KI und Buchhaltung: Chancen und Risiken

Künstliche Intelligenz definiert die Buchhaltungsarbeit in der Schweiz neu. Von der automatischen Rechnungserfassung (OCR) bis zum intelligenten Bankabgleich verzeichnen KMU und Treuhandbüros, die KI-Tools einsetzen, Verarbeitungszeitreduktionen von bis zu 70 % und eine Verringerung manueller Fehler um mehr als 80 %.

Buchhaltungsdaten sind jedoch nicht nur Zahlen: Sie enthalten Kunden- und Lieferantennamen, Bankverbindungen, Gehaltsinformationen und Details zu Geschäftstransaktionen. Im Grunde handelt es sich um Personendaten, die durch das neue Bundesgesetz über den Datenschutz (nDSG) geschützt sind, das am 1. September 2023 in Kraft getreten ist.

Die Integration von KI in die Buchhaltung ohne angemessene Datenschutz-Risikoanalyse kann das Unternehmen Bussen bis zu CHF 250'000, Reputationsschäden und Vertrauensverlust bei Kunden aussetzen. Dieser Leitfaden bietet einen konkreten Weg zur konformen KI-Adoption mit Pflichten, Risiken und Best Practices speziell für den Schweizer Buchhaltungskontext.

KI-Anwendungen in der Buchhaltung

Künstliche Intelligenz wird in jede Phase des Buchhaltungszyklus integriert. Hier sind die fünf wichtigsten Anwendungen, die die Branche transformieren:

OCR und Datenextraktion

Deep-Learning-basierte OCR-Engines extrahieren automatisch Betrag, Datum, Lieferant, Rechnungsnummer, MwSt.-Satz und IBAN aus Papierrechnungen, PDFs und Bildern. Die Genauigkeit erreicht 95–99 % bei strukturierten Dokumenten und reduziert die manuelle Dateneingabe auf nahezu null.

Automatische Kategorisierung

Klassifizierungsalgorithmen analysieren den Rechnungsinhalt und weisen automatisch das korrekte Buchungskonto, die Kostenstelle und die MwSt.-Kategorie zu. Das Modell lernt aus Benutzerkorrekturen und verbessert sich kontinuierlich, angepasst an den spezifischen Kontenplan des Unternehmens.

Intelligenter Bankabgleich

KI gleicht über API (Open Banking) importierte Bankbewegungen mit erfassten Rechnungen ab und identifiziert Teilzahlungen, Gruppierungen und Abweichungen. Vorgänge, die Stunden dauerten, werden in Minuten erledigt — mit einer Zuordnungsquote von über 90 %.

Anomalie- und Betrugserkennung

Machine-Learning-Modelle analysieren historische Transaktionsmuster, um doppelte Rechnungen, ungewöhnliche Beträge, verdächtige Lieferanten und signifikante Abweichungen von Trends zu identifizieren. Eine automatisierte erste Prüfungsebene, die das Risiko von Fehlern und Betrug reduziert.

Prädiktives Reporting und Analyse

KI generiert automatisch Finanzberichte, Cashflow-Prognosen und Budgetabweichungsanalysen. Buchhaltungsdaten werden in strategische Erkenntnisse umgewandelt und ermöglichen fundierte Echtzeit-Entscheidungen statt rückblickender Auswertungen.

Das nDSG im Überblick

Das neue Bundesgesetz über den Datenschutz (nDSG), seit dem 1. September 2023 in Kraft, und die zugehörige Verordnung (DSV) haben die Rechte natürlicher Personen und die Pflichten der Unternehmen erheblich gestärkt. Hier sind die für die Buchhaltung relevanten Grundprinzipien:

Zweckbindung (Art. 6 Abs. 3 nDSG)

Personendaten dürfen nur für bestimmte und erkennbare Zwecke beschafft und bearbeitet werden. In der Buchhaltung bedeutet dies, dass für die Rechnungsstellung erhobene Kundendaten nicht ohne zusätzliche Rechtsgrundlage für kommerzielle Profilbildung verwendet werden dürfen.

Datenminimierung (Art. 6 Abs. 2 nDSG)

Es dürfen nur Daten bearbeitet werden, die für den erklärten Zweck unbedingt erforderlich sind. Ein KI-Buchhaltungssystem darf keine überflüssigen Informationen speichern oder bearbeiten — beispielsweise sollte die OCR nicht das vollständige Dokumentenbild archivieren, wenn die strukturierten Daten bereits extrahiert sind.

Transparenz und Information (Art. 19 nDSG)

Die betroffenen Personen müssen über die Beschaffung und Bearbeitung ihrer Daten informiert werden. Wenn ein KI-System automatisch Lieferantenrechnungen analysiert, müssen diese Lieferanten wissen, dass ihre Daten von einem Algorithmus und zu welchem Zweck bearbeitet werden.

Datensicherheit (Art. 8 nDSG, Art. 1–6 DSV)

Der Verantwortliche muss die Datensicherheit durch angemessene technische und organisatorische Massnahmen gewährleisten: Verschlüsselung, Zugangskontrolle, Protokollierung, Backups und periodische Tests. Die DSV spezifiziert die Kriterien zur Beurteilung der Angemessenheit der Massnahmen.

Auftragsbearbeiter-Haftung (Art. 9 nDSG)

Wird die Bearbeitung an Dritte delegiert (z. B. KI-Cloud-Anbieter), bleibt der Verantwortliche haftbar. Er muss sicherstellen, dass der Auftragsbearbeiter die Datensicherheit gewährleistet, und einen konformen Auftragsbearbeitungsvertrag (DPA) abschliessen.

Verzeichnis der Bearbeitungstätigkeiten (Art. 12 nDSG)

Unternehmen mit mehr als 250 Mitarbeitenden (oder bei umfangreicher Bearbeitung besonders schützenswerter Daten) müssen ein Verzeichnis der Bearbeitungstätigkeiten führen. Für die KI-Buchhaltung muss das Verzeichnis dokumentieren, welche Daten von welchen Systemen und auf welcher Rechtsgrundlage bearbeitet werden.

Pflichten bei der Bearbeitung von Buchhaltungsdaten

Die Bearbeitung von Buchhaltungsdaten mit KI-Tools bringt spezifische Pflichten mit sich, die über die einfache Buchführung hinausgehen. Hier die wesentlichen Punkte:

Vor der Implementierung eines KI-Systems, das Personendaten in grossem Umfang bearbeitet, eine Datenschutz-Folgenabschätzung (DSFA) durchführen — die DSFA ist obligatorisch, wenn die Bearbeitung ein hohes Risiko für die Persönlichkeit der betroffenen Personen darstellt (Art. 22 nDSG)
Einen Datenschutzberater (DSB) oder zumindest eine interne datenschutzkompetente Ansprechperson bestimmen — empfohlen für Treuhandbüros und KMU, die Buchhaltungsdaten für Dritte verwalten
Mit jedem KI-/Cloud-Dienstleister, der auf Buchhaltungsdaten zugreift, einen Auftragsbearbeitungsvertrag (DPA) abschliessen — der Vertrag muss Zweck, Dauer, Sicherheitsmassnahmen und Serverstandort festlegen
Das Recht auf Auskunft, Berichtigung und Löschung personenbezogener Daten in Buchhaltungsdokumenten gewährleisten — unter Beachtung der zehnjährigen Aufbewahrungspflicht gemäss OR für Geschäftsbücher
Dem EDÖB (Eidgenössischer Datenschutz- und Öffentlichkeitsbeauftragter) Verletzungen der Datensicherheit so rasch wie möglich und in jedem Fall innerhalb der gesetzlichen Fristen melden, wenn die Verletzung ein hohes Risiko für die betroffenen Personen darstellt

KI-spezifische Datenschutzrisiken

Der Einsatz von Künstlicher Intelligenz in der Buchhaltung bringt spezifische Datenschutzrisiken mit sich, die bei herkömmlichen Systemen nicht bestehen:

Unbeabsichtigte Profilbildung

Ein KI-System, das die Rechnungen eines Lieferanten über die Zeit analysiert, kann ein detailliertes Profil seiner Geschäftstätigkeit, Volumina und Zahlungsgewohnheiten erstellen. Diese implizite Profilbildung unterliegt spezifischen nDSG-Regeln (Art. 5 Bst. f) und kann die ausdrückliche Einwilligung der betroffenen Person erfordern.

Automatisierte Entscheidungen

Wenn die KI eine Rechnung automatisch als verdächtig einstuft oder eine Zahlung ohne menschliches Eingreifen blockiert, handelt es sich um eine automatisierte Einzelentscheidung (Art. 21 nDSG). Die betroffene Person hat das Recht, informiert zu werden und eine menschliche Überprüfung zu verlangen.

Grenzüberschreitender Datentransfer

Viele KI-Cloud-Dienste bearbeiten Daten auf Servern ausserhalb der Schweiz. Die Übermittlung von Personendaten in Länder ohne angemessenes Schutzniveau (EDÖB-Liste) erfordert zusätzliche vertragliche Garantien — Standardvertragsklauseln, BCR oder ausdrückliche Einwilligung.

Algorithmische Intransparenz (Black Box)

Die für OCR und Kategorisierung verwendeten Deep-Learning-Modelle arbeiten als ‹Black Boxes›: Es ist schwer zu erklären, warum Daten auf eine bestimmte Weise klassifiziert wurden. Das nDSG verlangt Transparenz — das Unternehmen muss die Logik der automatisierten Bearbeitung erklären können.

Übermässige Datenaufbewahrung

KI-Systeme neigen dazu, grosse Datenmengen für Training und Modellverbesserung aufzubewahren. Dies kann gegen das Minimierungsprinzip verstossen, wenn Daten über das Notwendige hinaus aufbewahrt oder für andere als die ursprünglichen Buchhaltungszwecke verwendet werden.

Achtung: Die im nDSG vorgesehenen Sanktionen können bis zu CHF 250'000 für die verantwortlichen natürlichen Personen (Geschäftsleitung, DSB) betragen. Im Unterschied zur europäischen DSGVO sieht das Schweizer nDSG individuelle Strafbestimmungen vor, nicht nur Verwaltungsbussen gegen das Unternehmen.

Best Practices für konforme KI

KI in der Buchhaltung nDSG-konform einzusetzen ist nicht nur möglich, sondern empfehlenswert. Hier sind die sechs grundlegenden Best Practices:

Privacy by Design

Integrieren Sie den Datenschutz von der Konzeption des KI-Buchhaltungssystems an. Konfigurieren Sie die OCR so, dass nur die notwendigen Felder extrahiert werden, implementieren Sie Pseudonymisierung wo möglich und aktivieren Sie Ende-zu-Ende-Verschlüsselung für Daten in Übertragung und im Ruhezustand.

Server in der Schweiz

Wählen Sie KI-Anbieter, die Daten auf Servern in der Schweiz hosten und bearbeiten. Ist ein grenzüberschreitender Transfer unvermeidlich, prüfen Sie die EDÖB-Liste angemessener Staaten und bereiten Sie konforme Standardvertragsklauseln (SCC) vor.

Menschliche Aufsicht (Human-in-the-Loop)

Behalten Sie immer einen menschlichen Operator im Entscheidungskreislauf. Die KI schlägt Kategorisierung und Abstimmung vor, aber ein Buchhalter oder Treuhänder validiert die Vorschläge. Dies erfüllt die Anforderungen an automatisierte Entscheidungen und reduziert Fehler.

Protokollierung und Audit Trail

Zeichnen Sie jede KI-Operation auf: welche Daten bearbeitet wurden, welches Ergebnis produziert wurde, wer das Ergebnis validiert hat. Ein vollständiger Audit Trail ist unerlässlich für die nDSG-Konformität, Buchhaltungsrevisionen und den Nachweis der Bearbeitungsverantwortlichkeit.

Aufbewahrungsrichtlinien

Definieren Sie klare Regeln zur Datenaufbewahrung: 10 Jahre für Buchhaltungsdokumente (OR), aber KI-Trainingsdaten und Bearbeitungsmetadaten sollten eine separate, kürzere Aufbewahrungsfrist haben, die dem Minimierungsprinzip entspricht.

Schulung des Personals

Schulen Sie Mitarbeitende zu den nDSG-Pflichten in Bezug auf KI-Buchhaltung: wie Auskunftsbegehren bearbeitet werden, wie eine Verletzung gemeldet wird, wann eine menschliche Überprüfung einer automatisierten Entscheidung verlangt werden kann.

Konformitäts-Checkliste

Verwenden Sie diese Checkliste, um zu überprüfen, ob Ihre KI-Integration in der Buchhaltung mit dem Schweizer nDSG konform ist:

Ich habe eine DSFA für das KI-Buchhaltungssystem, das Personendaten bearbeitet, durchgeführt (oder deren Notwendigkeit beurteilt)
Ich habe mit dem KI-/Cloud-Softwareanbieter einen Auftragsbearbeitungsvertrag (DPA) abgeschlossen, der Serverstandort, Sicherheitsmassnahmen und Bearbeitungszwecke festlegt
Buchhaltungsdaten werden auf Servern in der Schweiz bearbeitet, oder ich habe angemessene Garantien für die grenzüberschreitende Übermittlung getroffen (SCC, BCR, Einwilligung)
Die Datenschutzerklärung des Unternehmens ist aktuell und erwähnt den Einsatz von KI-Tools zur Bearbeitung von Buchhaltungsdaten
Für automatisierte KI-Entscheidungen, die natürliche Personen betreffen, ist eine menschliche Aufsicht (Human-in-the-Loop) vorgesehen
Das KI-System zeichnet einen vollständigen Audit Trail aller Datenbearbeitungsvorgänge auf (konforme Protokollierung)
Ich habe separate Aufbewahrungsrichtlinien für Buchhaltungsdaten (10 Jahre OR) und KI-Trainings-/Metadaten (Minimierung) definiert
Das Personal, das das KI-System nutzt, ist in den nDSG-Pflichten und den Verfahren zur Bearbeitung von Auskunftsbegehren und Meldung von Verletzungen geschult

Praktische Tipps

Beginnen Sie mit einem Pilotprojekt für einen einzelnen Prozess (z. B. OCR für Lieferantenrechnungen), bevor Sie KI auf die gesamte Buchhaltung ausweiten — es ist einfacher, die Konformität in einem begrenzten Umfang zu gewährleisten
Fordern Sie von Ihrem KI-Anbieter ein Datenschutz-Factsheet an, das dokumentiert, wo die Daten bearbeitet werden, welche Unterauftragsbearbeiter eingesetzt werden und welche Zertifizierungen vorliegen (ISO 27001, SOC 2)
Konfigurieren Sie die OCR so, dass nur die notwendigen Buchhaltungsfelder extrahiert werden (Betrag, Datum, Lieferant, MwSt.) und vermeiden Sie die Archivierung des vollständigen Dokumentenbildes, wenn es nicht sachdienliche Personendaten enthält
Aktivieren Sie die Verschlüsselung im Ruhezustand (AES-256) und bei der Übertragung (TLS 1.3) für alle von der KI bearbeiteten Buchhaltungsdaten — dies ist eine gemäss DSV erforderliche technische Mindestmassnahme
Planen Sie eine halbjährliche Überprüfung der KI-Konformität: Stellen Sie sicher, dass Aufbewahrungsrichtlinien eingehalten werden, Protokolle vollständig sind und der DPA mit dem Anbieter noch aktuell ist
Wenn Ihr Treuhandbüro Mandate im Auftrag von Kunden verwaltet, stellen Sie sicher, dass der Mandatsvertrag den Einsatz von KI-Tools ausdrücklich erwähnt und holen Sie die erforderliche Einwilligung ein
Nutzen Sie AccountEX, um die Buchhaltung mit KI und OCR nDSG-konform zu automatisieren: Die Daten werden auf Schweizer Infrastruktur bearbeitet, mit vollständigem Audit Trail und menschlicher Aufsicht, die in den Arbeitsablauf integriert ist

Vereinfachen Sie Ihre Schweizer Buchhaltung

AccountEX erledigt MWST, QR-Rechnungen und Buchungen mit AI. Kostenlos starten.

Kostenlos starten