Ist es für Steuerberater in Frankreich sicher, KI zu nutzen?

Sie nutzen ChatGPT oder Copilot, um schneller voranzukommen. Sie fügen einen Bilanzauszug, eine Gehaltsabrechnung, eine Steuererklärung ein. Der Zeitgewinn ist real. Doch diese Daten gehören Ihren Mandanten. Sie an eine öffentliche KI weiterzugeben bedeutet, sie einem unbefugten Dritten zu übergeben. Und der französische Steuerberater ist an das Berufsgeheimnis gebunden. Sollten Sie deshalb auf KI verzichten? Nein. Sie müssen die Daten nur vor dem Senden anonymisieren. So geht es.

Das Problem: Die Kanzlei fügt Mandantendaten in die KI ein

Der Reflex ist verständlich. Eine generative KI schreibt schnell. Sie fasst ein Hauptbuch zusammen, erklärt eine Buchung, formuliert eine Notiz um. Also gibt die Kanzlei ihr echtes Material. Das Material ist das Problem. Eine Mandantenakte bündelt hochsensible Daten.

• Der Jahresabschluss, die Bilanz und die Zwischenergebnisse der Betriebsführung.
• Die Lohnabrechnung: Gehälter, Prämien, Sozialversicherungsnummern der Beschäftigten.
• Die Umsatzsteuererklärungen und die vollständigen Steuererklärungen des Unternehmens.
• Die Kontaktdaten des Geschäftsführers und die personenbezogenen Daten Dritter.

In eine öffentliche KI eingefügt, verlassen diese Informationen den Arbeitsplatz. Sie können gespeichert, erneut eingesehen oder wiederverwendet werden. Die Kanzlei verliert die Kontrolle über das, was sie übermittelt hat. Genau da beginnt das Risiko.

Der Kern: das Berufsgeheimnis und die DSGVO

Der Steuerberater ist kein Berufstätiger wie jeder andere. Er ist an das Berufsgeheimnis gebunden. Artikel 21 der Verordnung Nr. 45-2138 vom 19. September 1945 unterwirft ihn dieser Pflicht. Sie gilt « unter den Bedingungen und den Strafen, die Artikel 226-13 des Strafgesetzbuchs festlegt ». Dieses Geheimnis deckt nicht nur Vertraulichkeiten ab. Es deckt sämtliche während des Mandats erhobenen Informationen ab: Konten, Finanzdaten, steuerliche und lohnbezogene Elemente.

Artikel 226-13 des Strafgesetzbuchs ahndet die Offenlegung einer geheimen Information. Er richtet sich an die Person, die diese durch ihren Beruf verwahrt. Die angedrohte Strafe beträgt ein Jahr Freiheitsentzug und 15.000 Euro Geldstrafe. Der Text setzt im Grundsatz eine bewusste Offenlegung voraus. Eine Akte in eine KI einzufügen ist deshalb keine automatische Verurteilung. Aber es ist ein reales Risiko eines Verstoßes, denn ein Anbieter einer öffentlichen KI ist ein unbefugter Dritter.

Die DSGVO kommt zur Geheimhaltungspflicht hinzu. Für die Daten eines Mandanten legt die Kanzlei die Zwecke und Mittel der Verarbeitung fest. Sie ist der Verantwortliche. Das verpflichtet sie zur Datensicherheit und zur Datenminimierung. Die CNIL, die französische Datenschutzbehörde, ist eindeutig. Ein auf personenbezogenen Daten aufgebautes KI-System entzieht sich nicht der DSGVO. Die Grundsätze des Artikels 5 gelten vollständig, einschließlich der Minimierung.

Zur Minimierung ist die Haltung der CNIL hilfreich. Die Verarbeitung muss für ihren Zweck strikt erforderlich sein. Und wenn anonymisierte Daten ein vergleichbares Ergebnis ermöglichen, sind sie vorzuziehen. Genau das erreicht das Anonymisieren vor dem Prompt.

Die Lösung: vor dem Prompt anonymisieren

Das Prinzip ist einfach. Daten, die das Modell nie erreichen, können weder auslaufen noch an den Anbieter weitergegeben werden. Vorab zu anonymisieren bewahrt also den Nutzen der KI. Sie arbeiten an einer entpersonalisierten Akte. Die KI denkt über die Struktur nach, nicht über die Identität Ihrer Mandanten.

In der Praxis wird jedes identifizierende Element durch ein Token ersetzt. Der Name des Mandanten wird zu einem Token. Der sensible Betrag wird zu einem Token. Die KI sieht nur Token, nie die echten Werte. Hier ist die Methode, Schritt für Schritt.

1. 1Erkennen Sie die durch das Geheimnis geschützten Daten: Namen, Beträge, Nummern, Kontaktdaten.
2. 2Ersetzen Sie sie durch umkehrbare Token, im Browser.
3. 3Senden Sie nur den anonymisierten Text an die KI.
4. 4Stellen Sie die echten Werte in der Antwort lokal auf Ihrem Rechner wieder her.

Seien wir ehrlich, was diese Methode leistet. Vor dem Prompt zu anonymisieren senkt das Risiko. Es stützt die von der DSGVO geforderte Minimierung. Aber es macht die Kanzlei nicht allein „konform“. Und es hebt Ihre Geheimhaltungspflicht nicht auf. Es ist eine nützliche Kontrolle, kein Freibrief. Konformität bleibt ein umfassenderes Ganzes, das dieser Schritt stärkt, ohne es zu ersetzen.

Genau dafür ist ONYRI Sanitize da. Die Engine erkennt sensible Daten — Namen, Kontaktdaten, Beträge, Nummern — und ersetzt sie vor dem Senden durch umkehrbare Token. Die Erkennung und das Mapping bleiben in Ihrem Browser. Die echten Werte verlassen niemals Ihren Rechner. Nur anonymisierter Text erreicht das Modell. Sie behalten die Hilfe der KI und verringern zugleich die Preisgabe der Daten, die das Berufsgeheimnis Sie zu schützen verpflichtet.