Dacă conduceți un cabinet de contabilitate în 2026, vă numărați probabil printre cei mai mari prelucrători de date personale din economia europeană ca volum și lucrați sub constrângeri mai strânse decât majoritatea operatorilor: vi se aplică GDPR, un regim național al secretului profesional și cadrul european de combatere a spălării banilor, iar datele clienților le prelucrați în numele lor. Mascarea documentelor pentru contabili, adică acoperirea numelor, a codurilor fiscale, a IBAN-urilor și a elementelor salariale din fiecare document de client care trece prin cabinet, este acum poarta operațională care decide dacă cabinetul poate folosi instrumente AI, poate trimite fișiere în siguranță corespondenților din străinătate și poate trece atât de o anchetă a unei autorități de supraveghere, cât și de un audit al unei unități de informații financiare.
Acesta este al treilea articol din seria noastră de ghiduri despre mascare. Ghidul principal tratează tehnologia de bază și cadrul general GDPR. Acest articol se concentrează pe contabilitate: prelucrarea salariilor, declarațiile fiscale, KYC/AML, documentația de lucru a auditului și corespondența cu clienții, adică domeniul în care volumul de date personale pe profesionist este cel mai mare dintre toate categoriile de servicii profesionale, iar ansamblul reglementărilor este cel mai stratificat.
Este și articolul din cluster cel mai util direct pentru cabinetele care lucrează transfrontalier. Contabili care servesc rezidenți italieni de la un birou din Franța, clienți francezi care raportează printr-un holding irlandez, Mittelstand-ul german care folosește filiale spaniole: fiecare flux fiscal transfrontalier generează un flux de date personale care traversează două sau trei jurisdicții înainte să ajungă într-o declarație. Stratul de mascare este cel care face acest flux apărabil.
O precizare privind domeniul: în acest articol, mascarea documentelor și mascarea datelor personale pentru contabili desemnează același strat operațional, împreună cu software-ul de mascare care îl rulează. Anonimizarea codurilor fiscale, a numerelor de TVA și a numerelor EORI este tratată ca un set de cazuri particulare ale aceleiași probleme a identificatorilor multinaționali, iar obligațiile unui cabinet de contabilitate conform GDPR acoperă atât rolul de operator, cât și pe cel de persoană împuternicită. Conformitatea AI pentru contabili este termenul-umbrelă pentru ansamblul combinat GDPR, Regulamentul privind IA și AML discutat mai jos, folosit cu accent pe rolul cabinetului de implementator al instrumentelor AI.
1. De ce cabinetele de contabilitate sunt cei mai mari prelucrători de date personale din UE
Cinci fapte structurale explică împreună de ce mascarea datelor personale pentru contabili este mult mai complexă decât în orice altă categorie de servicii profesionale.
În primul rând, volumul. Un cabinet de contabilitate de dimensiuni medii deservește sute de clienți, fiecare generând state de plată lunare, declarații trimestriale de TVA, declarații fiscale anuale, documente de onboarding KYC și corespondență continuă. Un singur cabinet prelucrează într-un an mai multe înregistrări individuale de date personale decât multe platforme de marketing, iar datele sunt structural mai bogate (identificator național, date financiare, angajare, uneori sănătate).
În al doilea rând, sensibilitatea. Datele identifică persoane și sunt reglementate simultan de mai multe regimuri. Identificatorii naționali (Codice Fiscale în Italia, NIR în Franța, Steuer-ID în Germania, DNI/NIE în Spania) sunt date personale conform GDPR, dar și ținte ale riscului de fraudă. Datele salariale se suprapun cu categoriile speciale din art. 9 GDPR ori de câte ori includ motive de concediu medical, indemnizații de invaliditate, cotizații sindicale sau drepturi de pensie cu caracter confesional. Documentele AML/KYC (pașapoarte, cărți de identitate, declarații privind beneficiarii reali) atrag o obligație de păstrare separată în cadrul european de combatere a spălării banilor.
În al treilea rând, împărțirea rolurilor. Contabilii sunt persoane împuternicite pentru datele clienților lor și nu operatori. De aceea art. 28 GDPR, adică acordul de prelucrare a datelor, dezvăluirea subîmputerniciților și lanțul documentat de împuterniciri, este coloana vertebrală operațională a relației cabinetului cu fiecare client. Un subîmputernicit neautorizat, inclusiv un cont ChatGPT gratuit, este o încălcare contractuală față de fiecare dintre acești clienți în același timp.
În al patrulea rând, secretul profesional. Art. 622 din Codice Penale italian și art. 1175 și 1375 din Codice Civile, art. L820-5 din Code de commerce francez și codul de deontologie al OEC, § 57 StBerG citit împreună cu § 203 StGB în Germania și RGL del ICEC în Spania impun toate un secret profesional penal sau cvasipenal. Interacțiunea cu GDPR este netrivială: minimizarea datelor din art. 5 GDPR se suprapune cu secretul profesional, dar regulile de dezvăluire diferă (GDPR prevede un drept de acces, secretul profesional dă o confidențialitate aproape absolută). Obligațiile de secret profesional ale unui contabil sunt de regulă mai stricte decât drepturile de acces din GDPR, iar cabinetul trebuie să le respecte pe ambele.
În al cincilea rând, circulația transfrontalieră a datelor este regula. Un angajament tipic pentru o firmă de dimensiuni medii implică fluxuri către un contabil corespondent din străinătate, către autoritățile fiscale străine ale clientului, către băncile corespondente pentru verificarea IBAN și către registrul central al comerțului din unul sau mai multe state membre. Fiecare flux presupune o evaluare proprie a transferului conform art. 44. Datele fiscale transfrontaliere dirijate printr-un LLM american reprezintă o singură încălcare GDPR ușor de dovedit în orice audit, pentru că doar jurnalele de rețea sunt dovadă suficientă.
2. Cele șase categorii de documente pe care le gestionează orice cabinet de contabilitate
Categoriile diferite de documente generează modele diferite de mascare. Cele șase de mai jos acoperă circa 98% din ce circulă prin orice cabinet și se mapează curat pe arhitectura de mascare.
1. State de plată și fluturași. Fișiere XLSX cu mai mulți angajați, cu nume, cod fiscal, IBAN, salariu brut, rețineri și observații; fluturași PDF pentru fiecare angajat; situații anuale ale salariilor. Problema mascării este aici multimodală: date personale structurate la nivel de celulă (coloana codului fiscal, coloana IBAN) plus note nestructurate (comentarii ale managerilor, motive de concediu medical). Anonimizarea salariilor cu un simplu caută-și-înlocuiește strică formulele de salarii, în timp ce un instrument de mascare care înțelege tipurile de celule păstrează valoarea analitică a foii de calcul și maschează datele personale. Mascarea salariilor este și activitatea de mascare cea mai frecventă din orice cabinet.
2. Declarații și dosare fiscale. 730, F24, Modello Unico, IRAP în Italia; liasse fiscale, déclaration de TVA, IS în Franța; Einkommensteuererklärung, Umsatzsteuer-Voranmeldung, Bilanz în Germania; Modelo 100, Modelo 303, Modelo 200 în Spania. Fiecare declarație conține datele personale ale contribuabilului și adesea ale persoanelor aflate în întreținere sau ale angajaților. Mascarea declarațiilor este necesară ori de câte ori declarația sau documentele ei de lucru sunt partajate cu un terț (corespondență cu alt cabinet, sprijin pentru audit, analiză asistată de AI). Când declarațiile sunt anonimizate pentru analiza AI, mascarea trebuie să păstreze logica calculelor și să acopere identificatorii, ceea ce cere detectare structurată peste potrivirea de modele.
3. Documente de onboarding KYC/AML. Acte de identitate (pașapoarte, cărți de identitate), dovada adresei, declarații privind beneficiarii reali, documentația sursei fondurilor. Acestea intră sub incidența ansamblului AML al UE: AMLD4 (2015), AMLD5 (2018), AMLD6 (2018), AMLR (Regulamentul (UE) 2024/1624) și AMLD (Directiva (UE) 2024/1640). Contabilii sunt entități raportoare conform tuturor acestora. Mascarea datelor KYC este în acest context asimetrică: dosarul KYC de bază nu poate fi mascat (trebuie păstrat), dar informațiile derivate din KYC trebuie mascate ori de câte ori ajung într-un flux ulterior (rezumat de AI, instruire internă, corespondență cu clientul despre un terț).
4. Documentația de lucru a auditului. La cabinetele cu activitate de audit, documentația de lucru conține extrase din sistemele clientului, identificatori ai angajaților, date despre furnizori și comunicări ale conducerii. ISA 230 cere păstrarea timp de cel puțin cinci ani; ghidurile ICAEW și IAASB tratează documentația de lucru drept confidențială. Mascarea documentației de lucru a auditului permite partajarea parțială cu echipele de co-audit, cu evaluatorii colegiali și cu evaluatorii calității auditului, fără a încălca nici GDPR, nici regimul confidențialității auditului.
5. Contracte și corespondență cu clienții. Scrisori de angajament, propuneri de onorarii, note de consultanță, schimburi de e-mailuri. Conțin date personale ale clientului, adesea date ale terților (contrapartea clientului) și frecvent informații strategice despre o tranzacție. Asistenții AI generici pentru e-mail și instrumentele de rezumare a documentelor care operează pe această categorie creează cea mai perfidă expunere la shadow AI, pentru că utilizatorul percepe activitatea ca fiind cu risc scăzut („îmi rezum doar inboxul”).
6. Date bancare și de trezorerie. Liste de IBAN, extrase SWIFT, autorizări de plată, reconcilieri bancare. Datele personale sunt aici concentrate în IBAN-uri și numele titularilor de cont; sensibilitatea financiară este ridicată; atât PSD2, cât și regulile schemei SCT adaugă un strat peste baza GDPR. Mascarea IBAN-urilor este un micro-flux frecvent, care trebuie să ruleze automat înainte de orice pas AI pe documente financiare.
Modelul este același în toate cele șase categorii: datele structurate cer mascare structurată, textul liber cere detectare ML, iar certificatul de audit este cel care face activitatea apărabilă în fața responsabilului cu protecția datelor și a unității de informații financiare.
3. Peisajul identificatorilor naționali și de ce potrivirea de modele nu este suficientă
Contabilii lucrează cu identificatori naționali mai mult decât orice altă categorie profesională. Fiecare are o structură, un algoritm pentru cifra de control și un set de riscuri de fals pozitiv. Un instrument generic de mascare antrenat pe numerele americane Social Security le va rata în tăcere pe cele mai multe.
| Țara | Identificator | Lungime | Observații |
|---|---|---|---|
| Italia | Codice Fiscale | 16 caractere alfanumerice | Nume de familie + prenume + data nașterii + sex + locul nașterii + caracter de control. Structura dezvăluie data nașterii și sexul chiar și după mascarea contextului din jur. |
| Italia | Partita IVA | 11 cifre | Număr de TVA; provincia codificată; cifră de control. Adesea confundat cu CF în text liber. |
| Franța | NIR / INSEE | 15 cifre | Sex + an + lună + département + comună + număr de ordine + control. Identifică unic o persoană în comuna nașterii. |
| Franța | SIRET / SIREN | 14 / 9 cifre | Identificator de unitate / de societate. Dată personală pentru persoanele care desfășoară activitate independentă. |
| Germania | Steuer-ID (IdNr) | 11 cifre | Cod fiscal personal, pe viață, care nu poate fi dedus din data nașterii. Strict reglementat. |
| Germania | USt-IdNr | 9 cifre după DE | Număr de TVA pentru tranzacții transfrontaliere. |
| Spania | DNI / NIE | 8 cifre + literă | DNI pentru cetățeni, NIE pentru rezidenți străini. Litera este un control determinist. |
| Spania | CIF (vechi) / NIF | 9 caractere | NIF pentru întreprinzători individuali oglindește DNI; CIF pentru persoane juridice. |
| UE | EORI | variază | Identificator vamal. Format pe stat membru; dată personală pentru importatorul care desfășoară activitate independentă. |
| UE | IBAN | 15-34 alfanumeric | Cod de țară + control + BBAN; validabil structural. Cel mai expus la scurgeri câmp individual din state de plată. |
Redactic combină detectarea automată, prelucrarea documentelor și revizuirea umană pentru a ajuta la identificarea informațiilor sensibile, inclusiv în documentele scanate acceptate. Verificați valorile detectate înainte de a aplica mascarea permanentă sau reversibilă. Acoperirea depinde de calitatea documentului, de limbă și de context; automatizarea poate rata informații. Evaluați fișiere reprezentative și rezultatele exportate înainte de a adopta un flux.
Decizia de mascare depinde și de tipul identificatorului. Numerele EORI și de TVA nu sunt de regulă date personale pentru entitățile constituite ca societăți și nu trebuie mascate într-un flux strict B2B; aceleași numere sunt date personale pentru persoanele care desfășoară activitate independentă și trebuie mascate. Instrumentul trebuie să înțeleagă contextul tipului de entitate pentru a lua decizia corectă.
4. Ansamblul GDPR și AML și cum diferă pentru contabili
Trei regimuri se aplică simultan fiecărui cabinet de contabilitate: GDPR, cadrul european de combatere a spălării banilor și legislația națională privind secretul profesional. Ele nu sunt aliniate; în unele locuri intră în conflict.
Art. 28 GDPR, coloana vertebrală a persoanei împuternicite. Un contabil este persoană împuternicită pentru clienții săi. Contractul de prestări servicii trebuie să includă clauzele de la art. 28 alin. (3) sau să facă trimitere la ele. Subîmputerniciții (platforma de contabilitate în cloud, furnizorul de facturare electronică, furnizorul de OCR, LLM-ul) trebuie dezvăluiți clientului, cu drept de opoziție. Utilizarea shadow AI de către un contabil senior încalcă art. 28 față de fiecare client ale cărui date s-au aflat în sesiune, de regulă zeci deodată.
Art. 32 GDPR și securitatea prelucrării. Ghidurile EDPB din 2024 privind măsurile tehnice și organizatorice pentru persoanele împuternicite includ explicit pseudonimizarea în setul de instrumente recomandat. Pentru contabili asta înseamnă: mascați înainte de utilizarea AI, criptați datele în repaus, înregistrați accesul, documentați controalele. Un cabinet fără strat de mascare nu poate pretinde credibil că a respectat art. 32 pentru fluxurile cu AI.
AMLD6 și AMLR (2024). A șasea directivă privind combaterea spălării banilor (Directiva (UE) 2018/1673) a incriminat spălarea banilor, cu infracțiuni principale armonizate; AMLR din 2024 (Regulamentul (UE) 2024/1624) este noul set unic de norme care se va aplica direct din iulie 2027, odată cu noua Autoritate europeană AML (AMLA). Contabilii sunt entități raportoare conform ambelor. Documentele KYC pe care le colectează trebuie păstrate cel puțin cinci ani după încetarea relației de afaceri. Păstrarea datelor AML și KYC și principiul limitării stocării din GDPR creează o tensiune aparentă; rezolvarea este că obligația de păstrare AML constituie temeiul juridic conform art. 6 alin. (1) lit. (c) pentru păstrarea în sine, în timp ce prelucrarea ulterioară a acelorași date (rezumare de AI, analize interne) este o activitate de prelucrare separată, care are nevoie de un temei propriu. Conformitatea cu AMLD6 și conformitatea cu GDPR pot coexista printr-o proiectare atentă a fluxului.
Secretul profesional la nivel național. Art. 622 din Codice Penale italian prevede răspundere penală pentru dezvăluirea de către un deținător de secret profesional; secretul profesional francez se leagă de înscrierea în tableau de l'ordre; § 57 StBerG împreună cu § 203 StGB face din secretul profesional o infracțiune în Germania; secretul profesional spaniol este de natură legală. În fiecare caz secretul este de regulă mai strict decât dreptul de acces din GDPR, ceea ce înseamnă că cabinetul trebuie (a) să refuze unele cereri de acces în temeiul secretului profesional chiar dacă GDPR le-ar permite și (b) să se asigure că shadow AI nu constituie o dezvăluire către un terț (furnizorul LLM).
Regulamentul UE privind IA pentru contabili. Clasificarea cu risc ridicat din anexa III la Regulamentul privind IA nu se aplică majorității utilizărilor AI în contabilitate (anexa III vizează mai ales HR și biometria). Totuși transparența din art. 13, obligațiile implementatorului din art. 26 pentru orice sistem cu risc ridicat și obligația de alfabetizare în materie de IA din art. 4 (în vigoare din februarie 2025) îi privesc și pe contabili. Un exemplu: un instrument AI folosit pentru triajul rapoartelor de activitate suspectă (SAR) în cadrul AML ar fi probabil cu risc ridicat conform anexei III pct. 5 lit. (d) („sisteme de IA utilizate pentru evaluarea riscului în servicii financiare”). Contabilul care îl implementează poartă obligațiile implementatorului.
Concluzia: fiecare caz de utilizare AI dintr-un cabinet de contabilitate trebuie să treacă simultan prin GDPR (art. 28 și art. 32), AML (AMLR și AMLA acolo unde se aplică), secretul profesional național și, pentru unele categorii înguste, obligațiile cu risc ridicat din Regulamentul privind IA. Conformitatea cu GDPR pentru contabili este implicit multi-regim, iar stratul de mascare este singurul control tehnic care operează peste toate cele patru.
Un rezumat AI al unui stat de plată poate angaja în același timp obligații privind viața privată, confidențialitatea, dreptul muncii și criminalitatea financiară. Mascarea poate reduce expunerea identificatorilor detectați, dar nu rezolvă limitările de scop, temeiul juridic, secretul profesional sau restricțiile privind utilizarea ulterioară. Evaluați-le separat înainte de a partaja conținutul.
5. Problema shadow AI în cabinetele de contabilitate
Dinamica shadow AI pe care am tratat-o în clusterul HR există și în cabinetele de contabilitate, cu modele de risc specifice diferite.
Fluxul din umbră de la sfârșit de trimestru. Un asociat senior care lucrează într-o sâmbătă dinaintea termenului de depunere a declarațiilor lipește într-un cont personal ChatGPT un XLSX de 2.000 de rânduri cu numele angajaților, Codice Fiscali, IBAN-uri și salarii, ca să „verifice totalurile”. Modelul vede întregul registru al clientului. Jurnalele modelului o văd ca pe o cerere. Sesiunea poate antrena următoarea versiune a modelului. Evidențele cabinetului conform art. 30 nu văd nimic din toate acestea. Clientul nu știe.
Fluxul din umbră al traducerilor. Un practician care lucrează la un angajament transfrontalier folosește un instrument de traducere gratuit pentru a transpune în italiană un manual german al angajaților. Manualul conține, în exemple, nume, istoric profesional și Steuer-ID. Nivelul gratuit al fiecărui traducător important bazat pe LLM trece prin capacitate de calcul americană și păstrează datele implicit pentru antrenare.
Fluxul din umbră al rezumărilor. Un manager folosește un chatbot de consum pentru a rezuma firul de e-mailuri al partenerului pe un dosar al clientului înainte de a răspunde. Firul conține comunicări protejate de secretul profesional dintre contabil și client, date personale ale unor terți și uneori considerații strategice AML/SAR. Această categorie este deosebit de perfidă, pentru că practicianul nu consideră rezumarea e-mailurilor o activitate reglementată cu AI.
Fluxul din umbră al dezvoltării profesionale. Un asociat care se pregătește pentru un modul CPE lipește într-o sesiune ChatGPT, pentru explicații, studii de caz „anonimizate, dar nu chiar anonimizate” din angajamente reale. „Anonimizat” înseamnă aici de obicei că numele clientului a fost eliminat; structura fiscală, geografia și sumele tranzacției sunt intacte, iar cazul poate fi reconstituit.
În fiecare caz practicianul crede că activitatea are risc scăzut, pentru că datele sunt „doar text”, acțiunea este „doar rezumare”, iar modelul „doar mă ajută să gândesc”. În fiecare caz expunerea reglementară este identică: subîmputernicit nedocumentat, transfer internațional nedocumentat, încălcarea secretului profesional, posibilă scurgere de informații AML. O asemenea folosire a ChatGPT creează și o problemă de probă la următoarea inspecție: nu există un jurnal la care să trimiteți și niciun certificat de prezentat.
Remediul este aceeași arhitectură pe care am descris-o în ghidul principal și în clusterul HR: calea oficială trebuie să fie mai rapidă decât calea din umbră, iar stratul de mascare trebuie să stea în fața modelului. Pentru contabili, arhitectura trebuie să înțeleagă codurile fiscale, IBAN-urile și diferența de tip de entitate între B2B și persoanele cu activitate independentă. Utilizarea ChatGPT de către contabili este o problemă pe care o rezolvă arhitectura. Pentru a masca codurile fiscale și datele angajaților și pentru a anonimiza fiabil salariile în toată activitatea cabinetului, stratul de mascare trebuie să ruleze implicit înaintea fiecărui pas AI. Același lucru este valabil pentru depunerile în stil american: la cabinetele cu clienți din SUA, SSN-urile de pe formularele 1099 și numerele de rutare bancară aparțin aceleiași cascade de detectare.
Cifrele publicate despre cât de des lipesc profesioniștii date ale clienților în instrumente AI provin din sondaje, telemetrie a furnizorilor și seturi de date de consum, care măsoară lucruri diferite, iar o trecere în revistă sursă cu sursă a statisticilor despre shadow AI le pune una lângă alta.
Pentru a folosi AI fără a preda nume și identificatori, Redactic poate pregăti documentele dumneavoastră pentru AI: valorile detectate devin substituenți, iar numele reale revin în browserul dumneavoastră când sosește răspunsul.
6. Fluxul în cinci pași adaptat documentelor contabile
Fluxul în cinci pași din ghidul principal se aplică documentelor contabile cu trei ajustări specifice.
- Încărcare (cu cunoașterea formatelor). Acceptați formate native: XLSX (structurat pe foi), PDF digital și scanat (OCR pentru scanări), DOCX (scrisori de angajament, note), CSV (exporturi de date). Respingeți încărcarea dacă fișierul depășește limitele; limitele tipice sunt 100 de pagini pe document și 50 MB pe fișier, iar ambele trebuie să fie configurabile pentru fiecare angajament cu clientul.
- Detectare (cu cascada contabilului). Mai întâi căutare în dicționar pe lista de clienți încărcată de cabinet (angajați, furnizori, părți afiliate), apoi expresii regulate naționale (CF, Partita IVA, NIR, SIRET, Steuer-ID, USt-IdNr, DNI/NIE, NIF, IBAN, SWIFT), apoi NER multilingv pentru numele și organizațiile pe care expresiile regulate le-au ratat, apoi OCR pentru scanări. Ordinea contează: dicționarul primul înseamnă că registrul propriu al cabinetului primește înlocuiri în formă canonică, expresiile regulate pe locul doi înseamnă că identificatorii structurați sunt prinși cu precizie ridicată, NER la urmă înseamnă că numele rămase sunt prinse.
- Revizuire (cu categoriile contabilului). Afișați fragmentele detectate grupate pe categorii. Revizorul vrea de regulă să vadă dintr-o privire că „toate cele 80 de Codice Fiscali sunt mascate”, fără să parcurgă toată foaia de calcul. Vizualizarea grupată face și generarea certificatului de audit mai curată.
- Aplicare (reversibilă sau ireversibilă). Pentru fluxurile AI pe declarații fiscale și salarii, reversibilul este valoarea implicită potrivită (contabilul trebuie să citească rezultatul AI cu valorile reale restabilite). Pentru partajarea cu un corespondent din străinătate, înnegrirea ireversibilă este valoarea implicită potrivită (corespondentul nu trebuie să poată reidentifica persoanele). Instrumentul trebuie să le accepte pe ambele din aceeași încărcare.
- Certificare și dirijare. Generați certificatul SHA-256. Pentru fluxurile AI, dirijați textul pseudonimizat către LLM-ul din UE și restabiliți local. Pentru partajare, împachetați rezultatul mascat cu certificatul și trimiteți-l destinatarului prin canalul de transfer securizat al cabinetului. Certificatul este artefactul pe care îl prezentați autorității de supraveghere, unității de informații financiare, clientului când vă întreabă „ce ați făcut cu datele mele?” și asigurătorului.
De exemplu, o echipă de salarizare poate parcurge o foaie de calcul cu mai multe foi pentru nume de angajați, identificatori fiscali, date bancare și note sensibile. Confirmați detectările, corectați valorile ratate și alegeți după caz mascarea reversibilă sau redactarea permanentă. Verificați registrul exportat, inclusiv formulele, celulele numerice, foile ascunse, comentariile și proprietățile, înainte de a-l partaja. Acest exemplu ilustrează un flux și nu o garanție de acuratețe sau de timp de prelucrare măsurat.
7. Alegerea unui instrument de mascare pentru un cabinet de contabilitate
Lista de verificare cu 8 puncte din ghidul principal se aplică; pentru contabili patru puncte cântăresc mai mult.
Punctul A cu pondere mai mare: acoperirea multilingvă a identificatorilor naționali. Cea mai importantă capacitate. Un instrument care tratează din start Codice Fiscale, Partita IVA, NIR, SIRET, Steuer-ID, USt-IdNr, DNI/NIE, NIF, EORI și IBAN acoperă circa 95% din tipurile de documente pe care le vede cabinetul. Orice mai slab vă obligă să scrieți și să întrețineți propriul strat de expresii regulate.
Punctul B cu pondere mai mare: tratarea foilor de calcul. Testați dacă fluxul păstrează foile, formulele, valorile numerice și aspectul de care aveți nevoie. Pe lângă celulele vizibile, revizuiți foile ascunse, comentariile și proprietățile documentului. Verificați exportul, pentru că o înlocuire generică nu garantează păstrarea registrului.
Punctul C cu pondere mai mare: tipuri de entități înțelese de contabili. Instrumentul trebuie să facă diferența între o Partita IVA pe factura unei societăți (nu este dată personală când clientul este persoană juridică) și o Partita IVA pe factura unui întreprinzător individual (este dată personală). Fără această distincție instrumentul fie maschează prea mult (strică fluxurile B2B), fie prea puțin (lasă să scape datele personale ale persoanelor cu activitate independentă).
Punctul D cu pondere mai mare: formatul certificatului de audit potrivit pentru unitatea de informații financiare. Unitățile de informații financiare din Italia (UIF), Franța (Tracfin), Germania (FIU de la Zoll) și Spania (SEPBLAC) vor artefacte care să arate cum a decurs o anumită prelucrare conexă AML. Un certificat de mascare SHA-256 cu hash-uri și numere, dar fără conținut, este cea mai curată dovadă de prezentat unei unități, pentru că nu creează noi obligații de dezvăluire. Formatul certificatului Redactic îndeplinește această cerință.
Celelalte patru puncte ale listei (arhitectură fără urme, OCR pentru scanări, moduri reversibil și ireversibil, revizuire manuală) se aplică la ponderea obișnuită. Software-ul de mascare pentru contabili care le îndeplinește corect pe toate cele opt este rar; economia construirii față de cumpărare favorizează de regulă cumpărarea, deoarece amprenta operațională (fără urme, audit, gestionarea subîmputerniciților, întreținerea expresiilor regulate naționale) reprezintă cea mai mare parte a costului. Pentru pregătirea fiscală asistată de AI, unde se aplică și obligațiile din GDPR, alegerea este restrânsă în plus, pentru că instrumentul trebuie să ofere și o pistă de audit aliniată la așteptările autorității fiscale privind documentarea.
În practică, ceea ce cumpărați este disciplina la nivelul cabinetului de minimizare a datelor implicit: fiecare flux AI, fiecare document partajat și fiecare rezumat intern trece mai întâi prin stratul de mascare. Această singură disciplină satisface simultan minimizarea datelor din art. 5 alin. (1) lit. (c) GDPR, securitatea adecvată din art. 32 GDPR, limita utilizării ulterioare din AML și obligația de alfabetizare în materie de IA din art. 4 al Regulamentului privind IA. Confidențialitatea în contabilitatea asistată de AI pentru fluxurile de rutină (rezumarea reconcilierilor bancare, clasificarea cheltuielilor, extragerea din facturi) se sprijină pe aceeași arhitectură; stratul de mascare se află în amonte de fiecare apel către un model.
Redactic combină detectarea automată, prelucrarea documentelor și revizuirea umană pentru a ajuta la identificarea informațiilor sensibile, inclusiv în documentele scanate acceptate. Verificați valorile detectate înainte de a aplica mascarea permanentă sau reversibilă. Acoperirea depinde de calitatea documentului, de limbă și de context; automatizarea poate rata informații. Evaluați fișiere reprezentative și rezultatele exportate înainte de a adopta un flux. Lecturi suplimentare: DPA
8. Întrebări frecvente
Ca și contabil, sunt operator sau persoană împuternicită pentru datele salariale ale clientului meu?
De regulă sunteți persoană împuternicită pentru datele angajaților și operator pentru datele firmei-client. Distincția contează, pentru că obligațiile de la articolul 28 se leagă de relația cu persoana împuternicită: contractul de prestări servicii trebuie să facă trimitere la clauzele de la art. 28 alin. (3), subîmputerniciții trebuie dezvăluiți, iar prelucrarea se face numai pe baza instrucțiunilor documentate. Garante din Italia și CNIL din Franța au emis ambele ghiduri care tratează contabilii drept persoane împuternicite pentru datele angajaților; Datenschutzkonferenz din Germania se aliniază. Dacă contractul dumneavoastră nu are o anexă conform art. 28, remediați acest lucru înainte de următoarea reînnoire cu clientul.
Pot folosi un cont ChatGPT gratuit pentru calcule „rapide” pe datele unui client?
Nu. Actul creează o subîmputernicire nedocumentată (încălcarea art. 28), un transfer internațional nedocumentat (Schrems II) și o dezvăluire a secretului profesional (art. 622 din Codice Penale italian sau echivalentul din jurisdicția dumneavoastră). Faptul că sarcina este „rapidă” nu schimbă încadrarea juridică.
AMLD6 mă obligă să păstrez date KYC pe care, conform GDPR, aș prefera să le șterg?
Da. Obligația de păstrare AML (cel puțin cinci ani de la încetarea relației de afaceri conform AMLR; mai mult în unele transpuneri naționale) prevalează asupra principiului limitării stocării din GDPR pentru păstrarea în sine. Temeiul juridic este art. 6 alin. (1) lit. (c) GDPR (obligație legală). Ce puteți face este să reduceți prelucrarea ulterioară: dacă dosarul KYC păstrat servește ca dovadă AML, nu îl folosiți pentru antrenarea AI, analize interne sau corespondență cu clientul despre un terț.
Cum se raportează secretul profesional la utilizarea shadow AI?
Lipirea datelor clienților într-un LLM de consum este, în majoritatea jurisdicțiilor UE, o dezvăluire către un terț (furnizorul LLM). Secretul profesional atrage de regulă o răspundere obiectivă: profesionistul nu se poate apăra susținând că „LLM-ul nu vede de fapt datele”, pentru că încadrarea juridică urmărește actul dezvăluirii și nu utilizarea ulterioară. Art. 622 din Codice Penale italian a fost interpretat în special pe larg. Ipoteza mai sigură este că orice partajare cu un serviciu extern în afara unei relații semnate cu persoana împuternicită încalcă secretul profesional.
Trebuie să maschez datele mele sau ale clientului?
Datele clientului, înainte de a le partaja în exterior sau de a le da unui AI. Datele proprii (CV-urile personalului cabinetului, evaluările interne de performanță) urmează regulile de mascare pentru HR din clusterul HR. Cele două fluxuri pot folosi același instrument, dar baza politicii diferă: datele clientului sunt prelucrare din partea persoanei împuternicite, datele proprii sunt prelucrare din partea operatorului.
Care este diferența dintre mascarea unei declarații fiscale și mascarea unei foi de calcul de salarii?
O declarație fiscală este de regulă documentul unui singur contribuabil, cu identificatori concentrați (codul fiscal al contribuabilului, codurile fiscale ale persoanelor aflate în întreținere, IBAN-uri, numele angajatorilor). O foaie de calcul de salarii este un document cu mai mulți angajați și coloane structurate de date personale. Modelele de mascare diferă: declarațiile fiscale cer detectarea entităților într-un singur document cu păstrarea calculelor; salariile cer prelucrare XLSX la nivel de celulă, cu reguli pe coloane. Un instrument care le tratează pe amândouă nativ scutește cabinetul de întreținerea a două fluxuri.
Pot trimite unui corespondent din străinătate un dosar mascat al clientului fără o evaluare Schrems II?
Dacă destinația este în UE, întrebarea nu se pune. Dacă destinația este într-o țară terță, fișierul mascat rămâne dată personală dacă este pseudonimizat (art. 4 pct. 5); abia un fișier cu adevărat anonimizat (considerentul 26) iese din domeniul GDPR. În practică aveți nevoie fie de un set de clauze contractuale standard cu corespondentul, fie de o decizie de adecvare (Regatul Unit, Elveția, Israel etc.), fie de anonimizare completă. Un certificat de mascare care documentează ireversibilitatea sprijină argumentul anonimizării.
Se aplică Regulamentul UE privind IA instrumentelor AI pe care le folosesc pentru triajul AML?
Dacă instrumentul este folosit pentru a evalua riscul de spălare a banilor pentru un anumit client sau o anumită tranzacție, probabil intră sub anexa III pct. 5 lit. (d) („sisteme de IA utilizate pentru evaluarea riscului în servicii financiare”). Asta îl face sistem cu risc ridicat conform Regulamentului privind IA, cu obligațiile implementatorului în sarcina contabilului: supraveghere umană, monitorizare, transparență, păstrarea evidențelor și, în multe cazuri, o evaluare a impactului asupra drepturilor fundamentale. Obligațiile furnizorului (documentație tehnică, monitorizare ulterioară introducerii pe piață, evaluarea conformității) revin furnizorului.
Care este perioada potrivită de păstrare a certificatului de mascare?
Cel puțin cât perioada de păstrare AML pentru angajamentul de bază (de regulă cinci ani de la încheierea relației). Certificatele nu conțin date personale și nici conținut, deci păstrarea lor nu ridică probleme proprii de confidențialitate. Recomandăm păstrarea nelimitată ca dovadă: costul marginal de stocare este neglijabil, iar valoarea în fața unui audit este mare.
Unde stochează Redactic datele clienților mei?
Documentele și rezultatele folosesc stocare temporară de prelucrare pe infrastructura controlată de Redactic din Europa. Poate interveni prelucrarea temporară pe server a datelor de restaurare. Evidențele de cont, facturare, consimțământ și operațiuni sunt tratate separat. Consultați acordul de prelucrare a datelor (DPA) și nota de confidențialitate Redactic pentru condițiile de păstrare și ștergere și cereți-ne să confirmăm profilul pentru fluxul dumneavoastră. Lecturi suplimentare: pagini de încredere
O ultimă observație operațională: construirea unui strat de mascare în fața fluxurilor AI ale cabinetului produce și un efect secundar pozitiv asupra calității. Modelele funcționează mai bine pe text pseudonimizat curat decât pe documentele brute, pentru că intrarea este mai scurtă, semnalul relevant este concentrat, iar modelul nu este distras de recunoașterea entităților. Agenții de verificare a declarațiilor fiscale care au primit intrări pseudonimizate în pilotele noastre interne au produs mai puține halucinații la întrebările analitice decât agenții care au primit documente brute. Este un câștig de calitate mic, dar reproductibil, care se acumulează pe mii de rulări lunare. Stratul de mascare se amortizează o dată prin conformitate și a doua oară prin calitatea rezultatelor.
Dacă cabinetul dumneavoastră lucrează cu declarații fiscale, state de plată, dosare KYC sau documentație de lucru de audit (și așa este), fiecare dintre aceste documente circulă acum prin e-mail, unități de stocare și instrumente AI de consum, fără niciun strat de mascare în față. Costul inacțiunii înseamnă evenimente concrete: o inspecție Garante sau CNIL care așteaptă declanșatorul potrivit, o interogare AMLA când cadrul devine activ în 2027, o plângere penală pentru încălcarea secretului profesional din partea unui client nemulțumit și asigurătorul de răspundere care respinge o cerere de despăgubire pentru că utilizarea AI nu a fost documentată. Arhitectura există, ceasul reglementar merge, iar stratul de mascare se amortizează la primul audit. Începeți luna aceasta cu cei zece clienți cu cel mai mare volum.
Pentru arhitectura de bază vedeți ghidul principal; pentru fluxurile învecinate cu HR care ating salarizarea vedeți articolul despre shadow AI în HR. Pentru a vedea Redactic pe o foaie de calcul de salarii de exemplu, pagina de start Redactic include o demonstrație live.