Ís­lensk bók­halds­gögn eiga heima innan Evrópu

Frumvarp til nýrra heildarlaga um bókhald lauk samráði í samráðsgátt stjórnvalda undir lok október og er nú í vinnslu. Fyrst var óskað eftir umsögnum þegar verið var að undirbúa frumvarpið, og síðan eftir umsögnum um frumvarpið sjálft. Samtals níu umsagnir komu frá ýmsum áttum: Frá bókhaldsstofum, fagfélögum, hagsmunafélögum og hugbúnaðarfyrirtækjum á bókhaldssviði, þar á meðal vinnuveitanda mínum.

Bókhaldsgögn eins og reikningar innihalda oft persónugreinanleg gögn og eigin gögn fyrirtækja. Sífellt stærri hluti reikninga er unninn eða greindur með gervigreindarlíkönum eða annarri tölvuvinnslu. Ábyrgðaraðilar sem fara með persónugreinanleg gögn þurfa að geta svarað eftirfarandi, en geta það ekki alltaf: Hvert fara gögnin, hvar eru þau unnin, í hvaða lögsögu og hvernig er öryggi háttað?

Frumvarpið er að flestu leyti mjög jákvætt skref, og kemur í stað laga frá 1994 sem samin voru þegar tæknin var á allt öðrum stað. Það er rétt skref í frumvarpinu að afnema þá reglu að bókhaldsgögn þurfi að geyma á Íslandi, og ég er sammála Samtökum atvinnulífsins að hýsing í tölvuskýi er hinn nýi raunveruleiki og það myndi skerða samkeppnishæfni Íslands að geta ekki hagnýtt sér það besta sem býðst þar.

Það er hins vegar ekki rétt að það skipti engu máli hvar gögn eru geymd eða unnin.

Evrópa í þessu samhengi snýst ekki um landafræði heldur um lögsögu: Persónuverndarreglugerð ESB (GDPR) er í gildi alls staðar í EES. Íslensk stjórnvöld geta fengið aðgang „án tafar“ (6. mgr. 19. gr. frumvarpsins) og afhending gagna (7. mgr.) veltur þá ekki á lögum ríkis utan EES. Eins og Uniconta bendir réttilega á í sinni umsögn: „Aðgangur stjórnvalda án tafar er auk þess lítils virði ef gögnin lúta erlendri lögsögu.“

Nágrannalönd okkar skilja staðsetninguna ekki eftir opna: Noregur heimilar varðveislu rafrænna bókhaldsgagna aðeins innan EES, í Bretlandi og í Sviss. Danmörk krefst þess að öryggisafrit sé til innan EES en setur geymslu og vinnslu ekki aðrar skorður, en krefst skráningar á stöðluðum bókhaldskerfum.

Að mínu mati eiga íslensk lög að setja skorður ekki bara á hvar bókhaldsgögn eru geymd, heldur hvar þau eru unnin, og mikilvægt er að gervigreindarvinnsla falli undir þau ákvæði. Að öðrum kosti er í raun verið að flytja gögnin þangað sem þau eru unnin í gervigreindarlíkönum, og íslensk og evrópsk lög ná þá hvorki yfir afritun, varðveislu né aðgang þarlendra stjórnvalda.

Þetta er raunhæf krafa og skerðir ekki samkeppnishæfni Íslands, því öll leiðandi gervigreindarlíkön eru nú í boði í gagnaverum innan Evrópu.

Eins og frumvarpið er skrifað þá er ábyrgð á því að rétt sé farið með gögn og þau rétt unnin og afrituð sett á herðar bókhaldsstofu eða sjálfs bókhaldsskylda aðilans. Smáfyrirtæki úti í bæ á erfitt með að sannreyna hvar skýjagögn þess eru vistuð og hefur lítinn samningsmátt til að knýja þjónustuveitanda til að standa við skyldur sínar.

Frumvarpið ætti að leggja þessar skyldur á þjónustuveitendur bókhaldskerfa, ásamt skráningarskyldu fyrir þá sem vilja bjóða viðurkennt bókhaldskerfi. Bókhaldsskyldur aðili sem notar viðurkennt kerfi gæti þá treyst á að þjónustuveitandinn uppfylli skyldur samkvæmt frumvarpinu. Þeir sem vilja nota eigin óskráð kerfi gætu það áfram en bæru þá sjálfir ábyrgð.

Hvað gervigreind varðar þá er ég sammála Félagi löggiltra endurskoðenda um að frumvarpið verði að taka á hagnýtingu hennar, annars verða lögin fljótt úrelt. Eins og bæði vinnuveitandi minn og Óskar Sigurðsson hjá Accountant bentu á í sínum umsögnum, þá er lágmark að kerfi skrái: Hvaða frumgagn var notað, hvaða tillögur voru sjálfvirkar, hvaða einstaklingur gerði breytingar á tillögum og þá hverjar, og hvaða einstaklingur samþykkti á endanum tillögu sem undirbúin var með aðstoð gervigreindar. Þar með geta endurskoðendur séð hvar mest hætta er á villum.

Óskar bendir einnig á að viðskiptavinir bókhaldsskyldra aðila eigi rétt á að vita hvaða undirvinnsluaðilar fá aðgang að persónugreinanlegum gögnum þeirra, hvar vinnsla þeirra fer fram, og hvort upplýsingar þeirra séu notaðar til að þjálfa gervigreindarlíkön. Allt þetta verður auðveldara að tryggja ef gögnin fara ekki út fyrir lögsögu EES.

Ég hef unnið við hugbúnaðargerð í yfir 30 ár og veit að það er auðvelt að smíða gervigreindarlausn sem les og vinnur með reikninga. Það er hins vegar erfitt að smíða hana þannig að það sé hægt að treysta henni, hún sé rekjanleg, og manneskja beri á endanum ábyrgðina.

Til atvinnuvegaráðuneytisins, sem vinnur frumvarpið, og síðar til alþingismanna beini ég þessum tilmælum: Haldið í nútímavæðinguna í lögunum, og bætið þrennu við: Geymslu og vinnslu innan EES, með aðlögunartíma; kröfur á skráða þjónustuveitendur viðurkenndra bókhaldskerfa sem enginn samningur getur fjarlægt; rekjanleika á öllum sjálfvirkum tillögum og hvernig samþykkt þeirra var háttað.

Höfundur er tæknistjóri Bella Books.