Srf: inga gratis AI-konton för kunddata, byrån behåller ansvaret

Redovisnings- och lönebyråer får inte köra kunddata i gratis- eller konsumentversioner av AI-tjänster.Srfkonsult Srf konsulternas nya vägledningssida AI-verktyg i den digitala redovisningsmiljön, länkad från översikten Digital redovisningsmiljö, säger att personuppgifter och annan skyddsvärd information inte får behandlas i AI-tjänsters gratis- eller konsumentkontonSrfkonsult, som typiskt sett saknar de skydd, avtalsvillkor och administrativa kontroller som en professionell verksamhet kräver.

Vägledningen fastställer först GDPR-rollerna: när en byrå behandlar personuppgifter för en kund är byrån biträde och kunden ansvarig. En AI-tjänst eller annan extern leverantör som får tillgång till personuppgifter i det arbetet kan därmed vara ett underbiträde. Innan tjänsten används för kundens personuppgifter måste byrån säkerställa att kunden har godkänt just det underbiträdet enligt deras personuppgiftsbiträdesavtal.Srfkonsult Vid ett allmänt tillstånd ska byrån informera kunden om planerade tillägg eller byten så att kunden kan invända. Byrån måste också teckna ett skriftligt avtal med underbiträdet som ger uppgifterna samma skydd som kundavtaletSrfkonsult — för AI-tjänster innebär det i regel leverantörens villkor för personuppgiftsbehandling, som ofta erbjuds endast i företagsversionerna. Om underbiträdet brister i sina skyldigheter är byrån fullt ansvarig gentemot kunden.Srfkonsult

Ansvaret för arbetsresultatet kan aldrig lämnas över till verktyget.Srfkonsult Konsulten måste bedöma rimligheten i varje AI-svar, analys eller förslagSrfkonsult och verifiera det innan det används i uppdraget eller lämnas till kundenSrfkonsult. Felaktiga slutsatser som genererats av ett AI-system befriar inte användaren från ansvar, och ett senare fel kan inte ursäktas med att verktygets svar eller underlag var felaktigt. Detsamma gäller verifikationer och konteringar som verktyget tar fram automatiskt: den som använder informationen ansvarar för att den är korrekt. Principerna i Rex 595 om användning av annans arbete kan vägleda AI som används som förarbete eller beslutsstöd, förutsatt att materialet granskas och kvalitetssäkras.

Före all AI-användning bör byrån kontrollera leverantörens villkor för lagring, behandling och skydd av uppgifterna — särskilt om leverantören använder uppgifterna för att träna eller förbättra sina modeller och var uppgifterna lagras och behandlas. Samma kontroll gäller när AI-funktioner är inbyggda i ett affärssystem eller annan programvara: ta reda på hur leverantören hanterar informationen och vilka skyddsåtgärder som finns.

Srf konsulternas avslutande checklista ber varje byrå att ha en intern rutin för vilka AI-verktyg som får användas, till vad och av vem; att verifiera och kvalitetssäkra AI-genererat material före användning; att aldrig åberopa verktyget som förklaring till felaktiga uppgifter eller bedömningar; att bara använda tjänster med tillräckligt skydd; att klarera underbiträden med kunden och avtalsvägen med leverantören; att kontrollera träningsanvändning och lagring inom EU/EES; samt att bekräfta att tjänsten uppfyller kraven på informationssäkerhet och personuppgiftshantering innan kunders bokföring analyseras i den.

Underbiträdesskyldigheterna vilar på artikel 28 i GDPR (förordning (EU) 2016/679); verifieringsskyldigheten följer Srf konsulternas Rex 595 om användning av annans arbete.