Los despachos contables no tienen que elegir entre usar inteligencia artificial y proteger la información de sus clientes. El mejor enfoque es diseñar los flujos de trabajo de IA para que la herramienta reciba únicamente la información que realmente necesita, dentro de un entorno que el despacho haya revisado y aprobado.
Esto importa porque el trabajo contable suele combinar información personal, registros financieros, datos fiscales, información de nóminas, proyecciones y detalles comerciales sensibles. Un flujo de trabajo de IA útil debería reducir la exposición innecesaria antes de enviar el prompt.
Empiece por la tarea, no por los datos
Antes de entregar un documento o una hoja de cálculo a un sistema de IA, defina qué quiere lograr.
Si el objetivo es mejorar la redacción de la explicación de una variación, es posible que la IA necesite la explicación y unas pocas cifras generalizadas. Probablemente no necesite la razón social del cliente, su saldo bancario, los datos de sus empleados ni los estados financieros completos.
Los reguladores de privacidad de Canadá recomiendan determinar si el uso de la IA generativa y de la información personal que contiene es necesario y proporcionado. También recomiendan usar información anonimizada, sintética o desidentificada cuando no se requiera información personal real.
Esto crea un primer control sencillo: reducir la información antes de que llegue a la IA.
Utilice copias redactadas, sintéticas o limitadas
No dé por sentado que el archivo original del cliente es la mejor entrada.
Cree una copia de trabajo que contenga solo las filas, páginas, columnas o fragmentos necesarios para la tarea. Elimine, cuando sea posible, nombres, identificadores fiscales, datos bancarios, información de empleados y contenido confidencial no relacionado.
Para pruebas o para desarrollar prompts, los datos sintéticos pueden ser más seguros. Un archivo de nómina ficticio o un conjunto de transacciones de muestra puede ayudar a un equipo a probar el flujo de trabajo antes de introducir información real de clientes.
Redactar no es lo mismo que anonimizar. Las combinaciones de fechas, importes de transacciones, ubicaciones, cargos u otros detalles todavía pueden identificar a personas o clientes.
Apruebe el entorno de IA según los datos involucrados
Una herramienta de IA no debería recibir información de clientes solo porque el despacho la haya adquirido.
La aprobación debe ser específica para cada caso de uso y categoría de datos. Un sistema aprobado para investigación pública puede no estarlo para registros de nómina. Una herramienta autorizada para redactar texto interno puede no ser adecuada para los papeles de trabajo completos de un cliente.
El despacho debe entender cómo se conservan los prompts y los archivos, si el contenido del cliente se usa con fines secundarios, qué terceros participan, cómo se controla el acceso y cómo funciona la eliminación.
El Perfil de IA generativa del NIST anima a las organizaciones a gestionar los riesgos de la IA generativa durante todo su ciclo de vida y a tener en cuenta los componentes de terceros, la privacidad, la seguridad y el contexto en que se usa un sistema.
Trate la confidencialidad del cliente como algo más amplio que la privacidad
Parte de la información contable más sensible no es información personal.
Los resultados financieros no publicados, las estrategias de precios, los planes de adquisición, las proyecciones, las debilidades del control interno y las conversaciones confidenciales de la dirección pueden requerir también una protección sólida.
La IESBA establece que el principio fundamental de confidencialidad se aplica sea cual sea la tecnología utilizada. Su guía actual sobre tecnología extiende la confidencialidad a todo el ciclo de vida de los datos, incluidos la recopilación, el uso, la transferencia, el almacenamiento, la difusión y la destrucción lícita.
Para los equipos contables, esto significa que un prompt puede ser inadecuado aunque no contenga nombres ni identificadores personales.
Aplique el mínimo privilegio a las integraciones de IA
Las herramientas de IA conectadas merecen una atención especial.
Un asistente que solo ve el texto introducido manualmente tiene una ruta de datos limitada. El mismo asistente conectado al correo electrónico, al almacenamiento en la nube, a una plataforma contable o a un repositorio de documentos puede acceder a mucha más información de clientes.
Dé a la IA acceso únicamente a las carpetas, aplicaciones o fuentes de datos que requiera el flujo de trabajo aprobado. Use cuentas gestionadas y un proceso claro para añadir y retirar accesos.
Verifique los resultados importantes antes de que afecten al trabajo del cliente
Proteger los datos del cliente es solo una parte del uso responsable de la IA. El resultado también necesita controles.
La IA generativa puede producir una respuesta con apariencia de seguridad que sea incompleta, incorrecta o basada en un supuesto débil. La IESBA exige que los profesionales de la contabilidad que utilizan resultados de la tecnología evalúen su idoneidad para el fin previsto, comprendan las limitaciones y los supuestos, evalúen la calidad de los datos y los posibles sesgos, y determinen el grado adecuado de confianza.
En los trabajos contables de mayor impacto, los hechos importantes, los cálculos, las conclusiones contables y las referencias a las fuentes deben verificarse de forma independiente.
La IA puede acelerar un primer borrador o ayudar a organizar la información. El juicio profesional y la responsabilidad siguen siendo del contador.
Establezca reglas de retención para prompts y archivos
Los flujos de trabajo de IA pueden crear nuevas copias de los datos de los clientes mediante cargas, historiales de prompts, resultados generados, registros y copias de seguridad.
Los despachos deben saber qué registros existen y cuánto tiempo permanecen. Los reguladores de privacidad de Canadá recomiendan limitar la retención a lo necesario y, salvo que se exija otra cosa, evitar conservar o reutilizar con fines secundarios los prompts que contengan información personal.
Las decisiones de retención deben tomarse antes de lanzar un flujo de trabajo de alto riesgo.
Dé a los empleados una forma más segura de experimentar
Las reglas estrictas sin alternativas utilizables pueden empujar a los empleados hacia cuentas personales o servicios de IA no aprobados.
Ofrezca un entorno aprobado para experimentar con menor riesgo usando información pública, sintética o desidentificada. Explique qué datos de clientes están permitidos, cuándo se requiere una aprobación adicional y dónde pueden los empleados hacer preguntas.
Si un flujo de trabajo útil requiere datos reales de clientes, sométalo a una revisión estructurada en lugar de obligar a la gente a improvisar.
Use una verificación de seis preguntas sobre los datos del cliente
Antes de usar IA con información contable, pregúntese:
- ¿Necesita la IA datos reales de clientes para esta tarea?
- ¿Se pueden reducir o redactar los datos, o sustituirlos por información sintética?
- ¿Está aprobado este entorno de IA para la información que queda?
- ¿Entendemos la retención, los terceros, el acceso y la eliminación?
- ¿Las integraciones se limitan a la información mínima necesaria?
- ¿Se pueden verificar de forma independiente los resultados importantes antes de que afecten al trabajo del cliente?
Proteger los datos de los clientes no significa sacar la IA de los flujos de trabajo contables. Significa diseñar el flujo de trabajo para que se exponga menos información, se apliquen controles más estrictos cuando los datos sensibles sean necesarios y las personas sigan siendo responsables del resultado.
Los mejores casos de uso de la IA suelen volverse más seguros y fáciles de gobernar cuando los despachos se plantean una pregunta desde el principio: ¿cuál es la información mínima del cliente que esta tarea realmente requiere?
Todos los controles anteriores comparten un problema de momento: una vez que se envía un prompt, no se puede retirar. Un nombre de cliente, un saldo bancario o un registro de empleado pegado en una solicitud para pulir la explicación de una variación ya se ha ido en el instante en que el usuario pulsa Intro. Este es el principio sobre el que se construye Sanitized Ai: detectar y redactar los identificadores de clientes y otros datos contables sensibles antes de que el prompt llegue a la herramienta, de modo que la información mínima que usted pretendía sea la única que salga de su flujo de trabajo.
Este trimestre, elija la tarea de IA en la que más se apoya su despacho, como redactar comentarios sobre variaciones o resumir papeles de trabajo, y aplíquele la verificación de seis preguntas sobre los datos del cliente antes de que otro archivo real de un cliente la toque. Anote qué identificadores pueden eliminarse sin cambiar la respuesta y convierta esa entrada reducida en la norma de la tarea y no en la excepción. Si quiere ver cómo puede producirse la redacción antes del envío y no después, solicite una demostración y recorra con nosotros su propio flujo de trabajo.