Eine Abschlussprüfung besteht zu großen Teilen aus Vorbereitung: Buchungsdaten sichten, Verträge und Protokolle auf relevante Passagen durchsuchen, Berichtsentwürfe aufsetzen, Mandantenrückfragen koordinieren. Keiner dieser Schritte ist die Prüfungsentscheidung selbst, aber alle binden Zeit, die am Ende für die eigentliche fachliche Beurteilung fehlt. KI kann genau hier ansetzen, vorausgesetzt, die berufliche Verschwiegenheit bleibt gewahrt.
Die Wirtschaftsprüferkammer hat ihre FAQ zum Einsatz künstlicher Intelligenz in der WP-Praxis im Mai 2026 aktualisiert und damit nachgeschärft, was beim Einsatz von KI-Systemen konkret zu beachten ist. Trotzdem findet, wer nach KI für Wirtschaftsprüfer sucht, vor allem Softwareanbieter mit eigenen Assistenzprodukten und berufsrechtliche Einordnungen aus Fachverlagen, aber selten eine strukturierte Übersicht, welche Vorgänge sich eignen und was die WPK-Vorgaben in der Praxis bedeuten. Dieser Beitrag schließt diese Lücke.
Kurzfassung
KI in der Wirtschaftsprüfung lohnt sich zuerst bei Datenanalyse zur Risikobeurteilung, Vertrags- und Protokollauswertung, Berichtsentwürfen und Mandantenkorrespondenz. Die WPK verlangt seit ihrer FAQ-Aktualisierung im Mai 2026 anonymisierte Daten bei ungeschützten KI-Systemen und einen Verschwiegenheitsvertrag mit jedem eingebundenen Drittanbieter. Nicht-anonymisierte Mandantendaten dürfen KI-Systeme nicht trainieren. Das Testat bleibt in jedem Fall das persönliche Prüfungsurteil.
Wo KI in der Wirtschaftsprüfung schon heute Zeit zurückgibt
Vier Aufgaben ziehen in der Prüfungspraxis den größten Nutzen aus KI-Unterstützung. Gemeinsamer Nenner: große Datenmengen, wiederkehrende Struktur, klar abgrenzbare Vorbereitung statt eigenständige Prüfungsentscheidung.
Risikobeurteilung auf Basis historischer Buchungsdaten. KI-Systeme analysieren vollständige Buchungssätze statt Stichproben und markieren auffällige Muster, etwa ungewöhnliche Buchungszeiten, wiederkehrende Rundungsbeträge oder Abweichungen zu Vorjahreswerten. Das beschleunigt die Risikobeurteilung und verbessert ihre Grundlage, weil die Vorprüfung nicht mehr auf einer Stichprobe, sondern auf dem vollständigen Datensatz aufsetzt.
Vertrags- und Protokollauswertung. Sprachmodelle extrahieren relevante Informationen aus Verträgen, Aufsichtsratsprotokollen, Leasingvereinbarungen oder E-Mail-Korrespondenz, die sonst manuell durchsucht werden müssten. Für Mandate mit umfangreicher Vertragslage ist das einer der größten Zeitgewinne im gesamten Prüfungsablauf.
Berichtsentwürfe. Erste Fassungen von Prüfungsberichten oder Management Letters aus strukturierten Vorlagen und Prüfungsfeststellungen erzeugen, die anschließend fachlich geprüft und freigegeben werden. Das reduziert die reine Schreibzeit, ohne die inhaltliche Verantwortung zu verschieben.
Mandantenkorrespondenz. Rückfragen sichten, Unterlagenanforderungen koordinieren, Statusupdates formulieren. Wiederkehrend und häufig fristnah während der Prüfungssaison, damit ein Feld mit spürbarem Zeitgewinn bei überschaubarem Risiko.
Aus bisherigen Kundenprojekten von abi consulting ergibt sich für Vorprüfung und Berichtsvorbereitung ein Richtwert von 30 bis 40 Prozent weniger Vorbereitungsaufwand pro Mandat. Tatsächliche Effekte hängen von Datenqualität, Mandatsgröße und der Reife bestehender Prüfsoftware ab.
Was die WPK vom Einsatz von KI verlangt
Die WPK-FAQ, zuletzt im Mai 2026 aktualisiert, unterscheidet zwischen zwei Arten von KI-Systemen und leitet daraus unterschiedliche Anforderungen ab.
Geschützte und ungeschützte Systeme. Ein geschütztes System bietet vertragliche Garantien gegen unbefugten Zugriff auf eingegebene Daten, etwa eine dedizierte Umgebung mit klar geregelter Dienstleisterkette. Für solche Systeme gelten geringere Einschränkungen. Bei ungeschützten Anwendungen, etwa einem öffentlich zugänglichen KI-Dienst ohne entsprechende Vertragsgrundlage, müssen Mandantendaten vor der Eingabe anonymisiert werden.
Verschwiegenheitsvertrag mit Drittanbietern. Wird ein externer KI-Dienstleister eingebunden, muss ein Vertrag bestehen, der den Anbieter unter Hinweis auf die strafrechtlichen Folgen einer Pflichtverletzung zur Verschwiegenheit verpflichtet. Eine allgemeine Datenschutzerklärung des Anbieters reicht dafür nicht aus.
Kein Training auf nicht-anonymisierten Daten. Anonymisierte Daten dürfen ein KI-System regelmäßig trainieren. Nicht anonymisierte Mandantendaten dürfen dagegen in ein System eingegeben werden, ohne dass es dadurch trainiert wird, etwa im Rahmen einer Einzelabfrage. Beide Fälle sind zulässig, solange die jeweilige Bedingung eingehalten wird. Kritisch wird es, wenn nicht-anonymisierte Daten in ein System fließen, das sie zugleich zum Training verwendet.
Eigenverantwortung und Dokumentation. Wirtschaftsprüferinnen und Wirtschaftsprüfer tragen auch beim Einsatz von KI die volle Verantwortung für ihre Arbeitsergebnisse. Die Praxis sollte dokumentieren, welche KI-gestützten Prüfungshandlungen wann und mit welchem Werkzeug durchgeführt wurden, damit im Prüffall nachvollziehbar bleibt, wie ein Ergebnis entstanden ist.
KI-Grundverständnis. Wer KI-Systeme einsetzt, muss ihre grundlegenden Risiken kennen, insbesondere Datenverzerrungen und Halluzinationen, also inhaltlich falsche oder erfundene Angaben der KI. Ein Ergebnis ungeprüft zu übernehmen ist mit der Eigenverantwortung nicht vereinbar.
Anonymisierung ist kein Freifahrtschein
Anonymisierung erfüllt die WPK-Vorgabe nur, wenn sie tatsächlich wirksam ist. Kundennamen zu entfernen, aber Auftragsnummern, IBANs oder eindeutige Vertragsdetails stehen zu lassen, aus denen sich der Mandant re-identifizieren lässt, erfüllt die Anforderung nicht. Im Zweifel ist ein geschütztes System mit vertraglicher Verschwiegenheitsbindung der verlässlichere Weg als eine Anonymisierung, die im Einzelfall lückenhaft bleibt.
Wie sich datenschutzkonforme KI-Nutzung grundsätzlich aufbaut, von Rechtsgrundlage bis Auftragsverarbeitung, beschreibt der Beitrag Datenschutzkonforme KI für Kanzleien und Unternehmen.
EU AI Act: Wie sich Prüfungs-KI einordnen lässt
Für die meisten Anwendungen in der Wirtschaftsprüfung fällt die Einordnung moderat aus. Systeme zur Datenanalyse, Vertragsauswertung, Berichtsvorbereitung oder Korrespondenz gelten in der Regel als minimales oder begrenztes Risiko, weil sie keine eigenständige Entscheidung treffen, sondern die Prüfungshandlung vorbereiten, die anschließend von der Wirtschaftsprüferin oder dem Wirtschaftsprüfer bewertet wird.
Genauer hinschauen lohnt sich, sobald ein System ohne menschliche Prüfung selbst entscheidet, welche Sachverhalte als auffällig gelten oder welche Mandate ein erhöhtes Risiko tragen, etwa bei einer vollautomatisierten Anomalie-Einstufung ohne Freigabeschritt. Der gleiche Grundsatz wie bei der berufsrechtlichen Verschwiegenheit gilt auch hier: KI bereitet vor, die Wirtschaftsprüferin oder der Wirtschaftsprüfer entscheidet. Zusätzlich verlangt Artikel 4 des EU AI Act eine Schulungspflicht für Personal, das KI-Systeme einsetzt, unabhängig von der Größe der Praxis. Was das konkret bedeutet, beschreibt der Beitrag EU AI Act Schulungspflicht.
Bestehende Prüfsoftware und wo KI ansetzt
Die meisten WP-Praxen arbeiten bereits mit etablierter Prüfsoftware für Arbeitspapiere, Fristenkontrolle und Dokumentenmanagement. Diese Systeme decken die formale Abwicklung einer Prüfung zuverlässig ab. Was sie in der Regel nicht leisten, ist die intelligente Vorstufe: unstrukturierte Unterlagen, E-Mail-Korrespondenz und heterogene Vertragsformate zu einer konsolidierten Grundlage für die Prüfungshandlung zusammenzuführen.
Genau an dieser Stelle setzt KI an, nicht als Ersatz für die vorhandene Prüfsoftware, sondern als vorgeschaltete Schicht, die Eingaben liest, strukturiert und in die bestehenden Arbeitspapiere einspeist. Einzelne Anbieter im Prüfsoftware-Markt haben bereits eigene KI-Zusatzfunktionen für Risikoanalyse und Datenauswertung angekündigt oder ausgeliefert. Für eine einzelne Praxis bleibt die Kernfrage dieselbe: Reicht eine vorkonfigurierte Zusatzfunktion für die eigene Mandatsstruktur, oder braucht es eine Lösung, die auf die eigenen Prüfprogramme und Freigabeabläufe zugeschnitten ist? Ein vorkonfiguriertes Zusatzprodukt ist meist schneller startklar, arbeitet aber mit einer generischen Analyselogik, die nicht jede Praxis unverändert übernehmen kann, etwa bei spezialisierten Branchenprüfungen oder einer gewachsenen eigenen Vorlagensammlung.
Microsoft Copilot, ChatGPT Enterprise oder eigene KI: was für WP-Praxen gilt
Drei Kategorien von KI-Systemen sind für Wirtschaftsprüfer relevant, und die richtige Wahl hängt davon ab, welche Daten in den jeweiligen Workflow fließen.
Microsoft 365 Copilot hält Prompts und Antworten laut Microsoft innerhalb des eigenen Tenants und trainiert sie per Default nicht auf Kundendaten. Für Office-Aufgaben ohne direkten Mandatsbezug, etwa interne Kommunikation oder unkritische Recherchen, ist das eine praktikable Option für Praxen, die bereits einen Microsoft-365-Tenant nutzen.
ChatGPT Enterprise schließt Modelltraining auf Kundendaten vertraglich aus und bietet einen Auftragsverarbeitungsvertrag an. Die Infrastruktur läuft auf US-amerikanischer Basis, was Standardvertragsklauseln für Drittstaatentransfers notwendig macht. Für allgemeine KI-Aufgaben außerhalb konkreter Prüfungsunterlagen ist das eine valide Wahl.
Eine eigene KI-Plattform läuft in einer dedizierten Umgebung unter Kontrolle der Praxis, verwaltete Private Cloud, hybrid oder On-Premise. Es gibt im Normalbetrieb keine Weitergabe an externe Modellanbieter, und die Dienstleisterkette ist dokumentiert. Für Risikobeurteilung, Vertragsauswertung und alle Vorgänge mit direktem Mandatsbezug ist das die belastbare Antwort, weil sie ein geschütztes System im Sinne der WPK-FAQ technisch erzwingt statt nur vertraglich zuzusichern. Eine ausführliche Übersicht der Deploymentpfade, von verwalteter Private Cloud bis On-Premise, beschreibt der Beitrag Private KI-Infrastruktur für Unternehmen.
So startet eine WP-Praxis strukturiert
Schritt 1: Den Vorgang mit dem höchsten Wiederholungsvolumen identifizieren. Meist die Risikobeurteilung auf Basis der Buchungsdaten oder die Vertragsauswertung, nicht der interessanteste, sondern der Vorgang mit dem klarsten Zeitgewinn.
Schritt 2: Datenklasse klären. Welche Mandatsdaten fließen in den Workflow, und wie sensibel sind sie? Das entscheidet, ob ein ungeschütztes System mit Anonymisierung reicht oder ein geschütztes System nötig ist.
Schritt 3: Dienstleisterkette und Vertrag prüfen, bevor produktiv gearbeitet wird. Ein Verschwiegenheitsvertrag mit dem KI-Anbieter ist keine Formalie, sondern nach WPK-Vorgabe Voraussetzung für den produktiven Einsatz bei Mandatsbezug.
Schritt 4: Freigabeprozess dokumentieren. Wer prüft KI-gestützte Analysen, bevor sie in die Prüfungsentscheidung einfließen? Diese Frage vor dem Produktivbetrieb klären, nicht danach.
Schritt 5: KI-Grundverständnis nachweisbar schulen. Ein einmaliges Briefing reicht weder für die WPK-Erwartung noch für die Kompetenzpflicht nach EU AI Act aus.
Was jetzt zu tun ist
Wirtschaftsprüfer teilen sich mit Steuerberatungskanzleien dieselbe Grundfrage: welche Workflows dürfen über Standard-KI laufen, und welche brauchen eine eigene, kontrollierte Umgebung. Die WPK-FAQ vom Mai 2026 gibt dafür erstmals eine belastbare Leitplanke, die über allgemeine Datenschutzerwägungen hinausgeht. Wie diese Abwägung bei Steuerberatungskanzleien aussieht, beschreibt der Beitrag KI für Steuerberater.
KI in der Wirtschaftsprüfung ist kein Ersatz für die Prüfungsentscheidung, sondern eine Entlastung bei der Vorbereitung, die davor passiert. Praxen, die diesen Unterschied von Anfang an klar ziehen, Datenanalyse und Vertragsauswertung auf der einen Seite, Testat und Prüfungsurteil auf der anderen, kommen schneller zu einer Lösung, die sowohl Zeit spart als auch der Verschwiegenheit standhält.
Im KI-Prozess-Audit klären wir in 30 Minuten, welcher Berichts-, Analyse- oder Aktenprozess in deiner WP-Praxis der richtige erste KI-Pilot ist und welche Infrastruktur dafür zur Mandatsstruktur passt. Eine strukturierte Übersicht speziell für Wirtschaftsprüfer findet sich unter Eigene KI für Wirtschaftsprüfer.
