Mit den Prüfungshinweisen IDW PH 9.315DE.2 und IDW PH 9.315DE.3 hat das IDW zwei neue Verlautbarungen zum Einsatz Künstlicher Intelligenz (KI) in der Abschlussprüfung veröffentlicht. Während der eine Hinweis die Nutzung von KI durch den Abschlussprüfer behandelt, geht es im anderen um den KI-Einsatz beim geprüften Unternehmen. Beide konkretisieren, worauf es in der Prüfungspraxis ankommt.
Zwei Hinweise, zwei Perspektiven
Beide Prüfungshinweise sind auf den 14.07.2026 datiert. IDW PH 9.315DE.2 wurde vom Arbeitskreis „Technologisierung der Abschlussprüfung“ vorbereitet und am 14.07.2026 vom Hauptfachausschuss (HFA) verabschiedet. IDW PH 9.315DE.3 wurde bereits am 19.05.2026 vom Fachausschuss für Informationstechnologie (FAIT) verabschiedet und am 14.07.2026 vom HFA billigend zur Kenntnis genommen.
Beide Hinweise stehen im Kontext von ISA [DE] 315 (Revised 2019) und ISA [DE] 330. PH 9.315DE.2 berücksichtigt darüber hinaus insbesondere ISA [DE] 220 (Revised), ISA [DE] 500, ISA [DE] 520 und IDW QMS 1.
IDW PH 9.315DE.2: Wenn der Prüfer selbst KI einsetzt
Der erste Hinweis behandelt den Einsatz generativer KI durch den Abschlussprüfer. Gemeint sind Anwendungen, die auf Grundlage von Eingaben neue Inhalte wie Texte, Bilder, Audio oder Softwarecode erzeugen.
Auch beim Einsatz solcher Systeme bleibt der Wirtschaftsprüfer für sein Urteil und seine Entscheidungen verantwortlich. Die Eigenverantwortlichkeit nach § 43 Abs. 1 WPO und die kritische Grundhaltung nach § 43 Abs. 4 WPO gelten uneingeschränkt. Das betrifft auch KI-generierte Inhalte, die als Prüfungsnachweis verwendet werden.
Der Hinweis nennt verschiedene technologiebedingte Risiken. Generative KI kann bei identischen Eingaben unterschiedliche Ergebnisse liefern, veraltete Trainingsdaten verwenden oder falsche und irreführende Inhalte erzeugen („Halluzinationen“). Auch Bias und eine eingeschränkte Nachvollziehbarkeit sind zu berücksichtigen.
Zur Risikobegrenzung nennt der Hinweis unter anderem Retrieval-Augmented-Generation-Systeme (RAG) mit kuratierten Datenquellen, gezielte Prompting-Techniken und klar definierte System Prompts.
Verschwiegenheit und KI-Kompetenz
Besondere Bedeutung hat die Verschwiegenheitspflicht. Mandantenbezogene Daten dürfen nach § 50a WPO nur unter den dort genannten Voraussetzungen in eine von einem Dritten betriebene generative KI-Anwendung eingegeben werden.
Auch der EU AI Act kann für WP-Praxen relevant sein, beispielsweise beim Einsatz von KI zur Bewerberauswahl. Art. 4 EU AI Act enthält zudem Anforderungen an die KI-Kompetenz des Personals. Die Europäische Kommission hat allerdings im Rahmen des am 19.11.2025 vorgestellten „Digitalen Omnibus“ deren Entfall vorgeschlagen.
Der Prüfungshinweis zeigt zudem zahlreiche mögliche Einsatzfelder generativer KI, beispielsweise bei der Auftragsannahme, der Erlangung eines Verständnisses von Einheit und Umfeld, Einzelfall- und Funktionsprüfungen, analytischen Prüfungshandlungen und der Berichterstattung.
IDW PH 9.315DE.3: Wenn der Mandant KI einsetzt
Der zweite Prüfungshinweis betrachtet die andere Seite: Wie wirkt sich der KI-Einsatz beim geprüften Unternehmen auf die risikoorientierte Abschlussprüfung aus?
Der Hinweis unterscheidet KI zunächst nach ihrem Zweck in analytische und generative KI sowie nach ihrem Autonomiegrad in reaktive und agentische KI. Zusätzlich beschreibt er fünf mögliche Rollen von KI im Unternehmen:
- Assistent
- Analyst
- Operator
- Observer
- Consultant
Ein Operator führt beispielsweise eigenverantwortlich definierte Arbeitsschritte aus, während ein Observer Prozesse und Systeme überwacht.
Setzt das Unternehmen KI in einem rechnungslegungsrelevanten Informationssystem ein, muss der Abschlussprüfer dies bei seinem Verständnis von Einheit und Umfeld nach ISA [DE] 315 (Revised 2019) berücksichtigen.
KI als Risikofaktor
Der Prüfungshinweis nennt verschiedene inhärente Risikofaktoren, darunter Komplexität, Subjektivität, Veränderung und Unsicherheit. Hinzu kommen spezifische IT-Risiken wie Model Drift, also eine veränderte Modellleistung infolge veränderter Daten, und Data Drift, also eine Veränderung der Verteilung der Eingabedaten.
Auch mögliche Folgen fehlerhafter KI-Ergebnisse sind relevant, darunter Bias aufgrund verzerrter Trainingsdaten oder Reputationsschäden durch diskriminierende Ergebnisse.
Für die Prüfung KI-basierter Kontrollen kommen unter anderem Prozessbeobachtungen, die Einsichtnahme in Nachweise zu Kenngrößen und Qualitätsmaßen sowie automatisierte Tools und Techniken infrage. Eine bloße Befragung reicht ausdrücklich nicht aus.
Keine Erweiterung des Prüfungsgegenstands durch den EU AI Act
Der Prüfungshinweis stellt zudem klar: Der EU AI Act erweitert nicht den gesetzlich bestimmten Gegenstand und Umfang der Abschlussprüfung nach § 317 HGB.
Verstöße gegen den EU AI Act können jedoch als sonstige Verstöße nach § 321 Abs. 1 Satz 3 Alt. 2 HGB berichtspflichtig sein, wenn sie schwerwiegend sind und dem Abschlussprüfer bei ordnungsgemäßer Durchführung der Abschlussprüfung bekannt werden.
Fazit
Die beiden neuen Prüfungshinweise betrachten KI aus zwei Seiten:
Der Prüfer muss die Risiken des eigenen KI-Einsatzes beherrschen. Gleichzeitig muss er erkennen können, welche Auswirkungen der KI-Einsatz des Mandanten auf die Abschlussprüfung hat.
IDW PH 9.315DE.2 stellt dabei insbesondere Eigenverantwortlichkeit, kritische Grundhaltung, Vertraulichkeit und die Qualität KI-generierter Ergebnisse in den Mittelpunkt. IDW PH 9.315DE.3 konkretisiert dagegen die Einbindung von KI in die Risikobeurteilung und die Prüfung KI-basierter Kontrollen beim Unternehmen.
Damit ergänzen die beiden Hinweise die bisherigen IDW-Verlautbarungen zur Einführung und Nutzung generativer KI um die Perspektive der Abschlussprüfung. Bereits unser Beitrag zum IDW Advisory Hinweis IDW AdvH 6.003 hatte die Einführung generativer KI aus Sicht des Unternehmens betrachtet.
Veröffentlicht in Allgemein, Wirtschaftsprüfung
