Må en revisor lægge klientdata ind i ChatGPT?

Som regel ikke uden grundig kontrol. Når man kopierer en klients tal, lønsedler eller korrespondance ind i et offentligt AI-værktøj, giver man dataene til en ekstern virksomhed, ofte uden for EU. For en revisor berører det to regelsæt på én gang: tavshedspligten og GDPR.

Tavshedspligt

Revisorer og bogholdere har tavshedspligt over for deres klienter. At dele klientoplysninger med tredjepart, også en softwareleverandør, kræver et solidt grundlag: klientens samtykke, en aftale der binder leverandøren til samme fortrolighed, eller begge dele. Jeres brancheorganisations vejledning er udgangspunktet.

GDPR

Klientdata indeholder som regel personoplysninger. Sender I dem til en AI-udbyder, bliver udbyderen databehandler: Det kræver en databehandleraftale, en registrering i jeres fortegnelse og, hvis dataene forlader EU, et lovligt grundlag for overførslen. Mange offentlige AI-værktøjer gemmer også samtaler, og nogle bruger dem til at træne deres modeller, medmindre man slår det fra.

Spørgsmål før I bruger et AI-værktøj til klientarbejde

1. Hvor behandles dataene, og i hvilket land?
2. Gemmes de bagefter, hvor længe, og bruges de til at træne modeller?
3. Er der en databehandleraftale, og dækker den tavshedspligten?
4. Kan I bagefter vise, hvad AI'en gjorde med hvilke data, og hvem der godkendte resultatet?

Alternativet: AI der bliver på kontoret

Disse spørgsmål forsvinder, når AI'en kører på en maskine på jeres eget kontor. Klientdata behandles dér og forlader aldrig bygningen, der er ingen ekstern databehandler, og hver handling registreres med navn og tidspunkt. Det er det, Bertha gør.

Denne artikel er generel information, ikke juridisk rådgivning. Kontrollér jeres egne forpligtelser hos jeres brancheorganisation eller rådgiver.