Vraag de eigenaar van een klein accountantskantoor of zijn team AI-tools gebruikt, en de meesten zeggen "een beetje, informeel." Vraag of er een schriftelijk AI-beleid is, en het blijft meestal stil. Die kloof is groter dan ze klinkt. Recente sectorcijfers laten zien dat AI-adoptie bij accountants- en boekhoudkantoren op 73% ligt, een stijging van 340% ten opzichte van 2022 — maar volgens Karbon's State of AI in Accounting Report heeft slechts 37% van de kantoren daadwerkelijk in enige vorm van formele AI-training geïnvesteerd. Het grootste deel van die groei vond plaats zonder enige governancelaag eronder.
Die mismatch is precies waar het artikel van de Journal of Accountancy uit juli 2026 over het opstellen van een AI-beleid op wil ingaan. Het is breed gericht op accountantskantoren van elke omvang, maar het advies raakt vooral kleine en middelgrote praktijken — de kantoren die het minst waarschijnlijk een compliance-afdeling hebben, en het meest waarschijnlijk een zelfstandig ondernemer of een team van twee personen in dienst hebben dat stilletjes met ChatGPT experimenteert tussen klantgesprekken door.
Het echte risico is niet de AI — het is de stilte
Dit is het ongemakkelijke deel: uw kantoor hoeft geen "AI te hebben geadopteerd" om een AI-risicoprobleem te hebben. Als ook maar één medewerker ooit de proef-en-saldibalans van een klant in een chatbot heeft geplakt om een tweede mening over een journaalpost te krijgen, heeft u al blootstelling — of er nu een beleid op papier staat of niet.
Dit wordt vaak "schaduw-AI" genoemd: toolgebruik dat plaatsvindt buiten elke goedgekeurde lijst, buiten elk contract en buiten ieders medeweten. Het is geen hypothese. Recent beveiligingsonderzoek toont aan dat ongeveer 34,8% van de ChatGPT-prompts van medewerkers inmiddels gevoelige bedrijfsgegevens bevat, tegenover slechts 11% in 2023. Specifiek in de accountancy betekent dit dat omzetcijfers, kasstroomoverzichten en belastingdocumenten van klanten terechtkomen in een systeem van een derde partij dat het kantoor nooit heeft doorgelicht, waarmee het nooit een contract heeft gesloten en dat het niet kan controleren.
Ook de juridische blootstelling is niet abstract. Wanneer een medewerker financiële gegevens van een klant invoert in een persoonlijk AI-account, worden die gegevens overgedragen aan en opgeslagen door een derde partij buiten elke bestaande klantovereenkomst — wat kan voldoen aan de juridische definitie van een datalek en meldplichten onder de staatswetgeving kan activeren. Voor een kantoor dat gebonden is aan de AICPA's regel voor vertrouwelijke klantinformatie (Section 1.700.001 van de Code of Professional Conduct) is dat geen kleine technische kwestie. Het is dezelfde regel die bepaalt of u de financiën van een klant met wie dan ook buiten de opdracht mag bespreken — en die geldt voor AI-tools op precies dezelfde manier als voor een informeel gesprek op een netwerkbijeenkomst.
Wat een echt AI-beleid daadwerkelijk omvat
De richtlijnen van de Journal of Accountancy verdelen een bruikbaar beleid in acht bouwstenen: reikwijdte en doel, governancestructuur, gegevensbescherming, kwaliteits- en nauwkeurigheidscontroles, documentatieprotocollen, bias-beoordeling, transparantie naar de klant, en regels voor aanvaardbaar gebruik. Dat is veel om als kantoor van vijf man in één keer aan te pakken, dus loont het om te focussen op de drie onderdelen die de meeste bescherming bieden.
1. Leg de prompt, de output en de controleur vast
De richtlijn is hier onomwonden over: "Als het niet gedocumenteerd is, is het niet gebeurd." Dat is geen nieuwe norm voor accountants — het is dezelfde logica die werkdossiers en opdrachtdossiers beheerst — maar die moet nu ook worden toegepast op AI. Wanneer een medewerker een AI-tool gebruikt om een klantmemo op te stellen, een technische vraag te onderzoeken of een document samen te vatten, moet het kantoor kunnen aantonen:
- Welke prompt is gebruikt
- Wat de tool heeft teruggegeven
- Wie de output heeft beoordeeld, en hoe
Dat overzicht hoort thuis in het klantdossier, samen met de documentatie van elke andere tool van een derde partij — niet in een Slack-gesprek dat na 90 dagen verdwijnt.
2. Vereis menselijke controle voordat iets bij een klant terechtkomt
Dit is de regel die boven elke werkplek zou moeten hangen: AI mag niet worden gebruikt om beslissingen rond klantdiensten te nemen, af te ronden of te ondersteunen zonder grondige menselijke controle, in lijn met het bestaande toezichtsbeleid van het kantoor. In de praktijk betekent dit dat door AI gegenereerd onderzoek, technische toelichtingen of citaten rechtstreeks tegen primaire bronnen moeten worden geverifieerd — de belastingwetgeving, regelgeving van de belastingdienst, verslaggevingsstandaarden — en niet worden geaccepteerd omdat het antwoord zelfverzekerd klonk. Generatieve AI-tools staan erom bekend geloofwaardig klinkende citaten te produceren die in werkelijkheid niet bestaan; een medewerker die een geciteerd wetsartikel niet zelfstandig controleert voordat het in een klantbrief terechtkomt, slaat precies het punt van professionele oordeelsvorming over.
3. Weet precies wat er met de gegevens gebeurt die u invoert
Voordat een tool klantinformatie te zien krijgt, moet iemand binnen het kantoor vier vragen erover beantwoorden: Waar worden de gegevens opgeslagen? Wie heeft er toegang toe? Zijn ze geanonimiseerd? Worden ze gebruikt om het model te trainen? Als het antwoord op een van die vragen onduidelijk is — en bij de meeste consumenten-AI-tools zal dat zo zijn — moet het beleid simpelweg verbieden persoonlijke, vertrouwelijke of eigendomsinformatie in die tool in te voeren. Kantoren die dit goed aanpakken, proberen niet elke individuele interactie te controleren; zij onderhouden een lijst met goedgekeurde tools en een lichtgewicht proces waarmee medewerkers uitbreidingen kunnen aanvragen, en behandelen AI-governance als een beslissing voor het hele kantoor in plaats van een individuele keuze.
De fouten die kantoren blijven maken
Een paar patronen keren steeds terug in de manier waarop kleine kantoren in AI-risico's terechtkomen, en geen van alle vereist kwade opzet — alleen de afwezigheid van een beleid.
"We hebben geen AI uitgerold" als bescherming beschouwen. Een kantoor kan nul AI-tools in zijn officiële techstack hebben en toch elke medewerker een persoonlijk ChatGPT-account op de telefoon zien gebruiken tijdens werktijd. Beleidsgaten wachten niet op officiële adoptie; ze bestaan zodra een medewerker internettoegang en een deadline heeft.
Ervan uitgaan dat gratis en betaalde abonnementen zich hetzelfde gedragen. Veel consumenten-AI-tools gebruiken gesprekken uit het gratis abonnement standaard om hun onderliggende modellen te trainen, terwijl betaalde of zakelijke abonnementen vaak contractuele gegevensbescherming bevatten. Een medewerker die zich voor een gratis account aanmeldt om tijd te besparen, laat de klantgegevens van het kantoor vaak zonder het te beseffen in een trainingspijplijn terechtkomen. Precies daarom moeten de vier vragen over gegevensverwerking hierboven — opslag, toegang, anonimisering, gebruik voor training — per tool worden beantwoord, en niet één keer worden aangenomen en vervolgens vergeten.
"Het klonk goed" laten doorgaan voor verificatie. Door AI gegenereerde belastingcitaten, verwijzingen naar wetsartikelen en technische samenvattingen kunnen vloeiend en volkomen onjuist zijn. Een medewerker onder deadlinedruk is precies degene die het meest geneigd is de verificatiestap over te slaan — en dat is exact waarom het beleid de eis van menselijke controle als regel moet vastleggen, niet als suggestie die aan individueel oordeel wordt overgelaten.
Geen vastlegging van wat er is gevraagd of gecontroleerd. Zelfs kantoren die de inhoud goed aanpakken, slaan de documentatie vaak over. Als een klant of toezichthouder later vraagt hoe een bepaald cijfer of advies tot stand is gekomen, is "we hebben AI gebruikt om te helpen" geen antwoord zonder een vastlegging van de prompt, de output en wie ervoor heeft getekend.
Een startchecklist voor een beleid van twee pagina's
U heeft geen externe juristen nodig om een eerste versie op te stellen. Een werkbaar beleid voor een klein kantoor past op één of twee pagina's en omvat:
- Een lijst met goedgekeurde tools — noem de specifieke AI-producten die medewerkers voor klantwerk mogen gebruiken, en een eenvoudig proces (al is het maar "vraag het de partner") om nieuwe tools aan te vragen.
- Een regel voor gegevensverwerking — geen persoonlijke, vertrouwelijke of eigendomsinformatie van klanten in een tool die niet op de goedgekeurde lijst staat.
- Een vereiste voor menselijke controle — geen AI-output wordt gebruikt om klantwerk, leveringen of advies af te ronden zonder beoordeling door een gekwalificeerde medewerker, vastgelegd in het dossier.
- Een regel voor citaatverificatie — elke door AI gegenereerde verwijzing naar een wetsartikel, regelgeving of standaard moet tegen de primaire bron worden gecontroleerd voordat deze aan een klant wordt geciteerd of in een aangifte wordt gebruikt.
- Een documentatiegewoonte — waar medewerkers AI-ondersteund werk vastleggen (een veld in het praktijkmanagementsysteem, een notitie in het opdrachtdossier — alles wat duurzaam en doorzoekbaar is).
- Een notitie over transparantie naar de klant — een regel in gewone taal in opdrachtbrieven die aangeeft dat het kantoor AI-tools kan gebruiken als onderdeel van de dienstverlening, onder de bovengenoemde waarborgen.
Niets hiervan vereist een technologische omwenteling. Het vereist dat u schriftelijk vastlegt wat het kantoor al informeel aanneemt — en ervoor zorgt dat elke medewerker van dezelfde aannames uitgaat.
Kleine kantoren dragen meer van dit risico, niet minder
Het is verleidelijk om aan te nemen dat AI-governance een "probleem van grote kantoren" is — iets voor landelijke praktijken met toegewijde risicofunctionarissen. Het tegenovergestelde ligt dichter bij de waarheid. Kleinere kantoren missen doorgaans een compliancefunctie, leunen zwaarder op algemene consumenten-AI-tools in plaats van doorgelichte zakelijke producten, en hebben minder buffer als de shortcut van één medewerker een aansprakelijkheidskwestie wordt. Een kantoor met twee partners zonder schriftelijk AI-beleid vertrouwt volledig op informele gewoonten om de vertrouwelijkheid van klanten te beschermen — en informele gewoonten houden geen stand wanneer een klant tijdens een opdracht precies vraagt hoe zijn gegevens zijn behandeld.
De oplossing vereist geen juridisch team. Een beleid van één tot twee pagina's dat goedgekeurde tools benoemt, de vereiste van menselijke controle in gewone taal vastlegt en medewerkers vertelt waar ze AI-ondersteund werk moeten vastleggen, dekt het grootste deel van de blootstelling af. De bouwstenen hierboven vormen een redelijke startchecklist; wat het meest telt, is dat er iets op papier staat voordat de volgende medewerker naar een chatbot grijpt voor een klantkwestie.
Waar financiële administratie hierin past
AI-governance en financiële administratie lossen hetzelfde onderliggende probleem op: ervoor zorgen dat er een duidelijk, controleerbaar spoor achter elk cijfer en elke beslissing bestaat. Een kantoor dat niet kan aantonen hoe een AI-ondersteund antwoord is geverifieerd, heeft hetzelfde gat als een bedrijf dat niet kan aantonen hoe een transactie is gecategoriseerd — beide komen neer op de vraag of het spoor bestaat en of een mens er daadwerkelijk naar heeft gekeken.
Dat is hetzelfde principe achter plain-text accounting. Beancount.io bewaart uw financiële administratie als versiebeheerde, mensleesbare tekst in plaats van ondoorzichtige databaserecords — elke wijziging heeft een zichtbare geschiedenis, en niets gebeurt in een black box. Voor een beroepsgroep die zich steeds meer zorgen maakt over uitlegbaarheid, is dat soort transparantie geen leuke extra. Ga gratis aan de slag en zie hoe een volledig controleerbaar grootboek past bij een kantoor dat documentatie serieus neemt.