Die EU-KI-Verordnung für Finanzteams: Was sich im O2C ändert

Transformance hat seinen Forderungsmanagement-Agenten Vero so entwickelt, dass er sich bei jedem Anruf als KI zu erkennen gibt, lange bevor die Transparenzregeln der Verordnung vollständig greifen. Das ist kein Zufall: Eine KI-native Plattform, die von Anfang an auf Offenlegung und Prüfpfade ausgelegt ist, unterscheidet sich grundlegend von einem Altsystem, das ein Compliance-Skript auf eine vor einem Jahrzehnt gebaute Software aufsetzt. Für Finanzverantwortliche, die derzeit im Vorstand Fragen zur KI-Governance beantworten müssen, ist die praktische Antwort konkreter, als es der Verordnungstext vermuten lässt.

Das Wichtigste in Kürze

• Die meisten Order-to-Cash-Automatisierungen, darunter Zahlungsabgleich, Abzugsmanagement und Forderungsmanagement, fallen in die Kategorien begrenztes oder minimales Risiko der EU-KI-Verordnung, nicht in die Hochrisiko-Kategorie.
• Die klarste neue Pflicht für Debitorenteams: KI-Systeme, die direkt mit Kundinnen und Kunden interagieren, etwa telefonierende Agenten, müssen offenlegen, dass sie KI sind.
• Die Kreditwürdigkeitsprüfung natürlicher Personen gilt nach der Verordnung als Hochrisiko-KI. Der klassische B2B-Rechnungseinzug und der Zahlungsabgleich gehören in der Regel nicht dazu, es sei denn, der Kunde ist eine natürliche Person als Bürge.
• Vorstände und Aufsichtsräte verlangen vor der Unterzeichnung von KI-Verträgen Prüfpfade, Kontrollpunkte für menschliche Aufsicht und Anbieterdokumentation, nicht nur ROI-Zahlen.
• Die Pflichten treten gestaffelt bis 2026 und 2027 in Kraft. Fragen Sie Anbieter schon jetzt, in welche Risikoklasse ihr System fällt und wie sie das dokumentieren.

In diesem Artikel

• Das Wichtigste in Kürze
• Was ist die EU-KI-Verordnung?
• Wie stuft die EU-KI-Verordnung Finanz- und O2C-Automatisierung ein?
• Welche Transparenzpflicht gilt für telefonierende KI-Agenten?
• Welcher Zeitplan gilt für die Pflichten der EU-KI-Verordnung in Finanzteams?
• Welche Governance-Fragen sollten Vorstände zu KI im Finanzbereich stellen?
• Was sollten Finanzteams KI-Anbieter zur Konformität mit der EU-KI-Verordnung fragen?
• Wie geht Transformance mit der EU-KI-Verordnung um?
• Ansätze der Debitorenautomatisierung im Vergleich zur KI-Verordnung

Was ist die EU-KI-Verordnung?

Die EU-KI-Verordnung (englisch EU AI Act, offiziell Verordnung (EU) 2024/1689) ist die Regelung der Europäischen Union für Systeme der künstlichen Intelligenz. Sie ordnet Anwendungen vier Risikoklassen zu (inakzeptabel, hoch, begrenzt und minimal) und knüpft an jede Klasse unterschiedliche Pflichten. Für Finanzteams zählt die Verordnung weniger als eine einzige umfassende Regel, sondern als eine Reihe enger, gestufter Pflichten, die daran anknüpfen, was ein konkretes KI-System tut, nicht daran, dass es überhaupt KI einsetzt.

Die Verordnung ist im August 2024 in Kraft getreten und wird bis August 2027 schrittweise wirksam. Sie gilt für jede Organisation, deren KI-Systeme Menschen in der EU betreffen, unabhängig davon, wo der Anbieter seinen Sitz hat. Das bedeutet: Eine in den USA ansässige Debitorenplattform, die an einen deutschen Hersteller verkauft, fällt ebenfalls in den Anwendungsbereich.

Die meisten KI-Anwendungen in der Finanzfunktion, darunter die Automatisierung des Order-to-Cash-Prozesses, liegen deutlich unterhalb der Hochrisiko-Schwelle, die etwa für biometrische Überwachung oder die Auswahl von Bewerbern gilt. Das ist eine gute Nachricht, aber kein Freibrief. Transparenzpflichten gelten weiterhin für jedes System, das mit Kunden spricht oder Inhalte erzeugt, und genau dort ist Debitorensoftware zunehmend im Einsatz.

Wie stuft die EU-KI-Verordnung Finanz- und O2C-Automatisierung ein?

Zahlungsabgleich, Abzugsklassifizierung und Rechnungseinzug fallen in der Regel in die Kategorien begrenztes oder minimales Risiko der Verordnung, da sie weder die Kreditwürdigkeit natürlicher Personen bewerten noch Entscheidungen zu Beschäftigung, Strafverfolgung oder Biometrie treffen. Die eine Ausnahme, auf die Finanzteams achten sollten: Anhang III der Verordnung führt die Bewertung der Kreditwürdigkeit und das Kreditscoring natürlicher Personen als Hochrisiko auf. Das ist relevant, wenn Ihr Forderungsprozess einzelne Bürgen oder Einzelunternehmer betrifft und nicht Firmenkonten.

In der Praxis sind viele Finanzteams unsicher, welche ihrer internen KI-Anwendungsfälle nach der Verordnung als Hochrisiko einzustufen wären, und die meisten haben die Klassifizierung, die ihre Prüfer irgendwann verlangen werden, noch nicht vorgenommen. Diese Unsicherheit lässt sich beheben. Dazu muss man nur durchgehen, was das KI-System tatsächlich entscheidet, nicht worauf es technisch aufbaut.

Systeme mit begrenztem Risiko, die Kategorie, in die die meiste O2C-Automatisierung fällt, tragen nach Artikel 50 eine enger gefasste, aber reale Pflicht: die Transparenz. Wenn ein KI-System Inhalte erzeugt, die eine Person für menschliche Arbeit halten könnte, oder wenn eine Person direkt mit einem KI-System interagiert, muss dies offengelegt werden, sofern es sich nicht ohnehin aus dem Zusammenhang ergibt. Eine Mahnungs-E-Mail, die ein KI-Agent entwirft und die ein Mensch vor dem Versand prüft, ist ein anderer Fall als ein KI-Sprachagent, der einen Kreditorenkontakt unangekündigt anruft.

Welche Transparenzpflicht gilt für telefonierende KI-Agenten?

Nach Artikel 50 muss jeder, der mit einem KI-System interagiert, darüber informiert werden, sofern es sich nicht ohnehin aus den Umständen ergibt, und diese Pflicht gilt unmittelbar für KI-gestützte Anrufe im Forderungsmanagement. Ein Sprachagent, der den Kreditorenkontakt eines Kunden wegen einer überfälligen Rechnung anruft, ist keine offensichtliche KI-Interaktion wie ein Chatbot-Pop-up. Die Offenlegung ist deshalb Pflicht, nicht Kür.

Transformance hat dies von der ersten Version an in den autonomen Anruf-Agenten Vero von CollectPulse eingebaut: Jeder Anruf beginnt mit einer klaren Aussage, dass der Kunde mit einem KI-System spricht, noch bevor das Gespräch über eine Zahlungszusage überhaupt beginnt. Diese eine Designentscheidung bedeutet, dass die Offenlegungspflicht nie ein Nachrüstprojekt war. Vero führt diese Anrufe in vielen Sprachen, sodass ein Shared Service Center in Polen konforme Inkassogespräche auf Italienisch, Französisch und Spanisch führen kann, ohne Muttersprachler einzustellen oder ein eigenes Offenlegungsskript je Markt zu schreiben.

Der Fehler, den es zu vermeiden gilt: Transparenz als Häkchen auf einem Anbieterfragebogen zu behandeln. Viele Anbieter von Debitorenautomatisierung können auf direkte Nachfrage noch immer keine Dokumentation vorlegen, die ihre KI-Funktionen einem formalen Governance-Rahmen zuordnet, und diese Lücke wird zum Prüfungsbefund, sobald ein Kunde, ein Betriebsrat oder eine Aufsichtsbehörde danach fragt.

Welcher Zeitplan gilt für die Pflichten der EU-KI-Verordnung in Finanzteams?

Die Pflichten der Verordnung greifen nicht alle auf einmal. Finanz- und IT-Verantwortliche, die KI-Anbieterverträge planen, sollten diese Meilensteine im Blick behalten:

1. August 2024: Die Verordnung tritt EU-weit in Kraft.
2. Februar 2025: Die Verbote für KI-Praktiken mit inakzeptablem Risiko werden wirksam, darunter bestimmte Formen der biometrischen Kategorisierung und manipulativer KI.
3. August 2025: Die Pflichten für Anbieter von KI-Modellen mit allgemeinem Verwendungszweck (GPAI) gelten, ebenso die Governance-Struktur (nationale Behörden und das EU-KI-Büro), die den Rest der Verordnung durchsetzt.
4. August 2026: Die Transparenzpflichten nach Artikel 50, der für telefonierende KI-Agenten und KI-generierte Kundenkommunikation wichtigste Abschnitt, gelten vollständig, zusammen mit den meisten Anforderungen an Hochrisiko-Systeme.
5. August 2027: Eine verlängerte Frist gilt für Hochrisiko-KI, die in bereits regulierte Produkte eingebettet ist, etwa bestimmte Finanzinfrastruktur.

Die praktische Lesart für Finanzteams: 2026 ist das Jahr, in dem Transparenz aufhört, eine bewährte Praxis zu sein, und zur durchgesetzten Pflicht wird. Verträge, die 2025 unterzeichnet werden, sollten diesen Zeitplan bereits voraussetzen und ihn nicht als künftiges Problem behandeln.

Welche Governance-Fragen sollten Vorstände zu KI im Finanzbereich stellen?

Vorstände und Prüfungsausschüsse verlangen von Finanzverantwortlichen zunehmend, die Auswahl von KI-Anbietern mit Governance-Argumenten zu begründen, nicht nur mit Effizienzgewinnen. Viele Prüfungsausschüsse haben die KI-Anbieterverträge ihrer Organisation noch nicht auf regulatorische Risiken geprüft, was die meisten Gremien hinter dem zurücklässt, was ihre eigene Risikobereitschaft nahelegen würde.

Die Fragen, die sich lohnen, sind enger gefasst als „Ist diese KI konform?“. Sie lauten:

• Wo gibt ein Mensch die Freigabe, bevor eine KI-Aktion das Hauptbuch oder eine Kundenbeziehung berührt?
• Können wir auf Anfrage für einen Prüfer ein vollständiges Protokoll darüber vorlegen, was die KI entschieden hat und warum?
• Gibt sich das System bei jeder kundengerichteten Interaktion als KI zu erkennen, und können wir das belegen?
• Was geschieht mit diesem Governance-Modell, wenn sich das zugrunde liegende KI-Modell ändert?

Die letzte Frage wiegt schwerer, als sie aussieht. Ein System, das an ein einziges KI-Modell eines einzigen Anbieters gebunden ist, übernimmt dessen Compliance-Haltung vollständig. Eine modellagnostische Architektur, die bessere Reasoning- oder Vision-Modelle einsetzen kann, sobald sie verfügbar sind, ohne die umgebende Workflow-Ebene zu stören, hält die Governance-Kontrollen (menschliche Freigaben, Prüfprotokolle, Datenresidenz) konstant, auch wenn sich die KI darunter verbessert.

Was sollten Finanzteams KI-Anbieter zur Konformität mit der EU-KI-Verordnung fragen?

Stellen Sie vor jeder Vertragsunterzeichnung jedem KI-Anbieter diese sieben Fragen direkt:

1. Legt das System gegenüber Kunden offen, wenn sie mit KI interagieren, bei Anrufen, im Chat und in generierten E-Mails?
2. Gibt es einen Kontrollpunkt mit menschlicher Beteiligung, bevor eine KI-Aktion in das ERP-System oder das Hauptbuch gebucht wird?
3. Kann der Anbieter einen vollständigen Prüfpfad jeder KI-Entscheidung und der zugrunde liegenden Daten vorlegen?
4. Wie stuft der Anbieter sein eigenes System in die Risikoklassen der Verordnung ein, und kann er diese Einstufung schriftlich dokumentieren?
5. Mit welchen Daten wird das zugrunde liegende Modell trainiert, und wo werden sie verarbeitet und gespeichert?
6. Können Sie Ihren eigenen KI-Anbieter einbringen, oder sind Sie für die Vertragslaufzeit an das Modell eines einzigen Anbieters gebunden?
7. Wie werden Modell-Updates gehandhabt, und ändert sich das Governance-Modell (Freigaben, Protokollierung), wenn sich das Modell ändert?

Anbieter, die diese Fragen mit konkreten Angaben beantworten und nicht mit Marketingsprache, sind diejenigen, deren Compliance-Haltung einer Prüfung standhält. Anbieter, die mit „Unsere Plattform ist vollständig konform“ und sonst nichts antworten, haben die Klassifizierung noch nicht geleistet.

Wie geht Transformance mit der EU-KI-Verordnung um?

Transformance hat seinen KI-Agenten Vero rund um ein vierstufiges Sicherheitsmodell gebaut, das genau für diese Art von Prüfung ausgelegt ist: Stufe 1 ist nur lesend (Daten abfragen, Gedächtnis abrufen, keine Freigabe nötig), Stufe 2 empfiehlt Aktionen zur menschlichen Prüfung, Stufe 3 führt Routineaufgaben aus, etwa das Versenden von Mahnungen per E-Mail oder das Auslösen von Inkassoanrufen mit Nutzerfreigabe, und Stufe 4, die Buchung in das ERP-System, erfordert stets eine menschliche Freigabe. Nichts berührt das Hauptbuch, ohne dass zuvor ein Mensch zustimmt, und jede Aktion über alle Stufen hinweg wird protokolliert.

Diese Protokollierung ist kein Zusatz. Die persistente Gedächtnisebene hinter Vero bewahrt die Historie jeder Klärung, jeder Ausnahme und jeder Kundeninteraktion, und genau diese Art von Dokumentation verlangt ein Prüfer im Nachhinein. Da die Plattform modellagnostisch ist und den Einsatz eines kundeneigenen KI-Anbieters unterstützt, bleibt die Governance-Ebene (Freigaben, Prüfpfade, Offenlegungsskripte) konstant, auch wenn die zugrunde liegenden Modelle aktualisiert werden.

Für das Abzugsmanagement gilt dieselbe Logik: Die graphbasierte Untersuchung des Abzugs-Agenten erzeugt einen dokumentierten Nachweis darüber, welche Werbevereinbarung, welcher Lieferbeleg oder welches Preisdokument eine Klärungsentscheidung gestützt hat. So ist die Klärung eines strittigen Abzugs keine Blackbox, wenn ein Kunde oder Prüfer fragt, wie sie zustande kam.

Ansätze der Debitorenautomatisierung im Vergleich zur KI-Verordnung

Häufig gestellte Fragen

Gilt die EU-KI-Verordnung für Debitorensoftware?

Ja, wenn die Debitorensoftware von einer Organisation genutzt wird, die in der EU tätig ist oder mit Kunden in der EU interagiert, unabhängig davon, wo der Softwareanbieter seinen Sitz hat. Die meiste Debitorenautomatisierung, darunter Zahlungsabgleich und Forderungsmanagement, fällt in die Kategorien begrenztes oder minimales Risiko der Verordnung. Diese tragen leichtere Pflichten als Hochrisiko-Systeme, verlangen aber weiterhin Transparenz, sobald KI direkt mit Kunden interagiert.

Sind KI-gestützte Inkassoanrufe nach der EU-KI-Verordnung zulässig?

Ja, KI-Sprachagenten dürfen Kunden nach der Verordnung rechtmäßig anrufen, sofern das System offenlegt, dass der Kunde mit einer KI spricht und nicht mit einem Menschen. Dies fällt unter die Transparenzpflicht von Artikel 50 für KI-Systeme mit begrenztem Risiko und gilt unabhängig davon, in welcher Sprache der Anruf stattfindet.

Was gilt als Hochrisiko-KI im Finanzbereich?

Hochrisiko-KI im Finanzbereich umfasst vor allem die Bewertung der Kreditwürdigkeit und das Kreditscoring natürlicher Personen sowie bestimmte Anwendungsfälle in der Versicherungsprüfung. Der klassische B2B-Rechnungsabgleich, die Abzugsklassifizierung und das Forderungsmanagement gegenüber Firmenkunden fallen in der Regel nicht darunter, da sie nicht die Kreditwürdigkeit einer einzelnen Privatperson bewerten.

Müssen US-Unternehmen die EU-KI-Verordnung einhalten?

Ja, wenn ihre KI-Systeme Menschen in der EU betreffen, selbst wenn das Unternehmen selbst außerhalb Europas ansässig ist. Das ist dieselbe extraterritoriale Logik, die schon die DSGVO weltweit wirksam gemacht hat, und sie bedeutet, dass ein US-amerikanischer Debitorenanbieter, der an europäische Tochtergesellschaften verkauft, in den Anwendungsbereich fällt.

Welche Strafen drohen bei Verstößen gegen die EU-KI-Verordnung?

Die Strafen richten sich nach der Schwere des Verstoßes und der Größe des Unternehmens und reichen bei den schwersten Verstößen, etwa dem Einsatz verbotener KI-Praktiken, bis zu 35 Millionen Euro oder 7 Prozent des weltweiten Jahresumsatzes. Verstöße gegen die Transparenzpflicht, die für die O2C-Automatisierung relevanteste Kategorie, ziehen geringere, aber dennoch spürbare Strafen nach sich.

Gilt die EU-KI-Verordnung auch für rein interne KI-Werkzeuge?

Sie kann gelten, auch wenn die Pflichten leichter ausfallen als für kundengerichtete Systeme. Interne Werkzeuge, die menschliche Entscheidungen unterstützen, ohne kundengerichtete Inhalte zu erzeugen oder Hochrisiko-Entscheidungen zu treffen, unterliegen in der Regel weniger Transparenzpflichten. Eine Governance-Dokumentation lohnt sich dennoch für Prüfzwecke.

Worin unterscheidet sich die EU-KI-Verordnung von der DSGVO für Finanzteams?

Die DSGVO regelt, wie personenbezogene Daten erhoben und verarbeitet werden, während die EU-KI-Verordnung regelt, wie KI-Systeme gebaut, nach Risiko eingestuft und gegenüber den betroffenen Menschen offengelegt werden. Ein Finanzteam kann bei der Datenverarbeitung vollständig DSGVO-konform sein und dennoch einen nicht offengelegten telefonierenden KI-Agenten betreiben, der gegen die Transparenzregeln der KI-Verordnung verstößt, da die beiden Regelwerke unterschiedliche Fragen behandeln.

Fazit: Konformität ist eine Designentscheidung, kein Nachrüsten

Die EU-KI-Verordnung verlangt von Finanzteams nicht, KI aufzugeben. Sie verlangt von ihnen zu wissen, in welche Risikoklasse ihre KI-Systeme fallen, KI-Interaktionen dort offenzulegen, wo die Verordnung es verlangt, und einen Prüfpfad zu führen, dem eine Aufsichtsbehörde oder ein Vorstandsmitglied tatsächlich folgen kann. Die meiste O2C-Automatisierung nimmt diese Hürde ohne dramatische Änderungen, sofern die zugrunde liegende Plattform von vornherein auf Offenlegung und Governance ausgelegt wurde und nicht erst nachträglich.

Das ist der praktische Unterschied zwischen einer KI-nativen Plattform und einem Altsystem mit nachträglich aufgesetzten KI-Funktionen. Der Ansatz von Transformance, mit Offenlegung bei jedem KI-Anruf, menschlicher Freigabe vor jeder ERP-Buchung und einer persistenten Gedächtnisebene, die jede Entscheidung dokumentiert, war eine Designentscheidung, die vor dem Wirksamwerden der Transparenzregeln getroffen wurde, kein Compliance-Projekt danach. Dieser Artikel bietet allgemeine Informationen und keine Rechtsberatung; wir empfehlen, qualifizierten Rechtsrat einzuholen, wie die Verordnung auf Ihre konkreten Systeme anzuwenden ist.