Lokale KI statt Cloud-KI: Warum Steuerdaten die eigene Infrastruktur nicht verlassen sollten

Was in Krypto-Steuerdaten wirklich steckt

Ein Transaktionsexport sieht harmlos aus: Datum, Menge, Preis. Zusammengeführt ergibt er ein vollständiges Vermögensbild – welche Börsen genutzt werden, welche Wallet-Adressen zu einer Person gehören, wie hoch Bestände und Einkünfte sind, wann gekauft und verkauft wurde. Wallet-Adressen sind öffentlich; die Verknüpfung mit einem Namen ist es nicht. Genau diese Verknüpfung entsteht in der Steuersoftware.

Dazu kommen Daten über Dritte: Gegenparteien, Mandanten einer Kanzlei, Geschäftspartner. Wer solche Daten an einen externen Dienst schickt, übernimmt die Verantwortung dafür, was dort mit ihnen passiert.

Cloud-KI: wo die Daten hingehen

Wird eine Prüfung an einen externen KI-Anbieter ausgelagert, verlassen die Daten den Verantwortungsbereich des Software-Anbieters. Datenschutzrechtlich ist das eine Auftragsverarbeitung nach Art. 28 DSGVO – sie braucht einen Vertrag, technische und organisatorische Maßnahmen und eine Kontrolle, die in der Praxis selten stattfindet.

Sitzt der Anbieter außerhalb der EU, kommt ein Drittlandtransfer hinzu, der eine eigene Rechtsgrundlage braucht. Und selbst wenn Verträge die Nutzung für Modelltraining ausschließen: Anfragen werden bei vielen Anbietern protokolliert und zeitweise gespeichert. Für Daten, aus denen sich das Vermögen einer Person ablesen lässt, ist das ein Risiko, das niemand bewusst eingehen würde – es passiert meist, weil niemand nachgefragt hat.

Was „lokale KI“ bei AiTaxReporting bedeutet

Lokal heißt bei uns: auf unserer eigenen Infrastruktur, nicht bei einem Cloud-KI-Anbieter. Wir setzen Open-Source-Modelle wie Llama und Qwen ein, die über Ollama auf eigener Hardware laufen. Die Modelle werden nicht mit Ihren Daten trainiert, und es gibt keinen Dritten, der Anfragen mitliest.

Die Prüfung startet außerdem nur auf Ihren Wunsch. Wer sie nicht nutzen will, bekommt einen Report allein aus der deterministischen Steuer-Engine. Die Übertragung zwischen Ihrem Browser und unserer Plattform ist verschlüsselt, und Tracking findet nur mit Ihrer Einwilligung statt.

Das ist kein Alleinstellungsmerkmal, das sich in einem Satz abhaken lässt – es ist eine Architekturentscheidung, die Rechenleistung kostet. Wir halten sie für die einzige, die zu Steuerdaten passt.

Besondere Pflichten für Steuerberater und Kanzleien

Steuerberater unterliegen dem Berufsgeheimnis. Das Strafgesetzbuch erlaubt die Einbindung von Dienstleistern nur unter engen Voraussetzungen – sie müssen zur Verschwiegenheit verpflichtet werden, und der Zugriff muss auf das Erforderliche beschränkt bleiben. Eine Cloud-KI, die Mandantendaten zur Prüfung erhält, ist ein solcher Dienstleister, ob sie so genannt wird oder nicht.

Für Kanzleien lohnt sich deshalb eine einfache Regel: Jede Software, die Mandantendaten verarbeitet, muss die Frage „Wohin gehen die Daten?“ vollständig beantworten können. Lassen Sie sich die Antwort schriftlich geben und prüfen Sie sie im Zweifel rechtlich.

Checkliste: Fragen an jeden Anbieter

• Läuft die KI-Verarbeitung auf Ihrer eigenen Infrastruktur oder bei einem externen Anbieter? Bei welchem?
• Werden meine Daten zum Training von Modellen verwendet – auch in anonymisierter Form?
• Wo stehen die Server, und gibt es einen Drittlandtransfer?
• Werden Anfragen an die KI protokolliert? Wie lange?
• Kann ich die KI-Funktionen abschalten und trotzdem einen vollständigen Report erhalten?
• Gibt es einen Auftragsverarbeitungsvertrag, und deckt er die KI-Komponente ausdrücklich ab?