geprüft wurden, nach welchen Kriterien sie ausgewählt wurden, was dabei festgestellt wurde und welche Korrekturen erfolgten. Diese Nachvollziehbarkeit ist aus mehreren Gründen wichtig.

Bei einer Betriebsprüfung muss das interne Kontrollsystem belegbar sein. Aus dokumentierten Fehlern lassen sich Verbesserungen für das System ableiten. Und im Streitfall zeigt die Dokumentation, dass mit angemessener Sorgfalt gearbeitet wurde – ein wichtiger Aspekt der Haftungsvorsorge.

Anpassung der Quoten

Laufende Überwachung

Die Fehlerquote der KI-Verarbeitung sollte kontinuierlich überwacht werden. Relevante Fragen sind: Wie viele der geprüften Buchungen waren fehlerhaft? Bei welchen Konten oder Mandanten treten Häufungen auf? Gibt es systematische Muster, die auf einen Konfigurationsfehler hindeuten?

Anpassungsregeln

Wenn die Fehlerquote sinkt, kann die Kontrollquote reduziert werden – das System hat sich bewährt. Wenn die Fehlerquote steigt, muss die Kontrollquote erhöht und die Ursache analysiert werden. Bei neuen Mandanten oder Konten empfiehlt sich anfangs eine höhere Quote, die nach gesammelten Erfahrungen angepasst wird.

Review-Zyklus

Quartalsweise sollte überprüft werden, ob die Kontrollquoten noch angemessen sind, ob die Risikokategorisierung noch stimmt und ob neue Erkenntnisse eine Anpassung nahelegen. Dieser regelmäßige Review verhindert, dass veraltete Annahmen zu falscher Sicherheit führen.

Praktisches Beispiel

Szenario: Automatische Belegverarbeitung

Setup:

• KI erkennt Belege und erstellt Buchungsvorschläge
• System markiert unsichere Erkennungen
• Mitarbeiter prüft und gibt frei

Kontrollstrategie:

Situation	Kontrollquote
System markiert „unsicher"	100%
Neuer Geschäftspartner	100% für erste 5 Belege
Betrag > 5.000 €	100%
Bekannter Partner, Standardbeleg	10% Stichprobe
Wiederkehrende Buchung (Miete etc.)	Nur bei Abweichung vom Vormonat

Ergebnis:

• Etwa 30% der Buchungen werden manuell geprüft
• Hochrisiko-Fälle sind abgedeckt
• Zeitaufwand bleibt vertretbar

Fazit: Kontrolle mit Augenmaß

Pauschale Kontrollquoten funktionieren nicht. Alles zu prüfen ist ineffizient, nichts zu prüfen ist fahrlässig. Der risikobasierte Ansatz findet die Balance.

Der Weg dorthin ist klar: Zunächst die Risiken identifizieren – was kann schiefgehen, und wie schlimm wäre es? Dann Kategorien bilden, statt alles gleich zu behandeln. Die Quoten entsprechend festlegen, mit mehr Kontrolle bei hohem Risiko. Die Kontrollen dokumentieren, um nachvollziehbar zu arbeiten. Und schließlich aus der Erfahrung lernen und die Quoten anpassen.

So bleibt die Automatisierung effizient und die Qualität hoch.