Schatten-KI in der Buchhaltung: Leitfaden für KMU

Wenn eine Rechnung in einem privaten oder nicht freigegebenen Chatbot gelandet ist, sollte das Unternehmen die Nutzung sofort stoppen, den Vorgang dokumentieren und das Risiko geordnet bewerten. Entscheidend sind Tool und Konto, Zeitpunkt, eingegebene Daten, hochgeladene Dateien, Zweck sowie mögliche Empfänger. Erst danach lässt sich beurteilen, ob interne Maßnahmen genügen oder ob ein Datenschutzvorfall vorliegt, der weitere Schritte verlangt. Den Chat zu löschen kann die weitere Sichtbarkeit begrenzen, beweist aber nicht, dass sämtliche Kopien beim Anbieter verschwunden sind.

Für KMU ist das kein theoretisches Problem. Mitarbeitende wollen eine Lieferantenrechnung zusammenfassen, eine Kontoverbindung auslesen oder eine freundliche Antwort auf eine strittige Forderung formulieren. Ein frei erreichbarer Chatbot liefert schnell ein Ergebnis. Gleichzeitig können mit wenigen Klicks Namen, Adressen, Bankdaten, Leistungsbeschreibungen und interne Konditionen außerhalb des vorgesehenen Rechnungsprozesses verarbeitet werden. Der richtige Ansatz ist daher weder ein blindes Verbot noch unkontrollierte Freigabe, sondern ein einfacher, überprüfbarer Rahmen für erlaubte KI-Nutzung.

Was Schatten-KI in der Buchhaltung bedeutet

„Schatten-KI“ ist hier eine praktische Bezeichnung, kein eigener Rechtsbegriff. Gemeint ist KI-Nutzung, die außerhalb der freigegebenen Werkzeuge, Konten oder Zwecke eines Unternehmens stattfindet. Das kann ein privates Chatbot-Konto sein, eine kostenlose Webanwendung, eine Browser-Erweiterung oder eine KI-Funktion in einem bislang nicht geprüften Dienst.

Nicht jede Nutzung eines Chatbots ist automatisch problematisch. Kritisch wird es, wenn Mitarbeitende nicht wissen, welche Daten erlaubt sind, oder wenn das Unternehmen nicht nachvollziehen kann, wie ein Anbieter Eingaben speichert, zu eigenen Zwecken nutzt, weitergibt oder löscht. Die österreichische Datenschutzbehörde betont in ihren FAQ zu KI und Datenschutz, dass der datenschutzrechtlich Verantwortliche auch beim Einsatz eines Systems eines Dritten verantwortlich bleibt. Vor der Nutzung sollen Anbieter und Verarbeitung geprüft und interne Regeln für zulässige Eingaben festgelegt werden.

Vier Situationen, die unterschiedlich behandelt werden müssen

Situation	Typisches Beispiel	Einordnung
Freigegebenes Geschäftstool, erlaubter Zweck	Eine definierte KI-Funktion verarbeitet freigegebene Felder nach dokumentiertem Ablauf.	Regulärer Prozess, sofern Berechtigungen und Kontrollen eingehalten werden.
Freigegebenes Tool, unzulässige Daten	Eine vollständige Rechnung wird eingegeben, obwohl nur anonymisierte Beträge erlaubt sind.	Regelverstoß und möglicher Datenschutzvorfall; Umfang prüfen.
Privates oder kostenloses Konto	Eine Mitarbeiterin lädt eine Lieferantenrechnung in ihren privaten Chatbot.	Schatten-KI; Verarbeitung und Vertragsgrundlage sind für das Unternehmen oft unklar.
Unbekannte Erweiterung oder Integration	Ein Browser-Plugin liest Inhalte aus Webmail oder Buchhaltung mit.	Erhöhtes Risiko, weil Umfang und Datenfluss zunächst unbekannt sind.

Diese Trennung verhindert zwei Fehler: Ein genehmigter KI-Einsatz wird nicht vorschnell mit einem privaten Upload gleichgesetzt. Umgekehrt gilt eine Anwendung nicht schon deshalb als sicher, weil das Unternehmen grundsätzlich einen Vertrag mit dem Anbieter hat. Zweck, Konto, Datenumfang und konkrete Einstellungen müssen zusammenpassen.

Warum Rechnungen besonders sensible Eingaben sind

Eine Rechnung ist selten nur eine Zahl. Sie kann Namen von Einzelunternehmern, Ansprechpartner, Privatadressen, Telefonnummern, E-Mail-Adressen, IBAN, UID-Nummern, Leistungsorte und konkrete Projektbeschreibungen enthalten. Anlagen und die begleitende E-Mail können zusätzliche Informationen offenlegen. Bei Honoraren, medizinischen Leistungen oder Personalthemen können sogar besonders schutzbedürftige Zusammenhänge erkennbar werden.

Daneben stehen Geschäftsgeheimnisse und wirtschaftliche Interessen: Einkaufspreise, Rabatte, Zahlungsziele, Lieferketten, Margen oder Hinweise auf Liquiditätsengpässe. Die Frage lautet deshalb nicht nur „Sind personenbezogene Daten enthalten?“, sondern auch „Welche geschäftlichen Folgen hätte eine unkontrollierte Offenlegung?“ Eine strukturierte Datenminimierung bei KI-Rechnungsdaten reduziert beide Risiken.

Die ersten 60 Minuten nach einem privaten Upload

Ein sachlicher Ablauf ist wirksamer als Schuldzuweisungen. Wer Sanktionen befürchtet, meldet einen Fehlgriff möglicherweise zu spät. KMU sollten deshalb einen kurzen Meldeweg definieren, der auch ohne eigene Rechts- oder Sicherheitsabteilung funktioniert.

1. Weitere Verarbeitung stoppen

Keine weiteren Dateien hochladen, keine Folgeprompts mit zusätzlichen Details senden und Ergebnisse nicht in andere Systeme kopieren. Wenn es ohne Beweisverlust möglich ist, sollte die Sitzung beendet und der Zugriff auf eine fragwürdige Erweiterung deaktiviert werden. Technische Maßnahmen werden mit IT oder dem zuständigen Dienstleister abgestimmt.

2. Fakten sichern, nicht spekulieren

Festzuhalten sind Datum und Uhrzeit, verwendeter Dienst, Kontoart, Gerät, hochgeladene Datei beziehungsweise eingefügter Text, sichtbare Einstellungen und erhaltener Output. Auch die betroffene Rechnung und ihre Anlagen gehören zur Bewertung. Screenshots können helfen, sollen aber nicht unnötig weitere personenbezogene Daten verbreiten.

3. Daten und Personen eingrenzen

Welche Angaben waren enthalten? Wie viele Personen sind betroffen? Handelt es sich um öffentlich bekannte Kontaktdaten oder um Bank-, Gesundheits-, Beschäftigungs- oder Zugangsdaten? Wurden nur Ausschnitte eingefügt oder das vollständige Dokument? Das Ergebnis gehört in eine nachvollziehbare Vorfallsakte.

4. Anbieter und Einstellungen prüfen

Relevant sind Aufbewahrung, Training beziehungsweise Nutzung zu eigenen Zwecken, Weitergabe, Löschmöglichkeiten, Standort der Verarbeitung und die Art des Kontos. Marketingaussagen reichen für diese Prüfung nicht. Heranzuziehen sind die tatsächlich geltenden Vertrags- und Datenschutzbedingungen sowie vorhandene Administrationsprotokolle.

5. Datenschutzrechtliche Reaktion bewerten

Ein Upload ist nicht automatisch bei der Behörde zu melden. Zuerst ist zu klären, ob eine Verletzung des Schutzes personenbezogener Daten vorliegt und welches Risiko für die betroffenen Personen besteht. Der Leitfaden des Europäischen Datenschutzausschusses für KMU erläutert: Verletzungen sind intern zu dokumentieren; eine Meldung an die Aufsichtsbehörde ist grundsätzlich innerhalb von 72 Stunden erforderlich, sofern die Verletzung voraussichtlich ein Risiko für Rechte und Freiheiten natürlicher Personen mit sich bringt. Bei hohem Risiko kann zusätzlich eine Benachrichtigung der betroffenen Personen nötig sein. Die konkrete Bewertung gehört zur verantwortlichen Stelle und bei Bedarf zur Datenschutzberatung.

Praxisbeispiel 1: Lieferantenrechnung im kostenlosen Chatbot

Eine Mitarbeiterin eines österreichischen Elektroinstallationsbetriebs soll die IBAN aus einer schlecht lesbaren PDF-Rechnung übernehmen. Sie lädt das Dokument in einen kostenlosen Chatbot, der mit ihrem privaten Konto geöffnet ist. Die Rechnung enthält den Namen eines Einzelunternehmers, Privatanschrift, Bankverbindung, Projektdaten und einen vereinbarten Sonderrabatt.

Der Betrieb stoppt die Nutzung und hält Tool, Zeitpunkt, Datei und Einstellungen fest. Er prüft, ob der Verlauf gelöscht und eine Nutzung der Eingaben für Anbieterzwecke ausgeschlossen werden kann. Anschließend bewertet er gemeinsam mit dem Datenschutzverantwortlichen das Risiko für den Lieferanten. Unabhängig vom Ergebnis ersetzt er den improvisierten Arbeitsschritt durch einen freigegebenen Prozess: Bankdaten werden aus dem Originalbeleg übernommen und vor einer Zahlung nach dem Vier-Augen-Prinzip geprüft. Ein Chatbot darf keine Zahlungsfreigabe erzeugen.

Praxisbeispiel 2: Strittige Kundenrechnung im privaten Assistenten

In einer deutschen Agentur kopiert ein Projektleiter die Rechnung samt Kunden-E-Mail in einen privaten KI-Assistenten, um eine Antwort zu formulieren. Enthalten sind Ansprechpartner, interne Stundensätze, Kritik an einzelnen Mitarbeitenden und ein Hinweis auf eine bevorstehende Kampagne.

Hier reicht es nicht, nur die Rechnung zu betrachten. Die E-Mail erweitert den Kreis der personenbezogenen und vertraulichen Informationen. Das Unternehmen dokumentiert den gesamten eingegebenen Kontext, prüft Anbieterbedingungen und Kontoeinstellungen und entscheidet risikobasiert über weitere Datenschutzmaßnahmen. Für die Zukunft wird ein freigegebener Textassistent mit klaren Eingaberegeln eingerichtet. Vorlagen verwenden neutrale Platzhalter; Namen, vertrauliche Projektangaben und Originalanhänge bleiben außerhalb des Prompts.

So verhindern KMU Schatten-KI ohne Bürokratiemonster

Das BSI empfiehlt Unternehmen in seiner Orientierung zu generativen KI-Modellen, verbindlich festzulegen, welche Anwendungen für welche Zwecke eingesetzt werden dürfen, welche Eingaben zulässig sind und wie Ausgaben weiterverwendet werden dürfen. Wo sinnvoll, sollen organisatorische Regeln durch technische Freigaben oder Sperren unterstützt werden. Für ein KMU genügt oft ein kompaktes Regelwerk auf einer Seite, wenn es tatsächlich gelebt und überprüft wird.

Eine Positivliste statt einer langen Verbotsliste

Die Liste nennt zugelassene Tools, Geschäftskonten, Zwecke und verantwortliche Person. Alles, was nicht auf der Liste steht, wird nicht mit echten Unternehmensdaten verwendet. Für Tests werden synthetische oder konsequent anonymisierte Daten bereitgestellt. Das reduziert den Anreiz, private Lösungen zu suchen.

Eingabeklassen verständlich definieren

Eine einfache Ampel ist im Alltag praktikabel. Grün sind öffentliche Informationen und freigegebene Vorlagen. Gelb sind interne, aber nicht personenbezogene Inhalte, die nur in bestimmten Geschäftstools verarbeitet werden dürfen. Rot sind vollständige Rechnungen, Ausweisdaten, Bankdaten, Zugangsdaten, Personalinformationen und vertrauliche Vertragsunterlagen, sofern kein ausdrücklich freigegebener Prozess besteht.

Geschäftskonten und Berechtigungen erzwingen

Die Hamburger Datenschutzaufsicht nennt in ihrer Checkliste für LLM-basierte Chatbots unter anderem präzise interne Weisungen, die Einbindung des Datenschutzbeauftragten, geschäftliche Konten und sichere Authentisierung. Private Logins erschweren zentrale Einstellungen, Protokollierung, Offboarding und die Durchsetzung von Aufbewahrungsregeln. Das gilt auch dann, wenn derselbe Anbieter geschäftliche Tarife anbietet.

Ausgaben als Vorschlag behandeln

KI-Ausgaben dürfen keine verlässliche Belegprüfung vortäuschen. Beträge, IBAN, Steuersätze, Fälligkeit und Stammdaten werden am Original verifiziert. Rollen und Freigaben sollten dem Grundsatz folgen, dass ein Assistent vorbereitet, aber keine Zahlung oder rechtlich relevante Kommunikation eigenständig freigibt. Der Beitrag zu Berechtigungen für KI-Assistenten im Rechnungsworkflow zeigt, wie sich dieser Rahmen praktisch aufbauen lässt.

Technische Kontrollen gezielt einsetzen

Je nach Größe kommen Browser-Richtlinien, gesperrte Erweiterungen, Single Sign-on, getrennte Profile, Protokollierung oder ein sicherer Unternehmenszugang infrage. Kontrollen sollen nicht heimlich sämtliche Inhalte überwachen, sondern bekannte Abflusswege begrenzen und den erlaubten Weg einfacher machen. Auch manipulierte Dokumente bleiben ein Thema: Der Leitfaden zu Prompt Injection in Rechnungsworkflows beschreibt Schutzmaßnahmen gegen versteckte Anweisungen in Belegen.

Österreich und Deutschland: gleiche DSGVO, andere Praxishilfen

Für Unternehmen in beiden Ländern gilt die DSGVO. Rechtsgrundlage, Transparenz, Zweckbindung, Datenminimierung, Sicherheit und Rechenschaftspflicht verschwinden nicht, weil ein KI-Dienst verwendet wird. Die EU-KI-Verordnung kann je nach System und Rolle zusätzliche Pflichten auslösen, ersetzt die DSGVO aber nicht.

In Österreich bietet die Datenschutzbehörde eine kompakte Einordnung zu KI und Datenschutz und betont die Verantwortung des einsetzenden Unternehmens. In Deutschland liefern BSI und Datenschutzaufsichten detaillierte Sicherheits- und Prüfhinweise. Diese Dokumente sind Orientierungshilfen, keine pauschale Freigabe eines bestimmten Produkts und kein Ersatz für die Prüfung des konkreten Einsatzes.

Für die operative Rechnungsarbeit sollte der Datenschutzrahmen mit dem bestehenden Sicherheitskonzept verbunden werden. Die öffentliche Claribill-Sicherheitsseite zeigt, welche allgemeinen Schutz- und Betriebsaspekte bei einem Rechnungsdienst nachvollziehbar sein sollten. Daraus folgt jedoch nicht, dass beliebige externe Chatbots Teil des Claribill-Prozesses sind.

Checkliste für Geschäftsführung und Buchhaltung

Zugelassene KI-Tools, Konten und Zwecke schriftlich benennen.
Private Konten und nicht geprüfte Browser-Erweiterungen für Unternehmensdaten ausschließen.
Erlaubte und verbotene Eingabeklassen mit Rechnungsbeispielen erklären.
Synthetische Testdaten und sichere Alternativen für häufige Aufgaben bereitstellen.
Verträge, Anbieterzwecke, Aufbewahrung, Löschung und Datenstandorte prüfen.
Berechtigungen, Protokolle und Offboarding für Geschäftskonten festlegen.
KI-Ausgaben vor Buchung, Zahlung oder Versand am Original kontrollieren.
Einen kurzen Meldeweg für versehentliche Uploads veröffentlichen.
Jeden Vorfall mit Fakten, Risikobewertung und Entscheidung dokumentieren.
Regeln nach Tool- oder Vertragsänderungen erneut prüfen.

Häufige Fehler

„Wir haben KI verboten, damit ist das Risiko erledigt.“ Ein Verbot ohne brauchbare Alternative verlagert die Nutzung in private Konten. Mitarbeitende brauchen einen erlaubten Weg für reale Aufgaben.

„Die Datei wurde gelöscht, also ist nichts passiert.“ Lokales Löschen sagt nichts über Protokolle, Sicherungskopien oder Anbieterzwecke aus. Die Bedingungen und tatsächlichen Einstellungen müssen geprüft werden.

„Es war nur eine Firmenrechnung.“ Rechnungen können personenbezogene Daten und Geschäftsgeheimnisse enthalten. Einzelunternehmen und konkrete Ansprechpartner sind besonders leicht identifizierbar.

„Jeder Upload muss binnen 72 Stunden gemeldet werden.“ Die Frist gehört zur Meldung einer meldepflichtigen Verletzung, nicht zu jedem Verdachtsfall. Trotzdem darf die interne Prüfung nicht warten, weil die Uhr bei einer relevanten Verletzung früh zu laufen beginnt.

FAQ

Dürfen Mitarbeitende öffentliche KI-Chatbots grundsätzlich nutzen?

Für öffentliche Informationen oder synthetische Testdaten kann eine freigegebene Nutzung möglich sein. Entscheidend sind Unternehmensregel, Zweck, Konto, Anbieterbedingungen und Datenklasse. Echte Rechnungen sollten nicht ohne dokumentierte Freigabe und geprüften Prozess eingegeben werden.

Ist ein privater Rechnungs-Upload automatisch eine Datenschutzverletzung?

Das muss im Einzelfall geprüft werden. Maßgeblich sind die enthaltenen personenbezogenen Daten, der Kontrollverlust, die Verarbeitung beim Anbieter und die möglichen Folgen. Unabhängig von einer Behördenmeldung sollte der Vorgang intern dokumentiert und organisatorisch aufgearbeitet werden.

Reicht Anonymisieren vor der Eingabe?

Nur wenn eine Re-Identifizierung tatsächlich ausgeschlossen oder das Risiko wirksam reduziert ist. Namen zu entfernen genügt oft nicht, wenn Projekt, Adresse, Betrag und Kontext eine Person weiterhin erkennbar machen. Für viele Aufgaben sind synthetische Daten die bessere Testgrundlage.

Die wichtigsten Takeaways

Schatten-KI entsteht vor allem dort, wo ein schneller Arbeitsweg fehlt oder Regeln unklar sind.
Nach einem privaten Upload zählen sofortiger Stopp, Faktensicherung und risikobasierte Bewertung.
Nicht jeder Vorfall ist meldepflichtig, aber jeder relevante Vorgang braucht eine dokumentierte Entscheidung.
Positivliste, Geschäftskonten, Eingabeklassen und sichere Alternativen sind für KMU meist wirksamer als abstrakte Verbote.
KI darf im Rechnungsprozess vorbereiten; Buchung, Zahlung und Kommunikation bleiben kontrollierte Unternehmensentscheidungen.

Quellen

Dieser Beitrag bietet eine allgemeine Orientierung und ersetzt keine individuelle Rechts- oder Datenschutzberatung.

Rechnung im privaten Chatbot: So stoppen KMU Schatten-KI