Jak wprowadzać AI do kancelarii podatkowej — praktyczne porady

W dwóch poprzednich tekstach cyklu przedstawiliśmy, jakie narzędzia AI są dziś dostępne dla doradców podatkowych, omówiliśmy kiedy sięgać po model ogólny, a kiedy po rozwiązanie wyspecjalizowane. Zostaje najważniejsze pytanie: jak to bezpiecznie i skutecznie wprowadzić do codziennej pracy kancelarii, nie narażając się na wyciek danych klienta, naruszenie tajemnicy zawodowej albo na niekontrolowane korzystanie z AI przez zespół „po cichu” (tzw. shadow AI).

Poniżej siedem kroków, które warto przejść w kolejności.

Zacznij od klasyfikacji danych, zanim wybierzesz narzędzie

Podziel dane, z jakimi pracuje kancelaria, na kategorie według poziomu ryzyka:

• dane bezpieczne — zanonimizowane statystyki, ogólne wzorce, dane bez identyfikatorów,
• dane warunkowo bezpieczne — dokumenty po pseudonimizacji, faktury po usunięciu danych osobowych,
• dane wysokiego ryzyka — pełne faktury z danymi, deklaracje podatkowe, umowy,
• dane całkowicie zabronione — hasła, dostęp do KSeF, poufne informacje klientów.

Jedna z branżowych publikacji ujęła zasadę przewodnią bardzo trafnie: jeśli nie wprowadziłbyś danych na publiczne forum internetowe, nie wprowadzaj ich też do AI. Dopiero mając tę mapę ryzyka, dobiera się narzędzie do zadania – nie odwrotnie. To krok, który najczęściej jest pomijany, a od którego naprawdę warto zacząć.

Spisz krótką, konkretną politykę wewnętrzną — zanim ktokolwiek zacznie korzystać z AI na produkcji

Nie musi to być traktat na czterdzieści stron. Rekomendacje Krajowej Izby Radców Prawnych, które w praktyce dobrze przekładają się też na doradców podatkowych, wskazują, że taki dokument powinien jasno określać: do jakich zadań wolno wykorzystywać narzędzie AI, a do jakich jest to zabronione; jakiego rodzaju informacje i dane mogą być przekazywane do narzędzia; zasady formułowania zapytań; oraz zasady weryfikacji treści wygenerowanej przez AI, zanim trafi do klienta.

Dlaczego to tak ważne? Bo brak takiej polityki to najprostsza droga do shadow AI — to sytuacja, w której zespół i tak korzysta z publicznych narzędzi po cichu, bo całkowity zakaz bez zaproponowania bezpiecznej alternatywy zwykle nie eliminuje ryzyka, tylko przenosi je poza kontrolę kancelarii.

Uwzględnij wymogi RODO i unijnego AI Act

Unijne rozporządzenie o AI klasyfikuje część systemów wykorzystywanych w kontekstach prawnych i podatkowych jako systemy „wysokiego ryzyka”, co niesie dodatkowe obowiązki dotyczące przejrzystości, dokumentacji i oceny wpływu na prawa podstawowe (tzw. FRIA). Dobrą praktyką jest połączenie tej oceny z klasyczną oceną skutków dla ochrony danych osobowych (DPIA) w jeden spójny proces. Pozwoli to uniknąć dublowania analiz i zapewnia, że dokumentacja od razu spełnia wymogi obu reżimów prawnych naraz. Wdrożenie AI trzeba traktować jako proces ciągły, zwłaszcza gdy obejmuje kluczowe procesy kancelarii.

Rozdziel narzędzia według funkcji

Nie próbujcie znaleźć jednego uniwersalnego rozwiązania. Sprawdzony układ to: wyspecjalizowane narzędzie do researchu podatkowego, do pracy merytorycznej wymagającej przypisów źródłowych, a ogólny model językowy w wersji biznesowej z wyłączonym trenowaniem na danych do korespondencji i tekstów niewrażliwych, oraz osobna warstwa OCR/automatyzacji dokumentowej do obsługi operacyjnej dużej liczby faktur i dokumentów księgowych.

Wybieraj dostawców z jasną polityką dotyczącą treningu modeli i lokalizacji danych

Zanim podpiszesz umowę z dostawcą jakiegokolwiek narzędzia AI, warto zadać kilka pytań:

• Czy istnieje opcja trwałego wyłączenia treningu modelu na wprowadzanych danych?
• Czy dane klientów zasilają model publiczny, czy pozostają odizolowane wyłącznie dla kancelarii?
• Gdzie fizycznie są przetwarzane — w UE czy poza nią?
• Kto ma dostęp do wprowadzonych danych i jak długo są przechowywane?

Testuj na realnych, ale nieistotnych sprawach, zanim zaufasz narzędziu w sprawie klienta

Zanim AI zacznie generować fragmenty trafiające bezpośrednio do klienta, warto przetestować je na kilkunastu znanych już wcześniej stanach faktycznych, gdzie zespół zna poprawną odpowiedź. To najszybszy sposób, żeby ocenić realną, a nie tylko deklarowaną przez producenta skuteczność narzędzia i uniknąć nieprzyjemnego zaskoczenia na żywym kliencie.

Zawsze zostaw człowieka jako ostatnią linię weryfikacji

To zasada, która przewija się przez niemal każdą rozmowę o AI w zawodach prawniczych – nawet najlepsze narzędzie badawcze pozostaje jedynie wsparciem. Odpowiedzialność za ocenę ryzyka, weryfikację treści i finalny efekt pracy zawsze spoczywa na doradcy i to się nie zmienia niezależnie od tego, jak dobre stanie się narzędzie. Rekomendacje samorządów zawodowych są w tej kwestii jednoznaczne – przy wyborze narzędzia trzeba dołożyć należytej staranności właściwej profesjonaliście, a AI nigdy nie przejmuje odpowiedzialności za błąd, nawet jeśli to ona ten błąd wygenerowała.

Checklista przed startem

Oto gotowa lista kontrolna, którą można przejść krok po kroku, wdrażając AI w kancelarii:

• Sklasyfikowaliśmy dane kancelarii według poziomu ryzyka
• Mamy spisaną, krótką politykę wewnętrzną korzystania z AI
• Sprawdziliśmy wymogi RODO i AI Act dla wybranych narzędzi (DPIA/FRIA)
• Wybraliśmy narzędzia do researchu, korespondencji i obsługi dokumentów
• Zadaliśmy dostawcom pytania o trening modelu i lokalizację danych
• Przetestowaliśmy narzędzie na znanych sprawach, przed pracą z klientem
• Ustaliliśmy, kto i w jaki sposób weryfikuje treści wygenerowane przez AI przed wysyłką do klienta
• Wyznaczyliśmy osobę odpowiedzialną za bieżące monitorowanie skuteczności narzędzi i zmian regulacyjnych