KI-Agent für Routinebuchungen: wie Sie die Freigabe in vier Stufen in der Hand behalten

Was eine Routinebuchung ist – und was nicht

• Belege bekannter Lieferanten, deren Vorschlag keinen Prüfhinweis trägt – Software-Abos, Telefon, Bürobedarf.
• Zahlungseingänge, die eindeutig zu einer offenen Rechnung passen.
• Die monatliche Abschreibung aus dem Anlagenverzeichnis, gebucht mit run_depreciation und Aufteilung nach Monaten.
• Kassenbuchungen nach einer Liste, die Sie vorher freigegeben haben (book_cash_entry).

Routine ist, was jeden Monat gleich aussieht und sich am Beleg eindeutig prüfen lässt. Was eine Wertung verlangt, ist keine Routine, auch wenn es regelmäßig vorkommt. Gute Kandidaten für einen Agenten sind:

Die vier Stufen

Gehen Sie erst eine Stufe weiter, wenn die vorige ein paar Wochen ohne Überraschung lief.

Sicherung 1: die Rechte des Zugangs

Was ein Agent überhaupt tun kann, legt der Zugang fest, nicht der Agent. Ein Schlüssel oder Konnektor gilt immer für genau eine Gesellschaft. Die Rechte sind einzeln wählbar: „Lesen“ ist immer enthalten; „Buchen“ erlaubt Buchungen, Rechnungen, Zahlungen und Belege; „Rechnungen per E-Mail versenden“ verschickt nur an hinterlegte Adressen; „Webhooks verwalten“ und „Zeiträume festschreiben“ gibt es nur beim Schlüssel, den Sie in der App unter „KI-Agent & API“ anlegen. Ein Recht, mit dem der Agent selbst ans Finanzamt übermittelt, wird nicht vergeben.

Ein Lese-Zugang bekommt die schreibenden Werkzeuge gar nicht erst angeboten. Jeder Zugang läuft ab, spätestens nach 366 Tagen; beim Konnektor wählen Sie 30 Tage, 90 Tage oder ein Jahr. Widerrufen können Sie jederzeit unter „KI-Agent & API“.

Geben Sie jeder Routine einen eigenen Zugang mit sprechendem Namen, etwa „Belege freitags“ und „Monatsende“. Dann zeigt die API-Nutzung je Schlüssel, wie viele Aufrufe, schreibende Aufrufe und Fehler es in den letzten 30 Tagen gab.

Sicherung 2: die Rückfrage im KI-Programm

Claude kann vor einem Werkzeugaufruf um Ihre Erlaubnis fragen. Die Hilfe des Anbieters von Claude rät, solche Anfragen sorgfältig zu prüfen und „Allow always“ nur für Server und Werkzeuge zu wählen, denen Sie unbeaufsichtigtes Arbeiten zutrauen. Dieselbe Hilfe nennt eine Ausnahme: In der Recherche-Funktion (englisch „Research“) kann Claude Werkzeuge verbundener Konnektoren ohne weitere Freigabe aufrufen – ein Grund mehr, das Recht „Buchen“ gezielt zu vergeben.

Damit Ihr Programm einordnen kann, was ein Werkzeug tut, trägt jedes Werkzeug unseres Servers Hinweise nach dem MCP-Standard: readOnlyHint für reine Lesewerkzeuge, destructiveHint für nicht rückholbare Schritte wie finalize_bookkeeping_period, delete_receipt oder cancel_outgoing_invoice und openWorldHint für den E-Mail-Versand. Für Stufe 3 heißt das: Dauerhaft erlauben Sie nur Werkzeuge ohne destructiveHint.

Sicherung 3: was nur in der App geht

• Schlüssel anlegen und verlängern – durch Administratoren oder Ersteller des Arbeitsbereichs, bestätigt mit dem zweiten Faktor. Die Rechte eines Schlüssels stehen fest; mehr Rechte gibt es nur mit einem neuen Schlüssel.
• Die Automatik der App selbst einstellen, auf der Seite „Automatisch buchen“; lockern kann nur die Administration.
• Steuermeldungen übermitteln: Den Freigabe-Link aus request_tax_filing_approval öffnen Sie in der App. Sie rechnet den Stand neu, vergleicht ihn mit dem vorbereiteten Vorgang, und Sie senden mit Ihrer PIN. Die PIN gehört nie in den Chat.
• Erklärungen freigeben: Bei Körperschaft- und Gewerbesteuer bleibt die Freigabe des Sachverhalts beim Menschen, und die Anlage EÜR muss in der App freigegeben sein.
• Bankanbindung, Einstellungen der Gesellschaft und Bankverbindungen von Geschäftspartnern.
• Den Jahresabschluss erstellen, prüfen und ausstellen.

Beispiel Stufe 3: der Freitagsdurchgang für Belege

Ein Auftrag mit einem Zugang, der das Recht „Buchen“ trägt:

Bitte die Belege dieser Woche durchgehen. Gebucht werden nur Belege,
deren Vorschlag keinen Prüfhinweis hat und deren Lieferant schon einmal
gebucht wurde. Alles andere – und alles über 500 € – bitte als Liste
mit Grund. Keine Stornos, kein Löschen, kein Festschreiben.

Der Agent holt mit list_receipts die Belege ab Montag, ruft für jeden get_receipt_proposal auf und prüft explanation.needs_check und correction_required. Belege ohne Hinweis bucht er mit confirm_receipt – mit der state_version aus dem Vorschlag und einem neuen idempotency_key, damit eine Wiederholung nach einem Verbindungsabbruch nicht doppelt bucht. Meldet der Server eine mögliche Dublette, lässt sich das über die Schnittstelle nicht übersteuern; der Agent legt Ihnen den Fall vor.

Am Ende steht eine kurze Rückmeldung: gebucht mit Buchungsnummern, offen mit Grund. Die gebuchten Belege finden Sie im Journal mit der Herkunft receipt.

Beispiel Stufe 4: das Monatsende

Der Agent bereitet vor, Sie entscheiden:

Bitte den Oktober vorbereiten: AfA-Lauf nach Monaten, Umsatzsteuer-
Voranmeldung prüfen und vorbereiten, Freigabe-Link erzeugen. Danach
zeigen, bis zu welchem Tag festgeschrieben werden kann und was
noch dagegen spricht.

Der Agent bucht mit run_depreciation (Aufteilung nach Monaten) die Abschreibung bis zum laufenden Monat, liest mit get_vat_return die Kennzahlen und stellt mit get_vat_supplementary die Fragen des amtlichen Vordrucks; „keine Sonderfälle“ bestätigt er mit confirm_vat_supplementary erst nach Ihrer ausdrücklichen Antwort. prepare_tax_filing friert Werte und Prüfwert für 30 Minuten ein und führt die amtliche Prüfung aus, request_tax_filing_approval liefert den Link, der sieben Tage gilt. Gesendet wird in der App mit Ihrer PIN.

Für die Festschreibung braucht der Agent einen Schlüssel mit dem Recht „Zeiträume festschreiben“. Er nennt Ihnen den Stichtag, Sie bestätigen, und erst dann ruft er finalize_bookkeeping_period mit confirm=true auf. Danach ist der Zeitraum unveränderbar; Korrekturen laufen nur noch als Storno in einem offenen Zeitraum.

Recht und Verantwortung

Wer einen Agenten buchen lässt, gibt Arbeit ab, nicht Verantwortung: Bücher führt nach § 238 Abs. 1 HGB der Kaufmann, und Buchungen sind zeitgerecht und geordnet vorzunehmen (§ 146 Abs. 1 AO). Für Steuererklärungen verlangt § 150 Abs. 2 AO Angaben nach bestem Wissen und Gewissen – deshalb sieht die Person, die in der App sendet, die Werte vorher selbst.

Die Festschreibung markiert den Punkt, ab dem Buchungen eines Zeitraums nicht mehr verändert werden; sie setzt das Veränderungsverbot des § 146 Abs. 4 AO um, das die GoBD für elektronische Bücher näher beschreiben. Dass ein Mensch den Stichtag bestätigt, ist deshalb keine Formalie, sondern der Schlusspunkt jeder Stufe.

Häufige Fragen

Kann ein KI-Agent Routinebuchungen ohne meine Freigabe machen?

Nur in dem Rahmen, den Sie setzen: mit dem Recht „Buchen“ und wenn Sie die Werkzeuge in Ihrem KI-Programm dauerhaft erlauben. Nicht rückholbare Schritte soll der Agent einzeln bestätigen lassen. Festgeschrieben wird nur nach Ihrer ausdrücklichen Bestätigung, und Steuermeldungen übermitteln Sie selbst in der App.

Welche Rechte braucht ein Agent für Routinebuchungen?

„Lesen“ und „Buchen“. E-Mail-Versand, Webhooks und Festschreiben sind eigene Rechte, die Sie nur vergeben, wenn der Agent sie wirklich braucht.

Was ist der Unterschied zum Autopiloten der App?

Der Autopilot bucht Belege und Bankumsätze nach Ihren Einstellungen auf der Seite „Automatisch buchen“, ohne dass ein externes KI-Programm wie Claude oder ChatGPT beteiligt ist. Ein Agent arbeitet auf Ihren Auftrag im Chat und eignet sich für Aufgaben über mehrere Schritte, etwa das Monatsende oder Rückfragen zu offenen Fällen.

Kann der Agent einen Zeitraum festschreiben?

Ja, aber nur mit einem Schlüssel, der das Recht „Zeiträume festschreiben“ trägt, und erst nach Ihrer ausdrücklichen Bestätigung des Stichtags. Über den Konnektor für claude.ai wird dieses Recht nicht angeboten.

Wie sehe ich, was der Agent gebucht hat?

Im Journal mit fortlaufender Buchungsnummer und Herkunft, in der API-Nutzung der letzten 30 Tage je Schlüssel und an den Stornoverweisen. Über die Schnittstelle wird keine Buchung gelöscht, nur storniert.

Was tue ich, wenn der Agent falsch gebucht hat?

Lassen Sie die Buchung mit Grund stornieren (storno_journal_entry) oder stornieren Sie sie in der App; ein ganzer Import lässt sich mit storno_journal_batch zurücknehmen. Danach gehen Sie für diese Aufgabe eine Stufe zurück.