Czy księgowy może wkleić fakturę do ChatGPT?

To jedno z pytań, które słyszę po wykładach najczęściej. Krótka odpowiedź brzmi: to zależy. Od trzech rzeczy: jakie dane są na dokumencie, z jakiej wersji narzędzia korzysta księgowy i co wynika z umowy z klientem.

Faktura to więcej niż kwoty

Na fakturze są dane stron: nazwy firm, adresy, numery NIP i rachunków bankowych. Gdy kontrahentem jest osoba fizyczna lub jednoosobowa działalność, to są także dane osobowe. Do tego dochodzą informacje handlowe: ceny, warunki, opis usług. Część z nich może być tajemnicą przedsiębiorstwa klienta.

W praktyce księgowy, który wkleja taki dokument do narzędzia AI, ujawnia te informacje podmiotowi trzeciemu. Czy wolno mu to zrobić, zależy od zasad opisanych niżej.

Wersja narzędzia ma znaczenie

Bezpłatne konta konsumenckie i konta biznesowe (Enterprise, API) różnią się warunkami: tym, czy dostawca przechowuje treści rozmów, jak długo, czy może je wykorzystywać do ulepszania modeli, kim są jego podwykonawcy i gdzie przetwarza dane. Te warunki zmieniają się, więc nie zakładam z góry, jak wygląda któreś z narzędzi. Trzeba przeczytać aktualne warunki i ustawienia konkretnego konta, a nie opierać się na ogólnych przekonaniach.

Z tego powodu pytanie „czy mogę użyć ChatGPT” jest zbyt ogólne. Właściwe pytanie brzmi: czy mogę użyć tego narzędzia, w tej wersji, do tego rodzaju danych.

RODO: kto odpowiada za dane klienta

Biuro rachunkowe najczęściej przetwarza dane osobowe w imieniu klienta, na podstawie umowy powierzenia (art. 28 RODO). Jeśli do przetwarzania wchodzi dostawca narzędzia AI, mamy co do zasady łańcuch: klient, biuro rachunkowe, dostawca. Dostawca jest wtedy podwykonawcą, czyli podprocesorem, a korzystanie z niego wymaga zgody administratora (ogólnej lub szczegółowej), zazwyczaj uregulowanej w umowie powierzenia.

Dwa pytania, które trzeba rozstrzygnąć:

• Czy umowa z klientem pozwala na użycie podprocesora takiego jak dostawca AI? Jeśli nie, wprowadzenie danych do narzędzia może oznaczać naruszenie umowy i RODO.
• Co z przekazaniem danych poza Europejski Obszar Gospodarczy? Jeśli dostawca przetwarza dane w państwie trzecim, potrzebna jest podstawa transferu (rozdział V RODO), na przykład decyzja o odpowiednim stopniu ochrony lub standardowe klauzule umowne. Trzeba to sprawdzić u dostawcy.

Tajemnice: zawodowa i przedsiębiorstwa

Doradca podatkowy i biegły rewident podlegają obowiązkowi zachowania tajemnicy zawodowej. Biuro rachunkowe prowadzone przez osobę bez takich uprawnień nie podlega ustawowej tajemnicy zawodowej, ale zwykle zobowiązuje się do poufności w umowie z klientem. Wprowadzenie danych do narzędzia, nad którym nie ma kontroli, może być sprzeczne z tym zobowiązaniem.

Jest też aspekt, o którym rzadziej się mówi: według ustawy o zwalczaniu nieuczciwej konkurencji informacja jest tajemnicą przedsiębiorstwa m.in. wtedy, gdy uprawniony przy zachowaniu należytej staranności podjął działania w celu utrzymania jej w poufności (art. 11 ust. 2). Nieprzemyślane udostępnianie takich informacji narzędziom zewnętrznym utrudnia później wykazanie, że ta staranność została zachowana.

Jak to zrobić bezpieczniej

1. Nie wklejaj dokumentu w całości. Jeśli narzędzie ma pomóc w zakwalifikowaniu wydatku, wystarczy opis zdarzenia, bez danych identyfikujących strony.
2. Anonimizuj. Zastąp nazwy, NIP-y, numery rachunków i imiona oznaczeniami („Klient A”, „Dostawca B”). Sprawdź, czy z kontekstu nie da się ustalić tożsamości.
3. Używaj narzędzi zatwierdzonych w biurze. Konto firmowe, z przeczytanymi warunkami i właściwymi ustawieniami, a nie konto prywatne.
4. Sprawdź umowę z klientem. Czy przewiduje podprocesorów i poufność? W razie potrzeby uzupełnij ją o klauzulę dotyczącą AI.
5. Zapisz zasady w polityce AI. Pracownik nie powinien samodzielnie decydować, co wolno, a czego nie.
6. Sprawdź wynik. Narzędzie może się mylić, także co do przepisów. Za dokument odpowiada człowiek.

Skrót tych zasad znajdziesz w tabeli Co wolno wkleić do czatu. Wzór polityki i listę kontrolną weryfikacji przygotowałem w materiałach po wykładzie.

Podsumowanie

Faktura nie jest dokumentem „bezpiecznym” tylko dlatego, że to codzienna czynność księgowa. Zanim trafi do narzędzia AI, trzeba wiedzieć: co na niej jest, gdzie dane trafią i na jakiej podstawie. Jeśli odpowiedzi na te pytania brakuje, lepiej zanonimizować dokument albo go nie wprowadzać.

Jeśli chcesz uporządkować to w swoim biurze lub dziale finansowym, mogę poprowadzić szkolenie wewnętrzne lub przygotować politykę AI i klauzule do umów z klientami.