Opýtajte sa majiteľa malej CPA firmy, či jeho tím používa AI nástroje, a väčšina odpovie „trochu, neformálne". Opýtajte sa, či majú písomnú AI politiku, a v miestnosti sa zvyčajne rozhostí ticho. Táto priepasť je väčšia, než sa zdá. Nedávne odvetvové údaje ukazujú, že miera zavádzania AI v účtovných a CPA firmách dosahuje 73 %, čo je nárast o 340 % oproti úrovni z roku 2022 — no podľa správy Karbon State of AI in Accounting Report investovalo do akéhokoľvek formálneho AI školenia len 37 % firiem. Väčšina tohto rastu prebehla úplne bez akejkoľvek riadiacej vrstvy pod ním.
Presne tento nesúlad sa snaží zaplniť júlový článok Journal of Accountancy z roku 2026 o tvorbe AI politiky. Je určený široko pre CPA firmy všetkých veľkostí, ale rady dopadajú najtvrdšie na malé a stredné praxe — tie, ktoré majú najmenšiu pravdepodobnosť mať oddelenie compliance a naopak najväčšiu pravdepodobnosť, že samostatný účtovník alebo dvojčlenný tím potichu experimentuje s ChatGPT medzi telefonátmi s klientmi.
Skutočným rizikom nie je AI — je ním mlčanie
Tu je nepríjemná pravda: vaša firma nemusí mať „zavedenú AI", aby mala problém s AI rizikom. Ak čo i len jeden zamestnanec niekedy vložil skúšobnú súvahu klienta do chatbota, aby získal druhý názor na účtovný zápis, riziko už existuje — bez ohľadu na to, či máte alebo nemáte politiku na papieri.
Toto sa často nazýva „tieňové AI" (shadow AI): používanie nástrojov mimo akéhokoľvek schváleného zoznamu, mimo akejkoľvek zmluvy a mimo povedomia kohokoľvek vo firme. Nejde o hypotézu. Nedávny bezpečnostný výskum zistil, že približne 34,8 % promptov zamestnancov v ChatGPT dnes obsahuje citlivé firemné údaje, oproti len 11 % v roku 2023. Konkrétne v účtovníctve to znamená, že údaje o tržbách klientov, výkazy peňažných tokov a daňové dokumenty končia v systéme tretej strany, ktorý firma nikdy nepreverila, s ktorým nemá zmluvu a ktorý nemôže auditovať.
Právne riziko nie je len teoretické. Keď zamestnanec zadá finančné údaje klienta do osobného AI účtu, tieto údaje sa prenášajú do systému tretej strany a sú tam uchovávané mimo akejkoľvek existujúcej zmluvy s klientom — čo môže naplniť právnu definíciu úniku údajov a spustiť povinnosť oznámenia podľa štátneho práva. Pre firmu viazanú Pravidlom AICPA o dôverných informáciách klienta (časť 1.700.001 Kódexu profesionálneho správania) to nie je malicherná formalita. Je to to isté pravidlo, ktoré určuje, či môžete o financiách klienta hovoriť s kýmkoľvek mimo zákazky — a platí pre AI nástroje presne rovnako, ako platí pre nezáväzný rozhovor na networkingovej akcii.
Čo skutočná AI politika naozaj pokrýva
Metodika Journal of Accountancy rozdeľuje použiteľnú politiku na osem stavebných blokov: rozsah a účel, riadiacu štruktúru, ochranu údajov, kontroly kvality a presnosti, dokumentačné postupy, posúdenie zaujatosti, transparentnosť voči klientovi a pravidlá prípustného použitia. To je veľa na to, aby sa päťčlenná firma pustila do všetkého naraz, preto sa oplatí zamerať sa na tri body, ktoré odvádzajú najväčšiu ochrannú prácu.
1. Zdokumentujte prompt, výstup a kto ho overil
Metodika je v tomto bode priama: „Ak to nie je zdokumentované, nestalo sa to." To nie je pre CPA nový štandard — je to rovnaká logika, akou sa riadia pracovné podklady a spisy zákaziek — no teraz sa musí rozšíriť aj na AI. Keď zamestnanec použije AI nástroj na návrh memoranda pre klienta, na preskúmanie technickej otázky alebo na zhrnutie dokumentu, firma by mala vedieť preukázať:
- Aký prompt bol použitý
- Čo nástroj vrátil
- Kto výstup preskúmal a akým spôsobom
Tento záznam patrí do spisu klienta spolu s akoukoľvek inou dokumentáciou k nástrojom tretích strán — nie do vlákna v Slacku, ktoré po 90 dňoch zmizne.
2. Vyžadujte ľudskú kontrolu skôr, než sa čokoľvek dostane ku klientovi
Toto je veta, ktorá by mala visieť nad každým pracovným miestom: AI by sa nemala používať na vytváranie, finalizáciu ani podporu rozhodnutí súvisiacich so službami klientom bez dôkladnej ľudskej kontroly, v súlade s existujúcimi politikami dohľadu firmy. V praxi to znamená, že výskum, technické vysvetlenia či citácie vygenerované AI musia byť overené priamo voči primárnym zdrojom — daňovému zákonníku, nariadeniam ministerstva financií, štandardom FASB — a nie prijaté len preto, že odpoveď znela sebavedomo. Nástroje generatívnej AI sú notoricky známe tým, že produkujú vierohodne vyzerajúce citácie, ktoré v skutočnosti neexistujú; zamestnanec, ktorý si nezávisle neoverí citovanú časť zákona skôr, než sa dostane do listu klientovi, obišiel celý zmysel profesionálneho úsudku.
3. Vedzte presne, čo sa deje s údajmi, ktoré zadáte
Skôr než sa akýkoľvek nástroj dotkne informácií o klientovi, niekto vo firme musí zodpovedať štyri otázky: Kde sa údaje ukladajú? Kto k nim má prístup? Sú anonymizované? Používajú sa na trénovanie modelu? Ak je odpoveď na ktorúkoľvek z týchto otázok nejasná — a u väčšiny spotrebiteľských AI nástrojov bude — politika by mala jednoducho zakázať vkladanie osobných, dôverných alebo vlastníckych informácií do takého nástroja. Firmy, ktoré to zvládajú dobre, sa nesnažia kontrolovať každú jednotlivú interakciu; namiesto toho udržiavajú zoznam schválených nástrojov a jednoduchý proces, ktorým môžu zamestnanci žiadať o doplnenie ďalších — riadenie AI tak berú ako rozhodnutie na úrovni celej firmy, nie individuálne.
Chyby, ktoré firmy stále opakujú
V tom, ako sa malé firmy potkýnajú o AI riziko, sa opakuje niekoľko vzorcov, a ani jeden z nich nevyžaduje zlý úmysel — stačí absencia politiky.
Považovať „ešte sme AI nezaviedli" za ochranu. Firma môže mať vo svojom oficiálnom technologickom stacku nula AI nástrojov, a napriek tomu môže mať každý zamestnanec počas pracovnej doby na telefóne osobný účet ChatGPT. Medzery v politike nečakajú na oficiálne zavedenie — existujú od okamihu, keď má zamestnanec prístup na internet a termín na splnenie úlohy.
Predpokladať, že bezplatné a platené verzie fungujú rovnako. Mnohé spotrebiteľské AI nástroje predvolene používajú konverzácie z bezplatnej verzie na trénovanie svojich podkladových modelov, zatiaľ čo platené alebo firemné verzie často zahŕňajú zmluvnú ochranu údajov. Zamestnanec, ktorý si na úsporu času založí bezplatný účet, tak často nevedomky zaraďuje údaje klientov firmy do trénovacieho procesu. Presne preto je potrebné odpovedať na spomínané štyri otázky o zaobchádzaní s údajmi — uchovávanie, prístup, anonymizácia, použitie na trénovanie — pre každý nástroj zvlášť, nie raz predpokladať a potom zabudnúť.
Nechať dojem „znelo to správne" nahradiť overenie. Daňové citácie, odkazy na paragrafy zákonov a technické zhrnutia vygenerované AI môžu byť plynulé a pritom úplne nesprávne. Zamestnanec pod tlakom termínu je práve tou osobou, ktorá s najväčšou pravdepodobnosťou vynechá krok overenia — presne preto musí politika stanoviť požiadavku ľudskej kontroly ako pravidlo, nie ako odporúčanie ponechané na individuálny úsudok.
Žiadny záznam o tom, čo sa pýtalo alebo overovalo. Aj firmy, ktoré majú v poriadku podstatu veci, často vynechajú dokumentáciu. Ak sa klient alebo regulátor neskôr opýta, ako bol konkrétny údaj alebo odporúčanie vytvorené, veta „použili sme na to AI" nie je odpoveďou bez záznamu o prompte, výstupe a osobe, ktorá to schválila.
Východiskový kontrolný zoznam pre dvojstranovú politiku
Na návrh prvej verzie nepotrebujete externého právnika. Funkčná politika pre malú firmu sa zmestí na jednu až dve strany a mala by pokrývať:
- Zoznam schválených nástrojov — pomenujte konkrétne AI produkty, ktoré môžu zamestnanci používať na prácu s klientmi, a jednoduchý postup (aj keď len „opýtajte sa partnera") na žiadosť o doplnenie nových.
- Pravidlo pre zaobchádzanie s údajmi — žiadne osobné, dôverné ani vlastnícke informácie o klientovi sa nesmú vkladať do žiadneho nástroja, ktorý nie je na schválenom zozname.
- Požiadavku na ľudskú kontrolu — žiadny výstup AI sa nepoužije na finalizáciu práce, výstupov ani odporúčaní pre klienta bez kontroly kvalifikovaným zamestnancom, zaznamenanej v spise.
- Pravidlo overovania citácií — akýkoľvek AI vygenerovaný odkaz na paragraf zákona, nariadenie alebo štandard musí byť overený voči primárnemu zdroju skôr, než sa uvedie klientovi alebo použije v podaní.
- Návyk dokumentovania — miesto, kde zamestnanci zaznamenávajú prácu s pomocou AI (pole v systéme na riadenie praxe, poznámka v spise zákazky — čokoľvek trvalé a vyhľadateľné).
- Poznámku o transparentnosti voči klientovi — vetu v jednoduchom jazyku v zákazkových listoch, ktorá popisuje, že firma môže pri poskytovaní služieb používať AI nástroje, s vyššie uvedenými zárukami.
Nič z toho si nevyžaduje technologickú revolúciu. Vyžaduje si to len písomne rozhodnúť o tom, čo si firma už aj tak neformálne predpokladá — a uistiť sa, že každý zamestnanec vychádza z rovnakých predpokladov.
Malé firmy nesú viac tohto rizika, nie menej
Je lákavé predpokladať, že riadenie AI je „problém veľkých firiem" — niečo pre celoštátne praxe s vyhradenými risk manažérmi. Pravda je skôr opačná. Menšie firmy zvyčajne nemajú compliance funkciu, viac sa spoliehajú na univerzálne spotrebiteľské AI nástroje namiesto preverených firemných produktov a majú menej rezerv, ak sa skratka jedného zamestnanca zmení na problém s zodpovednosťou. Dvojčlenná partnerská firma bez písomnej AI politiky sa pri ochrane dôvernosti klienta spolieha úplne na neformálne návyky — a neformálne návyky neobstoja dobre, keď sa klient počas zákazky opýta, ako presne sa s jeho údajmi zaobchádzalo.
Náprava si nevyžaduje právny tím. Jedno- až dvojstranová politika, ktorá pomenúva schválené nástroje, jasným jazykom stanovuje požiadavku ľudskej kontroly a hovorí zamestnancom, kam majú zaznamenávať prácu s pomocou AI, pokrýva väčšinu rizika. Vyššie uvedené stavebné bloky sú rozumným východiskovým kontrolným zoznamom; najdôležitejšie je, aby niečo existovalo písomne skôr, než ďalší zamestnanec siahne po chatbote pri práci s klientom.
Kam do toho zapadá finančná evidencia
Riadenie AI a finančná evidencia riešia rovnaký základný problém: zabezpečiť jasnú, kontrolovateľnú stopu za každým číslom a rozhodnutím. Firma, ktorá nedokáže preukázať, ako bola overená odpoveď vytvorená s pomocou AI, má rovnakú medzeru ako firma, ktorá nedokáže preukázať, ako bola zaradená transakcia — v oboch prípadoch ide o to, či stopa existuje a či sa na ňu človek naozaj pozrel.
To je ten istý princíp, na ktorom stojí účtovníctvo v čistom texte (plain-text accounting). Beancount.io uchováva vaše finančné záznamy ako verziovaný, ľudsky čitateľný text namiesto neprehľadných databázových záznamov — každá zmena má viditeľnú históriu a nič sa nedeje v čiernej skrinke. Pre profesiu, ktorá sa čoraz viac obáva o vysvetliteľnosť, takáto transparentnosť nie je len príjemným bonusom. Začnite zadarmo a pozrite sa, ako plne auditovateľná účtovná kniha zapadá do firmy, ktorá berie dokumentáciu vážne.