不能输入公共的个人聊天账号。ICAEW 的指引指出,保密信息不应上传到公共生成式 AI 工具中。会计师事务所可以在自己掌控的环境中对客户数据使用 AI:一个经批准的商用工具或私有部署,并约定托管位置、不用你的数据训练模型、保留日志,以及一份书面的员工政策。
要点速览
- 把客户数据粘贴到个人聊天机器人账号里,正是职业团体所警告的保密风险。
- 你的员工很可能已经在工作中使用 AI;只禁止而不提供经批准的替代工具,只会让使用转入地下。
- 一套经批准的环境要回答四个问题:数据在哪里处理、谁能看到、是否用于训练模型、记录哪些内容。
- 委托协议和客户合同的要求可能比法律更严格;务必核查。
- 大多数事务所首先需要的是一份政策和一个经批准的工具,只有在业务量足够时才需要搭建工作流程。
职业团体怎么说?
ICAEW 已提醒会员,把客户数据放进 AI 提示中很可能违反客户保密义务,而且不应盲目信任 AI 的输出(ICAEW,2024 年 2 月)。其生成式 AI 指南还指出,保密信息即使已经公开,也不应上传到公共生成式 AI 工具中(ICAEW 生成式 AI 指南,2026 年 11 月查阅)。
如果你在其他地区执业,请查阅你所在协会的规定,以及该协会采纳的 IESBA 守则。在职业规则之上,还有数据保护法律,例如阿联酋 2021 年第 45 号联邦法令(阿联酋政府门户网站)和沙特《个人数据保护法》(PDPL),以及你的委托协议中的保密条款。
#你的团队现在是怎么使用 AI 的?
不妨假定已经有人在用了。微软与领英的《工作趋势指数》发现,78% 的 AI 用户自带 AI 工具上班(微软与领英《工作趋势指数》,2024 年 5 月)。在会计师事务所里,这可能是一位初级员工把试算平衡表粘贴到免费账号里修公式,或者一位税务高级顾问让聊天机器人总结客户收到的税务机关来函。
有效的应对不是一纸被人悄悄无视的禁令,而是一个足够好用、让人不再需要个人账号的经批准工具,再加上一份关于哪些内容可以输入的简短政策。
经批准的环境是什么样的?
- 商业版或企业版,或者私有部署,服务商不使用你的数据训练模型。
- 在客户合同和当地法律允许的区域处理数据,并有书面记录。
- 单点登录,员工离职时访问权限随即终止。
- 记录谁使用了哪些客户数据,并保存在质量控制部门能看到的地方。
- 一页纸的政策:哪些类别的数据允许输入、哪些绝不允许,以及有问题该问谁。
- 防范隐藏在上传文件中的指令,OWASP 大语言模型应用十大风险 将其列为提示注入。
什么情况下现成的商业版就够了?
对大多数中小型事务所来说,企业版的 Copilot、ChatGPT 或 Claude,只要配置得当,并配合政策和培训,就能满足日常的起草和研究需求。当客户数据必须留在特定区域、需要把日志存入项目档案,或者同一项任务要在众多客户上运行时,私有部署或搭建工作流程才有意义。
#Stennir 能在哪里发挥作用?
Stennir 的 AI 咨询 服务包括治理工作:哪些工具获批、哪些数据可以去哪里、由谁审批 AI 输出,以及如何记录。它还会对值得搭建的工作流程排序,让政策和第一个应用场景同时到位。
如果某个工作流程要求客户数据留在本地区,AI 落地实施 会在你的规则要求的托管区域搭建它,账号和关闭开关都归你的事务所所有。AI 培训 在员工自己的客户工作上,教他们哪些内容可以输入哪个工具。关于数据方面的更多内容,请参阅 在 PDPL 下能否对客户数据使用 ChatGPT 或 Claude。
We are
Stennir 为在客户数据上使用 AI 建立经批准的方式,约定托管位置、保留日志,并由指定人员审批输出。
We aren't
Stennir 不是律师事务所,不就你的保密义务出具法律意见;这是你的法律顾问和所属协会的职责。
管理合伙人下一步该做什么?
问问不同团队的三个人,这周用了哪些 AI 工具、输入了什么。那才是你真正的起点。了解 合规团队如何对待 AI,然后 做免费的就绪度评估 或 预约一次 30 分钟的通话。
常见问题
ChatGPT Enterprise 或 Copilot 用于客户数据安全吗?
如果相应配置,可以是安全的:不用你的数据训练模型、在可接受的区域处理、单点登录和日志记录。这是否满足客户合同和你所属协会的规定,需要由你的事务所及其法律顾问判断。Stennir 会帮你对照这些要求检查配置。
对客户文件使用 AI 需要征得客户同意吗?
这取决于你的委托协议、客户合同和当地数据保护法律,因此需要咨询你的法律顾问。许多事务所会在新的委托协议中加入关于获批工具和处理地点的条款。Stennir 可以列出法律顾问起草条款所需的技术事实。
与 Stennir 合作,哪些东西归我们所有?
全部:账号、客户数据、日志和关闭开关。Stennir 在你的事务所批准的环境中工作,即使合作结束,工具也会在你的掌控下继续运行。你的客户文件中的任何内容都不会用于训练公共模型。
它能处理阿拉伯语的客户文件吗?
能。阅读、摘要和起草均支持阿拉伯语和英语,其他语言可按需提供。无论哪种语言,保密规则都一样适用,审阅人会把原始文件与 AI 生成的摘要或译文并排查看。
