Hvis du driver et revisions- eller regnskabsfirma i 2026, hører du omfangsmæssigt til de største behandlere af personoplysninger i den europæiske økonomi og arbejder under strammere vilkår end de fleste dataansvarlige: for dig gælder GDPR, en national ordning for tavshedspligt og EU's regelsæt mod hvidvask, og klienternes oplysninger behandler du på deres vegne. At maskere dokumenter for revisorer, altså at skjule navne, skattenumre, IBAN og lønposter i hvert klientdokument, der passerer gennem firmaet, er i dag den operative port, der afgør, om firmaet overhovedet kan bruge AI-værktøjer, dele filer sikkert med udenlandske korrespondenter og bestå både en undersøgelse fra en tilsynsmyndighed og et audit fra en finansiel efterretningsenhed.
Dette er den tredje artikel i vores serie af guider om maskering. Hovedguiden gennemgår den underliggende teknik og den generelle GDPR-ramme. Denne artikel zoomer ind på regnskab og revision: lønbehandling, selvangivelser, KYC/AML, revisionens arbejdspapirer og klientkorrespondance, altså området hvor mængden af personoplysninger pr. professionel er størst i alle kategorier af professionelle tjenester, og hvor regelsættet er mest lagdelt.
Det er også den klyngeartikel, der er mest direkte anvendelig for firmaer med grænseoverskridende arbejde. Revisorer, der betjener italienske borgere fra et fransk kontor, franske klienter, der indberetter via et irsk holdingselskab, tyske Mittelstand-virksomheder med spanske datterselskaber: hver grænseoverskridende skatteproces skaber et flow af personoplysninger, der passerer to eller tre jurisdiktioner, før det lander i en selvangivelse. Maskeringslaget er det, der gør dette flow forsvarligt.
En bemærkning om omfanget: i denne artikel betegner dokumentmaskering og maskering af personoplysninger for revisorer det samme operative lag sammen med den maskeringssoftware, der driver det. Anonymisering af skattenumre, momsnumre og EORI-numre behandles som delcases af det samme problem med multinationale identifikatorer, og et regnskabsfirmas forpligtelser efter GDPR omfatter både rollen som dataansvarlig og rollen som databehandler. AI-compliance for revisorer er paraplybegrebet for den samlede stak af GDPR, AI-forordningen og hvidvaskreglerne, som omtales nedenfor, med vægt på firmaets rolle som idriftsætter af AI-værktøjer.
1. Hvorfor regnskabsfirmaer er de største behandlere af personoplysninger i EU
Fem strukturelle forhold forklarer tilsammen, hvorfor maskering af personoplysninger for revisorer er væsentligt mere kompleks end i nogen anden kategori af professionelle tjenester.
For det første mængden. Et mellemstort regnskabsfirma betjener hundredvis af klienter, der hver især genererer månedlige lønkørsler, kvartalsvise momsangivelser, årlige selvangivelser, KYC-onboardingdokumenter og løbende klientkorrespondance. Ét enkelt firma behandler flere individuelle personoplysningsposter om året end mange marketingplatforme, og oplysningerne er strukturelt rigere (national identifikator, økonomi, ansættelse, nogle gange helbred).
For det andet følsomheden. Oplysningerne identificerer personer og er samtidig omfattet af flere regelsæt. Nationale identifikatorer (Codice Fiscale i Italien, NIR i Frankrig, Steuer-ID i Tyskland, DNI/NIE i Spanien) er personoplysninger efter GDPR og samtidig mål for svindelrisiko. Lønoplysninger overlapper med de særlige kategorier i artikel 9 i GDPR, så snart de indeholder årsager til sygefravær, invaliditetsydelser, fagforeningskontingent eller pensionsrettigheder med trosmæssig karakter. AML/KYC-dokumenter (pas, id-kort, erklæringer om reelle ejere) er underlagt en særskilt opbevaringspligt efter EU's regelsæt mod hvidvask.
For det tredje rollefordelingen. Revisorer er databehandlere for deres klienters oplysninger og ikke dataansvarlige. Derfor er artikel 28 i GDPR, altså databehandleraftalen, oplysningen om underdatabehandlere og den dokumenterede kæde af bemyndigelser, rygraden i firmaets forhold til hver enkelt klient. En uautoriseret underdatabehandler, en gratis ChatGPT-konto iberegnet, er et kontraktbrud over for hver enkelt af disse klienter på samme tid.
For det fjerde tavshedspligten. Artikel 622 i den italienske Codice Penale og artikel 1175 og 1375 i Codice Civile, artikel L820-5 i den franske Code de commerce og OEC's etiske kodeks, § 57 StBerG sammenholdt med § 203 StGB i Tyskland og RGL del ICEC i Spanien pålægger alle en strafferetlig eller straflignende tavshedspligt. Samspillet med GDPR er ikke ligetil: dataminimering efter artikel 5 i GDPR overlapper med tavshedspligten, men reglerne for videregivelse er forskellige (GDPR har en ret til indsigt, tavshedspligten giver næsten absolut fortrolighed). En revisors forpligtelser efter tavshedspligten er normalt strengere end indsigtsrettighederne efter GDPR, og firmaet skal opfylde begge dele.
For det femte er grænseoverskridende dataflow normalen. En typisk opgave for mellemstore virksomheder indebærer flow til en korresponderende revisor i udlandet, til klientens udenlandske skattemyndigheder, til korrespondentbanker for IBAN-verifikation og til det centrale virksomhedsregister i en eller flere medlemsstater. Hvert flow kræver sin egen vurdering af overførslen efter artikel 44. Grænseoverskridende skatteoplysninger, der sendes gennem en amerikansk LLM, er én enkelt let bevisbar GDPR-overtrædelse i enhver kontrol, fordi netværkslogfilerne alene er tilstrækkeligt bevis.
2. De seks dokumentkategorier, som ethvert regnskabsfirma håndterer
Forskellige dokumentkategorier giver forskellige maskeringsmønstre. De seks nedenfor dækker cirka 98 % af det, der flyder gennem et regnskabsfirma, og passer godt ind i maskeringsarkitekturen.
1. Lønkørsler og lønsedler. XLSX-filer med flere medarbejdere med navn, skattenummer, IBAN, bruttoløn, fradrag og bemærkninger; lønsedler i PDF for hver medarbejder; årlige lønoversigter. Maskeringsproblemet er her multimodalt: strukturerede personoplysninger på celleniveau (kolonnen med skattenummer, kolonnen med IBAN) plus ustrukturerede noter (lederes kommentarer, årsager til sygefravær). Lønanonymisering med et generisk søg-og-erstat ødelægger lønformlerne, mens et maskeringsværktøj, der forstår celletyper, bevarer regnearkets analytiske værdi og maskerer personoplysningerne. Lønmaskering er også den hyppigste maskeringsaktivitet i ethvert firma.
2. Selvangivelser og skatteopgørelser. Italienske 730, F24, Modello Unico, IRAP; franske liasse fiscale, déclaration de TVA, IS; tyske Einkommensteuererklärung, Umsatzsteuer-Voranmeldung, Bilanz; spanske Modelo 100, Modelo 303, Modelo 200. Hver angivelse indeholder skatteyderens personoplysninger og ofte også oplysninger om forsørgede eller medarbejdere. Maskering af angivelser er nødvendig, hver gang angivelsen eller dens arbejdspapirer deles med en tredjepart (korrespondance med et andet firma, støtte til revision, gennemgang med AI-støtte). Når angivelser anonymiseres til AI-analyse, skal maskeringen bevare beregningslogikken og samtidig skjule identifikatorerne, hvilket kræver struktureret genkendelse oven i mønstergenkendelse.
3. KYC/AML-onboardingdokumenter. Identitetsdokumenter (pas, id-kort), adressebevis, erklæringer om reelle ejere, dokumentation for midlernes oprindelse. Disse er omfattet af EU's hvidvaskregelsæt: AMLD4 (2015), AMLD5 (2018), AMLD6 (2018), AMLR (forordning (EU) 2024/1624) og AMLD (direktiv (EU) 2024/1640). Revisorer er omfattede enheder efter dem alle. Maskering af KYC-oplysninger er i denne sammenhæng asymmetrisk: selve KYC-sagen kan du ikke maskere (den skal opbevares), men oplysninger afledt af KYC skal maskeres, hver gang de bevæger sig ind i et efterfølgende forløb (AI-sammendrag, intern uddannelse, klientkorrespondance om en tredjepart).
4. Revisionens arbejdspapirer. For firmaer med revisionspraksis indeholder arbejdspapirerne uddrag fra klientens systemer, medarbejderidentifikatorer, leverandøroplysninger og ledelsens kommunikation. ISA 230 kræver opbevaring i mindst fem år; vejledning fra ICAEW og IAASB behandler arbejdspapirer som fortrolige. Maskering af arbejdspapirerne gør det muligt at dele dele af dem med fælles revisionsteams, kollegiale reviewere og kvalitetsreviewere uden at overtræde hverken GDPR eller revisionens fortrolighedsregler.
5. Kontrakter og klientkorrespondance. Opgavebekræftelser, honorartilbud, rådgivningsnotater, e-mailudvekslinger. De indeholder klientens personoplysninger, ofte tredjeparters personoplysninger (klientens modpart) og ikke sjældent strategiske oplysninger om en transaktion. Generiske AI-assistenter til e-mail og værktøjer til dokumentresuméer, der arbejder med denne kategori, skaber den mest snigende eksponering for shadow AI, fordi brugeren opfatter aktiviteten som lavrisiko (“jeg resumerer bare min indbakke”).
6. Bank- og treasuryoplysninger. IBAN-lister, SWIFT-kontoudtog, betalingsgodkendelser, bankafstemninger. Personoplysningerne er her koncentreret i IBAN og kontohavernes navne; den økonomiske følsomhed er høj; både PSD2 og reglerne for SCT-ordningen lægger et ekstra lag oven på GDPR-grundlaget. IBAN-maskering er et hyppigt mikroforløb, der bør køre automatisk før ethvert AI-trin på finansielle dokumenter.
Mønstret er det samme i alle seks kategorier: strukturerede data kræver struktureret maskering, fri tekst kræver ML-genkendelse, og revisionscertifikatet er det, der gør handlingen forsvarlig over for både databeskyttelsesrådgiveren og den finansielle efterretningsenhed.
3. Landskabet af nationale identifikatorer og hvorfor mønstergenkendelse ikke er nok
Revisorer arbejder med nationale identifikatorer mere end nogen anden faggruppe. Hver af dem har en struktur, en algoritme for kontrolcifferet og et sæt risici for falske fund. En generisk maskeringsfunktion, der er trænet på amerikanske Social Security-numre, overser i stilhed de fleste af dem.
| Land | Identifikator | Længde | Bemærkninger |
|---|---|---|---|
| Italien | Codice Fiscale | 16 alfanumeriske tegn | Efternavn + fornavn + fødselsdato + køn + fødested + kontroltegn. Strukturen afslører fødselsdato og køn, selv når den omgivende kontekst er maskeret. |
| Italien | Partita IVA | 11 cifre | Momsnummer; provinsen er kodet; kontrolciffer. Forveksles ofte med CF i fri tekst. |
| Frankrig | NIR / INSEE | 15 cifre | Køn + år + måned + département + kommune + løbenummer + kontrol. Identificerer entydigt en person inden for fødekommunen. |
| Frankrig | SIRET / SIREN | 14 / 9 cifre | Identifikator for driftssted / virksomhed. Personoplysning for selvstændige. |
| Tyskland | Steuer-ID (IdNr) | 11 cifre | Personligt skattenummer, livslangt, kan ikke udledes af fødselsdatoen. Strengt reguleret. |
| Tyskland | USt-IdNr | 9 cifre efter DE | Momsnummer til grænseoverskridende transaktioner. |
| Spanien | DNI / NIE | 8 cifre + bogstav | DNI til statsborgere, NIE til udenlandske indbyggere. Bogstavet er en deterministisk kontrol. |
| Spanien | CIF (ældre) / NIF | 9 tegn | NIF til enkeltmandsvirksomheder svarer til DNI; CIF til juridiske personer. |
| EU | EORI | varierer | Toldidentifikator. Format pr. medlemsstat; personoplysning for selvstændig importør. |
| EU | IBAN | 15-34 alfanumeriske | Landekode + kontrol + BBAN; strukturelt valideringsbar. Det enkelte felt i løndata, der oftest lækker. |
Redactic kombinerer automatisk identifikation, dokumentbehandling og menneskelig gennemgang for at hjælpe med at finde følsomme oplysninger, også i understøttede indscannede dokumenter. Gennemgå fundne værdier, før du udfører permanent eller reversibel maskering. Dækningen afhænger af dokumentets kvalitet, sprog og kontekst; automatisering kan overse oplysninger. Prøv repræsentative filer og eksporterede resultater, før du indfører en arbejdsgang.
Maskeringsbeslutningen afhænger også af den enkelte identifikator. EORI- og momsnumre er normalt ikke personoplysninger for selskaber og skal ikke maskeres i et rent B2B-forløb; de samme numre er personoplysninger for selvstændige og skal maskeres. Værktøjet skal forstå konteksten omkring enhedstypen for at træffe den rigtige beslutning.
4. Stakken af GDPR og AML og hvordan den adskiller sig for revisorer
Tre regelsæt gælder samtidig for ethvert regnskabsfirma: GDPR, EU's rammer mod hvidvask og den nationale lovgivning om tavshedspligt. De er ikke afstemt efter hinanden; nogle steder kolliderer de.
Artikel 28 i GDPR som databehandlerens rygrad. En revisor er databehandler for sine klienter. Opgavebekræftelsen skal indeholde bestemmelserne i artikel 28, stk. 3, eller henvise til dem. Underdatabehandlere (den skybaserede regnskabsplatform, udbyderen af e-fakturering, OCR-leverandøren, LLM'en) skal oplyses til klienten med ret til at gøre indsigelse. Brug af shadow AI fra en senior revisors side overtræder artikel 28 over for hver klient, hvis oplysninger var med i sessionen, normalt dusinvis på én gang.
Artikel 32 i GDPR og behandlingssikkerhed. EDPB's retningslinjer fra 2024 om tekniske og organisatoriske foranstaltninger for databehandlere placerer udtrykkeligt pseudonymisering i den anbefalede værktøjskasse. For revisorer betyder det: maskér før AI-brug, kryptér hvilende data, log adgang, dokumentér kontrollerne. Et firma uden maskeringslag kan ikke troværdigt hævde, at det har opfyldt artikel 32 for AI-forløb.
AMLD6 og AMLR (2024). Det sjette hvidvaskdirektiv (direktiv (EU) 2018/1673) kriminaliserede hvidvask med harmoniserede underliggende lovovertrædelser; AMLR fra 2024 (forordning (EU) 2024/1624) er det nye fælles regelsæt, der finder direkte anvendelse fra juli 2027 sammen med den nye EU-myndighed mod hvidvask (AMLA). Revisorer er omfattede enheder efter begge. De KYC-dokumenter, de indsamler, skal opbevares i mindst fem år efter forretningsforholdets ophør. Opbevaringen af AML- og KYC-oplysninger og princippet om opbevaringsbegrænsning i GDPR skaber en tilsyneladende spænding; løsningen er, at opbevaringspligten efter hvidvaskreglerne er retsgrundlaget efter artikel 6, stk. 1, litra c, for selve opbevaringen, mens den efterfølgende behandling af de samme oplysninger (AI-sammendrag, intern analyse) er en særskilt behandlingsaktivitet, der kræver sit eget grundlag. Overholdelse af AMLD6 og overholdelse af GDPR kan sameksistere med omhyggelig udformning af forløbet.
Tavshedspligt på nationalt niveau. Artikel 622 i den italienske Codice Penale indebærer strafansvar for videregivelse fra en indehaver af tavshedspligt; fransk tavshedspligt knytter sig til indskrivningen i tableau de l'ordre; § 57 StBerG med § 203 StGB gør tavshedspligten strafbar i Tyskland; spansk tavshedspligt er lovbestemt. I hvert tilfælde er tavsheden normalt strengere end indsigtsretten efter GDPR, hvilket betyder, at firmaet skal (a) afslå visse anmodninger om indsigt med henvisning til tavshedspligten, selv når GDPR ville tillade dem, og (b) sørge for, at shadow AI ikke udgør en videregivelse til en tredjepart (LLM-udbyderen).
EU's AI-forordning for revisorer. Højrisikoklassificeringen i bilag III til AI-forordningen gælder ikke for de fleste anvendelser af AI i regnskab (bilag III handler især om HR og biometri). Men gennemsigtigheden i artikel 13, idriftsætterens forpligtelser i artikel 26 for ethvert højrisikosystem og forpligtelsen til at sikre AI-kompetencer i artikel 4 (gældende fra februar 2025) rammer også revisorer. Et eksempel: et AI-værktøj, der bruges til at sortere indberetninger om mistænkelige aktiviteter (SAR) inden for hvidvaskreglerne, ville sandsynligvis være højrisiko efter bilag III, punkt 5, litra d (“AI-systemer, der bruges til risikovurdering i finansielle tjenester”). Revisoren, der idriftsætter det, bærer idriftsætterens forpligtelser.
Konklusionen: hver AI-anvendelse i et regnskabsfirma skal samtidig igennem GDPR (artikel 28 og artikel 32), AML (AMLR og AMLA, hvor de finder anvendelse), national tavshedspligt og, for nogle snævre kategorier, højrisikoforpligtelserne i AI-forordningen. GDPR-compliance for revisorer er som udgangspunkt flerregimet, og maskeringslaget er den eneste tekniske kontrol, der virker på tværs af alle fire.
Et AI-resumé af et lønskema kan på én gang aktivere forpligtelser om privatliv, fortrolighed, ansættelsesret og økonomisk kriminalitet. Maskering kan mindske eksponeringen af fundne identifikatorer, men løser ikke formålsbegrænsninger, retsgrundlag, tavshedspligt eller begrænsninger for efterfølgende brug. Vurdér dem særskilt, før du deler indhold.
5. Shadow AI-problemet i regnskabsfirmaer
Den dynamik omkring shadow AI, som vi behandlede i HR-klyngen, findes også i regnskabsfirmaer, med andre specifikke risikomønstre.
Forløbet i skyggen ved kvartalets udgang. En senior medarbejder, der arbejder en lørdag før fristen for selvangivelser, indsætter en XLSX med 2.000 rækker med medarbejdernes navne, Codice Fiscali, IBAN og lønninger i en privat ChatGPT-konto for at “kontrollere totalerne”. Modellen ser hele klientlisten. Modellens logfiler ser det som en forespørgsel. Sessionen kan træne den næste modelversion. Firmaets fortegnelser efter artikel 30 ser intet af det. Klienten ved ingenting.
Oversættelsesforløbet i skyggen. En professionel, der arbejder på en grænseoverskridende opgave, bruger et gratis oversættelsesværktøj til at omsætte en tysk medarbejderhåndbog til italiensk. Håndbogen indeholder navne, ansættelseshistorik og Steuer-ID i eksempler. Gratisniveauet i enhver stor LLM-baseret oversætter går gennem amerikansk regnekraft og gemmer som standard oplysningerne til træning.
Resuméforløbet i skyggen. En leder bruger en forbrugerchatbot til at resumere partnerens e-mailtråd om en klientsag, før svaret sendes. Tråden indeholder kommunikation mellem revisor og klient, som er omfattet af tavshedspligt, tredjeparters personoplysninger og nogle gange strategiske overvejelser om hvidvask og SAR. Denne kategori er særlig snigende, fordi den professionelle ikke opfatter resumé af e-mails som en reguleret aktivitet med AI.
Forløbet i skyggen ved faglig udvikling. En medarbejder, der forbereder sig til et CPE-modul, indsætter “anonymiserede, men egentlig ikke anonymiserede” casestudier fra virkelige opgaver i en ChatGPT-session for at få dem forklaret. “Anonymiseret” betyder her som regel, at klientens navn er fjernet; skattestrukturen, geografien og transaktionsbeløbene er intakte, og sagen kan rekonstrueres.
I hvert tilfælde tror den professionelle, at aktiviteten er lavrisiko, fordi oplysningerne “bare er tekst”, handlingen “bare er et resumé”, og modellen “bare hjælper mig med at tænke”. I hvert tilfælde er den regulatoriske eksponering den samme: udokumenteret underdatabehandler, udokumenteret international overførsel, brud på tavshedspligten, mulig lækage af AML-oplysninger. At bruge ChatGPT på den måde skaber desuden et bevisproblem ved næste inspektion: der er ingen log at henvise til og intet certifikat at fremvise.
Løsningen er den samme arkitektur, som vi beskrev i hovedguiden og HR-klyngen: den officielle vej skal være hurtigere end skyggevejen, og maskeringslaget skal stå foran modellen. For revisorer skal arkitekturen forstå skattenumre, IBAN og forskellen i enhedstype mellem B2B og selvstændige. Revisorers brug af ChatGPT er et problem, som arkitekturen løser. For at maskere skattenumre og medarbejderoplysninger og for at anonymisere løn pålideligt i hele firmaets arbejde skal maskeringslaget som standard køre før hvert AI-trin. Det samme gælder indberetninger i amerikansk stil: for firmaer med klienter i USA hører SSN på 1099-formularer og bankers routingnumre til samme genkendelseskaskade.
Offentliggjorte tal for, hvor ofte fagfolk indsætter klientoplysninger i AI-værktøjer, stammer fra undersøgelser, leverandørers telemetri og forbrugerdata, som måler forskellige ting, og en gennemgang af statistikken om shadow AI kilde for kilde stiller dem side om side.
For at bruge AI uden at udlevere navne og identifikatorer kan Redactic forberede dine dokumenter til AI: de fundne værdier bliver til pladsholdere, og de rigtige navne kommer tilbage i din browser, når svaret ankommer.
6. Femtrinsforløbet tilpasset regnskabsdokumenter
Femtrinsforløbet fra hovedguiden gælder for regnskabsdokumenter med tre specifikke tilpasninger.
- Upload (med kendskab til formater). Acceptér oprindelige formater: XLSX (struktureret pr. ark), PDF digitalt og scannet (OCR til scanninger), DOCX (opgavebekræftelser, notater), CSV (dataeksporter). Afvis uploaden, hvis filen overskrider grænserne; typiske grænser er 100 sider pr. dokument og 50 MB pr. fil, og begge bør kunne indstilles pr. klientopgave.
- Genkendelse (med revisorens kaskade). Først opslag i ordliste mod den klientliste, som firmaet uploader (medarbejdere, leverandører, nærtstående parter), derefter nationale regulære udtryk (CF, Partita IVA, NIR, SIRET, Steuer-ID, USt-IdNr, DNI/NIE, NIF, IBAN, SWIFT), derefter flersproget NER til navne og organisationer, som de regulære udtryk har overset, og til sidst OCR til scanninger. Rækkefølgen har betydning: ordlisten først betyder, at firmaets eget register får erstatninger i kanonisk form, regulære udtryk derefter betyder, at strukturerede identifikatorer fanges med høj præcision, NER til sidst betyder, at resterende navne fanges.
- Gennemgang (med revisorens kategorier). Vis de fundne afsnit grupperet efter kategori. Den gennemgående person vil normalt kunne se med et øjekast, at “alle 80 Codice Fiscali er maskeret”, uden at skulle gennemse hele regnearket. Den grupperede visning gør også genereringen af revisionscertifikatet renere.
- Anvendelse (reversibel eller irreversibel). Til AI-forløb på selvangivelser og løn er reversibel den rette standard (revisoren skal læse AI'ens resultat med de rigtige værdier gendannet). Til deling med en udenlandsk korrespondent er irreversibel sortlægning den rette standard (korrespondenten må ikke kunne genidentificere personer). Værktøjet skal understøtte begge dele fra samme upload.
- Certificér og send videre. Generér SHA-256-certifikatet. Til AI-forløb sendes den pseudonymiserede tekst til den europæiske LLM og gendannes lokalt. Ved deling pakkes det maskerede resultat med certifikatet og sendes til modtageren via firmaets sikre overførselskanal. Certifikatet er det bevis, du fremviser over for tilsynsmyndigheden, den finansielle efterretningsenhed, klienten, når vedkommende spørger “hvad har I gjort med mine oplysninger?”, og dit forsikringsselskab.
Et lønteam kan for eksempel gennemgå et regneark med flere ark for medarbejdernavne, skatteidentifikatorer, bankoplysninger og følsomme noter. Bekræft fundene, ret oversete værdier og vælg efter behov reversibel maskering eller permanent sortlægning. Kontrollér den eksporterede projektmappe, herunder formler, numeriske celler, skjulte ark, kommentarer og egenskaber, før du deler den. Eksemplet viser et arbejdsflow og er hverken en målt nøjagtighed eller en garanti for behandlingstid.
7. Valg af maskeringsværktøj til en revisionspraksis
Tjeklisten med 8 punkter fra hovedguiden gælder; for revisorer vejer fire punkter ekstra tungt.
Tungere punkt A: flersproget dækning af nationale identifikatorer. Den vigtigste enkeltevne. Et værktøj, der håndterer Codice Fiscale, Partita IVA, NIR, SIRET, Steuer-ID, USt-IdNr, DNI/NIE, NIF, EORI og IBAN ud af boksen, dækker cirka 95 % af de dokumenttyper, firmaet ser. Alt svagere tvinger dig til at skrive og vedligeholde dit eget lag af regulære udtryk.
Tungere punkt B: håndtering af regneark. Test, om forløbet bevarer de ark, formler, numeriske værdier og det layout, du har brug for. Gennemgå skjulte ark, kommentarer og dokumentegenskaber ud over de synlige celler. Verificér eksporten, for en generisk erstatning garanterer ikke, at projektmappen bevares.
Tungere punkt C: enhedstyper, som revisorer forstår. Værktøjet skal skelne mellem en Partita IVA på et selskabs faktura (ikke en personoplysning, når klienten er en juridisk person) og en Partita IVA på en enkeltmandsvirksomheds faktura (personoplysning). Uden denne skelnen maskerer værktøjet enten for meget (og ødelægger B2B-forløb) eller for lidt (og lækker selvstændiges personoplysninger).
Tungere punkt D: et format for revisionscertifikatet, der egner sig til den finansielle efterretningsenhed. De finansielle efterretningsenheder i Italien (UIF), Frankrig (Tracfin), Tyskland (FIU ved Zoll) og Spanien (SEPBLAC) vil have bevismateriale, der viser, hvordan en bestemt AML-nær behandling foregik. Et SHA-256-maskeringscertifikat med hashværdier og antal, men uden indhold, er det reneste bevis at fremlægge for en efterretningsenhed, fordi det ikke skaber nye pligter til videregivelse. Redactics certifikatformat opfylder dette krav.
De øvrige fire punkter på tjeklisten (arkitektur uden spor, OCR til scanninger, reversible og irreversible tilstande, manuel gennemgang) gælder med normal vægt. Maskeringssoftware til revisorer, der opfylder alle otte punkter på rette måde, er sjælden; økonomien i at bygge eller købe peger normalt mod at købe, fordi det operative fodaftryk (ingen spor, revision, styring af underdatabehandlere, vedligeholdelse af nationale regulære udtryk) udgør størstedelen af omkostningen. Ved skatteforberedelse med AI-støtte, hvor også forpligtelserne efter GDPR gælder, er valget yderligere begrænset, fordi værktøjet også skal give et revisionsspor, der svarer til skattemyndighedens forventninger til dokumentation.
I praksis køber du en disciplin på firmaniveau, nemlig dataminimering som standard: hvert AI-forløb, hvert delt dokument og hvert internt resumé går først gennem maskeringslaget. Den ene disciplin opfylder samtidig dataminimeringen i artikel 5, stk. 1, litra c, i GDPR, den passende sikkerhed i artikel 32 i GDPR, grænsen for efterfølgende brug inden for AML og forpligtelsen til at sikre AI-kompetencer i artikel 4 i AI-forordningen. Privatliv i bogføring med AI-støtte i rutineforløb (resumé af bankafstemninger, klassificering af udgifter, udtræk fra fakturaer) hviler på samme arkitektur; maskeringslaget ligger opstrøms for hvert kald til en model.
Redactic kombinerer automatisk identifikation, dokumentbehandling og menneskelig gennemgang for at hjælpe med at finde følsomme oplysninger, også i understøttede indscannede dokumenter. Gennemgå fundne værdier, før du udfører permanent eller reversibel maskering. Dækningen afhænger af dokumentets kvalitet, sprog og kontekst; automatisering kan overse oplysninger. Prøv repræsentative filer og eksporterede resultater, før du indfører en arbejdsgang. Læs mere: DPA
8. Ofte stillede spørgsmål
Er jeg som revisor dataansvarlig eller databehandler for min klients lønoplysninger?
Du er normalt databehandler for medarbejdernes oplysninger og dataansvarlig for klientvirksomhedens egne oplysninger. Skellet har betydning, fordi forpligtelserne efter artikel 28 knytter sig til databehandlerforholdet: opgavebekræftelsen skal henvise til bestemmelserne i artikel 28, stk. 3, underdatabehandlere skal oplyses, og du må kun behandle oplysningerne efter dokumenterede instruktioner. Både den italienske Garante og den franske CNIL har udsendt vejledning, der behandler revisorer som databehandlere for medarbejderoplysninger; den tyske Datenschutzkonferenz følger samme linje. Hvis din opgavebekræftelse ikke har et bilag efter artikel 28, bør du rette op på det, før næste fornyelse med klienten.
Kan jeg bruge en gratis ChatGPT-konto til “hurtige” beregninger på en klients oplysninger?
Nej. Handlingen skaber en udokumenteret underdatabehandling (overtrædelse af artikel 28), en udokumenteret international overførsel (Schrems II) og en videregivelse i strid med tavshedspligten (artikel 622 i den italienske Codice Penale eller tilsvarende i din jurisdiktion). At opgaven er “hurtig”, ændrer ikke den retlige karakteristik.
Kræver AMLD6, at jeg opbevarer KYC-oplysninger, som jeg efter GDPR helst ville slette?
Ja. Opbevaringspligten efter hvidvaskreglerne (mindst fem år fra forretningsforholdets ophør efter AMLR; længere i nogle nationale gennemførelser) går for selve opbevaringen forud for princippet om opbevaringsbegrænsning i GDPR. Retsgrundlaget er artikel 6, stk. 1, litra c, i GDPR (retlig forpligtelse). Det, du kan gøre, er at begrænse den efterfølgende behandling: hvis den opbevarede KYC-sag er der som bevis efter hvidvaskreglerne, må du ikke bruge den til AI-træning, intern analyse eller klientkorrespondance om en tredjepart.
Hvordan forholder tavshedspligten sig til brugen af shadow AI?
At indsætte klientoplysninger i en forbruger-LLM er i de fleste EU-jurisdiktioner en videregivelse til en tredjepart (LLM-udbyderen). Tavshedspligten indebærer normalt objektivt ansvar: den professionelle kan ikke forsvare sig med, at “LLM'en ikke rigtig ser oplysningerne”, fordi den retlige karakteristik følger selve videregivelsen og ikke den senere brug. Artikel 622 i den italienske Codice Penale er i særlig grad blevet fortolket bredt. Den sikreste antagelse er, at enhver deling med en ekstern tjeneste uden for et underskrevet databehandlerforhold er et brud på tavshedspligten.
Skal jeg maskere mine egne oplysninger eller klientens?
Klientens, før de deles eksternt eller sendes til en AI. Dine egne oplysninger (CV'er for firmaets medarbejdere, interne medarbejdersamtaler) følger de maskeringsregler for HR, der er beskrevet i HR-klyngen. De to arbejdsgange kan bruge samme værktøj, men politikgrundlaget er forskelligt: klientoplysninger er behandling på databehandlerens side, egne oplysninger er behandling på den dataansvarliges side.
Hvad er forskellen på at maskere en selvangivelse og at maskere et lønregneark?
En selvangivelse er normalt et dokument for én skatteyder med koncentrerede identifikatorer (skatteyderens skattenummer, skattenumre for forsørgede, IBAN, arbejdsgivernavne). Et lønregneark er et dokument med flere medarbejdere og strukturerede kolonner med personoplysninger. Maskeringsmønstrene er forskellige: selvangivelser kræver genkendelse af enheder i ét dokument med bevarede beregninger; løn kræver XLSX-behandling på celleniveau med regler pr. kolonne. Et værktøj, der håndterer begge dele indbygget, sparer firmaet for at vedligeholde to forløb.
Kan jeg dele en maskeret klientsag med en udenlandsk korrespondent uden en Schrems II-vurdering?
Hvis modtageren er i EU, opstår spørgsmålet ikke. Hvis modtageren er i et tredjeland, er den maskerede fil stadig en personoplysning, hvis den er pseudonymiseret (artikel 4, nr. 5); først når filen er reelt anonymiseret (betragtning 26), falder den uden for GDPR's anvendelsesområde. I praksis har du brug for enten et sæt standardkontraktbestemmelser med korrespondenten, en afgørelse om tilstrækkeligt beskyttelsesniveau (Det Forenede Kongerige, Schweiz, Israel m.fl.) eller fuld anonymisering. Et maskeringscertifikat, der dokumenterer, at maskeringen ikke kan omgøres, understøtter argumentet om anonymisering.
Gælder EU's AI-forordning for AI-værktøjer, som jeg bruger til triage i hvidvasksager?
Hvis værktøjet bruges til at vurdere risikoen for hvidvask for en bestemt klient eller transaktion, falder det sandsynligvis ind under bilag III, punkt 5, litra d (“AI-systemer, der bruges til risikovurdering i finansielle tjenester”). Det gør det til et højrisikosystem efter AI-forordningen, med idriftsætterens forpligtelser hos revisoren: menneskeligt tilsyn, overvågning, gennemsigtighed, registrering og i mange tilfælde en konsekvensanalyse for grundlæggende rettigheder. Udbyderens forpligtelser (teknisk dokumentation, overvågning efter markedsføring, overensstemmelsesvurdering) påhviler udbyderen.
Hvad er den rette opbevaringsperiode for maskeringscertifikatet?
Mindst lige så lang som opbevaringsperioden efter hvidvaskreglerne for den underliggende opgave (normalt fem år fra forholdets ophør). Certifikater indeholder hverken personoplysninger eller indhold, så opbevaringen rejser ingen egne privatlivsspørgsmål. Vi anbefaler at opbevare dem uden tidsgrænse som bevis: den marginale lageromkostning er ubetydelig, og værdien ved en kontrol er høj.
Hvor gemmer Redactic mine klienters oplysninger?
Dokumenter og resultater bruger midlertidig lagring til behandling på infrastruktur i Europa, som Redactic kontrollerer. Midlertidig behandling af gendannelsesdata på serversiden kan indgå. Konto-, fakturerings-, samtykke- og handlingsregistre håndteres separat. Se Redactics databehandleraftale (DPA) og privatlivsmeddelelse for vilkår om opbevaring og sletning, og bed os bekræfte profilen for din arbejdsgang. Læs mere: tillidssider
En sidste operativ bemærkning: at bygge et maskeringslag foran firmaets AI-forløb giver også en positiv bivirkning på kvaliteten. Modeller fungerer bedre på rent pseudonymiseret tekst end på de rå dokumenter, fordi inputtet er kortere, det relevante signal er koncentreret, og modellen ikke forstyrres af genkendelse af enheder. Agenter til gennemgang af selvangivelser, der i vores interne pilotforsøg fik pseudonymiseret input, frembragte færre hallucinationer på analytiske spørgsmål end agenter, der fik rå dokumenter. Det er en lille, men reproducerbar kvalitetsgevinst, som summeres over tusindvis af månedlige kørsler. Maskeringslaget tjener sig ind én gang på compliance og en anden gang på kvaliteten af resultaterne.
Hvis dit firma håndterer selvangivelser, lønkørsler, KYC-sager eller revisionens arbejdspapirer (og det gør det), bevæger hvert af disse dokumenter sig i dag gennem e-mail, drev og AI-værktøjer til forbrugere uden noget maskeringslag foran. Prisen for ikke at gøre noget er konkrete hændelser: en inspektion fra Garante eller CNIL, der venter på den rette anledning, en forespørgsel fra AMLA, når rammen aktiveres i 2027, en politianmeldelse for brud på tavshedspligten fra en utilfreds klient og ansvarsforsikringsselskabet, der afviser et krav, fordi AI-brugen var udokumenteret. Arkitekturen findes, det regulatoriske ur tikker, og maskeringslaget tjener sig ind ved det første audit. Begynd denne måned med de ti klienter med størst volumen.
For den grundlæggende arkitektur, se hovedguiden; for HR-nære forløb, der berører løn, se artiklen om shadow AI i HR. For at se Redactic på et eksempel på lønregneark indeholder Redactics startside en live demo.