會計師事務所將客戶資料貼入 AI 恐釀洩密風險 專家籲業者速堵資安漏洞

專業會計實務顧問雜誌《CPA Practice Advisor》於昨日指出，隨著人工智慧（AI）工具普及，許多會計與稅務事務所的員工可能已在使用未經公司批准的AI工具處理客戶資料，這將對敏感資訊帶來嚴重的洩密風險。美國奧勒岡州格蘭茨帕斯的Farmhouse Networking公司所有人Scott Carr強調，事務所應嚴格禁止員工將客戶的報稅資料、銀行對帳單及社會安全碼等敏感資訊輸入消費者聊天機器人（指未經企業批准用於工作用途的通用型人工智慧對話系統）。

報導指出，多數會計與稅務事務所均受美國聯邦貿易委員會（FTC）的《FTC Safeguards Rule》規範，該規則要求業者必須建立書面資訊安全計畫，並監督處理客戶資料的服務供應商。而這些人工智慧供應商，若處理客戶資料，即被視為《FTC Safeguards Rule》下的服務供應商。此外，美國國稅局（IRS）也透過出版品《4557號：保護納稅人資料》及《IRS法規第7216條》對稅務專業人員使用與揭露報稅資料設有嚴格限制。

這種未經審查或批准而在工作中使用的AI工具，被稱為「影子AI」（Shadow AI）。例如，會計事務所的員工可能使用個人AI帳號處理工作任務，或讓AI助理在未經許可的情況下連接公司系統。這些行為都可能導致客戶敏感資料意外暴露。

為應對這些風險，事務所應明確資料分類，並更新書面安全計畫以納入AI使用政策。業者應仔細挑選經批准的AI工具，這些工具必須具備管理員控制、多因子認證、活動日誌記錄等功能，並對資料保存及訓練用途有明確規定。事務所也應像審查其他服務供應商一樣，審查人工智慧供應商。

專家建議，事務所應在下次申報截止日期前盤點員工目前使用的AI工具，並建立讓員工誠實回報的安全機制。任何與AI應用程式的整合，例如連接電子郵件、文件儲存或實務管理軟體，都應在獲得管理員批准後才能進行。此外，透過網域名稱系統（DNS）過濾可阻擋或標記公司設備與網路上未經批准的AI服務。事務所也應進行日誌監控，以發現政策可能未能涵蓋的異常活動。

員工培訓非常關鍵，應在繁忙期前進行AI使用相關訓練。離職員工的權限管理程序也應確保其無法再存取與客戶資料相關的AI工具。所有AI使用政策與措施皆應詳加記錄，以備客戶、保險公司或監管機構查閱。

隨著客戶對人工智慧的意識提高，他們將更頻繁地詢問其資料如何被處理。事務所不能迴避AI，而應準備好清楚說明已批准的AI工具、如何保護客戶資料，以及處理客戶文件是否需要徵求同意。透過一套簡潔的政策、經挑選的核准工具及基本監控，事務所便能自信地回答客戶問題，並維護其專業聲譽。