AI-verktyg i den digitala redovisningsmiljön
Artificiell intelligens (AI) används i allt större utsträckning i redovisnings- och lönearbetet, både som fristående tjänster och som funktioner integrerade i affärssystem och andra programvaror. Användningen av AI kan effektivisera arbetet, men ställer samtidigt krav på informationssäkerhet, GDPR-efterlevnad och kvalitetskontroll.
Viktigt att tänka på när AI används i redovisnings-och lönearbetet
När kunduppgifter behandlas i AI-tjänster är det viktigt att säkerställa att informationen hanteras på ett sätt som uppfyller kraven enligt GDPR och andra relevanta regelverk samt den tystnadsplikt som gäller i uppdraget. Den som använder AI-tjänster bör därför kontrollera vilka villkor som gäller för lagring, behandling och skydd av uppgifter. Kontrollera särskilt om leverantören använder uppgifterna för att träna eller förbättra sina AI-modeller och var uppgifterna lagras och behandlas.
Om AI-funktioner är integrerade i ett affärssystem eller annan programvara bör användaren ta reda på hur leverantören hanterar informationen och vilka skyddsåtgärder som finns på plats.
Krävs särskilda avtal när AI används?
När en redovisnings- eller lönebyrå behandlar personuppgifter för uppdragsgivarens räkning är byrån personuppgiftsbiträde och uppdragsgivaren personuppgiftsansvarig. Om byrån använder AI-tjänster eller andra tjänsteleverantörer som får tillgång till personuppgifter kan dessa utgöra underbiträden enligt GDPR.
Uppdragsgivaren ska informeras om vilka underbiträden som används och godkänna dessa i enlighet med personuppgiftsbiträdesavtalet. Vid ett allmänt tillstånd ska byrån informera uppdragsgivaren om planerade tillägg eller byten av underbiträden så att uppdragsgivaren kan invända. Vad som gäller i det enskilda fallet framgår av personuppgiftsbiträdesavtalet. Om byrån använder en AI-tjänst eller annan extern tjänst som behandlar personuppgifter för uppdragsgivarens räkning behöver tjänsten därför hanteras som ett underbiträde enligt de rutiner som gäller för personuppgiftsbiträdesavtal.
Det innebär att byrån behöver säkerställa att uppdragsgivaren lämnat tillstånd till det aktuella underbiträdet enligt personuppgiftsbiträdesavtalet innan tjänsten används för behandling av uppdragsgivarens personuppgifter.
Byrån behöver också ingå ett skriftligt avtal med underbiträdet som ger samma skydd för personuppgifterna som personuppgiftsbiträdesavtalet med uppdragsgivaren. För AI-tjänster sker detta i regel genom leverantörens villkor för personuppgiftsbehandling (ofta kallade DPA), som ofta bara erbjuds i tjänsternas företagsversioner. Om underbiträdet inte uppfyller sina skyldigheter är byrån fullt ansvarig gentemot uppdragsgivaren.
Vem ansvarar för uppgifter som tagits fram med hjälp av AI?
överlåtas till ett AI-verktyg. Den som använder AI måste alltid bedöma rimligheten i de svar, analyser eller förslag som verktyget lämnar innan uppgifterna används eller kommuniceras vidare. Felaktiga slutsatser eller uppgifter som genererats av ett AI-system befriar inte användaren från ansvar.
När AI används som stöd i uppdraget kan principerna i Rex 595 Användning av annans arbete vara vägledand som förarbete eller beslutsstöd behöver redovisningskonsulten själv bedöma, verifiera och kvalitetssäkra materialet innan det används i uppdraget eller lämnas vidare till kunden.
Under förutsättning att materialet granskas och kontrolleras kan AI användas som ett hjälpmedel i arbetet. Användningen av AI förändrar dock inte ansvarsfördelningen. Det går därför inte att hänvisa till att ett AI-verktyg lämnat ett felaktigt svar eller underlag om uppgifterna senare visar sig vara felaktiga.
Får jag använda AI-tjänster för att analysera kunders bokföring?
Ja, men endast efter att du säkerställt att tjänsten uppfyller relevanta krav avseende informationssäkerhet och personuppgiftshantering.
Om AI-tjänsten behandlar personuppgifter kan leverantören utgöra ett underbiträde enligt GDPR. Uppdragsgivaren ska då informeras om och godkänna underbiträdet enligt personuppgiftsbiträdesavtalet innan tjänsten används för behandling av uppgifter.
Du ansvarar alltid för att de uppgifter och slutsatser som AI-tjänsten presenterar granskas och verifieras innan de används i redovisningsarbetet eller kommuniceras till kunden.
Vem är ansvarig för verifikationer och konteringar som ett AI-verktyg har tagit fram?
Ansvaret påverkas inte av att verifikationer eller konteringar har tagits fram automatiskt med hjälp av AI. Även om ett AI-verktyg eller en AI-funktion i ett affärssystem genererar förslag, analyser, konteringar, kommentarer eller andra underlag är det den som använder informationen som ansvarar för att bedöma att uppgifterna är korrekta innan de används eller kommuniceras vidare.
Användning av AI förändrar således inte ansvarsfördelningen. Det går inte att hänvisa till att en felaktighet uppstått på grund av att ett AI-verktyg lämnat ett felaktigt svar eller förslag.
AI-tjänster som används i verksamheten bör tillhandahålla ett tillräckligt skydd för kund- och företagsinformation. Personuppgifter och annan skyddsvärd information bör därför inte behandlas i AI-tjänsters gratiskonton eller konsumentversioner, eftersom dessa ofta saknar de skydd, avtalsvillkor och administrativa kontroller som krävs i en professionell verksamhet.
När AI-funktioner är integrerade i ett affärssystem eller annan programvara bör användaren säkerställa hur uppgifterna behandlas och skyddas av leverantören.
När AI används som stöd i uppdraget kan vägledningen i Rex 595 Användning av annans arbete vara relevant. Den som använder AI behöver bedöma, verifiera och kvalitetssäkra materialet innan det används i uppdraget eller lämnas vidare till kunden.
Om AI-tjänsten behandlar personuppgifter behöver användningen vara förenlig med GDPR. Det kan bland annat innebära att kunden behöver informeras om vilka underbiträden som används och att dessa regleras i personuppgiftsbiträdesavtalet samt att byrån säkerställer att det finns ett avtal med leverantören som uppfyller kraven i GDPR.