Art. 50 KI-VO + ISA 230
KI-Output-Kennzeichnung in der WP-Praxis
Für Wirtschaftsprüfer greifen zwei Regelwerke nebeneinander: Art. 50 KI-VO (Transparenz ab 02.08.2026 für extern veröffentlichte KI-Inhalte, bußgeldbewehrt) und ISA 230, das die Dokumentation KI-gestützter Prüfungshandlungen schon heute verlangt, unabhängig vom AI-Act-Zeitplan.
Sind Sie überhaupt der Adressat von Art. 50?
Art. 50 KI-VO unterscheidet nach Rolle. Als WP-Praxis sind Sie fast immer Betreiber, nicht Anbieter des KI-Systems. Für Betreiber greift vor allem Abs. 4: Kennzeichnung von Deepfakes und von Texten, die veröffentlicht werden, um die Öffentlichkeit über Angelegenheiten von öffentlichem Interesse zu informieren.
- Interne Arbeitspapiere und der Bestätigungsvermerk sind kein Fall von Art. 50 Abs. 4. Hier steuert ISA 230 die Dokumentationspflicht.
- Extern veröffentlichte, KI-generierte Inhalte (etwa eine KI-erstellte Fachpublikation der Praxis) fallen unter Art. 50.
- Die maschinenlesbare Markierung nach Art. 50 Abs. 2 ist eine Anbieter-Pflicht des KI-Herstellers, nicht Ihre.
Zwei Kennzeichnungs-Ebenen in der Prüfung
Ebene 1: Prüfungsdokumentation (ISA 230)
Pflicht ab sofort. Jede KI-gestützte Analyse in den Arbeitspapieren mit Tool, Inputdaten, Output und menschlicher Nachprüfung. Anomalien werden manuell nachverfolgt.
Ebene 2: Externe Transparenz (Art. 50)
Pflicht ab 02.08.2026 für KI-Inhalte, die die Praxis veröffentlicht. Betrifft nicht die interne Prüfungsakte, sondern nach außen gerichtete synthetische Inhalte. Der Digital Omnibus verschiebt nur die Hochrisiko-Pflichten aus Anhang III, nicht diese Frist.
Vorlagen-Formulierungen
Arbeitspapier-Hinweis (ISA 230)
"Die nachstehende Datenanalyse wurde KI-gestützt mit [Tool-Name v.X.Y] auf Basis von [Datenquelle] erstellt. Output durch [Prüfer] inhaltlich geprüft und ergänzt am [Datum]. Auffällige Anomalien wurden manuell nachverfolgt (siehe AP-[Nr.])."
Mandatsvertrag-Klausel
"Die Prüfungsgesellschaft setzt zur Unterstützung KI-gestützte Audit-Analytics ein. Outputs werden gemäß ISA 220 und ISA 230 dokumentiert und sind in der Prüfungsdokumentation einsehbar. Die professionelle Prüfer-Verantwortung verbleibt vollumfänglich beim Berufsträger."
Prüfbericht-Anhang
"Anhang [Z]: Eingesetzte KI-Tools im Prüfungsverfahren. Liste mit Tool-Name, Version, Prüfungsbereich, eingesetzter Datenklasse und Owner in der Prüfungsgesellschaft."
Häufige Fragen
Was verlangt ISA 230 bei KI-Outputs?
ISA 230.8 verlangt eine ausreichende und angemessene Dokumentation der durchgeführten Prüfungshandlungen. Bei KI-gestützten Analysen muss dokumentiert sein: welches Tool, mit welchen Inputdaten, welcher Output, welche menschliche Prüfung. Ohne diese Dokumentation ist die Prüfungshandlung nicht verwertbar, unabhängig vom AI Act.
Reicht ein pauschaler Hinweis im Bestätigungsvermerk?
Nein. Der Bestätigungsvermerk richtet sich an einen anderen Adressatenkreis. Im Prüfbericht und in den Arbeitspapieren sind detaillierte Hinweise auf KI-Einsatz Pflicht. Empfehlung: pro Prüfungshandlung Tool-Hinweis, Prüfer-Bestätigung und Datum.
Muss der Mandant informiert werden?
Soweit der KI-Einsatz Auswirkungen auf die Prüfungsschlüsse hat: ja. Best Practice ist eine Mandatsvertrag-Klausel plus Erläuterung im Prüfbericht-Anhang.
Was, wenn KI eine Prüfungs-Anomalie meldet, die ich nicht verstehe?
Die professionelle Skepsis nach ISA 200 ist nicht delegierbar. KI-Outputs sind Hinweise, keine Prüfungsschlüsse. Wenn der Prüfer den Output nicht nachvollziehen kann, ist eine eigene Prüfungshandlung erforderlich, sonst kann das Prüfungsurteil keinen Bestand haben.
Ist meine Kanzlei nach Art. 50 überhaupt der richtige Adressat?
Als WP-Praxis sind Sie in der Regel Betreiber, nicht Anbieter des KI-Systems. Die direkte Kennzeichnungspflicht aus Art. 50 Abs. 4 zielt auf Deepfakes und auf Texte von öffentlichem Interesse, nicht auf interne Arbeitspapiere. Die eigentliche Pflicht zur KI-Kennzeichnung in der Prüfung kommt also aus ISA 230 und der Berufssorgfalt, nicht primär aus Art. 50. Art. 50 wird relevant, sobald Sie synthetische Inhalte extern veröffentlichen.
Ab wann gilt was?
Art. 50 KI-VO gilt ab 02.08.2026 und ist bußgeldbewehrt (bis 15 Mio. Euro oder 3 % vom weltweiten Jahresumsatz). Der Digital Omnibus on AI, den EU-Parlament (16.06.2026) und Rat (29.06.2026) beschlossen haben, verschiebt nur die Hochrisiko-Pflichten aus Anhang III von 02.08.2026 auf 02.12.2027 (Anhang I auf 02.08.2028), nicht die Art.-50-Transparenz. ISA 230 gilt unabhängig davon schon heute.
Verwandtes Thema: Was bei fehlender Kennzeichnung nach Art. 99 KI-VO droht, steht in Bußgelder und Haftung für Wirtschaftsprüfer.
Hinweis zum Leistungsumfang
Das AI-Act-Compliance-Kit ist eine technisch-organisatorische Hilfestellung zur Umsetzung der KI-Kompetenzpflicht nach Art. 4 der EU-Verordnung 2024/1689 (KI-VO) und ersetzt keine Rechtsberatung. Vorlagen, Schulungsinhalte und Dokumentationen sind redaktionell sorgfältig erstellt, können aber den Einzelfall nicht ersetzen. Für eine rechtsverbindliche Bewertung Ihrer konkreten Situation empfehlen wir die Hinzuziehung einer Rechtsanwältin oder eines Rechtsanwalts mit Schwerpunkt IT- und Versicherungsrecht. Stand der Inhalte: Mai 2026, Quelle: Verordnung (EU) 2024/1689 (KI-VO).