PCAOB unter Druck, Standards für KI-Prüfungen in Unternehmen festzulegen

Das Public Company Accounting Oversight Board steht trotz jahrelanger vorsichtiger Beobachtung vor einer bislang einzigartigen Entscheidung zu KI. Die aktuelle Google-News-Schlagzeile rahmt das Thema als Forderung nach KI-Standards für Unternehmen. Die eigentliche Frage ist enger gefasst, schwieriger und folgenreicher. Können Prüfer sich auf KI stützen, ohne die Beweiskraft ihrer Prüfungsurteile zu schwächen?

Diese Frage steht nun auf der Standardsetzungsagenda der PCAOB. Das Board fragte Interessengruppen, ob technologische Innovationen, einschließlich künstlicher Intelligenz, Forschung, Leitlinien oder neue Anforderungen rechtfertigen. Die öffentliche Kommentierungsfrist endete am 7. August 2026.

Der Zeitpunkt schafft einen klaren Konflikt. Prüfungsgesellschaften wollen ausreichend Flexibilität, um Tests, Analysen und Dokumentation zu verbessern. Investoren benötigen einheitliche Regeln für Tools, die überzeugende Antworten liefern können, ohne verlässliche Begründungen offenzulegen. Bestehende Prüfungsgrundsätze gelten weiterhin, lösen jedoch nicht jedes KI-spezifische Problem.

Dies ist nicht einfach eine weitere, durch Google News sichtbar gewordene politische Debatte. Es ist ein Test dafür, ob die Finanzaufsicht mit Systemen Schritt halten kann, die sich zwischen Prüfungszyklen verändern. Die PCAOB muss entscheiden, wie viel menschliches Urteilsvermögen, Dokumentation, Validierung und Aufsicht eine KI-gestützte Prüfung erfordert.

Was die PCAOB tatsächlich zur Diskussion gestellt hat

Die PCAOB hat keine KI-Standards für Unternehmen verabschiedet, aber sie hat formell den Weg für eine KI-orientierte Standardsetzung geöffnet.

Am 23. Juni 2026 veröffentlichte die PCAOB ihre erste Aufforderung zu öffentlichen Stellungnahmen, die sowohl ihre Standardsetzungs- als auch ihre Forschungsagenda abdeckte. Die Aufforderung ersuchte zudem um Rückmeldungen zum umfassenderen Standardsetzungsprozess des Boards.

Das Board erklärte, seine Agenda müsse sich mit dem Prüfungs- und Finanzberichterstattungsumfeld weiterentwickeln. Seine aktuelle Prüfungsagenda nennt technologische Innovationen, einschließlich KI, als Faktor, der die Prüfungsqualität beeinflussen kann.

Diese Formulierung ist bedeutsam. Sie verankert KI im Anlegerschutzauftrag der PCAOB, statt die Technologie als interne Produktivitätsentscheidung von Wirtschaftsprüfungsgesellschaften zu behandeln.

Die PCAOB beaufsichtigt registrierte Gesellschaften, die börsennotierte Unternehmen sowie bei der SEC registrierte Broker und Händler prüfen. Sie fungiert nicht als allgemeine Aufsichtsbehörde für jede KI-Anwendung in Unternehmen. Alle von ihr verabschiedeten Standards würden sich auf Prüfungsarbeit, Finanzberichterstattung, berufliches Verhalten und damit verbundene Qualitätskontrollen konzentrieren.

Diese Reichweite erstreckt sich jedoch weiterhin auf börsennotierte Unternehmen. Prüfer müssen die Systeme verstehen, die Finanzinformationen erzeugen, und relevante interne Kontrollen bewerten. Wenn das Management KI innerhalb dieser Systeme einsetzt, kann die Technologie die Prüfung beeinflussen, selbst wenn der Prüfer niemals ein KI-Modell verwendet.

Ein KI-Tool könnte Ausgaben klassifizieren, Rückstellungen schätzen, ungewöhnliche Transaktionen identifizieren oder Abstimmungen vorbereiten. Es könnte auch Prognosen unterstützen, die bei Werthaltigkeitstests verwendet werden. Jede Nutzung wirft Fragen zu Datenqualität, Zugriffskontrollen, Modelländerungen, menschlicher Überprüfung und Reproduzierbarkeit auf.

Der Prüfer steht dann vor zwei unterschiedlichen Aufgaben. Die erste besteht darin, die KI-gestützten Informationen des Managements zu bewerten. Die zweite darin, jedes vom Prüfungsteam selbst verwendete KI-gestützte Tool zu kontrollieren.

Diese Aufgaben können sich überschneiden. Ein Prüfer könnte automatisierte Analysen einsetzen, um die Ergebnisse eines automatisierten Rechnungslegungsprozesses eines Unternehmens zu testen. Wenn beide Systeme von verwandten Daten oder ähnlichen Modellen abhängen, könnte eine scheinbare Bestätigung weniger Unabhängigkeit bieten als erwartet.

Das Vorgehen der PCAOB bedeutet nicht, dass bestehende Standards plötzlich nicht mehr funktionieren. Anforderungen an Prüfungsnachweise, berufliche Skepsis, Aufsicht, Dokumentation, Unabhängigkeit und Qualitätskontrolle bleiben anwendbar.

Der Streit betrifft die Frage, ob diese Grundsätze ausreichend operative Klarheit bieten. Eine Regel, die „ausreichende geeignete Prüfungsnachweise“ verlangt, definiert das Ziel. Sie erklärt nicht automatisch, wie Prüfer ein sich veränderndes Modell validieren, Prompts aufbewahren oder widersprüchliche Ergebnisse untersuchen sollten.

Diese Unterscheidung geht in einer verkürzten Google-News-Schlagzeile verloren. Die PCAOB entscheidet nicht darüber, ob Unternehmen KI nutzen dürfen. Sie entscheidet darüber, ob Prüfungspflichten klarere KI-spezifische Grenzen benötigen, bevor die Nutzung zur Routine wird.

Diese Entscheidung folgt auf mehrere Jahre Forschung. Im Juli 2024 veröffentlichten PCAOB-Mitarbeitende Beobachtungen aus Gesprächen mit großen Prüfungsgesellschaften und börsennotierten Unternehmen. Laut dem Board prüften die kontaktierten Gesellschaften zusammen den Großteil der Marktkapitalisierung von Emittenten.

Die GenAI-Erhebung ergab eine begrenzte, aber sich rasch entwickelnde Nutzung. Gesellschaften setzten generative KI im Allgemeinen für administrative und forschungsorientierte Aufgaben ein, nicht für zentrale Prüfungstests.

Auch Ersteller von Abschlüssen börsennotierter Unternehmen untersuchten Einsatzmöglichkeiten in ihren gesamten Geschäftsabläufen. Ihre Einführungspläne entwickelten sich häufig schneller als ihre Nutzung generativer KI in der Finanzberichterstattung.

Diese Lücke gab Regulierungsbehörden Zeit, das Thema zu untersuchen. Sie beseitigte jedoch nicht den Handlungsbedarf. Die Fähigkeiten von KI und ihre Nutzung in Unternehmen haben sich seit der Erhebung ausgeweitet, während Prüfungsstandards weiterhin stark auf technologieneutralen Grundsätzen beruhen.

Die PCAOB muss nun zwischen Forschung, Leitlinien durch Mitarbeitende, Änderungen bestehender Standards oder eigenständigen Anforderungen wählen. Die Aufforderung vom Juni legte die Antwort nicht vorweg. Sie machte die Entscheidung zu einem Teil des formellen Agenda-Prozesses des Boards.

Warum bestehende Prüfungsregeln einem KI-Stresstest ausgesetzt sind

Der zentrale Druck entsteht durch die variable Ausgabe von KI, ihre begrenzte Transparenz und ihre Abhängigkeit von Kontrollen außerhalb des Prüfungsteams.

Auch traditionelle Prüfungssoftware kann versagen. Eine schlecht konfigurierte Tabellenkalkulation, ein Stichprobenprogramm oder ein Datenanalyseskript kann falsche Ergebnisse liefern. Prüfungsstandards verlangen bereits von Gesellschaften zu beurteilen, ob ihre Tools wie vorgesehen funktionieren.

Generative KI führt eine andere Kombination von Risiken ein. Derselbe Prompt kann unterschiedliche Antworten erzeugen. Modellanbieter können Systeme aktualisieren, ohne jede technische Änderung offenzulegen. Ergebnisse können autoritativ wirken und zugleich erfundene Fakten oder unbelegte Schlussfolgerungen enthalten.

Diese Merkmale erschweren Prüfungsnachweise. Nachweise müssen für ihren vorgesehenen Zweck relevant und verlässlich sein. Eine ansprechende Zusammenfassung ist nicht allein deshalb verlässlich, weil sie gut lesbar ist oder mit der Position des Managements übereinstimmt.

Ein Prüfer, der KI zur Überprüfung von Verträgen einsetzt, muss wissen, ob das System jede relevante Klausel untersucht hat. Das Team muss zudem feststellen, ob die Quelldokumente vollständig waren und korrekt verarbeitet wurden.

Ein menschlicher Prüfer kann dieses Problem nicht lösen, indem er die abschließende Zusammenfassung akzeptiert. Er benötigt genügend Informationen, um die Arbeit zu rekonstruieren, das Ergebnis infrage zu stellen und ausgelassene oder falsch verstandene Bedingungen zu erkennen.

Diese Anforderung wird schwieriger, wenn ein KI-Anbieter Modelldetails als proprietär behandelt. Der Prüfungsgesellschaft fehlt möglicherweise der direkte Zugriff auf Trainingsdaten, Systemprotokolle, Bewertungsmethoden oder Versionshistorien.

Die Abhängigkeit von Dritten ist für Prüfungen nicht neu. Gesellschaften stützen sich bereits auf Softwareanbieter, Cloud-Infrastruktur, Bewertungsspezialisten und Dienstleistungsorganisationen. KI kann Verantwortung jedoch über mehr Ebenen verteilen und gleichzeitig wichtige Beurteilungen schwer überprüfbar halten.

Modell-Drift bringt eine weitere Komplikation hinzu. Modell-Drift bedeutet, dass sich das Verhalten eines Systems verändert, wenn sich seine Daten, Konfiguration oder sein Umfeld ändern. Eine bei der Einführung durchgeführte Validierung stützt möglicherweise Monate später keine verlässliche Nutzung mehr.

Eine Prüfungsbeauftragung benötigt daher Änderungskontrollen. Teams müssen wissen, welche Modellversion eingesetzt wurde, welche Einstellungen galten, wer Änderungen genehmigte und ob Aktualisierungen erneute Tests auslösten.

Prompt-basierte Manipulation eröffnet einen weiteren Weg zu Fehlern. Versteckter Text in einem Dokument kann die Anweisungen eines KI-Systems beeinflussen. Ein Tool zur Vertragsprüfung könnte eingebettete Anweisungen gegenüber dem vom Prüfer vorgesehenen Verfahren priorisieren.

Das Committee of Sponsoring Organizations of the Treadway Commission behandelte diese Bedenken in seiner Veröffentlichung zu GenAI-Kontrollen aus dem Jahr 2026. COSO verband die Governance generativer KI mit seinem etablierten Rahmenwerk für interne Kontrollen.

Die Leitlinien heben Risiken im Zusammenhang mit Cyber-Exposition, intransparenter Begründung, Modell-Drift, Prompt-Manipulation und häufigen Konfigurationsänderungen hervor. Dies sind Kontrollprobleme, weil sie Geschäftstätigkeit, Berichterstattung und Compliance beeinflussen können.

Die Arbeit von COSO hilft Unternehmensleitungen bei der Gestaltung interner Kontrollen. Sie ersetzt jedoch keine PCAOB-Anforderungen für Prüfer. Prüfer benötigen weiterhin Kriterien zur Bewertung dieser Kontrollen und zur Feststellung, wie sich Fehler auf Prüfungshandlungen auswirken.

Menschliche Aufsicht bleibt das sichtbarste Thema. „Human in the loop“ beschreibt einen Prozess, bei dem eine Person die Arbeit eines automatisierten Systems überprüft oder kontrolliert. Die Formulierung klingt beruhigend, doch ihre praktische Bedeutung variiert erheblich.

Ein Prüfer, der lediglich eine KI-generierte Schlussfolgerung genehmigt, bietet wenig Schutz. Wirksame Überprüfung erfordert Kompetenz, Zeit, Nachweise und die Befugnis, das System infrage zu stellen.

Die PCAOB muss daher zwischen nomineller Überprüfung und substanzieller Aufsicht unterscheiden. Sie muss außerdem klarstellen, welche Entscheidungen bei qualifizierten Fachleuten verbleiben müssen.

Berufliches Urteilsvermögen darf nicht zu einer zeremoniellen Genehmigung am Ende eines automatisierten Arbeitsablaufs werden. Der verantwortliche Prüfungspartner bleibt für das Prüfungsurteil verantwortlich, unabhängig davon, wie viel Analyse ein Modell durchführt.

Dokumentationsstandards stehen vor einem ähnlichen Stresstest. Prüfungsakten zeigen normalerweise die durchgeführten Verfahren, erlangten Nachweise, gezogenen Schlussfolgerungen und die abgeschlossene Überprüfung. KI-gestützte Arbeit kann zudem Prompts, Systemanweisungen, Ergebnisverläufe, Validierungsergebnisse und die Behandlung von Ausnahmen erfordern.

Ohne diese Aufzeichnungen kann ein Inspektionsteam möglicherweise nicht feststellen, was geschehen ist. Die Prüfungsgesellschaft selbst könnte Schwierigkeiten haben, das Verfahren nach einer Modellaktualisierung zu reproduzieren.

Klare PCAOB-KI-Standards könnten eine gemeinsame Mindestanforderung an die Dokumentation schaffen. Sie könnten auch verhindern, dass Gesellschaften unvereinbare Ansätze übernehmen, die die Prüfungsqualität von den bevorzugten Kontrollen jedes Anbieters abhängig machen.

Grundsätze versus präskriptive PCAOB-KI-Standards

Der zentrale Konflikt lautet nicht Innovation gegen Regulierung. Es geht um flexible Grundsätze versus Mindestanforderungen für intransparente, sich verändernde Tools.

Befürworter eines prinzipienbasierten Ansatzes haben ein überzeugendes Argument. KI-Technologie verändert sich zu schnell für Standards, die auf bestimmten Modellen, Architekturen oder Produktfunktionen beruhen.

Eine detaillierte Regel kann veraltet sein, bevor Gesellschaften ihre Umsetzung abschließen. Sie kann zudem nützliche Tools abschrecken, indem sie jede Anwendung in ein Rahmenwerk zwingt, das für frühere Technologie entwickelt wurde.

Bestehende PCAOB-Standards weisen Prüfern bereits Verantwortung zu. Sie verlangen geeignete Nachweise, berufliche Skepsis, Aufsicht, Dokumentation und Qualitätsmanagement. Diese Pflichten verschwinden nicht, wenn ein Computer einen Teil des Verfahrens durchführt.

Dieser Ansatz kann neue Tools aufnehmen, ohne das Regelwerk nach jeder Produkteinführung erneut zu öffnen. Er hält den regulatorischen Fokus zudem auf Prüfungsqualität statt auf technische Moden.

Internationale Standardsetzer verfolgen teilweise diesen Weg. Im August 2026 schlug das International Auditing and Assurance Standards Board Überarbeitungen von drei grundlegenden Standards vor.

Die vorgeschlagenen Überarbeitungen der Prüfungsnachweise betreffen Reaktionen auf Risiken, Prüfungsnachweise und analytische Prüfungshandlungen. Sie betonen digitale Informationen, die Verlässlichkeit von Nachweisen, professionelle Skepsis und technologiegestützte Arbeit.

Die Vorschläge bleiben prinzipienbasiert. Sie sollen bestehende Ziele wirksamer machen, wenn Unternehmen und Prüfer fortschrittliche Technologien einsetzen. Stellungnahmen können bis zum 15. Dezember 2026 eingereicht werden.

Dieser internationale Prozess bietet dem PCAOB einen hilfreichen Bezugspunkt. Zugleich erzeugt er Druck. Wenn globale Anforderungen klarer werden, während sich die Vereinigten Staaten überwiegend auf allgemeine Prinzipien stützen, könnten multinationale Unternehmen mit uneinheitlichen Erwartungen konfrontiert sein.

Das Argument für verbindliche Mindestvorgaben beginnt mit Konsistenz. Zwei Prüfungsgesellschaften können „angemessene menschliche Überprüfung“ unterschiedlich auslegen, insbesondere wenn ihre KI-Systeme unterschiedlich konzipiert sind.

Eine Gesellschaft könnte unabhängige Tests anhand bekannter Ergebnisse verlangen. Eine andere könnte sich mit Lieferantendokumentation und der Prüfung durch eine Führungskraft begnügen. Beide könnten die Einhaltung desselben allgemeinen Prinzips für sich beanspruchen.

Mindestanforderungen könnten diesen Spielraum einengen. Sie könnten die Modellfreigabe, regelmäßige Validierung, Datenkontrollen, Zugriffsbeschränkungen, Änderungsmanagement, Aufbewahrung von Unterlagen und die Eskalation unzuverlässiger Ergebnisse abdecken.

Sie könnten außerdem festlegen, wann KI-Ergebnisse ohne Bestätigung nicht als Nachweise dienen dürfen. Eine solche Grenze würde Prüfern helfen, dem Druck zu widerstehen, Produktivitätsgewinne in unbegründetes Vertrauen umzuwandeln.

Ein detaillierter Standard schafft jedoch eigene Gefahren. Gesellschaften könnten eine Checkliste als Beweis dafür behandeln, dass ein System sicher ist. KI-Risiken hängen vom Kontext ab; die Einhaltung technischer Schritte kann professionelle Skepsis daher nicht ersetzen.

Ein Modell, das ein Memo formatiert, rechtfertigt nicht dieselben Kontrollen wie ein Modell, das Buchungssätze für Prüfungshandlungen auswählt. Standards müssen diese risikobasierte Unterscheidung bewahren.

Der überzeugendste Weg verbindet Prinzipien mit durchsetzbaren Mindeststandards. Prinzipien begründen Verantwortung technologieübergreifend. Mindeststandards adressieren vorhersehbare Schwachstellen, die Gesellschaften nicht weginterpretieren sollten.

Ein Standard muss beispielsweise kein bestimmtes Modell nennen. Er kann dennoch verlangen, dass Gesellschaften Modell und Version identifizieren, den vorgesehenen Einsatz validieren, relevante Interaktionsaufzeichnungen aufbewahren und Änderungen überwachen.

Er kann Prüfungsteams verpflichten, Ergebnisse anhand unabhängiger Nachweise zu testen. Außerdem kann er blindes Vertrauen in Zusammenfassungen untersagen, die das Team weder reproduzieren noch erklären kann.

Diese Struktur würde Innovation fördern, ohne Anbieter zu faktischen Standardsetzern zu machen. Prüfungsgesellschaften könnten ihre Werkzeuge frei wählen, wären aber einheitlichen Pflichten unterworfen, deren Eignung für den vorgesehenen Zweck nachzuweisen.

Die Unterscheidung ist auch für kleinere Gesellschaften wichtig. Große Netzwerke können interne Bewertungsteams aufbauen, Zugang bei Anbietern verhandeln und eigene Plattformen unterhalten. Kleinere Gesellschaften sind möglicherweise stärker auf kommerzielle Produkte angewiesen.

Vage Standards können diese Ressourcenlücke vergrößern. Kleinere Gesellschaften wissen möglicherweise erst dann, welche Validierung Aufsichtsbehörden erwarten, wenn eine Inspektion einen Mangel feststellt.

Übermäßig komplexe Regeln können das gegenteilige Problem schaffen. Compliance-Kosten könnten kleinere Gesellschaften von nützlicher Technologie ausschließen und die Marktposition der größten Netzwerke stärken.

Skalierbare Anforderungen sind daher unverzichtbar. Das Testniveau sollte die Rolle des Werkzeugs, das Risiko wesentlicher Falschaussagen und den Grad des Vertrauens in seine Ergebnisse widerspiegeln.

Leser von Google News könnten die Debatte als einfachen Ruf nach strengerer Aufsicht wahrnehmen. Die wichtigere Entscheidung betrifft die Architektur. Der PCAOB braucht Regeln, die konkret genug für die Durchsetzung und flexibel genug für den nächsten Modellzyklus sind.

Der Einsatz von KI in Unternehmen stellt Prüfer auf beide Seiten des Modells

KI verändert die Prüfung zweimal: zunächst durch die Veränderung unternehmerischer Berichtssysteme und anschließend durch die Veränderung der Art, wie Prüfer diese Systeme testen.

Börsennotierte Unternehmen setzen KI bereits außerhalb des Rechnungswesens ein. Sie nutzen sie im Kundenservice, in der Softwareentwicklung, im Marketing, im Einkauf, bei Prognosen und in der Dokumentenverarbeitung.

Einige dieser Tätigkeiten wirken sich letztlich auf den Jahresabschluss aus. Eine KI-gestützte Preisentscheidung kann Umsätze verändern. Automatisierte Bestandsplanung kann Rückstellungen beeinflussen. Generierte Prognosen können Bewertungs- und Wertminderungsannahmen prägen.

Das Risiko für die Finanzberichterstattung setzt nicht voraus, dass ein KI-System Buchungen direkt erfasst. Ein Modell kann die Annahmen beeinflussen, die das Management später in einen herkömmlichen Rechnungslegungsprozess einbringt.

Prüfer müssen diese Zusammenhänge nachverfolgen. Sie müssen feststellen, wo KI wesentliche Konten, Schätzungen, Angaben oder interne Kontrollen über die Finanzberichterstattung beeinflusst.

Interne Kontrolle über die Finanzberichterstattung, kurz ICFR, umfasst Prozesse zur Unterstützung verlässlicher Abschlüsse. Eine KI-Anwendung kann ICFR verändern, wenn sie relevante Informationen erstellt, transformiert, genehmigt oder überwacht.

Das Management muss diese Veränderung verstehen, bevor Prüfer sie testen können. Ein Unternehmen kann ein Modell nicht wirksam steuern, wenn ihm ein Verzeichnis der eingesetzten Systeme und ihrer Verantwortlichen fehlt.

Die grundlegenden Fragen sind konkret. Welche Daten fließen in das Modell ein? Wer kann seine Konfiguration ändern? Wie werden Ausnahmen überprüft? Welche Nachweise belegen, dass die Ergebnisse weiterhin korrekt sind?

Unternehmen benötigen zudem Prozesse für Vorfälle. Mitarbeitende müssen wissen, wo sie Halluzinationen, Datenlecks, unbefugte Nutzung oder unerwartetes Verhalten melden können. Wesentliche Vorfälle dürfen nicht innerhalb eines technischen Teams isoliert bleiben.

Die Securities and Exchange Commission hat börsennotierte Unternehmen bereits vor unbelegten KI-Behauptungen gewarnt. Ihr ehemaliger Vorsitzender bezeichnete das Problem als AI washing, bei dem eine Organisation ihren KI-Einsatz oder ihre Fähigkeiten übertreibt.

Die Warnung der SEC zu KI-Offenlegungen betonte, dass börsennotierte Unternehmen für wesentliche Behauptungen eine angemessene Grundlage benötigen. Anleger benötigen außerdem unternehmensspezifische Informationen über wesentliche KI-Risiken.

Dieses Offenlegungsthema überschneidet sich mit der Abschlussprüfung. Prüfer beurteilen Abschlüsse und bestimmte damit zusammenhängende Informationen, sie bestätigen jedoch nicht jede Unternehmensangabe zu KI.

Standards müssen diese Grenze wahren und zugleich Fälle erfassen, in denen KI-Behauptungen finanzielle Schätzungen, Kontrollen oder vom Prüfungsauftrag erfasste Angaben beeinflussen.

Die zweite Seite des Modells betrifft Prüfungsgesellschaften. Sie sehen in KI eine Möglichkeit, größere Grundgesamtheiten zu durchsuchen, Dokumente zusammenzufassen, Anomalien zu identifizieren und repetitive Arbeit zu reduzieren.

Diese Anwendungen können die Abdeckung verbessern. Herkömmliche Stichproben erfassen möglicherweise nur einen Teil einer Transaktionsgrundgesamtheit. Technologiegestützte Analysen können jeden erfassten Posten prüfen und die Aufmerksamkeit auf ungewöhnliche Muster lenken.

Eine größere Abdeckung führt nicht automatisch zu besseren Nachweisen. Ein System kann eine falsche Regel konsequent auf eine gesamte Grundgesamtheit anwenden. Es kann auch zu viele Fehlalarme für eine sinnvolle Untersuchung erzeugen.

Die Prüfungsqualität hängt davon ab, was Teams mit dem Ergebnis tun. Sie müssen den Zweck der Prüfungshandlung verstehen, Ausnahmen bewerten und Feststellungen mit relevanten Abschlussaussagen verknüpfen.

KI-Agenten erhöhen den Einsatz zusätzlich. Ein Agent ist Software, die mehrere Schritte zur Erreichung eines Ziels planen und ausführen kann, manchmal unter Nutzung externer Werkzeuge oder Daten.

Ein Agent könnte Unterlagen anfordern, Dokumente vergleichen, Unstimmigkeiten kennzeichnen und einen Entwurf für eine Schlussfolgerung erstellen. Dieser Arbeitsablauf geht über ein einzelnes Analysewerkzeug hinaus.

Verantwortlichkeiten können verschwimmen, wenn der Agent entscheidet, welche Schritte er ausführt. Der Prüfer muss weiterhin bestimmen, ob die Prüfungshandlungen angemessen und vollständig waren.

Eine autonome Abfolge vergrößert zudem die Angriffsfläche. Falsche Berechtigungen, manipulierte Dokumente oder fehlerhafte Werkzeugaufrufe können mehrere Phasen beeinträchtigen, bevor eine Person das Ergebnis überprüft.

Das National Institute of Standards and Technology bietet einen freiwilligen Rahmen für KI-Risiken zum Erfassen, Messen, Managen und Steuern von KI-Risiken. Er gibt Gesellschaften ein hilfreiches Vokabular für die Aufsicht auf Systemebene.

NIST bestimmt jedoch nicht, was als ausreichender Prüfungsnachweis gilt. Ein technisch gut gesteuertes Modell kann für eine bestimmte Prüfungshandlung dennoch ungeeignet sein.

PCAOB-KI-Standards müssen System-Governance mit beruflichen Pflichten verknüpfen. Sie sollten klarstellen, dass solide Modellkontrollen die Beurteilung von Nachweisen durch einen Prüfer unterstützen, aber nicht ersetzen.

Unabhängigkeit stellt ein weiteres ungeklärtes Thema dar. Prüfungsgesellschaften erbringen häufig technologiebezogene Dienstleistungen und entwickeln zugleich Werkzeuge für ihre Prüfungspraxis.

Bestehende Unabhängigkeitsregeln beschränken Beziehungen und Dienstleistungen, die die Objektivität beeinträchtigen. KI wirft Fragen zu gemeinsamen Plattformen, Trainingsdaten, Anbieterpartnerschaften und Systemen auf, die sowohl Prüfer als auch Mandant nutzen.

Die Nutzung ähnlicher Technologie zerstört Unabhängigkeit nicht automatisch. Gesellschaften benötigen jedoch Schutzmaßnahmen gegen die Prüfung von Annahmen oder Konfigurationen, an deren Erstellung sie mitgewirkt haben.

Der PCAOB sollte diese Beziehungen untersuchen, bevor sich Marktpraktiken verfestigen. Die nachträgliche Anpassung von Unabhängigkeitskontrollen wird schwieriger, nachdem Gesellschaften miteinander vernetzte Plattformen aufgebaut haben.

Was KI-Prüfungsleitlinien weiterhin nicht garantieren können

Kein Standard kann Halluzinationen, Intransparenz oder Automatisierungsbias beseitigen; entscheidend ist daher, ob Regeln Fehler sichtbar und beherrschbar machen.

Befürworter einer raschen Standardsetzung sollten nicht überschätzen, was eine neue Regel leisten kann. Regulierung kann nicht garantieren, dass ein KI-System in jeder Situation konsistent funktioniert.

Sie kann auch nicht jedes Modell vollständig erklärbar machen. Einige Systeme bleiben schwer interpretierbar, selbst wenn Entwickler umfangreiche technische Dokumentation bereitstellen.

Eine Anforderung an Erklärbarkeit kann bedeutungslos werden, sofern der Standard nicht definiert, welche Entscheidung erklärt werden muss. Prüfer benötigen selten eine vollständige Darstellung jedes Modellparameters.

Sie benötigen jedoch genug Informationen, um zu verstehen, warum das System für eine Prüfungshandlung geeignet ist. Zudem benötigen sie Nachweise dafür, dass seine Ergebnisse unter relevanten Bedingungen verlässlich bleiben.

Automatisierungsbias schafft ein eigenständiges menschliches Problem. Menschen neigen dazu, computergenerierten Empfehlungen übermäßiges Gewicht beizumessen, insbesondere wenn Systeme selbstsicher oder ausgefeilt wirken.

Eine verpflichtende Überprüfung beseitigt diesen Bias nicht. Prüfer suchen möglicherweise nach Bestätigung, statt zu versuchen, eine KI-generierte Antwort zu widerlegen.

Gesellschaften müssen deshalb Widerspruch gezielt in den Arbeitsablauf einbauen. Ein Prüfer könnte Ergebnisse mit unabhängigen Nachweisen vergleichen, bewusst schwierige Testfälle einsetzen oder widersprüchliche Ergebnisse untersuchen.

Auch Schulungen sind wichtig. Rechnungslegungsexperten müssen nicht zu Modellentwicklern werden, aber sie müssen die für ihre zugewiesene Arbeit relevanten Grenzen verstehen.

Dasselbe gilt für Auftragsverantwortliche. Sie können nicht jedes technische Verständnis an Spezialisten delegieren und zugleich nur die formale Verantwortung für das Prüfungsurteil behalten.

Standards sollten Erwartungen an die Kompetenz festlegen, ohne anzunehmen, dass ein einziges Schulungsprogramm für jedes Werkzeug passt. Das erforderliche Wissen sollte Rolle und Risiko des Systems widerspiegeln.

Die Konzentration bei Anbietern stellt eine weitere Unsicherheit dar. Mehrere Gesellschaften könnten vom selben Cloud-Anbieter oder Foundation Model abhängen. Ein gemeinsamer Fehler könnte zahlreiche Prüfungsaufträge zugleich betreffen.

Herkömmliche auftragsbezogene Kontrollen könnten dieses systemische Risiko übersehen. Der PCAOB könnte Vereinbarungen zum Informationsaustausch benötigen, die es ihm ermöglichen, Muster über Gesellschaften hinweg zu erkennen, ohne vertrauliche Mandantendaten offenzulegen.

Auch Inspektionsmethoden müssen sich ändern. Inspektoren müssen sowohl die Governance der Werkzeuge als auch die Durchführung einzelner Prüfungsaufträge bewerten. Keines kann das andere ersetzen.

Eine Gesellschaft kann einen hervorragenden zentralen Freigabeprozess unterhalten, während ein Prüfungsteam das Werkzeug falsch einsetzt. Ein anderes Werkzeug kann für eine Prüfungshandlung gut geeignet, für einen anderen Zweck jedoch unzuverlässig sein.

Regulierungsbehörden benötigen technische Fachkenntnis, um diese Unterschiede beurteilen zu können. Sie sollten bei Erklärungen zum Verhalten von Modellen nicht vollständig von den Gesellschaften oder Anbietern abhängen, die sie beaufsichtigen.

Standards können Unternehmensvorständen auch ein falsches Sicherheitsgefühl vermitteln. Ein uneingeschränktes Prüfungsurteil bedeutet nicht, dass jedes KI-System in einem Unternehmen sicher, fair, geschützt oder rechtskonform ist.

Die Finanzprüfung verfolgt klar definierte Berichterstattungsziele. Umfassendere KI-Governance umfasst Datenschutz, Diskriminierung, geistiges Eigentum, Cybersicherheit, Verbraucherschutz und operative Resilienz.

Leser sollten diese Bereiche nicht unter einem einzigen Begriff zusammenfassen. Eine „KI-Prüfung“ kann eine Finanzprüfung unter Einsatz von KI, eine Prüfung der KI-Governance oder eine Bewertung eines KI-Produkts meinen.

Der Bloomberg-Tax-Kommentar betraf die erste Kategorie und die Auswirkungen unternehmensinterner KI auf die Finanzberichterstattung. Er begründete kein umfassendes Prüfungsregime für jeden Algorithmus.

Diese Einschränkung unterstreicht die Notwendigkeit präziser Terminologie. Regulierungsbehörden sollten Zielsetzung, Prüfungsgegenstand, Kriterien, Nachweise und verantwortliche Partei benennen, wann immer sie über KI-Assurance sprechen.

Die zentrale skeptische Frage bleibt die Umsetzung. Selbst sinnvolle Standards werden scheitern, wenn Unternehmen Compliance dokumentieren, ohne zu ändern, wie Teams KI-Ergebnisse validieren und hinterfragen.

Inspektionsfeststellungen werden die deutlichsten Belege liefern. Wiederkehrende Mängel wie fehlende Protokolle, schwache Validierung oder oberflächliche Überprüfung würden zeigen, dass Prinzipien allein nicht ausreichen.

Umgekehrt würden Belege für eine kontrollierte Einführung und verlässliche Prüfungsarbeit einen flexibleren Ansatz stützen. Das PCAOB sollte bereit bleiben, Anforderungen anzupassen, wenn sich diese Evidenz weiterentwickelt.

Drei Signale, die nach dem Google-News-Zyklus zu beobachten sind

Die nächste Phase wird durch die Agenda des PCAOB, internationale Prüfungsvorschläge und Erkenntnisse aus Inspektionen bestimmt.

Das erste Signal ist die Reaktion des PCAOB auf seinen Kommentierungsprozess von 2026. Der Rat muss entscheiden, ob KI zu einem Forschungsprojekt, einer Initiative für Mitarbeiterleitlinien oder einem formellen Standardsetzungsprojekt wird.

Ein formelles Projekt würde das Argument stärken, dass bestehende Anforderungen klarer angewendet werden müssen. Mitarbeiterleitlinien würden darauf hindeuten, dass der Rat Auslegung derzeit als schnellere Lösung betrachtet.

Eine Einstufung als reines Forschungsprojekt würde Flexibilität bewahren, Unternehmen jedoch auch mehr Ermessensspielraum lassen. Leser sollten den Umfang des Projekts prüfen, nicht nur seine Bezeichnung.

Der sinnvollste Umfang würde sowohl von Prüfern eingesetzte KI als auch KI berücksichtigen, die in die Finanzberichterstattung von Unternehmen eingebettet ist. Er sollte außerdem Dokumentation, Validierung, Aufsicht, Unabhängigkeit und Kontrollen von Anbietern einbeziehen.

Das zweite Signal ist das Ergebnis der internationalen Konsultation zu Prüfungsnachweisen. Die vorgeschlagenen Überarbeitungen des IAASB bieten ein prinzipienbasiertes Modell für technologiegestützte Arbeit.

Starke Unterstützung durch Stakeholder würde zeigen, dass Prüfer und Investoren modernisierte Regeln für Prüfungsnachweise als praktikable Grundlage ansehen. Forderungen nach detaillierteren KI-Anforderungen würden die Grenzen dieses Ansatzes offenlegen.

Das PCAOB muss internationale Standards nicht übernehmen. Eine nicht erklärte Abweichung könnte jedoch globale Prüfungen erschweren und für dieselbe Technologie uneinheitliche Erwartungen schaffen.

Das dritte Signal wird aus Inspektionen und Durchsetzungsmaßnahmen kommen. Regulierungsbehörden benötigen belastbare Belege dafür, ob KI zu Prüfungsmängeln beiträgt oder Teams hilft, wesentliche Probleme zu erkennen.

Zu den relevanten Indikatoren zählen fehlgeschlagene Validierung, fehlende Dokumentation, schwache Aufsicht, unangemessenes Vertrauen und nicht offengelegte Interessenkonflikte. Regulierungsbehörden sollten auch Fälle verfolgen, in denen KI die Prüfung von Grundgesamtheiten oder die Betrugserkennung verbessert.

Diese ausgewogene Evidenz ist wichtig. Regeln sollten auf nachgewiesene Risiken reagieren, ohne anzunehmen, dass jedes KI-gestützte Verfahren die Qualität mindert.

Unternehmen sollten nicht auf den endgültigen Standard warten. Führungskräfte im Finanzbereich können wesentliche KI-Einsätze erfassen, Verantwortlichkeiten definieren, Änderungshistorien aufbewahren und relevante Kontrollen bereits jetzt testen.

Prüfungsausschüsse können das Management fragen, wo KI Schätzungen, Abstimmungen, Offenlegungen und die Überwachung von Kontrollen beeinflusst. Sie können auch externe Prüfer fragen, wie deren eigene Tools gesteuert werden.

Prüfungsgesellschaften sollten beabsichtigte Einsätze, Einschränkungen, Validierungsergebnisse, Zugriffskontrollen und erforderliche menschliche Überprüfungen dokumentieren. Sie sollten genügend Informationen aufbewahren, um wesentliche KI-gestützte Prüfungsverfahren nachvollziehen zu können.

Wissensarbeiter, die diese Überprüfungen unterstützen, benötigen verlässliche Aufzeichnungen. Eine gut gepflegte KI-Wissensdatenbank kann Richtlinien, Bewertungen, Vorfälle, Genehmigungen und Modelländerungen organisieren, ohne die formelle Prüfungsdokumentation zu ersetzen.

Die entscheidende Frage, nachdem die Aufmerksamkeit von Google News nachlässt, ist nicht, ob das PCAOB KI abstrakt „regulieren“ wird. Sie lautet vielmehr, ob der Rat überprüfbare Verantwortlichkeit schaffen wird, bevor automatisierte Arbeit in Prüfungsnachweise eingebettet wird.

Beobachten Sie die Agenda, die internationale Konsultation und die Inspektionsbilanz. Zusammen werden diese Signale zeigen, ob flexible Prinzipien weiterhin ausreichen oder durchsetzbare PCAOB-KI-Standards unvermeidlich werden.