Risikobasierte Auswahl von Prüf- und Kontrollfällen (Steuer, Zoll, Lebensmittelsicherheit, Arbeitsschutzkontrolle)

Behörden können nur einen kleinen Bruchteil der Steuerpflichtigen, Sendungen, Restaurants oder Baustellen prüfen. Überwachte Risikomodelle bringen die Grundgesamtheit nach prognostizierter Regelverletzung in eine Rangfolge, sodass Prüfer mit den Fällen beginnen, die am ehesten einen wesentlichen Verstoß aufdecken, während ein Zufallsanteil das Modell ehrlich hält. Die Technik ist methodisch ausgereift und in der Praxis politisch sensibel: Der niederländische Skandal um das Kindergeld zeigt, was geschieht, wenn Risikobewertung ohne Rechtsgrundlage, Fairnesskontrollen und menschliches Urteil läuft.

Problem & Nutzen

• Heute: Die Fallauswahl stützt sich oft auf feste Regeln, die Erfahrung der Prüfer, einen Kalenderzyklus (jeder Betrieb einmal in N Jahren) oder Hinweise. Regeln veralten schnell und erzeugen blinde Flecken, und einheitliche Zyklen verschwenden Aufwand auf regelkonforme Einheiten.
• KI-Nutzen: Ein auf früheren Prüfergebnissen trainiertes Modell bündelt den Aufwand auf ertragreiche Fälle, findet neue Muster von Regelverletzungen und verkürzt die Zeit, bis kritische Verstöße gefunden werden. Ein Pilotprojekt des Lebensmittelkontroll-Prognosemodells der Stadt Chicago berichtete, dass Kontrolleure mit den Vorhersagen „kritische Verstöße viel schneller fanden“ („found critical violations much faster“) [6]; das Repository nennt keine genauen Zahlen.
• Abgrenzung des Umfangs: Dieser Eintrag betrifft die behördliche Rangbildung externer Einheiten. Unternehmensinterne Buchungsanomalien sind ANOM-006/ANOM-009; Steuerbetrugsnetzwerke (Umsatzsteuerkarussell) sind ANOM-018; Zollzielauswahl ist ANOM-021; Leistungsbetrugsrisiko ist ANOM-019. Dieser Eintrag ist das gemeinsame Auswahlgerüst: überwachte Rangbildung, Kapazitätsbudget, zufällige Kontrollgruppe, öffentlich-rechtliche Schutzvorkehrungen.
• Der Nutzen wird leicht überschätzt. Ein nur auf früheren Prüfungen trainiertes Modell lernt das frühere Verhalten der Prüfer (Auswahlverzerrung). Zufallsprüfungen sind die einzige unverzerrte Wahrheitsbasis, weshalb Zufallsprüfprogramme ein Standardelement der Forschung zur Steuerehrlichkeit sind; eine Zahl zur Ertragssteigerung wird hier nicht genannt, da keine aus Primärquellen verifiziert werden konnte.

Varianten

• Steuer: Einkommen-/Körperschaftsteuer, Umsatzsteuer, Lohnsteuer; Auswahl von Erklärungen für die Prüfung am Schreibtisch oder vor Ort. In Deutschland sieht das Steuerrecht bereits automatisierte Risikomanagementsysteme vor (RMS, § 88 Abs. 5 AO) innerhalb der Software-Landschaft KONSENS von Bund und Ländern.
• Zoll: Risikoanalyse von Anmeldungen und Manifesten vor der Ankunft im Rahmen des EU-Zollrisikomanagements; zu Besonderheiten des Betrugs siehe ANOM-021.
• Lebensmittelsicherheit und Veterinärkontrolle: risikobasierte Häufigkeit amtlicher Kontrollen (in Deutschland orientiert an den Risikokategorien der AVV RÜb), ergänzt durch ML auf Kontrollhistorie, Betriebsart und Beschwerden (das Chicagoer Modell [6] ist ein öffentliches Beispiel).
• Arbeits- und Baustellenkontrolle: nicht angemeldete Arbeit, Mindestlohn, Sicherheit; Auswahl unter Baustellen und Arbeitgebern.
• Umwelt-, Bau-, Produktsicherheits-Marktüberwachung, Fahrtenschreiber-/Straßenkontrollen: gleiches Muster, andere Bezeichnungen.
• Spiegelbild in der Privatwirtschaft: Ein Großunternehmen reiht Lieferanten für Audits ein (Sorgfaltspflichten in der Lieferkette, LkSG), mit derselben Methode und weit geringeren rechtlichen Beschränkungen.

So funktioniert es

1. registers + filings + inspection history + tips
2. entity resolution & feature store (history, ratios, peer-group deviation, network/graph features)
3. label construction (outcome of past audits: adjustment amount, violation severity; random-audit sample)
4. model (gradient boosting; calibrated probabilities; optional anomaly + graph signals)
5. expected-yield ranking (probability × expected amount ÷ audit effort)
6. selection under capacity budget + random control share + exclusion rules
7. case worker review (reason codes, evidence pack)
8. audit / inspection
9. outcome recorded
10. monitoring (hit rate, fairness by group, drift) and periodic retraining

• Zentrale KI-Komponenten: tabellarisches ML auf entwickelten Merkmalen (das Arbeitspferd), Peer-Group-Anomaliewerte für Einheiten ohne Historie, Graphmerkmale für verbundene Parteien und Kettenstrukturen sowie Textklassifikatoren/LLMs nur zur Strukturierung von Beschwerden oder früheren Kontrollberichten.
• Mensch-in-der-Schleife (Human-in-the-Loop): Das Modell schlägt vor; eine Sachbearbeiterin oder ein Sachbearbeiter entscheidet, ob ein Fall eröffnet wird, und hält die Begründung fest. Das Modell darf nie selbst eine Sanktion erzeugen. Art. 22 DSGVO beschränkt Entscheidungen, die ausschließlich auf automatisierter Verarbeitung beruhen und rechtliche oder ähnlich erhebliche Wirkung haben [4].
• Exploration: Reservieren Sie einen Zufallsanteil (oft wenige Prozent, von Statistikern festgelegt), um die tatsächliche Regelverletzung zu messen und Modellverzerrungen zu erkennen; Epsilon-Greedy oder Bandit-artige Exploration ist eine Verfeinerung.

Datenaufbereitung

Benötigt werden historische Prüf- und Kontrollakten mit Ergebnissen, Erklärungen und Stammdaten, Daten Dritter (Register, Zolldaten) sowie frühere Feststellungen. In einer Behörde liegen diese in Fachverfahren, Dokumentenmanagement, Mail und Papierakten; in einem Unternehmen im ERP und in Prüfwerkzeugen. Typische Lücken sind Ergebnis-Labels nur für geprüfte Fälle (Auswahlverzerrung), fehlende oder uneinheitliche Ergebniscodes, doppelte Einheiten, gescannte Akten ohne Text sowie strenge Zugriffsrechte und Zweckbindung zwischen Datenquellen.

Aufbereitungsschritte: Rechtsgrundlage und Zweckbindung klären (PREP-025); Ergebniskategorien festlegen (PREP-019); Labels aus abgeschlossenen Fällen gewinnen (PREP-020); Papierakten per OCR digitalisieren (PREP-006); Einheiten deduplizieren und Stammdaten vereinheitlichen (PREP-011); Trainingsdaten pseudonymisieren (PREP-022); zufällige Kontrollstichproben ergänzen, um Verzerrungen zu messen. Werkzeuge sind Python, PostgreSQL, Paperless-ngx oder ähnliche OCR-Pipelines. Prüfen Sie die Reife mit PREP-001 und GUIDE-003. Rechnen Sie mit etwa 60 Prozent des Aufwands für Daten und rechtliche Klärung.

Umsetzungswege

Welcher Weg für wen

• public: C, weil die Fallauswahl hochsensible Steuer-, Zoll- oder Kontrolldaten nutzt und souverän, erklärbar und prüfbar auf Open-Source-Modellen auf HW1 laufen muss.
• enterprise: B, weil interne Revisions- und Compliance-Teams Cloud-ML-Dienste auf vorhandenen ERP-Daten nutzen können, sofern die Daten nicht vertraulich sind.
• developer: C, weil Anbieter, die Lösungen für Behörden bauen, selbst betreibbare, prüfbare Komponenten brauchen.

Weg A — Kaufen (Standardsoftware)

Betrugs-/Compliance-Analytik-Suiten großer Anbieter (z. B. SAS, IBM, Quantexa) und nationale Rahmenwerke (KONSENS für die deutschen Steuerverwaltungen, EU-Zollsysteme) bieten Fallmanagement plus Scoring. EU-Integratoren bauen darauf maßgeschneiderte Lösungen. Die richtige Wahl, wenn bereits ein Fallmanagementsystem existiert und eigene Data-Science-Kapazität dünn ist; bei der Beschaffung müssen Modelldokumentation, Erklärbarkeit und Auditprotokolle gefordert werden. Herstellerangaben zum Ertrag sollten mit Ihrer eigenen Auswertung von Zufallsprüfungen validiert werden.

Weg B — Auf Cloud-KI-Diensten aufbauen

Klassisches Scoring braucht keine LLM-APIs. Die Cloud-Nutzung beschränkt sich auf verwaltete ML-Plattformen in einer EU-Region (z. B. AWS, Azure, Google Cloud in EU-Regionen oder EU-Anbieter wie STACKIT, IONOS, OVHcloud) und optionale LLM-Aufrufe (Mistral, in der EU gehostete Claude-/GPT-Bereitstellungen) zur Strukturierung von Beschwerdetexten. Für Steuer-, Zoll- und andere geheimnisgeschützte Daten können Behörden die öffentliche Cloud in der Regel nicht ohne Rechtsgrundlage und Souveränitäts-Cloud-Regelungen nutzen; gehen Sie davon aus, dass dies für das Kernmodell schwierig ist.

Weg C — Selbst betreiben (Open Source)

Empfohlener Standard. Python mit scikit-learn, XGBoost/LightGBM/CatBoost, SHAP für Merkmalsbeiträge, Fairlearn und AIF360 für Fairnesskennzahlen, MLflow für die Nachverfolgbarkeit, ein Feature Store (Feast) auf PostgreSQL, NetworkX/Neo4j für Graphmerkmale und eine offene Workflow-Engine für die Fallzuweisung. Training und Scoring laufen auf einem CPU-Server (HW1); GPUs spielen nur eine Rolle, wenn ein lokales LLM (HW2) Freitextberichte liest. Betriebsaufwand: ein kleines Team (Data Engineer, Data Scientist, Fachexperte für Prüfung, Rechts-/Datenschutzbeauftragte(r)).

Weg D — Eigenes Training

Dieser Anwendungsfall ist eigenes Training: Das Modell wird auf den eigenen Prüfergebnissen der Behörde trainiert. Datenbedarf: mehrere Jahre Prüfergebnisse mit festgesetzten Beträgen oder Verstoßgraden, plus eine Zufallsprüfstichprobe. Ohne Zufallsstichprobe ist mit Auswahlverzerrung zu rechnen; investieren Sie zuerst in eine. Die Übertragung von anderen Behörden ist begrenzt, da Rechtsregeln und Grundgesamtheiten sich unterscheiden.

Stand der Technik (2026)

• Methoden: Gradient-Boosted Trees bleiben auf diesen tabellarischen Daten am besten; Gewinne kommen aus dem Label-Design (Ertrag, nicht nur Treffer/Fehlschlag), Kalibrierung, Uplift-/kausaler Betrachtung (ändert eine Prüfung das Verhalten oder holt sie Steuern zurück?), Graphmerkmalen und robusten Fairnesstests. LLMs wirken als Hilfsmittel (Fallakten zusammenfassen, das Nachweispaket entwerfen), nicht als Bewerter.
• Governance als Grenze: Das Risikomodell der niederländischen Steuerbehörde für das Kindergeld nutzte die Staatsangehörigkeit als Faktor; Amnesty International dokumentierte Diskriminierung und Racial Profiling [5], rund 26.000 Eltern wurden zu Unrecht des Betrugs beschuldigt, und das Kabinett Rutte III trat im Januar 2021 zurück [7]. Ähnliche Lehren stammen aus SyRI, das ein niederländisches Gericht 2020 stoppte. Beides sind Standardreferenzen dafür, was zu vermeiden ist.
• Grenzen und Fehlerbilder: Rückkopplungsschleifen (man findet nur, was man prüft), Proxy-Diskriminierung über Postleitzahl oder Branche, Drift, wenn Hinterzieher sich anpassen, unzuverlässige Labels (Prüfergebnisse hängen vom Prüfer ab), übermäßiges Vertrauen der Sachbearbeitung (Automatisierungsverzerrung) und das Fehlen von Begründungen, die ein Gericht akzeptiert.

Gemeinsame Bausteine & Kombinationen

• Gemeinsame Bausteine: Feature Store und Pipeline zur Entitätsauflösung, tabular-ml-Stack, graph-ml für Netzwerke, anomaly-detection für Einheiten ohne Labels, Fallmanagement-Workflow, Modellüberwachung und Fairness-Dashboard. Alles läuft auf HW1-CPU-Servern; eine optionale gemeinsame HW2-GPU bedient Dokument-LLMs.
• Kombiniert sich mit: ANOM-018 (Steuerbetrug und Umsatzsteuerkarussell), ANOM-021 (risikobasierte Zollzielauswahl), ANOM-019 (Leistungsbetrug/-fehler, Schutzvorkehrungen für hohes Risiko nach AI Act), ANOM-006 und ANOM-009 (das unternehmensinterne Gegenstück), PRED-029 (Risikoprofilierung von Klienten öffentlicher Dienste, gleiche Fairness-Mechanik), PRED-009 und PRED-021 (Kalibrierung im Stil von Ausfallwahrscheinlichkeiten und Priorisierung von Forderungseinzug), PRED-039 und PRED-045 (weitere staatliche Anwendungsfälle zur Risikoreihung mit strengen Grenzen), DOC-001 (Einlesen von E-Rechnungen und Anmeldungen).

Aufwand, Kosten & Kennzahlen

• Aufwand: A, einige Monate für Integration und Beschaffung; C, typischerweise 6–18 Monate bis zu einem validierten, rechtlich freigegebenen Produktivmodell, überwiegend für Datenzugang, Rechtsgrundlage und Auswertung von Zufallsprüfungen statt für Modellierung; D, wie C plus ein mehrjähriges Zufallsprüfprogramm. Kostentreiber sind die Datenintegration über Silos hinweg, die rechtliche Prüfung und Prüfkapazität für die Exploration.
• Kennzahlen: Trefferquote (Anteil der Prüfungen mit wesentlichen Feststellungen), zusätzliche Einnahmen oder gefundene Verstöße je Prüfstunde gegenüber der Ausgangslage, Kalibrierungsfehler, Anteil der von der Sachbearbeitung übersteuerten Fälle, Last durch falsch positive Fälle je Gruppe (Fairnesskennzahlen), durchschnittliche Zeit bis zur Entdeckung kritischer Verstöße, Modelldrift, Ergebnisse von Beschwerden und Rechtsbehelfen.

Menschen & Veränderung

Beziehen Sie die Leitung und die Abteilungsleitung früh ein, da Auswahlkriterien die Rechtsdurchsetzung prägen; Datenverantwortliche und IT-Sicherheit für den Zugriff, die/den Datenschutzbeauftragte(n) vom ersten Tag an (Rechtsgrundlage, Zweckbindung; eine Datenschutz-Folgenabschätzung (DSFA) ist erforderlich, da Personen systematisch bewertet werden, Art. 35 DSGVO) und die Rechtsabteilung für verwaltungsrechtliche Anforderungen wie Begründung und Gleichbehandlung. Der Personalrat bzw. Betriebsrat muss beteiligt werden: Das System betrifft die Arbeit der Prüfer (§90 Abs. 1 Nr. 3 BetrVG) und, wenn die Leistung bei der Fallbearbeitung protokolliert wird, §87 Abs. 1 Nr. 6; die Hinzuziehung eines Sachverständigen ist nach §80 Abs. 3 möglich. Unterstützt KI Personalentscheidungen, gilt §95 Abs. 2a.

KI-Kompetenz (Art. 4 KI-Verordnung): Schulen Sie Prüfer darin, wie Risikowerte entstehen, wo ihre Grenzen liegen und welche Verzerrungen auftreten. Führen Sie einen Pilot in einer Dienststelle oder Region mit zufälligen Kontrollstichproben durch (GUIDE-009). Typische Sorgen: Verlust von Ermessen und Angst vor Diskriminierung; begegnen Sie dem mit der Regel, dass der Wert nur priorisiert und die Prüferin oder der Prüfer entscheidet und die Gründe dokumentiert, mit regelmäßigen Verzerrungsprüfungen. Siehe GUIDE-004, GUIDE-005 und GUIDE-014.

Risiken, Regulierung & Compliance

• KI-Verordnung (AI Act): Die Einstufung hängt vom Einzelfall ab. Anhang III Nr. 5 Buchst. a nennt Systeme, die Behörden nutzen, um die Anspruchsberechtigung auf wesentliche öffentliche Leistungen und Dienste zu bewerten und diese zu gewähren, zu kürzen, zu widerrufen oder zurückzufordern [1]; Varianten zur Leistungsberechtigung (ANOM-019, PRED-029) sind daher Hochrisiko. Die Auswahl von Steuer- und Zollprüfungen ist in Anhang III als solche nicht genannt, sodass eine Einstufung als minimales oder hohes Risiko im Einzelfall zu bewerten ist, doch Art. 6 Abs. 3 stellt klar, dass ein System nach Anhang III, das natürliche Personen einem Profiling unterzieht, stets Hochrisiko ist [3]. Art. 5 Abs. 1 Buchst. d verbietet die Bewertung des Risikos, dass eine natürliche Person eine Straftat begeht, allein auf Grundlage von Profiling oder Persönlichkeitsmerkmalen; die Unterstützung einer menschlichen Bewertung auf Basis objektiver, überprüfbarer Tatsachen ist ausgenommen [2]. Behandeln Sie Verdachtslisten einzelner Personen allein aus Scores als unzulässig und gestalten Sie die Prüfung faktenbasiert und menschlich geführt. Spezifische Anwendungen der Strafverfolgung unterliegen gesonderten Regeln (siehe PRED-039, PRED-045).
• DSGVO: Die Verarbeitung beruht auf einer gesetzlichen Aufgabe (Art. 6 Abs. 1 Buchst. e) mit nationaler Rechtsgrundlage; die Zweckbindung über Silos hinweg ist die Haupthürde. Art. 22 beschränkt ausschließlich automatisierte Entscheidungen mit erheblicher Wirkung und verlangt menschliches Eingreifen und Anfechtbarkeit [4]; besondere Kategorien nach Art. 9 und Proxys müssen ausgeschlossen werden; eine DSFA ist erforderlich. Das Steuergeheimnis (§ 30 AO in Deutschland) sowie Zoll- und Kontrollgesetze setzen weitere Grenzen.
• Nichtdiskriminierung: Verwenden Sie weder Staatsangehörigkeit noch ethnische Herkunft oder Proxys; testen und veröffentlichen Sie Fairnesskennzahlen; der niederländische Fall zeigt die Folgen [5][7].
• Gegenmaßnahmen: Rechtsgrundlage vor Data Science; dokumentierte Modellkarte (Model Card); zufälliger Kontrollanteil; Begründungscodes; unabhängige Prüfung des Modells; Schulung der Sachbearbeitung zur Automatisierungsverzerrung; Protokollierung für die gerichtliche Überprüfung; Beschwerdeweg.
• Privatwirtschaft: Die Auswahl von Lieferantenaudits hat meist minimales Risiko, doch wenn Beschäftigte für Kontrollen eingereiht werden, gelten Arbeitsrecht und Betriebsräte.

Erste Schritte

1. Rechtsgrundlage sowie die Einstufung nach AI Act und DSGVO mit Ihrer/Ihrem Datenschutzbeauftragten und der Rechtsabteilung klären, bevor Sie Daten anfassen.
2. Eine repräsentative Zufallsstichprobe von Prüfungen ziehen (oder prüfen, ob eine existiert), um Wahrheitsbasis und Basis-Trefferquote zu definieren.
3. Eine transparente Baseline (logistische Regression oder kleines Boosting-Modell mit SHAP) auf 2–3 Jahren Daten bauen, kalibriert auf den erwarteten Ertrag je Prüfstunde.
4. Einen Rückwärtstest und einen Pilot im Schattenbetrieb gegen die aktuelle Auswahl durchführen; Fairnesskennzahlen je Gruppe vor jeder Live-Nutzung berechnen.
5. Einen Pilot einführen, in dem die Sachbearbeitung Werte und Begründungscodes sieht, mit festem Zufallsanteil und monatlicher Überwachung; erst nach einer Prüfung ausweiten.

Quellen

1. EU AI Act, Annex III (access to essential private and public services): https://artificialintelligenceact.eu/annex/3/ (accessed 2026-10)
2. EU AI Act, Article 5 (prohibited practices, incl. 5(1)(d)): https://artificialintelligenceact.eu/article/5/ (accessed 2026-10)
3. EU AI Act, Article 6 (classification rules, derogation and profiling clause): https://artificialintelligenceact.eu/article/6/ (accessed 2026-10)
4. GDPR Article 22, automated individual decision-making: https://gdpr-info.eu/art-22-gdpr/ (accessed 2026-10)
5. Amnesty International, "Xenophobic Machines" report page on the Dutch childcare-benefits algorithm: https://www.amnesty.org/en/documents/eur35/4686/2021/en/ (accessed 2026-10)
6. City of Chicago, food-inspections-evaluation repository (forecasting model and pilot): https://github.com/Chicago/food-inspections-evaluation (accessed 2026-10)
7. Wikipedia, Dutch childcare benefits scandal (26,000 parents, cabinet resignation 15 Jan 2021): https://en.wikipedia.org/wiki/Dutch_childcare_benefits_scandal (accessed 2026-10)