När en klient kör sin deklaration genom ChatGPT eller Gemini ska du tydligt berätta vad klienten har delat och hur AI kan användas med mindre exponering nästa gång. Bemöt varje ”rättelse” med en källa som klienten kan öppna. Om du själv använder AI för klienters deklarationer gäller sekretessreglerna dig, inte klienten: i USA avsnitt 7216 och IRS:s vägledning om AI; i Storbritannien och EU GDPR.

En skatteblankett med ett grått rutnät av fält, några täckta av tomma mörkblå flikar, bredvid en miniräknare, en mörkblå penna, en liten bunt tomma kvitton och kanten av en bärbar dator på ett ljust skrivbord.

Vad en klient delar när hen laddar upp en deklaration

En färdig deklaration innehåller fler personuppgifter än nästan något annat dokument som en klient äger. En amerikansk blankett 1040 innehåller personnumren för den skattskyldige, dennes make eller maka och alla underhållsberättigade, samt bankens routingnummer och kontonummer för återbetalning genom direktinsättning. En brittisk deklaration för Self Assessment (SA100) innehåller Unique Taxpayer Reference, National Insurance-numret och födelsedatumet. I EU innehåller deklarationer det nationella skatte-ID-numret.

En klient som laddar upp ”min deklaration” laddar vanligtvis upp hela paketet:

  • Identifierare: SSN eller ITIN, National Insurance-nummer och UTR samt nationellt skatte-ID.
  • Andra personer: make eller maka, barn och andra underhållsberättigade, ofta med födelsedatum.
  • Inkomster: löner och arbetsgivare, investerings- och hyresinkomster samt återbäring eller belopp att betala.
  • Bankuppgifter: kontonummer för återbäringar och betalningar.
  • Bilagor: W-2, 1099, P60 och ibland ett foto av ett pass eller körkort.

Det mesta av detta är klientens egna uppgifter. Maken eller makan och barnen har inte valt att dela sina.

Vad du ska säga till en klient som redan har gjort det

Skippa föreläsningen. Klienten försökte förstå sin egen deklaration. Ge hen tre steg:

  1. Radera chatten. I ChatGPT försvinner en raderad chatt omedelbart från kontot och schemaläggs för permanent radering inom 30 dagar, såvida inte OpenAI måste spara den längre av säkerhets- eller rättsliga skäl (per oktober 2026). Radering ångrar inte uppladdningen. Den förkortar tiden som uppgifterna sparas.
  2. Stäng av träning för framtida chattar. På personliga ChatGPT-abonnemang är ”Förbättra modellen för alla” aktiverat som standard och kan stängas av i Inställningar, Datakontroller. Vår artikel om huruvida det är säkert att ladda upp dokument till ChatGPT beskriver vad som händer med en fil på personliga abonnemang och företagsabonnemang.
  3. I USA kan du skaffa en PIN-kod för identitetsskydd. En IP-PIN-kod hindrar någon annan från att lämna in en federal deklaration med klientens SSN eller ITIN. Alla som kan verifiera sin identitet kan skaffa en, och föräldrar kan ansöka om en för anhöriga som de försörjer. Skatterådgivare kan inte skaffa den åt en klient; klienten måste ansöka själv.

När klienten kommer tillbaka med AI:ns ”rättelser”

Dina En tråd på r/Accounting om detta inleds med en klient som körde ett utkast till deklaration genom ChatGPT och Gemini och kom tillbaka med ändringsförslag som deklarationsupprättaren kallar ”helt enkelt fel”. I ett svar frågade en klient varför avdraget för ränta på billån till en ny bil saknades. Bilen köptes 2024, och avdraget gäller endast lån som tagits efter den 31 december 2024.

En chattbot kan självsäkert ange en skatteregel och ändå ha fel, vara inaktuell eller ha rätt för någon annans omständigheter. IRS Office of Professional Responsibility tar upp påhittade svar, eller ”hallucinationer”, bland begränsningarna med generativ AI i sin vägledning för skattepraktiker från juni 2026. Modellen vet inte heller sådant som inte står på sidan: inköpsdatumet, en flytt utomlands eller ett val som gjordes ett tidigare år.

Ett svar som fungerar:

  • Be om den exakta fråga klienten skrev och hela svaret, inte en sammanfattning.
  • Besvara varje punkt med en källa som klienten kan öppna: en sida från IRS eller HMRC, anvisningarna till blanketten eller själva lagen. ”Här är IRS-sidan” klargör mer än ”ChatGPT har fel”.
  • Om AI:n hittade något verkligt, säg det och rätta till det.
  • Spara utbytet i klientakten. Om klienten insisterar på en ståndpunkt som du avrått från visar dokumentationen vad du sa.
  • Om dessa granskningar tar verklig arbetstid, ta upp dem i nästa års uppdragsbrev.

Ett meddelande du kan skicka till klienter

Håll det kort och förbjud inte AI: klienterna kommer att använda den ändå. Berätta hur de kan använda den med mindre exponering och be dem skicka dig vad den säger. Anpassa formuleringen till din verksamhet.

Subject: Using AI tools with your tax documents

Many clients now ask ChatGPT, Gemini or other AI tools about their
return. That is fine, and we are happy to look at what comes out of it.
A few suggestions:

1. Ask about the rule, not your return. "Can I deduct interest on a
   car loan taken out in 2025?" gets you an answer without your details.
2. If you paste figures, first remove your Social Security / National
   Insurance / tax ID number, the names and dates of birth of your
   spouse and children, bank account numbers, your address and your
   employer's name.
3. Do not upload photos of your passport, driving licence or ID card.
4. Check the tool's data settings first, for example whether your chats
   are used to train its models.
5. AI tools can be wrong or out of date on tax rules, and they do not
   know the facts you have given us. Send us the question and the
   answer, and we will check them against official guidance before
   anything on your return changes.

If you have already uploaded your return, delete that chat and let us
know. We can explain how to protect your tax account.

Om du använder AI för deklarationer: regler i USA

En klient får dela sin egen deklaration med vem som helst. En deklarationsupprättare får det inte. Avsnitt 7216 i Internal Revenue Code gör det till ett förseelsebrott för den som yrkesmässigt upprättar deklarationer att medvetet eller vårdslöst röja information som lämnats för en deklaration, eller att använda den för något annat ändamål. Straffet är böter på upp till $1,000 ($100,000 där avsnitt 6713(b) är tillämpligt), fängelse i upp till ett år eller båda. Avsnitt 6713 föreskriver dessutom ett civilrättsligt straff.

Förordningarna definierar begreppen brett. ”Skattedeklarationsinformation” omfattar skattebetalarens namn, adress och identifieringsnummer samt all information som lämnats för deklarationen, och ”röjande” innebär att göra information känd ”för någon person på vilket sätt som helst” (§301.7216-1). Röjanden som förordningarna inte uttryckligen tillåter (§301.7216-2) kräver först skattebetalarens skriftliga samtycke, i den form som §301.7216-3 föreskrivs.

Varken lagen eller förordningarna nämner AI. Det gör däremot IRS Office of Professional Responsibility i sin vägledning från juni 2026. Där anges avsnitt 6713 och 7216 bland de regler som gäller, varnas för att AI-plattformar ”kan innebära risker för obehörigt röjande av känslig information om skattebetalare”, och sägs att praktiker måste hantera klientuppgifter ”enbart med säker AI som godkänts för företagsanvändning”. Där sägs också att ”praktiker inte kan förlita sig enbart på AI” och att AI-resultat måste kontrolleras innan de når en klient eller IRS.

Huruvida det innebär ett röjande som kräver samtycke att skicka deklarationsinformation till en viss AI-leverantör beror på verktyget och omständigheterna. Vägledning publicerad av AICPA föreslår att detta bedöms specifikt utifrån §301.7216-2 och §301.7216-3. Rådfråga en skattejurist eller din branschorganisation innan du inför AI i ditt arbetsflöde för deklarationer.

Separat gäller att skatte- och redovisningsspecialister enligt FTC Safeguards Rule räknas som finansiella institut och måste ha en skriftlig informationssäkerhetsplan, en WISP. IRS publicerar en mall i Publication 5708 och vägledning om säkerhet i Publication 4557, Safeguarding Taxpayer Data. Vägledningen från OPR uppmanar företag att fastställa rutiner för AI: utbildning av personal, säker hantering av uppgifter och granskning av externa AI-verktyg. WISP är platsen där ni dokumenterar vilka verktyg personalen får använda och vilka uppgifter som får läggas in i dem.

Storbritannien och EU: GDPR

Skatteuppgifter om en enskild klient är personuppgifter enligt EU:s GDPR och UK GDPR. Ett namn och ett identifikationsnummer är båda angivna som identifierare. När en AI-leverantör behandlar dessa uppgifter för ditt företags räkning är den vanligtvis ett personuppgiftsbiträde, och artikel 28 kräver ett avtal med särskilda villkor. Kontrollera om AI-abonnemanget du använder omfattar ett personuppgiftsbiträdesavtal innan du lägger in klientuppgifter. Att ersätta namn med platshållare minskar risken, men pseudonymiserade uppgifter är fortfarande personuppgifter.

Metoden med säkra kopior för deklarationsförberedare

De flesta frågor som en deklarationsupprättare ställer till ett AI-verktyg kräver inte klientens identitet: förklara den här raden i en K-1, skriv ett brev på klarspråk om preliminärskatt, sammanfatta ett meddelande från HMRC eller IRS, kontrollera ett avskrivningsschema.

  1. Fråga om regeln i allmänna termer när du kan. Inget om klienten lämnar kontoret.
  2. När själva dokumentet behövs, arbeta med en kopia. Ersätt namn, SSN, NI-nummer och skatte-ID:n, adresser, bankkontonummer och födelsedatum med platshållare som Person_1, ID_1, Account_1. Behåll beloppen, åren och radnumren: det är de frågan gäller. Listan över vad du ska ta bort innan ett dokument skickas till AI omfattar de indirekta uppgifterna, till exempel en arbetsgivare i en liten ort.
  3. Använd samma platshållare för samma person överallt. Maken eller makan är Person_2 i deklarationen, W-2-blanketten och brevet.
  4. Kontrollera svaret mot källan och lägg sedan tillbaka de riktiga namnen på din egen dator.

En säker kopia minskar mängden information som lämnar kontoret. Den avgör inte i sig frågan om avsnitt 7216: förordningens definition av skattedeklarationsinformation är inte begränsad till namn och nummer. Ta upp den frågan med din rådgivare tillsammans med frågan om samtycke.

ClientSafe utför steg 2 och 3 på din dator. Lägg klientens dokument i ett ärende, granska vad verktyget hittade, avmarkera träffar som inte är personuppgifter och markera sådant det missade. Kopiera sedan den säkra kopian eller spara den som en Markdown-fil. Klistra in AI:ns svar i samma ärende för att återställa namnen. Information om bankexporter och finansiella rapporter som ligger till grund för en företagsdeklaration finns i AI för revisorer.

Vanliga frågor

Bör jag säga åt klienterna att inte använda AI för skatteärenden?

Ett förbud fungerar sällan, och uppgifterna är deras att dela. Ett meddelande om hur de kan använda AI med mindre exponering, tillsammans med ett erbjudande om att kontrollera svaren, gör att frågorna fortsätter att komma till dig.

Är det säkert att ladda upp en deklaration om klienten tar bort sitt namn?

Nej. SSN- eller NI-numret, de anhörigas namn, bankkontonumren, adressen och arbetsgivaren på ett W-2- eller P60-intyg identifierar också klienten. Ta bort allt detta eller fråga om regeln utan dokumentet.

Behöver jag klientens samtycke för att använda AI på deklarationer?

I USA: möjligen. Enligt avsnitt 7216 krävs skriftligt samtycke för röjanden som förordningarna inte tillåter på annat sätt, och hur detta gäller beror på verktyget och vad du skickar. I Storbritannien och EU behöver du en rättslig grund enligt GDPR och ett personuppgiftsbiträdesavtal med AI-leverantören. Rådfråga en rådgivare om din egen verksamhet.

ClientSafe ersätter klientnamn, ID-nummer, adresser och bankkontonummer i en säker kopia av skattedokument på din dator och lägger tillbaka de riktiga namnen i AI:ns svar. Identifieringen är inte perfekt, så granska vad verktyget hittade innan du kopierar.

Allmän information, inte juridisk rådgivning eller skatterådgivning.