از مالک یک مؤسسه کوچک حسابداری رسمی بپرسید که آیا تیمش از ابزارهای هوش مصنوعی استفاده میکند یا نه، اغلب پاسخ میدهند «کمی، بهصورت غیررسمی». بپرسید آیا سیاست مکتوبی برای هوش مصنوعی دارند، معمولاً سکوت حکمفرما میشود. این شکاف بزرگتر از آن چیزی است که به نظر میرسد. دادههای اخیر صنعت، میزان پذیرش هوش مصنوعی در مؤسسات حسابداری و CPA را 73 درصد نشان میدهد که جهشی 340 درصدی نسبت به سطح سال 2022 است — با این حال، طبق گزارش وضعیت هوش مصنوعی در حسابداری کاربون (Karbon)، تنها 37 درصد از مؤسسات در هیچ نوع آموزش رسمی هوش مصنوعی سرمایهگذاری کردهاند. بیشتر این رشد بدون هیچ لایه حاکمیتی زیرین رخ داده است.
این ناهماهنگی دقیقاً همان چیزی است که مقاله ژوئیه 2026 مجله Journal of Accountancy درباره تدوین سیاست هوش مصنوعی سعی در پر کردن آن دارد. این مقاله بهطور کلی خطاب به مؤسسات CPA در هر اندازهای است، اما توصیههایش بیشتر به کار مؤسسات کوچک و متوسط میآید — همانهایی که کمترین احتمال داشتن یک واحد انطباق را دارند و بیشترین احتمال را دارند که یک حسابدار مستقل یا تیمی دونفره باشند که در فاصله تماسهای مشتری، بیسروصدا با ChatGPT دستوپنجه نرم میکنند.
ریسک واقعی، خودِ هوش مصنوعی نیست — سکوت است
بخش ناخوشایند ماجرا این است: مؤسسه شما لازم نیست «هوش مصنوعی را رسماً پذیرفته باشد» تا با ریسک هوش مصنوعی روبهرو شود. اگر حتی یک عضو کارکنان تاکنون تراز آزمایشی یک مشتری را در یک چتبات وارد کرده باشد تا نظر دومی درباره یک سند حسابداری بگیرد، شما همین حالا در معرض ریسک هستید — چه سیاستی مکتوب باشد چه نباشد.
این پدیده اغلب «هوش مصنوعی پنهان» نامیده میشود: استفاده از ابزارهایی که خارج از هر فهرست مصوب، خارج از هر قرارداد، و خارج از آگاهی هرکس رخ میدهد. این یک فرض نظری نیست. تحقیقات امنیتی اخیر نشان داد که حدود 34.8 درصد از پرامپتهای کارکنان در ChatGPT اکنون حاوی دادههای حساس شرکتی است، در حالی که این رقم در سال 2023 تنها 11 درصد بود. در حوزه حسابداری، این یعنی ارقام درآمد مشتری، صورتهای جریان نقدی، و اسناد مالیاتی در یک سامانه شخصثالث قرار میگیرند که مؤسسه هرگز آن را بررسی نکرده، هرگز با آن قرارداد نبسته، و نمیتواند آن را ممیزی کند.
ریسک حقوقی هم چیزی انتزاعی نیست. زمانی که کارمندی دادههای مالی مشتری را در یک حساب شخصی هوش مصنوعی وارد میکند، آن داده به یک شخص ثالث خارج از هر توافق موجود با مشتری منتقل و در آنجا ذخیره میشود — که میتواند تعریف حقوقی نشت داده را محقق کرده و تعهدات اطلاعرسانی را طبق قانون ایالتی فعال کند. برای مؤسسهای که متعهد به قاعده اطلاعات محرمانه مشتری AICPA است (بخش 1.700.001 آییننامه رفتار حرفهای)، این یک نکته فرعی جزئی نیست. این همان قاعدهای است که تعیین میکند آیا میتوانید امور مالی یک مشتری را با کسی خارج از پروژه در میان بگذارید یا نه — و دقیقاً به همان شکلی که برای یک گفتگوی دوستانه در یک رویداد شبکهسازی صدق میکند، برای ابزارهای هوش مصنوعی نیز صدق میکند.
یک سیاست واقعی هوش مصنوعی واقعاً چه چیزی را پوشش میدهد
راهنمای Journal of Accountancy یک سیاست کاربردی را به هشت بلوک اصلی تقسیم میکند: دامنه و هدف، ساختار حاکمیتی، حریم خصوصی داده، کنترلهای کیفیت و دقت، پروتکلهای مستندسازی، ارزیابی سوگیری، شفافیت با مشتری، و قوانین استفاده مجاز. این حجم زیادی است که یک مؤسسه پنجنفره یکجا به آن رسیدگی کند، پس ارزش دارد روی سه موردی تمرکز کنیم که بیشترین اثر حفاظتی را دارند.
۱. پرامپت، خروجی، و کسی که آن را بررسی کرده را مستند کنید
راهنما در این باره صریح است: «اگر مستند نشده، اتفاق نیفتاده است». این استاندارد جدیدی برای حسابداران رسمی نیست — همان منطقی است که کاغذ کار و پروندههای پروژه را اداره میکند — اما اکنون باید به هوش مصنوعی نیز تسری یابد. وقتی یک عضو کارکنان از یک ابزار هوش مصنوعی برای تهیه پیشنویس یادداشت مشتری، تحقیق درباره یک سؤال فنی، یا خلاصهسازی یک سند استفاده میکند، مؤسسه باید بتواند نشان دهد:
- چه پرامپتی استفاده شده است
- ابزار چه پاسخی بازگردانده است
- چه کسی خروجی را بررسی کرده، و چگونه
این سابقه باید در پرونده مشتری، در کنار سایر مستندات مربوط به ابزارهای شخصثالث نگهداری شود — نه در یک رشته پیام اسلک که پس از ۹۰ روز ناپدید میشود.
۲. پیش از رسیدن هر چیزی به دست مشتری، بازبینی انسانی را الزامی کنید
این همان خط قرمزی است که باید بالای هر ایستگاه کاری نصب شود: نباید از هوش مصنوعی برای تصمیمگیری، نهاییسازی، یا پشتیبانی از تصمیمات مرتبط با خدمات مشتری استفاده شود، مگر با بازبینی کامل انسانی و مطابق با سیاستهای نظارتی موجود مؤسسه. در عمل، یعنی تحقیقات، توضیحات فنی، یا استنادهای تولیدشده توسط هوش مصنوعی باید مستقیماً در برابر منابع اصلی — قانون درآمد داخلی، مقررات وزارت خزانهداری، استانداردهای FASB — راستیآزمایی شوند، نه اینکه صرفاً به این دلیل پذیرفته شوند که پاسخ با اطمینان بیان شده است. ابزارهای هوش مصنوعی مولد به تولید استنادهای قانعکننده اما ساختگی که اصلاً وجود خارجی ندارند شهرت دارند؛ عضو کارکنانی که پیش از قرار دادن یک بخش قانونی استنادشده در نامهای برای مشتری، آن را بهطور مستقل تأیید نمیکند، کل هدف قضاوت حرفهای را نادیده گرفته است.
۳. دقیقاً بدانید بر سر دادهای که وارد میکنید چه میآید
پیش از آنکه هر ابزاری به اطلاعات مشتری دسترسی پیدا کند، کسی در مؤسسه باید به چهار سؤال درباره آن پاسخ دهد: داده کجا ذخیره میشود؟ چه کسی به آن دسترسی دارد؟ آیا هویتزدایی شده است؟ آیا برای آموزش مدل استفاده میشود؟ اگر پاسخ هر یک از این سؤالات نامشخص باشد — که برای بیشتر ابزارهای هوش مصنوعی مصرفی همینطور خواهد بود — سیاست باید بهسادگی ورود اطلاعات شخصی، محرمانه، یا اختصاصی به آن ابزار را ممنوع کند. مؤسساتی که این موضوع را خوب مدیریت میکنند، تلاش نمیکنند تکتک تعاملات را کنترل کنند؛ بلکه یک فهرست ابزارهای تأییدشده و یک فرآیند سبک برای درخواست افزودن ابزار جدید توسط کارکنان نگه میدارند و حاکمیت هوش مصنوعی را یک تصمیم سراسری مؤسسه میدانند، نه تصمیمی فردی.
اشتباهاتی که مؤسسات همچنان مرتکب میشوند
چند الگو بارها و بارها در نحوه لغزیدن مؤسسات کوچک به سمت ریسک هوش مصنوعی دیده میشود، و هیچکدام نیازمند نیت بد نیستند — فقط نبودِ یک سیاست کافی است.
تصور اینکه «ما هنوز هوش مصنوعی را راهاندازی نکردهایم» به معنای حفاظت است. یک مؤسسه میتواند صفر ابزار هوش مصنوعی در پشته فناوری رسمی خود داشته باشد و در عین حال هر عضو کارکنانش در ساعات کاری از یک حساب شخصی ChatGPT روی گوشی خود استفاده کند. شکافهای سیاستی منتظر پذیرش رسمی نمیمانند؛ همان لحظهای که یک عضو کارکنان به اینترنت و یک ضربالاجل دسترسی دارد، این شکافها وجود دارند.
فرض اینکه لایههای رایگان و پولی به یک شکل رفتار میکنند. بسیاری از ابزارهای هوش مصنوعی مصرفی، بهطور پیشفرض از مکالمات لایه رایگان برای آموزش مدلهای زیربنایی خود استفاده میکنند، در حالی که لایههای پولی یا سازمانی اغلب شامل حفاظتهای قراردادی داده هستند. عضو کارکنانی که برای صرفهجویی در زمان یک حساب رایگان میسازد، اغلب بدون آنکه متوجه باشد، دادههای مشتری مؤسسه را وارد یک خط لوله آموزشی میکند. دقیقاً به همین دلیل است که چهار سؤال مربوط به مدیریت داده که در بالا آمد — ذخیرهسازی، دسترسی، هویتزدایی، کاربرد آموزشی — باید برای هر ابزار بهطور جداگانه پاسخ داده شوند، نه یکبار فرض شده و فراموش شوند.
اجازه دادن به «به نظر درست میرسید» جای راستیآزمایی را بگیرد. استنادهای مالیاتی، ارجاعات به بخشهای قانونی، و خلاصههای فنی تولیدشده توسط هوش مصنوعی میتوانند روان و در عین حال کاملاً نادرست باشند. عضو کارکنانی که تحت فشار ضربالاجل قرار دارد، محتملترین کسی است که مرحله راستیآزمایی را نادیده میگیرد — و دقیقاً به همین دلیل سیاست باید الزام بازبینی انسانی را بهعنوان یک قاعده بیان کند، نه پیشنهادی که به قضاوت فردی واگذار شده باشد.
نبود سابقهای از آنچه پرسیده و بررسی شده است. حتی مؤسساتی که در محتوا درست عمل میکنند، اغلب مستندسازی را نادیده میگیرند. اگر یک مشتری یا نهاد ناظر بعداً بپرسد یک رقم یا توصیه خاص چگونه تولید شده، «ما از هوش مصنوعی کمک گرفتیم» بدون سابقهای از پرامپت، خروجی، و کسی که آن را تأیید کرده، پاسخ کافی نیست.
چکلیست شروع برای یک سیاست دوصفحهای
برای تدوین نسخه اول نیازی به وکیل خارجی ندارید. یک سیاست کاربردی برای یک مؤسسه کوچک میتواند در یک یا دو صفحه جا شود و این موارد را پوشش دهد:
- یک فهرست ابزارهای تأییدشده — محصولات مشخص هوش مصنوعی که کارکنان میتوانند برای کار مشتری استفاده کنند را نام ببرید، و یک فرآیند ساده (حتی صرفاً «از شریک بپرسید») برای درخواست ابزارهای جدید تعریف کنید.
- یک قاعده مدیریت داده — هیچ اطلاعات شخصی، محرمانه، یا اختصاصی مشتری نباید وارد هیچ ابزاری شود که در فهرست تأییدشده نیست.
- یک الزام بازبینی انسانی — هیچ خروجی هوش مصنوعی بدون بازبینی توسط یک عضو کارکنان واجد شرایط، که در پرونده ثبت شده باشد، برای نهاییسازی کار، محصولات نهایی، یا مشاوره مشتری استفاده نمیشود.
- یک قاعده راستیآزمایی استناد — هر ارجاع تولیدشده توسط هوش مصنوعی به یک بخش قانونی، مقرره، یا استاندارد باید پیش از استناد به آن برای مشتری یا استفاده در یک اظهارنامه، در برابر منبع اصلی بررسی شود.
- یک عادت مستندسازی — جایی که کارکنان کار انجامشده با کمک هوش مصنوعی را ثبت میکنند (یک فیلد در سامانه مدیریت پروژه، یادداشتی در پرونده پروژه — هر چیزی که پایدار و قابل جستجو باشد).
- یک یادداشت شفافیت با مشتری — یک جمله ساده در نامههای تعامل که توضیح دهد مؤسسه ممکن است بهعنوان بخشی از ارائه خدمات از ابزارهای هوش مصنوعی استفاده کند، مشروط به تضمینهای بالا.
هیچکدام از این موارد به یک دگرگونی فناورانه نیاز ندارد. تنها لازم است چیزی که مؤسسه همین حالا بهطور غیررسمی مفروض میگیرد را مکتوب کنید — و مطمئن شوید هر عضو کارکنان از همان مفروضات پیروی میکند.
مؤسسات کوچک بار بیشتری از این ریسک را بر دوش میکشند، نه کمتر
وسوسهانگیز است که فرض کنیم حاکمیت هوش مصنوعی «مشکل مؤسسات بزرگ» است — چیزی برای شرکتهای سراسری با افسران ریسک اختصاصی. واقعیت دقیقاً عکس این است. مؤسسات کوچکتر معمولاً فاقد یک واحد انطباق هستند، بیشتر به ابزارهای عمومی هوش مصنوعی مصرفی تکیه میکنند تا محصولات سازمانی بررسیشده، و در صورتی که میانبر یک عضو کارکنان به یک رویداد مسئولیتزا تبدیل شود، افزونگی کمتری دارند. یک مؤسسه دوشریکه بدون سیاست مکتوب هوش مصنوعی، برای حفاظت از محرمانگی مشتری کاملاً به عادتهای غیررسمی متکی است — و عادتهای غیررسمی زمانی که یک مشتری در میانه یک پروژه بپرسد دادهاش دقیقاً چگونه مدیریت شده، عملکرد خوبی ندارند.
راهحل نیازی به یک تیم حقوقی ندارد. یک سیاست یک تا دوصفحهای که ابزارهای تأییدشده را نام میبرد، الزام بازبینی انسانی را به زبان ساده بیان میکند، و به کارکنان میگوید کار انجامشده با کمک هوش مصنوعی را کجا ثبت کنند، بیشتر این ریسک را پوشش میدهد. بلوکهای سازنده بالا یک چکلیست شروع معقول هستند؛ آنچه بیشترین اهمیت را دارد این است که پیش از آنکه عضو بعدی کارکنان برای یک موضوع مشتری سراغ چتبات برود، چیزی مکتوب وجود داشته باشد.
این موضوع چه ارتباطی به ثبت مالی دارد
حاکمیت هوش مصنوعی و ثبت مالی در حال حل یک مشکل زیربنایی یکسان هستند: اطمینان از وجود یک مسیر شفاف و قابل بازبینی پشت هر عدد و هر تصمیم. مؤسسهای که نمیتواند نشان دهد یک پاسخ تولیدشده با کمک هوش مصنوعی چگونه راستیآزمایی شده، همان شکافی را دارد که یک کسبوکار که نمیتواند نشان دهد یک تراکنش چگونه دستهبندی شده — هر دو در نهایت به این برمیگردد که آیا مسیری وجود دارد و آیا واقعاً یک انسان به آن نگاه کرده است.
این همان اصلی است که پشت حسابداری متنمحور قرار دارد. Beancount.io سوابق مالی شما را بهصورت متنی، قابل خواندن برای انسان، و تحت کنترل نسخه نگه میدارد، نه بهصورت ورودیهای مبهم در یک پایگاه داده — هر تغییری تاریخچهای قابل مشاهده دارد، و هیچ اتفاقی در جعبه سیاه رخ نمیدهد. برای حرفهای که بهطور فزاینده نگران قابلیت توضیحپذیری است، این نوع شفافیت یک امکان اضافه نیست. رایگان شروع کنید و ببینید چگونه یک دفتر کل کاملاً قابل ممیزی در مؤسسهای که مستندسازی را جدی میگیرد، جای میگیرد.