Cornerstone
Kort antwoord: Bij het kiezen van een AI-leverancier voor je accountantskantoor stel je tien vragen over data en privacy, de werking en de samenwerking. Vraag waar de klantdata staat en of de aanbieder die klantdata voor training gebruikt. Vraag ook naar de verwerkersovereenkomst en de audit trail. Vraag daarnaast wat er bij twijfel gebeurt, of de koppeling de officiële API gebruikt en wie het beheer doet. Vraag tot slot wat er bij een exit gebeurt, of je eerst kunt testen en hoe je het resultaat meet.
Waarom heb je een vaste lijst met vragen nodig?
Een demo van AI-automatisering ziet er bijna altijd goed uit. De demo laat het normale geval zien. In de praktijk gaat het om de uitzonderingen, de privacy en het beheer na de livegang. Die onderwerpen komen in een demo zelden aan bod.
Een vaste lijst helpt je om leveranciers op dezelfde punten te vergelijken. De tien vragen hieronder zijn verdeeld over drie onderwerpen: data en privacy, de werking en de samenwerking. Stel ze aan elke leverancier, ook aan ons.
Welke vragen stel je over data en privacy?
1. Waar verwerkt en bewaart de leverancier de klantdata?
Je kantoor werkt met bankmutaties, facturen en loonstroken van klanten. Die klantdata gaat bij AI-automatisering langs meerdere systemen: de koppeling, de opslag en het AI-model. De AVG stelt extra eisen aan doorgifte buiten de Europese Economische Ruimte (EER). Je moet dus weten waar elke stap plaatsvindt.
Het antwoord dat je wilt horen: een concrete locatie voor elke stap, ook voor het AI-model. "In de cloud" is geen antwoord. Een goede leverancier noemt ook welke andere partijen de klantdata verwerken. Vraag ook of de aanbieder van het AI-model de invoer bewaart, en hoe lang. Vraag bij een partij buiten de EER op welke grond de doorgifte plaatsvindt.
2. Gebruikt de aanbieder onze klantdata om AI-modellen te trainen?
Sommige aanbieders van AI-modellen mogen ingevoerde data gebruiken om hun modellen te verbeteren. Dat hangt af van het contract met de aanbieder, bijvoorbeeld een zakelijk of een gratis abonnement. Bij klantdata van een kantoor wil je dat uitsluiten.
Het antwoord dat je wilt horen: een duidelijk nee, vastgelegd in de afspraken met de aanbieder van het model. Vraag waar dat staat. Een mondelinge toezegging is niet genoeg.
3. Sluiten we een verwerkersovereenkomst?
Je kantoor is verwerkingsverantwoordelijke voor de klantdata. De leverancier verwerkt die klantdata in opdracht van je kantoor en is dan verwerker. Artikel 28 van de AVG verplicht in dat geval een overeenkomst. Daarin staat onder meer dat de verwerker alleen op instructie van je kantoor werkt en de klantdata beveiligt. Ook staat erin wat er met de klantdata gebeurt als de dienst stopt. De verwerker moet een datalek zonder onredelijke vertraging aan je kantoor melden.
Het antwoord dat je wilt horen: ja, standaard bij elke opdracht. Vraag de tekst vooraf op. Kijk of de partijen die de leverancier inschakelt, zoals de aanbieder van het AI-model, erin staan. Kijk ook binnen welke termijn de leverancier een datalek meldt. Je kantoor moet een meldplichtig datalek binnen 72 uur bij de Autoriteit Persoonsgegevens melden. Meer over dit onderwerp lees je in Mag een accountantskantoor AI gebruiken met klantgegevens?
Vraag ook hoe de leverancier de klantdata beveiligt. Wie bij de leverancier heeft toegang tot de klantdata? Legt de leverancier die toegang vast in een log? Kunnen gebruikers alleen inloggen met tweestapsverificatie? Vraag of een onafhankelijke partij de beveiliging heeft getoetst, en vraag om het rapport.
4. Kunnen we per boeking zien wat de software deed?
Je kantoor blijft verantwoordelijk voor de administratie van de klant. Een medewerker of controleur moet dus kunnen nagaan waarom een boeking zo is gemaakt. Zonder dat inzicht kun je een fout niet herstellen en niet uitleggen.
Het antwoord dat je wilt horen: een audit trail die per boeking de bron en de reden toont. Vraag de leverancier om een voorbeeld. Kijk of je ook ziet welke boekingen een medewerker heeft goedgekeurd. Kijk ook of je ziet met welke regels de software de boeking maakte. Vraag of iemand de audit trail achteraf kan wijzigen, en hoe lang de leverancier die bewaart.
Welke vragen stel je over de werking?
5. Wat gebeurt er als de software twijfelt?
Geen AI-model is altijd zeker. Een onbekende crediteur, een afwijkend bedrag of een mogelijk dubbele factuur vraagt om een mens. De vraag is dus niet of de software twijfelt, maar wat er dan gebeurt.
Het antwoord dat je wilt horen: bij twijfel boekt de software niet, maar legt de post voor aan een medewerker, met de reden erbij. Vraag hoe je kantoor bepaalt wanneer de software een post voorlegt. Je kantoor moet die grens zelf kunnen instellen en aanpassen.
6. Koppelt de software via de officiële API van het pakket?
Pakketten als Exact Online, AFAS, Twinfield en Yuki hebben een officiële API voor koppelingen. Een koppeling die schermen nabootst of met het wachtwoord van een medewerker inlogt, is kwetsbaar. Die koppeling breekt bij een wijziging van het scherm en geeft vaak meer toegang dan nodig.
Het antwoord dat je wilt horen: de koppeling gebruikt de officiële API. Je kantoor geeft zelf toegang, via een toestemming in het pakket of met een sleutel die je kantoor aanmaakt. Je kantoor kan die toegang altijd intrekken. De leverancier bewaart geen wachtwoorden van medewerkers en beveiligt de sleutels. Vraag ook tot welke administraties de koppeling toegang krijgt.
7. Wie doet het beheer als een pakket verandert?
Boekhoudpakketten krijgen regelmatig updates. Een API kan veranderen, en ook de regels van je kantoor veranderen. Een automatisering zonder beheer werkt na een tijd minder goed of stopt.
Het antwoord dat je wilt horen: de leverancier bewaakt de koppelingen en past de software aan bij een wijziging. Vraag hoe je een storing merkt en wie je dan belt. Vraag ook hoe de kosten zijn opgebouwd: per maand, per administratie of per verwerkte post. Zo ken je de totale kosten, ook als je kantoor groeit.
Welke vragen stel je over de samenwerking?
8. Wat gebeurt er als we stoppen?
Een exit lijkt ver weg bij de start. Toch bepaalt deze vraag hoe afhankelijk je kantoor wordt. Denk aan de regels die je samen opbouwt en aan de historie in de audit trail. Denk ook aan de klantdata in een eventueel datawarehouse.
Het antwoord dat je wilt horen: een duidelijke afspraak over wat je meekrijgt en wat de leverancier verwijdert. Leg vast wie eigenaar is van de klantdata en van de instellingen. De AVG verplicht de verwerker om na afloop de klantdata te wissen of terug te geven. Je kantoor kiest welke van de twee.
Vraag ook wat er gebeurt als de leverancier zelf stopt of uitvalt. Leg vast dat je de audit trail en de instellingen dan in een bruikbaar formaat krijgt. Voor de basisgegevens van een administratie geldt een fiscale bewaarplicht van zeven jaar.
9. Kunnen we eerst testen op onze eigen administraties?
Een demo op voorbeelddata zegt weinig over jouw klanten. Elke administratie heeft eigen crediteuren, eigen grootboekrekeningen en eigen uitzonderingen. Pas op je eigen administraties zie je wat de software echt doet.
Let op: ook een test op echte administraties is een verwerking van klantdata. Sluit de verwerkersovereenkomst dus vóór de test.
Het antwoord dat je wilt horen: ja, op een paar echte administraties, voordat het hele kantoor overgaat. Vraag hoe de test loopt en wie de uitkomst controleert. Kies voor de test ook een lastige administratie, niet alleen de makkelijkste.
10. Hoe meten we het resultaat?
Zonder meting blijft het resultaat een gevoel. Je wilt weten hoeveel werk de software overneemt en hoeveel werk overblijft. Leg daarom vóór de start vast hoe je nu werkt.
Het antwoord dat je wilt horen: concrete meetpunten die je zelf kunt volgen. Denk aan het aantal automatisch verwerkte posten, het aantal voorgelegde posten en het aantal correcties achteraf. Een goede leverancier belooft geen vast percentage vooraf, maar meet samen met je kantoor.
Welke antwoorden zijn een reden om door te vragen?
De tabel hieronder vat de tien vragen samen. In de laatste kolom staat een antwoord dat om meer uitleg vraagt.
| Vraag | Antwoord dat je wilt horen | Vraag door bij |
|---|---|---|
| 1. Waar staat de klantdata? | Een locatie per stap, ook voor het AI-model | "In de cloud" |
| 2. Training op onze klantdata? | Nee, vastgelegd in de afspraken | "Dat doen we niet", zonder document |
| 3. Verwerkersovereenkomst? | Standaard, met de ingeschakelde partijen en een meldtermijn voor datalekken | "Dat regelen we later", of geen beschrijving van de beveiliging |
| 4. Audit trail? | Bron en reden per boeking, achteraf niet te wijzigen | Alleen een totaaloverzicht |
| 5. Bij twijfel? | Voorleggen aan een medewerker, met reden | "De AI is zeker genoeg" |
| 6. Koppeling? | Officiële API, toegang intrekbaar | Inloggen met het wachtwoord van een medewerker |
| 7. Beheer? | Bewaking en aanpassing door de leverancier | Geen afspraak over updates |
| 8. Exit? | Vastgelegd eigendom, wissen of teruggeven, ook als de leverancier stopt | Geen afspraak |
| 9. Testen? | Op een paar eigen administraties, na de verwerkersovereenkomst | Alleen een demo |
| 10. Resultaat? | Meetpunten die je zelf volgt | Een vast percentage vooraf |
Hoe gebruik je deze lijst in een gesprek?
Let op: een mondeling antwoord is geen afspraak. Vraag bij de vragen 2, 3 en 8 altijd om de tekst op papier.
- Stuur de tien vragen vóór het gesprek naar de leverancier.
- Neem iemand mee die het werk in de administratie kent.
- Vraag bij elk antwoord om een voorbeeld of een document.
- Noteer per vraag of het antwoord voldoet.
- Vergelijk de leveranciers op dezelfde tien punten.
- Sluit de verwerkersovereenkomst met de gekozen leverancier.
- Begin met een test op een paar eigen administraties.
Weet je nog niet welk werk je wilt automatiseren? Lees dan eerst Wat kun je automatiseren op een administratiekantoor?
Hoe helpt Cornerstone hierbij?
We werken voor meer dan 80 kantoren, aan AI-automatisering, koppelingen, datawarehouses en dashboards. Klantdata blijft in de EU en gaat niet naar training van AI-modellen. Bij elke opdracht sluiten we standaard een verwerkersovereenkomst. Een audit trail toont per boeking de bron en de reden. Ons uitgangspunt: volledig automatisch waar het kan, een mens erbij waar het moet.
We testen de automatisering eerst op de administraties van je kantoor. Na de start houden we de software bij, ook als een pakket verandert. Op Privacy en AVG en in onze werkwijze lees je hoe we dat inrichten. De kennismaking is gratis. Neem deze tien vragen gerust mee.