會計與稅務事務所正面臨員工私自使用未經批准的人工智慧工具處理客戶敏感資料的風險，恐導致資料洩密。專業媒體《CPA Practice Advisor》指出，這不僅違反美國聯邦貿易委員會的《FTC Safeguards Rule》及美國國稅局的相關規定，更可能損害客戶信任與事務所聲譽。專家呼籲業者應建立明確的AI使用政策、挑選經批准的工具並加強員工培訓與監控，以有效防堵資安漏洞。
專業會計實務顧問雜誌《CPA Practice Advisor》於昨日指出，隨著人工智慧（AI）工具普及，許多會計與稅務事務所的員工可能已在使用未經公司批准的AI工具處理客戶資料，這將對敏感資訊帶來嚴重的洩密風險。美國奧勒岡州格蘭茨帕斯的Farmhouse Networking公司所有人Scott Carr強調，事務所應嚴格禁止員工將客戶的報稅資料、銀行對帳單及社會安全碼等敏感資訊輸入消費者聊天機器人（指未經企業批准用於工作用途的通用型人工智慧對話系統）。
報導指出，多數會計與稅務事務所均受美國聯邦貿易委員會（FTC）的《FTC Safeguards Rule》規範，該規則要求業者必須建立書面資訊安全計畫，並監督處理客戶資料的服務供應商。而這些人工智慧供應商，若處理客戶資料，即被視為《FTC Safeguards Rule》下的服務供應商。此外，美國國稅局（IRS）也透過出版品《4557號：保護納稅人資料》及《IRS法規第7216條》對稅務專業人員使用與揭露報稅資料設有嚴格限制。
這種未經審查或批准而在工作中使用的AI工具，被稱為「影子AI」（Shadow AI）。例如，會計事務所的員工可能使用個人AI帳號處理工作任務，或讓AI助理在未經許可的情況下連接公司系統。這些行為都可能導致客戶敏感資料意外暴露。
為應對這些風險，事務所應明確資料分類，並更新書面安全計畫以納入AI使用政策。業者應仔細挑選經批准的AI工具，這些工具必須具備管理員控制、多因子認證、活動日誌記錄等功能，並對資料保存及訓練用途有明確規定。事務所也應像審查其他服務供應商一樣，審查人工智慧供應商。
專家建議，事務所應在下次申報截止日期前盤點員工目前使用的AI工具，並建立讓員工誠實回報的安全機制。任何與AI應用程式的整合，例如連接電子郵件、文件儲存或實務管理軟體，都應在獲得管理員批准後才能進行。此外，透過網域名稱系統（DNS）過濾可阻擋或標記公司設備與網路上未經批准的AI服務。事務所也應進行日誌監控，以發現政策可能未能涵蓋的異常活動。
員工培訓非常關鍵，應在繁忙期前進行AI使用相關訓練。離職員工的權限管理程序也應確保其無法再存取與客戶資料相關的AI工具。所有AI使用政策與措施皆應詳加記錄，以備客戶、保險公司或監管機構查閱。
隨著客戶對人工智慧的意識提高，他們將更頻繁地詢問其資料如何被處理。事務所不能迴避AI，而應準備好清楚說明已批准的AI工具、如何保護客戶資料，以及處理客戶文件是否需要徵求同意。透過一套簡潔的政策、經挑選的核准工具及基本監控，事務所便能自信地回答客戶問題，並維護其專業聲譽。