Asesores fiscales AI-Ready: por qué el RGPD no basta

Las asesorías fiscales en Alemania tienen una relación extraña con la IA. Según el awicontax Zukunftskompass 2026, el 71 por ciento de ellas ven la IA como una tecnología clave del futuro. Solo el 18 por ciento la usa activamente en el día a día. La misma encuesta a 1.500 clientes del Mittelstand muestra que la gente espera de la IA un servicio más barato (36,6 %) y más rápido (32,8 %), no más personal. La demanda existe, la voluntad también, el freno está en otro sitio.

El freno es un párrafo del código penal alemán. §203 StGB. La mayoría de artículos de agencia sobre "IA para asesorías fiscales" lo saltan o lo envuelven en lenguaje de marketing. Merece una mirada más detenida, porque es la razón real por la que un Steuerberater alemán no puede simplemente contratar ChatGPT Enterprise y declararse AI-ready.

Qué hace exactamente el §203

El §57 de la Steuerberatungsgesetz (StBerG) somete a cada asesor fiscal a un deber de confidencialidad que va más allá del RGPD. El RGPD protege datos personales. El §203 StGB protege secretos profesionales, incluido el hecho mismo de que existe una relación con un cliente. Bien jurídico distinto, base legal distinta, consecuencias distintas. Una infracción del RGPD puede costar hasta 20 millones de euros o el 4 por ciento de la facturación global. Una infracción del §203 puede costarle al asesor hasta un año de prisión.

En 2017 el legislador añadió el §203 párrafo 4 y el §62a StBerG. Estas normas permiten al asesor fiscal incorporar a proveedores externos como "personas colaboradoras" (mitwirkende Personen), pero solo si esos proveedores quedan vinculados por escrito al mismo deber de confidencialidad y son informados de las consecuencias penales de incumplirlo. Si el asesor olvida esa vinculación por escrito, es él mismo quien se vuelve penalmente responsable.

Aquí es donde fallan la mayoría de las herramientas de IA. Un acuerdo de encargo de tratamiento conforme al art. 28 RGPD (Auftragsverarbeitungsvereinbarung) cubre la protección de datos. No cubre el §203. ChatGPT Enterprise viene con un Data Processing Addendum y desactiva el entrenamiento del modelo. No viene con un acuerdo de confidencialidad §203 conforme al derecho penal alemán. En el momento en que una empleada copia una carta de un cliente en el prompt de Enterprise, la firma tiene una transferencia conforme al RGPD y un posible quebrantamiento penal del secreto profesional. Dos reglamentos, solo uno cumplido.

La Bundessteuerberaterkammer publicó el 11 de febrero de 2026 su catálogo de FAQ "KI in der Steuerberatung". El documento de 27 páginas es la primera ordenación clara desde la perspectiva del colegio profesional. La Verschwiegenheitspflicht queda intacta, los servicios públicos de IA en la nube deben revisarse específicamente para comprobar si se exponen secretos del cliente, y las firmas deben redactar una política interna de IA por escrito que establezca qué herramienta puede usarse para qué tipo de dato.

Qué funciona en la práctica

La carga real de trabajo de una asesoría se reparte en tres cubos, y la IA se comporta de forma distinta en cada uno.

El procesamiento de documentos es el caso más fácil. El OCR ya es lo bastante bueno desde 2022. La capa nueva es la clasificación automática según SKR03 o SKR04. Buzzard AI, uno de los proveedores alemanes centrados específicamente en Steuerkanzleien, informa de que tras cuatro a seis semanas de entrenamiento por cliente, el 72 por ciento de los asientos recibe una propuesta de la IA que se aprueba sin cambios. El 28 por ciento restante va a una cola de revisión. La tasa de error con clientes entrenados está por debajo del 3 por ciento. Las facturas estructuradas ZUGFeRD y XRechnung, obligatorias en B2B desde 2025, se procesan sin OCR y alcanzan en torno al 99 por ciento de precisión.

La gestión de plazos es el segundo cubo. USt, ESt, KSt, KapESt tienen plazos móviles ligados al estado del cliente. El riesgo de un plazo perdido no es una multa, es responsabilidad profesional. Los proveedores que automatizan esto reportan ahora un 94 por ciento de cumplimiento de plazos en todos los clientes con cadenas de escalado. Es un salto medible frente a la realidad basada en Excel de la mayoría de las firmas.

La comunicación con el cliente es el tercer cubo y el más expuesto. Un agente telefónico 24/7 que atiende llamadas, agenda citas y da informaciones generales tiene un valor evidente cuando el 23 por ciento de los clientes cambia de asesoría por mala accesibilidad y cada cliente perdido cuesta unos 4.800 euros al año. Pero aquí es donde la confidencialidad muerde más fuerte, porque la IA tiene que saber quién llama y de qué le está permitido hablar a esa persona. Aquí la conformidad con el §203 deja de ser opcional.

La arquitectura que sí aguanta legalmente

El patrón que se sostiene tanto bajo el RGPD como bajo el §203 tiene tres propiedades. Hosting en la UE, a menudo Frankfurt u otro centro alemán. Un acuerdo de confidencialidad §203 firmado conforme al §62a StBerG, separado del acuerdo del RGPD. Sin uso de los datos de entrada para entrenamiento de modelos. Proveedores que cumplen los tres puntos son por ejemplo ASCADI de Visionary Data, milia.AI con hosting en Alemania y Buzzard AI en servidores alemanes con orientación ISO 27001. Ninguno es perfecto, pero existen como categoría, y esa categoría no existía hace dos años.

Por encima de esa capa, la firma sigue necesitando una política interna que diga por escrito qué tipo de dato va a qué tipo de herramienta. ChatGPT Plus para traducir un eslogan de marketing, vale. ChatGPT Plus para resumir un Bescheid del Finanzamt, no vale. El FAQ de la BStBK empuja a las firmas a poner esto por escrito porque, en caso de incidente, "no lo sabíamos" no es defensa, "tenemos una política documentada y un contrato" sí lo es.

Hacia dónde va la ola

La comparación internacional del informe awicontax es incómoda. Estudios de PwC y Deloitte muestran que las asesorías en Estados Unidos y Reino Unido ya usan IA para análisis estratégico de riesgo, no solo para automatización. Alemania va por detrás porque las reglas son más estrictas, pero también porque las firmas esperan a que la tecnología sea perfecta antes de empezar. Los datos no apoyan esa espera. La encuesta STAX 2024 de la BStBK muestra que solo el 23 por ciento de los asesores cree que las tareas declarativas pueden ser totalmente cubiertas por IA. Eso es un techo para lo que la IA reemplaza, no un techo para aquello en lo que la IA ayuda. El 77 por ciento restante es criterio, asesoramiento, trabajo de relación, justo la parte que los clientes explícitamente no quieren delegar a un modelo. En la misma encuesta, "asesoramiento más individualizado gracias a la IA" quedó último con un 7 por ciento. Nadie pide que la IA sea el asesor. La gente pide que la IA libere la agenda del asesor.

Para una firma que arranca de cero, el punto de entrada realista en 2026 es: un piloto en clasificación de documentos, una política de IA por escrito, un proveedor §203-conforme para todo lo que toque datos de cliente, y una lista clara de servicios públicos de IA prohibidos para el resto. Esa secuencia es lo bastante pequeña como para ejecutarla sin un jefe de proyecto y lo bastante grande como para sacar a la firma del 18 por ciento.

El deber de secreto profesional no es el obstáculo que a veces se describe. Es la razón por la que el asesoramiento fiscal alemán todavía tiene peso. La tarea para 2026 es construir IA dentro de ese marco, no a su alrededor.