Jos pyörität tilitoimistoa vuonna 2026, kuulut volyymiltaan Euroopan talouden suurimpiin henkilötietojen käsittelijöihin ja toimit tiukemmilla ehdoilla kuin useimmat rekisterinpitäjät: sinuun sovelletaan GDPR:ää, kansallista salassapitojärjestelmää ja EU:n rahanpesun vastaista sääntelyä, ja asiakkaiden tietoja käsittelet heidän puolestaan. Asiakirjojen peittäminen kirjanpitäjille, eli nimien, veronumeroiden, IBAN-tilinumeroiden ja palkkaerien kätkeminen jokaisesta toimiston läpi kulkevasta asiakasasiakirjasta, on nykyään operatiivinen portti, joka ratkaisee, voiko toimisto käyttää tekoälytyökaluja lainkaan, jakaa tiedostoja turvallisesti ulkomaisille kirjeenvaihtajille ja selvitä sekä valvontaviranomaisen tutkinnasta että rahanpesun selvittelykeskuksen tarkastuksesta.
Tämä on kolmas artikkeli peittämisoppaiden sarjassamme. Pääopas käsittelee taustalla olevan tekniikan ja yleisen GDPR-kehyksen. Tämä artikkeli keskittyy kirjanpitoon: palkanlaskentaan, veroilmoituksiin, KYC/AML-prosesseihin, tilintarkastuksen työpapereihin ja asiakaskirjeenvaihtoon, eli alueeseen, jolla henkilötietojen määrä ammatinharjoittajaa kohden on suurin kaikista asiantuntijapalvelujen ryhmistä ja sääntelykerroksia on eniten.
Se on myös klusterin artikkeli, josta on suorimmin hyötyä rajat ylittävää työtä tekeville toimistoille. Italian asukkaita Ranskan toimistosta palveleva kirjanpitäjä, irlantilaisen holdingyhtiön kautta raportoivat ranskalaiset asiakkaat, espanjalaisia tytäryhtiöitä käyttävä saksalainen Mittelstand: jokainen rajat ylittävä verotyönkulku synnyttää henkilötietojen virran, joka kulkee kahden tai kolmen oikeusjärjestelmän läpi ennen kuin se päätyy ilmoitukseen. Peittämiskerros pitää virran puolustettavana.
Huomautus laajuudesta: tässä artikkelissa asiakirjojen peittäminen ja henkilötietojen peittäminen kirjanpitäjille tarkoittavat samaa operatiivista kerrosta yhdessä sitä pyörittävän peittämisohjelmiston kanssa. Veronumeroiden, arvonlisäverotunnisteiden ja EORI-numeroiden anonymisointia käsitellään saman monikansallisten tunnisteiden ongelman alatapauksina, ja tilitoimiston GDPR-velvoitteet kattavat sekä rekisterinpitäjän että käsittelijän roolin. Tekoälyvaatimustenmukaisuus kirjanpitäjille on kattotermi alla käsiteltävälle GDPR:n, tekoälysäädöksen ja rahanpesusääntelyn yhdistelmälle, ja siinä painottuu toimiston rooli tekoälytyökalujen käyttöönottajana.
1. Miksi tilitoimistot ovat EU:n suurimpia henkilötietojen käsittelijöitä
Viisi rakenteellista seikkaa selittää yhdessä, miksi henkilötietojen peittäminen kirjanpidossa on huomattavasti monimutkaisempaa kuin missään muussa asiantuntijapalvelujen ryhmässä.
Ensinnäkin volyymi. Keskikokoinen tilitoimisto palvelee satoja asiakkaita, joista jokainen tuottaa kuukausittaisia palkka-ajoja, neljännesvuosittaisia arvonlisäveroilmoituksia, vuosittaisia veroilmoituksia, KYC-käyttöönottoasiakirjoja ja jatkuvaa asiakaskirjeenvaihtoa. Yksittäinen toimisto käsittelee vuodessa enemmän yksittäisiä henkilötietotietueita kuin moni markkinointialusta, ja tiedot ovat rakenteellisesti rikkaampia (kansallinen tunniste, taloustiedot, työsuhde, joskus terveys).
Toiseksi arkaluonteisuus. Tiedot tunnistavat henkilöitä ja kuuluvat samalla useiden järjestelmien piiriin. Kansalliset tunnisteet (Codice Fiscale Italiassa, NIR Ranskassa, Steuer-ID Saksassa, DNI/NIE Espanjassa) ovat GDPR:n mukaisia henkilötietoja ja lisäksi petosriskin kohteita. Palkkatiedot menevät päällekkäin GDPR:n 9 artiklan erityisten henkilötietoryhmien kanssa aina, kun ne sisältävät sairauslomien syitä, työkyvyttömyysetuuksia, ammattiliittomaksuja tai uskonnollisen luonteen omaavia eläkejärjestelyn oikeuksia. AML/KYC-asiakirjat (passit, henkilökortit, tosiasiallisia edunsaajia koskevat ilmoitukset) kuuluvat erilliseen säilytysvelvoitteeseen EU:n rahanpesun vastaisessa kehyksessä.
Kolmanneksi roolijako. Kirjanpitäjät ovat asiakkaidensa tietojen käsittelijöitä, eivät rekisterinpitäjiä. Siksi GDPR:n 28 artikla, eli käsittelijäsopimus, alikäsittelijöiden ilmoittaminen ja dokumentoitu valtuutusketju, on toimiston jokaisen asiakassuhteen operatiivinen selkäranka. Luvaton alikäsittelijä, ilmainen ChatGPT-tili mukaan lukien, on sopimusrikkomus jokaista näistä asiakkaista kohtaan samanaikaisesti.
Neljänneksi salassapitovelvollisuus. Italian Codice Penalen 622 artikla sekä Codice Civilen 1175 ja 1375 artikla, Ranskan Code de commercen L820-5 artikla ja OEC:n ammattieettinen säännöstö, Saksan StBerG § 57 yhdessä StGB § 203:n kanssa sekä Espanjan RGL del ICEC asettavat kaikki rikosoikeudellisen tai rikosoikeudenomaisen salassapitovelvollisuuden. Yhteisvaikutus GDPR:n kanssa ei ole yksinkertainen: GDPR:n 5 artiklan mukainen tietojen minimointi menee päällekkäin salassapidon kanssa, mutta luovutussäännöt eroavat (GDPR tuntee tarkastusoikeuden, salassapito antaa lähes ehdottoman luottamuksellisuuden). Kirjanpitäjän salassapitovelvoitteet ovat tavallisesti tiukemmat kuin GDPR:n tarkastusoikeudet, ja toimiston on täytettävä molemmat.
Viidenneksi rajat ylittävä tietojen liikkuminen on oletus. Tyypillinen keskisuuren yrityksen toimeksianto sisältää tietovirtoja ulkomaiselle kirjanpitäjäkirjeenvaihtajalle, asiakkaan ulkomaisille veroviranomaisille, kirjeenvaihtajapankeille IBAN-tarkistusta varten sekä yhden tai useamman jäsenvaltion keskitettyyn kaupparekisteriin. Jokainen virta vaatii oman 44 artiklan mukaisen siirtoarvionsa. Rajat ylittävien verotietojen reititys yhdysvaltalaisen LLM:n kautta on yksittäinen, helposti todistettava GDPR-rikkomus jokaisessa tarkastuksessa, koska verkkolokit riittävät todisteeksi.
2. Kuusi asiakirjaluokkaa, joita jokainen tilitoimisto käsittelee
Eri asiakirjaluokat tuottavat eri peittämismalleja. Alla olevat kuusi kattavat noin 98 % siitä, mikä kulkee minkä tahansa tilitoimiston läpi, ja ne kuvautuvat selkeästi peittämisarkkitehtuuriin.
1. Palkka-ajot ja palkkalaskelmat. Usean työntekijän XLSX-tiedostot, joissa on nimi, veronumero, IBAN, bruttopalkka, vähennykset ja huomautukset; työntekijäkohtaiset PDF-palkkalaskelmat; vuosittaiset palkkayhteenvedot. Peittämisongelma on tässä monimuotoinen: rakenteiset henkilötiedot solutasolla (veronumerosarake, IBAN-sarake) sekä rakenteeton muistiinpanoteksti (esimiesten kommentit, sairauslomien syyt). Palkkojen anonymisointi yleisellä etsi ja korvaa -toiminnolla rikkoo palkkakaavat, kun taas solutyypit ymmärtävä peittämistyökalu säilyttää taulukon analyyttisen arvon ja peittää henkilötiedot. Palkkojen peittäminen on myös jokaisen toimiston yleisin peittämistehtävä.
2. Veroilmoitukset ja veroasiakirjat. Italian 730, F24, Modello Unico, IRAP; Ranskan liasse fiscale, déclaration de TVA, IS; Saksan Einkommensteuererklärung, Umsatzsteuer-Voranmeldung, Bilanz; Espanjan Modelo 100, Modelo 303, Modelo 200. Jokainen ilmoitus sisältää veronmaksajan henkilötiedot ja usein myös huollettavien tai työntekijöiden henkilötiedot. Ilmoitusten peittäminen on tarpeen aina, kun ilmoitus tai sen työpaperit jaetaan kolmannelle osapuolelle (kirjeenvaihto toisen toimiston kanssa, tarkastuksen tuki, tekoälyavusteinen tarkistus). Kun veroilmoituksia anonymisoidaan tekoälyanalyysia varten, peittämisen on säilytettävä laskentalogiikka ja peitettävä tunnisteet, mikä vaatii rakenteista tunnistusta kuvioiden vertailun lisäksi.
3. KYC/AML-käyttöönottoasiakirjat. Henkilöllisyysasiakirjat (passit, henkilökortit), osoitetodistukset, tosiasiallisia edunsaajia koskevat ilmoitukset, varojen alkuperän dokumentaatio. Niitä ohjaa EU:n rahanpesusääntely: AMLD4 (2015), AMLD5 (2018), AMLD6 (2018), AMLR (asetus (EU) 2024/1624) ja AMLD (direktiivi (EU) 2024/1640). Kirjanpitäjät ovat ilmoitusvelvollisia kaikkien näiden nojalla. KYC-tietojen peittäminen on tässä yhteydessä epäsymmetristä: taustalla olevaa KYC-aineistoa ei voi peittää (se on säilytettävä), mutta KYC:stä johdetut tiedot on peitettävä aina, kun ne siirtyvät jatkotyönkulkuun (tekoälytiivistelmä, sisäinen koulutus, asiakaskirjeenvaihto kolmannesta osapuolesta).
4. Tilintarkastuksen työpaperit. Tilintarkastustoimintaa harjoittavissa toimistoissa työpaperit sisältävät otteita asiakkaan järjestelmistä, työntekijätunnisteita, toimittajatietoja ja johdon viestintää. ISA 230 edellyttää säilyttämistä vähintään viisi vuotta; ICAEW:n ja IAASB:n ohjeet pitävät työpapereita luottamuksellisina. Työpaperien peittäminen mahdollistaa osittaisen jakamisen yhteistarkastustiimien, vertaisarvioijien ja laadunarvioijien kanssa rikkomatta GDPR:ää tai tilintarkastuksen luottamuksellisuusjärjestelmää.
5. Sopimukset ja asiakaskirjeenvaihto. Toimeksiantosopimukset, palkkiotarjoukset, neuvontamuistiot, sähköpostikeskustelut. Ne sisältävät asiakkaan henkilötietoja, usein kolmansien osapuolten henkilötietoja (asiakkaan vastapuoli) ja usein strategista tietoa kaupasta. Yleiset tekoälyavustajat sähköpostille ja asiakirjojen tiivistämistyökalut, jotka toimivat tässä luokassa, luovat salakavalimman varjotekoälyaltistuksen, koska käyttäjä pitää toimintaa vähäriskisenä (”tiivistän vain postilaatikkoani”).
6. Pankki- ja treasury-tiedot. IBAN-luettelot, SWIFT-tiliotteet, maksuvaltuutukset, pankkitilien täsmäytykset. Henkilötiedot keskittyvät tässä IBAN-tunnuksiin ja tilinhaltijoiden nimiin; taloudellinen arkaluonteisuus on korkea; sekä PSD2 että SCT-järjestelmän säännöt lisäävät kerroksen GDPR:n perustason päälle. IBAN-tunnusten peittäminen on yleinen mikrotyönkulku, jonka tulisi toimia automaattisesti ennen jokaista tekoälyvaihetta talousasiakirjoissa.
Kaikissa kuudessa luokassa malli on sama: rakenteiset tiedot tarvitsevat rakenteista peittämistä, vapaa teksti tarvitsee ML-tunnistusta, ja tarkastustodistus tekee toiminnasta puolustettavan sekä tietosuojavastaavalle että rahanpesun selvittelykeskukselle.
3. Kansalliset tunnisteet ja miksi pelkkä kuvioiden vertailu ei riitä
Kirjanpitäjät työskentelevät kansallisten tunnisteiden kanssa enemmän kuin mikään muu ammattiryhmä. Jokaisella on rakenne, tarkistenumeroalgoritmi ja joukko väärien osumien riskejä. Yleinen peitin, joka on koulutettu yhdysvaltalaisilla Social Security -numeroilla, ohittaa useimmat niistä hiljaa.
| Maa | Tunniste | Pituus | Huomautukset |
|---|---|---|---|
| Italia | Codice Fiscale | 16 aakkosnumeerista merkkiä | Sukunimi + etunimi + syntymäaika + sukupuoli + syntymäpaikka + tarkistusmerkki. Rakenne paljastaa syntymäajan ja sukupuolen, vaikka ympäröivä konteksti peitettäisiin. |
| Italia | Partita IVA | 11 numeroa | Arvonlisäverotunniste; provinssi koodattu; tarkistenumero. Sekoitetaan vapaassa tekstissä usein CF:ään. |
| Ranska | NIR / INSEE | 15 numeroa | Sukupuoli + vuosi + kuukausi + département + kunta + järjestysnumero + tarkistus. Tunnistaa henkilön yksiselitteisesti syntymäkunnassaan. |
| Ranska | SIRET / SIREN | 14 / 9 numeroa | Toimipaikan / yrityksen tunniste. Henkilötieto itsenäisillä ammatinharjoittajilla. |
| Saksa | Steuer-ID (IdNr) | 11 numeroa | Henkilökohtainen veronumero, elinikäinen, ei johdettavissa syntymäajasta. Tiukasti säännelty. |
| Saksa | USt-IdNr | 9 numeroa DE:n jälkeen | Arvonlisäverotunniste rajat ylittäville liiketoimille. |
| Espanja | DNI / NIE | 8 numeroa + kirjain | DNI kansalaisille, NIE ulkomaisille asukkaille. Kirjain on deterministinen tarkistus. |
| Espanja | CIF (vanha) / NIF | 9 merkkiä | NIF yksityisliikkeenharjoittajille vastaa DNI:tä; CIF oikeushenkilöille. |
| EU | EORI | vaihtelee | Tulli-identifioija. Muoto jäsenvaltiokohtainen; henkilötieto itsenäisellä tuojalla. |
| EU | IBAN | 15-34 aakkosnumeerista | Maakoodi + tarkistus + BBAN; rakenteellisesti validoitavissa. Palkkatiedoissa vuotoherkin yksittäinen kenttä. |
Redactic yhdistää automaattisen tunnistuksen, asiakirjakäsittelyn ja ihmisen tekemän tarkistuksen auttaakseen löytämään arkaluonteisia tietoja, myös tuetuista skannatuista asiakirjoista. Tarkista löydetyt arvot ennen pysyvän tai palautettavan peittämisen toteuttamista. Kattavuus riippuu asiakirjan laadusta, kielestä ja asiayhteydestä; automaatio voi jättää tietoja huomaamatta. Kokeile edustavia tiedostoja ja viedyjä tuloksia ennen työnkulun käyttöönottoa.
Peittämispäätös riippuu myös tunnisteesta. EORI- ja arvonlisäverotunnisteet eivät yleensä ole henkilötietoja yhtiöiden osalta, eikä niitä tule peittää puhtaassa B2B-työnkulussa; samat numerot ovat henkilötietoja itsenäisillä ammatinharjoittajilla ja ne on peitettävä. Työkalun on ymmärrettävä toimijatyypin konteksti tehdäkseen oikean valinnan.
4. GDPR:n ja AML:n kokonaisuus ja miten se eroaa kirjanpitäjillä
Jokaiseen tilitoimistoon sovelletaan samanaikaisesti kolmea järjestelmää: GDPR:ää, EU:n rahanpesun vastaista kehystä ja kansallista salassapitolainsäädäntöä. Ne eivät ole yhdenmukaisia; joissakin kohdissa ne ovat ristiriidassa.
GDPR:n 28 artikla käsittelijän selkärankana. Kirjanpitäjä on käsittelijä asiakkailleen. Toimeksiantosopimuksen on sisällettävä 28 artiklan 3 kohdan lausekkeet tai viitattava niihin. Alikäsittelijät (pilvipohjainen kirjanpitoalusta, sähköisen laskutuksen toimittaja, OCR-toimittaja, LLM) on ilmoitettava asiakkaalle vastustamisoikeuden kanssa. Vanhemman kirjanpitäjän varjotekoälyn käyttö rikkoo 28 artiklaa jokaista asiakasta kohtaan, jonka tiedot olivat istunnossa, tavallisesti kymmeniä kerralla.
GDPR:n 32 artikla ja käsittelyn turvallisuus. EDPB:n vuoden 2024 ohjeet käsittelijöiden teknisistä ja organisatorisista toimenpiteistä sisällyttävät pseudonymisoinnin suoraan suositeltuun työkalupakkiin. Kirjanpitäjille tämä tarkoittaa: peitä ennen tekoälyn käyttöä, salaa levossa olevat tiedot, kirjaa pääsy, dokumentoi kontrollit. Toimisto ilman peittämiskerrosta ei voi uskottavasti väittää täyttäneensä 32 artiklaa tekoälytyönkuluissa.
AMLD6 ja AMLR (2024). Kuudes rahanpesudirektiivi (direktiivi (EU) 2018/1673) säädetti rahanpesun rangaistavaksi yhdenmukaistetuin esirikoksin; vuoden 2024 AMLR (asetus (EU) 2024/1624) on uusi yhtenäinen sääntökirja, jota sovelletaan suoraan heinäkuusta 2027 alkaen yhdessä uuden EU:n rahanpesun vastaisen viranomaisen (AMLA) kanssa. Kirjanpitäjät ovat ilmoitusvelvollisia molempien nojalla. Keräämänsä KYC-asiakirjat on säilytettävä vähintään viisi vuotta liikesuhteen päättymisen jälkeen. AML- ja KYC-tietojen säilyttäminen ja GDPR:n säilytyksen rajoittamisen periaate luovat näennäisen jännitteen; ratkaisu on, että rahanpesun säilytysvelvoite on 6 artiklan 1 kohdan c alakohdan mukainen oikeusperuste itse säilyttämiselle, kun taas samojen tietojen jatkokäsittely (tekoälytiivistelmät, sisäinen analytiikka) on erillinen käsittelytoimi, joka tarvitsee oman perusteensa. AMLD6:n ja GDPR:n noudattaminen voivat elää rinnakkain huolellisella työnkulun suunnittelulla.
Salassapitovelvollisuus kansallisella tasolla. Italian Codice Penalen 622 artikla säätää rikosoikeudellisen vastuun salassapitovelvollisen suorittamasta luovutuksesta; Ranskan salassapito liittyy tableau de l'ordre -merkintään; StBerG § 57 yhdessä StGB § 203:n kanssa tekee salassapidon rikkomisesta rangaistavaa Saksassa; Espanjan salassapito on lakisääteistä. Joka tapauksessa salassapito on tavallisesti tiukempi kuin GDPR:n tarkastusoikeus, mikä tarkoittaa, että toimiston on (a) kieltäydyttävä joistakin tarkastuspyynnöistä salassapidon perusteella, vaikka GDPR sallisi ne, ja (b) varmistettava, ettei varjotekoäly ole luovutus kolmannelle osapuolelle (LLM-palveluntarjoajalle).
EU:n tekoälysäädös kirjanpitäjille. Tekoälysäädöksen liitteen III korkean riskin luokitus ei koske useimpia tekoälyn käyttötapoja kirjanpidossa (liite III painottuu HR:ään ja biometriaan). Mutta 13 artiklan avoimuus, 26 artiklan käyttöönottajan velvoitteet jokaisen korkean riskin järjestelmän osalta ja 4 artiklan tekoälyosaamisen velvoite (voimassa helmikuusta 2025) koskevat kirjanpitäjiä. Esimerkki: tekoälytyökalu, jota käytetään epäilyttävien toimintojen ilmoitusten (SAR) seulontaan AML-kehyksessä, olisi todennäköisesti korkean riskin järjestelmä liitteen III kohdan 5 d (”rahoituspalveluissa riskinarviointiin käytettävät tekoälyjärjestelmät”) mukaan. Sen käyttöönottava kirjanpitäjä kantaa käyttöönottajan velvoitteet.
Johtopäätös: jokaisen tekoälyn käyttötapauksen tilitoimistossa on läpäistävä samanaikaisesti GDPR (28 ja 32 artikla), AML (AMLR ja AMLA siltä osin kuin sovelletaan), kansallinen salassapito ja joissakin kapeissa luokissa tekoälysäädöksen korkean riskin velvoitteet. GDPR-vaatimustenmukaisuus kirjanpitäjille on oletusarvoisesti usean järjestelmän asia, ja peittämiskerros on ainoa tekninen kontrolli, joka toimii kaikkien neljän yli.
Palkkataulukon tekoälytiivistelmä voi samanaikaisesti aktivoida yksityisyyden, luottamuksellisuuden, työoikeuden ja talousrikollisuuden velvoitteita. Peittäminen voi vähentää löydettyjen tunnisteiden altistumista, mutta se ei ratkaise käyttötarkoituksen rajoituksia, oikeusperustetta, salassapitoa tai jatkokäytön rajoituksia. Arvioi ne erikseen ennen sisällön jakamista.
5. Varjotekoälyongelma tilitoimistoissa
Varjotekoälyn dynamiikka, jota käsittelimme HR-klusterissa, esiintyy myös tilitoimistoissa, mutta erilaisin riskimallein.
Varjotyönkulku neljänneksen lopussa. Vanhempi assistentti, joka työskentelee lauantaina ennen ilmoitusten määräpäivää, liittää henkilökohtaiseen ChatGPT-tiliin 2 000 rivin XLSX-tiedoston, jossa on työntekijöiden nimet, Codice Fiscalit, IBAN-tunnukset ja palkat, ”tarkistaakseen summat”. Malli näkee koko asiakasluettelon. Mallin lokit näkevät sen pyyntönä. Istunto voi kouluttaa mallin seuraavaa versiota. Toimiston 30 artiklan mukaiset rekisterit eivät näe tästä mitään. Asiakas ei tiedä asiasta mitään.
Käännösten varjotyönkulku. Rajat ylittävää toimeksiantoa hoitava ammattilainen käyttää ilmaista käännöstyökalua kääntääkseen saksalaisen työntekijäkäsikirjan italiaksi. Käsikirja sisältää esimerkeissä nimiä, työhistoriaa ja Steuer-ID-tunnuksia. Jokaisen merkittävän LLM-pohjaisen kääntäjän ilmainen taso kulkee yhdysvaltalaisen laskentatehon kautta ja säilyttää tiedot oletuksena koulutusta varten.
Tiivistämisen varjotyönkulku. Esimies käyttää kuluttajachattibottia tiivistääkseen partnerin sähköpostiketjun asiakasasiasta ennen vastaamista. Ketju sisältää salassapidon piiriin kuuluvaa kirjanpitäjän ja asiakkaan välistä viestintää, kolmansien osapuolten henkilötietoja ja joskus strategisia AML/SAR-pohdintoja. Tämä luokka on erityisen salakavala, koska ammattilainen ei pidä sähköpostin tiivistämistä säänneltynä tekoälytoimintana.
Ammatillisen kehittymisen varjotyönkulku. CPE-moduulia valmisteleva assistentti liittää ChatGPT-istuntoon selitettäväksi ”anonymisoituja mutta ei oikeasti anonymisoituja” tapaustutkimuksia todellisista toimeksiannoista. ”Anonymisoitu” tarkoittaa tässä yleensä, että asiakkaan nimi on poistettu; verorakenne, maantiede ja kauppasummat ovat ennallaan, ja asia on rekonstruoitavissa.
Jokaisessa tapauksessa ammattilainen uskoo toiminnan olevan vähäriskistä, koska tiedot ovat ”vain tekstiä”, toimenpide on ”vain tiivistämistä” tai malli ”vain auttaa ajattelemaan”. Jokaisessa tapauksessa sääntelyaltistus on sama: dokumentoimaton alikäsittelijä, dokumentoimaton kansainvälinen siirto, salassapidon rikkominen, mahdollinen AML-tietojen vuoto. ChatGPT:n käyttö tällä tavalla luo myös todistusongelman seuraavassa tarkastuksessa: ei ole lokia, johon viitata, eikä todistusta, jonka voisi esittää.
Korjaus on sama arkkitehtuuri, jonka kuvasimme pääoppaassa ja HR-klusterissa: virallisen reitin on oltava nopeampi kuin varjoreitin, ja peittämiskerroksen on oltava mallin edessä. Kirjanpitäjien kohdalla arkkitehtuurin on ymmärrettävä veronumerot, IBAN-tunnukset ja toimijatyypin ero B2B:n ja itsenäisten ammatinharjoittajien välillä. Kirjanpitäjien ChatGPT:n käyttö on ongelma, jonka arkkitehtuuri ratkaisee. Jotta veronumerot ja työntekijätiedot voidaan peittää ja palkat anonymisoida luotettavasti koko toimiston työssä, peittämiskerroksen on oletuksena toimittava ennen jokaista tekoälyvaihetta. Sama pätee yhdysvaltalaistyylisiin ilmoituksiin: toimistoissa, joilla on yhdysvaltalaisia asiakkaita, 1099-lomakkeiden SSN-tunnukset ja pankkien reititysnumerot kuuluvat samaan tunnistuskaskadiin.
Julkaistut luvut siitä, kuinka usein ammattilaiset liittävät asiakastietoja tekoälytyökaluihin, tulevat kyselyistä, toimittajien telemetriasta ja kuluttaja-aineistoista, jotka mittaavat eri asioita, ja varjotekoälyn tilastojen läpikäynti lähde lähteeltä asettaa ne rinnakkain.
Jotta voit käyttää tekoälyä paljastamatta nimiä ja tunnisteita, Redactic voi valmistella asiakirjasi tekoälyä varten: löydetyt arvot muuttuvat paikkamerkeiksi, ja oikeat nimet palaavat selaimeesi vastauksen saapuessa.
6. Viisivaiheinen työnkulku kirjanpitoasiakirjoihin sovitettuna
Pääoppaan viisivaiheinen työnkulku soveltuu kirjanpitoasiakirjoihin kolmella erityisellä säädöllä.
- Lataus (tiedostomuotojen tuntemuksella). Hyväksy natiivimuodot: XLSX (rakenteinen arkki kerrallaan), PDF digitaalisena ja skannattuna (OCR skannauksille), DOCX (toimeksiantosopimukset, muistiot), CSV (tietoviennit). Hylkää lataus, jos tiedosto ylittää rajat; tyypilliset rajat ovat 100 sivua asiakirjaa kohden ja 50 Mt tiedostoa kohden, ja molempien tulisi olla säädettävissä asiakastoimeksiannoittain.
- Tunnistus (kirjanpitäjän kaskadilla). Ensin sanastohaku toimiston lataamasta asiakasluettelosta (työntekijät, toimittajat, lähipiiri), sitten kansalliset säännölliset lausekkeet (CF, Partita IVA, NIR, SIRET, Steuer-ID, USt-IdNr, DNI/NIE, NIF, IBAN, SWIFT), sitten monikielinen NER nimille ja organisaatioille, jotka säännölliset lausekkeet ohittivat, ja lopuksi OCR skannauksille. Järjestyksellä on merkitystä: sanasto ensin tarkoittaa, että toimiston oma luettelo saa kanonisen muodon korvaukset, säännölliset lausekkeet seuraavaksi tarkoittavat, että rakenteiset tunnisteet löytyvät suurella tarkkuudella, NER viimeisenä tarkoittaa, että jäljelle jääneet nimet löytyvät.
- Tarkastus (kirjanpitäjän luokilla). Näytä löydetyt kohdat luokittain ryhmiteltyinä. Tarkastaja haluaa yleensä nähdä yhdellä silmäyksellä, että ”kaikki 80 Codice Fiscalia on peitetty”, käymättä läpi koko taulukkoa. Ryhmitelty näkymä myös selkeyttää tarkastustodistuksen luomista.
- Käyttö (palautettava tai peruuttamaton). Veroilmoitusten ja palkkojen tekoälytyönkuluissa palautettava on oikea oletus (kirjanpitäjän on luettava tekoälyn tulos todelliset arvot palautettuina). Ulkomaiselle kirjeenvaihtajalle jaettaessa oikea oletus on peruuttamaton mustaus (kirjeenvaihtaja ei saa pystyä tunnistamaan henkilöitä uudelleen). Työkalun on tuettava molempia samasta latauksesta.
- Todista ja reititä. Luo SHA-256-todistus. Tekoälytyönkuluissa reititä pseudonymisoitu teksti EU:n LLM:lle ja palauta paikallisesti. Jaettaessa paketoi peitetty tuloste todistuksen kanssa ja reititä vastaanottajalle toimiston suojatun siirtokanavan kautta. Todistus on artefakti, jonka esität valvontaviranomaiselle, rahanpesun selvittelykeskukselle, asiakkaalle, kun hän kysyy ”mitä teitte tiedoilleni?”, ja vakuutusyhtiöllesi.
Esimerkiksi palkkatiimi voi käydä läpi usean arkin taulukon työntekijöiden nimien, verotunnisteiden, pankkitietojen ja arkaluonteisten muistiinpanojen osalta. Vahvista löydökset, korjaa huomaamatta jääneet arvot ja valitse tarpeen mukaan palautettava peittäminen tai pysyvä mustaus. Tarkista viety työkirja, kaavat, numeeriset solut, piilotetut arkit, kommentit ja ominaisuudet mukaan lukien, ennen jakamista. Tämä esimerkki havainnollistaa työnkulkua, ei mitattua tarkkuutta eikä käsittelyajan takuuta.
7. Peittämistyökalun valinta kirjanpitotoimistolle
Pääoppaan 8 kohdan tarkistuslista pätee; kirjanpitäjille neljällä kohdalla on lisäpainoa.
Painotettu kohta A: kansallisten tunnisteiden monikielinen kattavuus. Tärkein yksittäinen kyvykkyys. Työkalu, joka hoitaa Codice Fiscalen, Partita IVA:n, NIR:n, SIRETin, Steuer-ID:n, USt-IdNr:n, DNI/NIE:n, NIF:n, EORI:n ja IBAN:n valmiina, kattaa noin 95 % toimiston näkemistä asiakirjatyypeistä. Mikä tahansa heikompi pakottaa kirjoittamaan ja ylläpitämään oman säännöllisten lausekkeiden kerroksen.
Painotettu kohta B: taulukkolaskennan käsittely. Testaa, säilyttääkö työnkulku tarvitsemasi arkit, kaavat, numeeriset arvot ja asettelun. Tarkista näkyvien solujen lisäksi piilotetut arkit, kommentit ja asiakirjan ominaisuudet. Varmista vienti, sillä yleinen korvaus ei takaa työkirjan säilymistä.
Painotettu kohta C: kirjanpitäjän tuntemat toimijatyypit. Työkalun on erotettava yhtiön laskun Partita IVA (ei henkilötieto, kun asiakas on oikeushenkilö) yksityisliikkeenharjoittajan laskun Partita IVA:sta (henkilötieto). Ilman tätä eroa työkalu joko peittää liikaa (rikkoo B2B-työnkulut) tai liian vähän (vuotaa itsenäisten ammatinharjoittajien henkilötietoja).
Painotettu kohta D: rahanpesun selvittelykeskukselle sopiva tarkastustodistuksen muoto. Rahanpesun selvittelykeskukset Italiassa (UIF), Ranskassa (Tracfin), Saksassa (FIU Zollin yhteydessä) ja Espanjassa (SEPBLAC) haluavat artefakteja, jotka osoittavat, miten tietty AML:ään liittyvä käsittely tapahtui. SHA-256-peittämistodistus, jossa on tiivisteet ja lukumäärät mutta ei sisältöä, on puhtain todiste selvittelykeskukselle esitettäväksi, koska se ei luo uusia luovutusvelvoitteita. Redacticin todistusmuoto täyttää tämän vaatimuksen.
Muut neljä tarkistuslistan kohtaa (jäljetön arkkitehtuuri, OCR skannauksille, palautettavat ja peruuttamattomat tilat, manuaalinen tarkastus) pätevät normaalipainoisina. Kirjanpitäjille tarkoitettu peittämisohjelmisto, joka täyttää kaikki kahdeksan kohtaa oikein, on harvinainen; rakentamisen ja ostamisen taloudellisuus puoltaa yleensä ostamista, koska operatiivinen jalanjälki (jäljettömyys, tarkastus, alikäsittelijöiden hallinta, kansallisten säännöllisten lausekkeiden ylläpito) on suurin osa kustannuksista. Tekoälyavusteisessa veroilmoitusten valmistelussa, jossa myös GDPR-velvoitteet pätevät, valinta kapenee entisestään, koska työkalun on tarjottava myös verohallinnon dokumentointiodotuksia vastaava tarkastuspolku.
Käytännössä ostat toimistotason kurin, eli tietojen minimoinnin oletuksena: jokainen tekoälytyönkulku, jokainen jaettu asiakirja ja jokainen sisäinen tiivistelmä kulkee ensin peittämiskerroksen läpi. Tämä yksi kuri täyttää samanaikaisesti GDPR:n 5 artiklan 1 kohdan c alakohdan tietojen minimoinnin, GDPR:n 32 artiklan asianmukaisen turvallisuuden, AML:n jatkokäytön rajan ja tekoälysäädöksen 4 artiklan tekoälyosaamisen velvoitteen. Yksityisyys tekoälyavusteisessa kirjanpidossa rutiinityönkuluissa (pankkitilien täsmäytysten tiivistäminen, kulujen luokittelu, laskujen tietojen poiminta) nojaa samaan arkkitehtuuriin; peittämiskerros on ylävirrassa jokaisesta mallin kutsusta.
Redactic yhdistää automaattisen tunnistuksen, asiakirjakäsittelyn ja ihmisen tekemän tarkistuksen auttaakseen löytämään arkaluonteisia tietoja, myös tuetuista skannatuista asiakirjoista. Tarkista löydetyt arvot ennen pysyvän tai palautettavan peittämisen toteuttamista. Kattavuus riippuu asiakirjan laadusta, kielestä ja asiayhteydestä; automaatio voi jättää tietoja huomaamatta. Kokeile edustavia tiedostoja ja viedyjä tuloksia ennen työnkulun käyttöönottoa. Lisätietoja: DPA
8. Usein kysytyt kysymykset
Olenko kirjanpitäjänä rekisterinpitäjä vai käsittelijä asiakkaani palkkatiedoissa?
Olet tavallisesti työntekijöiden tietojen käsittelijä ja asiakasyrityksen omien tietojen rekisterinpitäjä. Erolla on merkitystä, koska 28 artiklan velvoitteet liittyvät käsittelijäsuhteeseen: toimeksiantosopimuksessa on viitattava 28 artiklan 3 kohdan lausekkeisiin, alikäsittelijät on ilmoitettava ja tietoja saa käsitellä vain dokumentoitujen ohjeiden mukaisesti. Italian Garante ja Ranskan CNIL ovat molemmat antaneet ohjeita, joissa kirjanpitäjiä pidetään työntekijätietojen käsittelijöinä; Saksan Datenschutzkonferenz on samalla linjalla. Jos toimeksiantosopimuksessasi ei ole 28 artiklan mukaista liitettä, korjaa asia ennen seuraavaa asiakassopimuksen uusimista.
Voinko käyttää ilmaista ChatGPT-tiliä ”nopeisiin” laskelmiin asiakkaan tiedoilla?
Ei. Teko luo dokumentoimattoman alikäsittelyn (28 artiklan rikkominen), dokumentoimattoman kansainvälisen siirron (Schrems II) ja salassapitovelvollisuuden vastaisen luovutuksen (Italian Codice Penalen 622 artikla tai vastaava oman oikeusjärjestelmäsi säännös). Se, että tehtävä on ”nopea”, ei muuta oikeudellista luonnehdintaa.
Velvoittaako AMLD6 säilyttämään KYC-tietoja, jotka GDPR:n nojalla mieluummin poistaisin?
Kyllä. Rahanpesutietojen säilytysvelvoite (vähintään viisi vuotta liikesuhteen päättymisestä AMLR:n mukaan; joissakin kansallisissa täytäntöönpanoissa pidempi) syrjäyttää säilyttämisen osalta GDPR:n säilytyksen rajoittamisen periaatteen. Oikeusperuste on GDPR:n 6 artiklan 1 kohdan c alakohta (lakisääteinen velvoite). Voit kuitenkin rajata jatkokäsittelyä: jos säilytettävä KYC-aineisto on rahanpesun todisteena, sitä ei tule käyttää tekoälyn kouluttamiseen, sisäisiin analyyseihin eikä asiakaskirjeenvaihtoon kolmannesta osapuolesta.
Miten salassapitovelvollisuus liittyy varjotekoälyn käyttöön?
Asiakastietojen liittäminen kuluttaja-LLM:ään on useimmissa EU:n oikeusjärjestelmissä luovutus kolmannelle osapuolelle (LLM-palveluntarjoajalle). Salassapitovelvollisuuden rikkominen perustuu tavallisesti ankaraan vastuuseen: ammatinharjoittaja ei voi puolustautua väittämällä, että ”LLM ei oikeasti näe tietoja”, koska oikeudellinen luonnehdinta seuraa luovutusta eikä myöhempää käyttöä. Italian Codice Penalen 622 artiklaa on tulkittu erityisen laajasti. Turvallisempi oletus on, että kaikki jakaminen ulkopuoliselle palvelulle allekirjoitetun käsittelijäsuhteen ulkopuolella rikkoo salassapitovelvollisuutta.
Pitääkö minun peittää omat tietoni vai asiakkaan tiedot?
Asiakkaan tiedot, ennen kuin ne jaetaan ulkopuolelle tai syötetään tekoälylle. Omiin tietoihisi (toimiston henkilöstön ansioluettelot, sisäiset suoritusarvioinnit) sovelletaan HR-peittämissääntöjä, jotka on kuvattu HR-klusterissa. Molemmissa työnkuluissa voi käyttää samaa työkalua, mutta periaatteen perusta on eri: asiakastiedot ovat käsittelijän puolen käsittelyä, omat tiedot ovat rekisterinpitäjän puolen käsittelyä.
Mikä ero on veroilmoituksen ja palkkataulukon peittämisellä?
Veroilmoitus on tavallisesti yhden veronmaksajan asiakirja, jossa tunnisteet ovat keskittyneet (veronmaksajan veronumero, huollettavien veronumerot, IBAN-tilinumerot, työnantajien nimet). Palkkataulukko on usean työntekijän asiakirja, jossa on rakenteisia henkilötietosarakkeita. Peittämismallit eroavat: veroilmoitukset vaativat entiteettien tunnistusta yksittäisessä asiakirjassa laskelmat säilyttäen; palkkatiedot vaativat solutietoista XLSX-käsittelyä sarakekohtaisin säännöin. Työkalu, joka hoitaa molemmat natiivisti, säästää toimistoa kahden putken ylläpidolta.
Voinko jakaa peitetyn asiakasaineiston ulkomaiselle kirjeenvaihtajalle ilman Schrems II -arviointia?
Jos määränpää on EU:ssa, kysymys ei synny. Jos määränpää on kolmannessa maassa, peitetty tiedosto on edelleen henkilötieto, jos se on pseudonymisoitu (4 artiklan 5 kohta); vasta aidosti anonymisoitu tiedosto (johdanto-osan 26 kappale) jää GDPR:n soveltamisalan ulkopuolelle. Käytännössä tarvitset joko vakiosopimuslausekkeet kirjeenvaihtajan kanssa, tietosuojan riittävyyttä koskevan päätöksen (Yhdistynyt kuningaskunta, Sveitsi, Israel jne.) tai täydellisen anonymisoinnin. Peittämistodistus, joka dokumentoi peruuttamattomuuden, tukee anonymisointiargumenttia.
Koskeeko EU:n tekoälysäädös rahanpesun seulontaan käyttämiäni tekoälytyökaluja?
Jos työkalua käytetään arvioimaan rahanpesun riskiä tietyn asiakkaan tai liiketoimen osalta, se kuuluu todennäköisesti liitteen III kohtaan 5 d (”rahoituspalveluissa riskinarviointiin käytettävät tekoälyjärjestelmät”). Se tekee siitä tekoälysäädöksen mukaisen korkean riskin järjestelmän, ja käyttöönottajan velvoitteet kuuluvat kirjanpitäjälle: ihmisen suorittama valvonta, seuranta, avoimuus, kirjanpito ja monissa tapauksissa perusoikeusvaikutusten arviointi. Toimittajan velvoitteet (tekninen dokumentaatio, markkinoille saattamisen jälkeinen seuranta, vaatimustenmukaisuuden arviointi) kuuluvat toimittajalle.
Kuinka kauan peittämistodistusta tulee säilyttää?
Vähintään yhtä kauan kuin taustalla olevan toimeksiannon rahanpesun säilytysaika (tavallisesti viisi vuotta suhteen päättymisestä). Todistukset eivät sisällä henkilötietoja eivätkä sisältöä, joten säilyttäminen ei nosta esiin omia tietosuojakysymyksiä. Suosittelemme säilyttämään ne toistaiseksi todisteena: tallennuksen rajakustannus on mitätön ja arvo tarkastuksessa suuri.
Missä Redactic säilyttää asiakkaideni tietoja?
Asiakirjat ja tulokset käyttävät väliaikaista käsittelytallennusta Redacticin hallitsemassa infrastruktuurissa Euroopassa. Palautustietojen väliaikainen palvelinpuolen käsittely voi olla mukana. Tili-, laskutus-, suostumus- ja toimenpidetiedot käsitellään erikseen. Katso säilytys- ja poistoehdot Redacticin tietojenkäsittelysopimuksesta (DPA) ja tietosuojailmoituksesta ja pyydä meitä vahvistamaan työnkulkusi profiili. Lisätietoja: luottamussivut
Vielä yksi operatiivinen huomautus: peittämiskerroksen rakentaminen toimiston tekoälytyönkulkujen eteen tuo myös myönteisen sivuvaikutuksen laatuun. Mallit toimivat paremmin siististi pseudonymisoidulla tekstillä kuin raakadokumenteilla, koska syöte on lyhyempi, olennainen signaali on keskittynyt eikä malli hajaannu entiteettien tunnistamiseen. Veroilmoitusten tarkistusagentit, jotka saivat sisäisissä pilooteissamme pseudonymisoitua syötettä, tuottivat analyyttisissä kysymyksissä vähemmän hallusinaatioita kuin agentit, jotka saivat raakadokumentteja. Se on pieni mutta toistettava laatuhyöty, joka kumuloituu tuhansien kuukausittaisten ajojen yli. Peittämiskerros maksaa itsensä takaisin kerran vaatimustenmukaisuudessa ja toisen kerran tulosten laadussa.
Jos toimistosi käsittelee veroilmoituksia, palkka-ajoja, KYC-aineistoja tai tilintarkastuksen työpapereita (ja käsittelee), jokainen näistä asiakirjoista kulkee tällä hetkellä sähköpostin, asemien ja kuluttajatason tekoälytyökalujen kautta ilman peittämiskerrosta edessään. Toimimattomuuden hinta on konkreettisia tapahtumia: Garanten tai CNIL:n tarkastus, joka odottaa sopivaa laukaisijaa, AMLA:n kysely kehyksen aktivoituessa vuonna 2027, tyytymättömän asiakkaan rikosilmoitus salassapidon rikkomisesta ja vastuuvakuuttaja, joka hylkää vaateen, koska tekoälyn käyttöä ei ollut dokumentoitu. Arkkitehtuuri on olemassa, sääntelykello tikittää ja peittämiskerros maksaa itsensä takaisin ensimmäisessä tarkastuksessa. Aloita tässä kuussa kymmenestä volyymiltään suurimmasta asiakkaasta.
Perusarkkitehtuurin osalta katso pääopas; palkkoihin liittyvistä HR:n lähityönkuluista katso artikkeli varjotekoälystä HR:ssä. Nähdäksesi Redacticin esimerkkipalkkataulukolla, Redacticin etusivulla on live-demo.