ChatGPT peut être utile aux comptables qui ont besoin d'aide pour rédiger un courriel, expliquer un concept technique, organiser des notes ou transformer des idées brutes en un document plus clair. La question difficile survient habituellement ensuite : quelles informations peut-on réellement inscrire dans une requête en toute sécurité?
Il n'existe pas de réponse unique valable pour chaque cabinet comptable ou chaque compte ChatGPT. L'approche la plus prudente consiste à examiner l'information elle-même, l'environnement ChatGPT utilisé et à déterminer si le cabinet a approuvé cet environnement pour la tâche visée.
Commencez par de l'information qui n'identifie pas le client
De nombreuses tâches comptables ne nécessitent pas de véritables renseignements sur les clients.
Supposons que vous vouliez que ChatGPT reformule l'explication d'un écart de revenus. Au lieu d'inscrire le nom du client, les revenus exacts, les numéros de compte et l'unité d'affaires, vous pourriez écrire :
« Les revenus d'une entreprise ont augmenté considérablement parce qu'elle a ouvert deux nouveaux emplacements. Reformulez cette explication pour un public non technique. »
Le contexte comptable utile demeure, mais les renseignements sur le client, eux, disparaissent.
Cette idée rejoint les orientations du Commissariat à la protection de la vie privée du Canada et d'autres organismes canadiens de réglementation en matière de vie privée. Leurs principes sur l'IA générative recommandent d'utiliser de l'information anonymisée, synthétique ou dépersonnalisée plutôt que des renseignements personnels lorsque l'information réelle n'est pas nécessaire.
Faites preuve de prudence avec les renseignements financiers des clients
Les comptables peuvent manipuler des relevés bancaires, des dossiers de paie, des documents fiscaux, des listes de clients, des états financiers, des historiques de transactions, des prévisions et des rapports de gestion.
Avant d'inscrire l'une de ces informations dans ChatGPT, demandez-vous si la tâche peut être accomplie sans les valeurs réelles.
Si vous cherchez à savoir comment structurer l'explication d'un flux de trésorerie, ChatGPT n'a probablement pas besoin du solde de trésorerie réel du client. Si vous demandez de l'aide pour comprendre un traitement comptable, vous pouvez souvent remplacer les faits de l'entreprise par un exemple fictif.
Pour les renseignements personnels, les organismes canadiens de réglementation en matière de vie privée recommandent expressément de limiter la collecte et l'utilisation à ce qui est nécessaire. Ils précisent également que lorsque des renseignements personnels sensibles ou confidentiels doivent être inscrits dans une requête d'IA générative, cela ne devrait se faire que dans les cas autorisés.
L'information confidentielle dépasse les renseignements personnels
Supprimer les noms et les adresses courriel ne rend pas automatiquement une information sûre à partager.
Considérez une requête contenant :
- des résultats financiers non publiés
- une acquisition planifiée
- des prix confidentiels
- des prévisions internes
- des préoccupations liées aux flux de trésorerie
- de l'information sur la concentration de la clientèle
- des problèmes potentiels de fraude
- des faiblesses des contrôles internes
Aucun de ces éléments n'identifie nécessairement une personne, mais ils peuvent tout de même constituer des renseignements commerciaux hautement confidentiels.
L'International Ethics Standards Board for Accountants, ou IESBA, désigne la confidentialité comme l'un des principes éthiques fondamentaux que les comptables professionnels doivent respecter. Ses récentes orientations sur les technologies émergentes visent à aider les comptables à appliquer ces responsabilités éthiques lorsqu'ils utilisent des technologies, y compris l'intelligence artificielle.
La règle pratique consiste à réfléchir au-delà des renseignements permettant d'identifier une personne. Demandez-vous si le client s'attendrait raisonnablement à ce que cette information reste au sein des systèmes contrôlés du cabinet.
Les espaces de travail ChatGPT personnels et professionnels sont différents
Les comptables devraient aussi comprendre quel environnement ChatGPT ils utilisent.
OpenAI indique que, par défaut, elle n'utilise pas les entrées et les sorties de ChatGPT Business ou de ChatGPT Enterprise pour entraîner ou améliorer ses modèles.
Les espaces de travail ChatGPT personnels fonctionnent différemment. Pour les espaces de travail personnels Free, Plus et Pro, les utilisateurs peuvent désactiver l'option Improve the model for everyone dans les Data Controls afin que les nouvelles conversations ne servent pas à entraîner les modèles.
Cette distinction est importante, mais désactiver l'entraînement sur un compte personnel ne rend pas automatiquement ce compte approprié pour les renseignements sur les clients.
Un cabinet comptable peut aussi avoir besoin de protections contractuelles, de contrôles administratifs, de la gestion des accès, d'exigences de conservation, d'un examen de sécurité et d'une supervision qu'un compte géré personnellement ne procure pas.
Pour les travaux impliquant des renseignements sur les clients, les comptables devraient utiliser l'espace de travail que leur cabinet a expressément approuvé.
Ne confondez pas « non utilisé pour l'entraînement » et « non conservé »
Ce sont deux questions distinctes.
Désactiver l'entraînement des modèles ne signifie pas nécessairement qu'une conversation disparaît immédiatement. La documentation actuelle d'OpenAI sur les Data Controls indique que les conversations demeurent dans l'historique de clavardage après la désactivation de l'entraînement des modèles. Les Temporary Chats ne sont pas utilisés pour l'entraînement et sont supprimés des systèmes d'OpenAI après 30 jours.
Pour les environnements professionnels, OpenAI offre des contrôles supplémentaires de confidentialité, de sécurité et d'accès, ainsi que, pour les offres admissibles, des contrôles de conservation.
Lorsqu'un cabinet comptable évalue ChatGPT, il devrait donc se poser plusieurs questions distinctes :
- L'information est-elle utilisée pour l'entraînement des modèles?
- Combien de temps est-elle conservée?
- Qui peut y accéder?
- Quels contrôles administratifs sont offerts?
- Que se passe-t-il lorsque de l'information est supprimée?
- Des applications connectées ou d'autres tiers sont-ils en cause?
Soyez particulièrement prudent lors du téléversement de fichiers
Téléverser un document peut exposer beaucoup plus d'information que de saisir une courte requête.
Un tableur peut contenir des feuilles de calcul cachées, des renseignements sur les employés, des commentaires, des formules, des noms de clients ou des détails de compte. Un PDF peut inclure des signatures ou de l'information sur des pages sans lien avec la tâche.
Avant de téléverser un fichier de client, demandez-vous si ChatGPT a réellement besoin du document en entier.
Si vous avez besoin d'aide pour expliquer une section d'un rapport financier, fournissez uniquement l'extrait pertinent lorsque cela est permis. Si vous mettez à l'essai un flux de travail, envisagez d'utiliser des données synthétiques plutôt qu'un véritable document de client.
La minimisation des données est souvent plus facile que de tenter de sécuriser l'information après qu'elle a déjà été transmise.
Examinez séparément les applications connectées
L'information accessible à ChatGPT peut aussi s'élargir lorsque des applications sont connectées.
OpenAI indique que les administrateurs des espaces de travail professionnels gérés peuvent contrôler les fonctionnalités offertes et les sources internes connectées. Sa documentation sur la confidentialité en entreprise explique aussi que les clients professionnels conservent le contrôle de leurs données et de l'accès à leur espace de travail.
Une requête autonome et un système d'IA connecté au courriel de l'entreprise, au stockage infonuagique ou aux documents financiers créent donc des niveaux d'exposition différents.
Les cabinets comptables devraient examiner les intégrations séparément plutôt que de présumer que l'approbation de ChatGPT approuve automatiquement chaque connexion qui peut y être ajoutée.
Appliquez une règle simple avant chaque requête
Avant d'inscrire des informations comptables dans ChatGPT, demandez-vous :
- S'agit-il du compte ou de l'espace de travail ChatGPT approuvé par le cabinet?
- La requête contient-elle des renseignements sur les clients, financiers, personnels ou confidentiels?
- Puis-je supprimer les détails permettant d'identifier une personne ou remplacer l'information réelle par des valeurs fictives?
- ChatGPT a-t-il réellement besoin du document ou de l'ensemble de données complet?
- Cet usage précis a-t-il été approuvé pour l'information en cause?
- Puis-je vérifier la réponse de façon indépendante avant de m'y fier?
ChatGPT peut être précieux pour les comptables sans pour autant devenir un dépôt de renseignements sur les clients.
L'approche la plus sûre consiste à commencer par l'information la moins sensible possible. Utilisez des exemples génériques, supprimez les détails inutiles sur les clients, gardez les fichiers confidentiels à l'intérieur des environnements approuvés et vérifiez de façon indépendante les conclusions comptables importantes.
La question ne devrait pas être « Puis-je coller ceci dans ChatGPT? ». Elle devrait être « Quel est le minimum d'information dont ChatGPT a besoin pour m'aider dans cette tâche? ».
C'est le principe sur lequel repose Sanitized Ai : une fois qu'une requête atteint ChatGPT, elle ne peut plus être rappelée. Le moment d'intercepter les noms de clients, les numéros de compte, les résultats non publiés ou un tableur partagé de façon excessive est donc avant l'envoi de la requête, et non après. Le contrôle doit agir sur l'information elle-même plutôt que de compter sur chaque comptable pour se souvenir de toutes les distinctions entre données personnelles, renseignements commerciaux confidentiels et espaces de travail approuvés par le cabinet, sous la pression des échéances.
Ce trimestre, choisissez une tâche courante que votre équipe fait déjà passer par ChatGPT, comme la reformulation de l'explication d'un écart ou le résumé d'un rapport de gestion, et cartographiez exactement quelles informations aboutissent habituellement dans ces requêtes. Décidez ensuite quel devrait être l'apport minimal et comment faire respecter cette limite de façon uniforme, et non au cas par cas. Si vous voulez voir comment cette application peut se faire avant même qu'une requête ne quitte les mains de votre cabinet, demandez une démonstration.