AI in het belastingadvieskantoor: wat mag — en waarom het cliëntdossier gevoeliger is dan het lijkt

Belastingadviseurs en accountants leven van andermans geheimen — en de vertrouwelijkheid rust op de opdracht, de beroepsregels en voor sommigen op de wet. Een cliëntdossier blijft bovendien zelden bij kale cijfers: zorgkosten verraden gezondheid, vakbondscontributie lidmaatschap, giften een geloof. Een aanslag die ter samenvatting in een algemene AI-tool wordt geplakt, is daarom geen gemaksvraag, maar een vertrouwelijkheidsvraag.

Door Patrick de Kathen, Oprichter van KlarComply · Vakinhoudelijk getoetst op 17 september 2026

Wat in een kantoor werkelijk geldt

Voor kleine en middelgrote ondernemingen geldt het lagere van de twee bedragen van de EU AI-verordening (art. 99 lid 6). Onder de AVG het hogere.

Het cliëntdossier is gevoeliger dan het lijkt

Financiële gegevens als zodanig zijn „gewone” persoonsgegevens onder de AVG. Een echt cliëntdossier blijft daar zelden bij. Drie voorbeelden uit de dagelijkse praktijk:

• Specifieke zorgkosten in de aangifte vertellen een gezondheidsverhaal — gezondheidsgegevens naar artikel 9 lid 1 AVG.
• Vakbondscontributie in de loonadministratie verraadt het lidmaatschap van een vakbond — eveneens artikel 9.
• Giften aan een kerkgenootschap of moskee in de giftenaftrek laten een godsdienstige overtuiging zien — artikel 9, opnieuw.

Wie een complete aangifte of aanslag in een AI-tool laadt, verwerkt daarom vrijwel altijd ook bijzondere categorieën, met de strengere maatstaf die daarbij hoort. „Het zijn maar cijfers” houdt geen stand.

Vertrouwelijkheid: de regel die boven het gemak gaat

Anders dan de advocaat heeft de belastingadviseur in Nederland geen wettelijk beroepsgeheim en geen verschoningsrecht. De vertrouwelijkheid is daarom niet minder bindend — zij rust op de opdrachtovereenkomst (art. 7:401 BW, de zorg van een goed opdrachtnemer) en op de reglementen beroepsuitoefening van NOB en RB. Voor accountants is zij een fundamenteel beginsel van de VGBA onder de Wet op het accountantsberoep, tuchtrechtelijk gehandhaafd door de Accountantskamer. En voor elk kantoor geldt de geheimhoudingsplicht van artikel 23 Wwft: een melding van een ongebruikelijke transactie hoort in geen enkele tool. Het punt dat voor AI beslist, is overal hetzelfde:

Dienstverleners inschakelen mag — mits de aanbieder contractueel tot geheimhouding is verplicht en de toegang niet verder gaat dan nodig. Een verwerkersovereenkomst alleen is niet genoeg: die regelt de gegevensbescherming, niet de beroepsmatige vertrouwelijkheid. De veilige basislijn: cliëntgegevens gaan in geen enkele tool waarvan de aanbieder niet contractueel gebonden is.

Kantoorsoftware-AI en de twee contracten

De AI-functies van gevestigde kantoorsoftware zijn de gemakkelijkste weg — als het papierwerk klopt. Twee documenten horen in uw dossier voordat de functie aangaat:

• de verwerkersovereenkomst naar artikel 28 AVG, met serverlocatie en de vraag of invoer voor training wordt gebruikt, en
• de geheimhoudingsverklaring die de beroepsmatige vertrouwelijkheid dekt. Gevestigde leveranciers voor de beroepsmarkt hebben haar klaarliggen; een algemene AI-aanbieder zelden. Een aanbieder die niet wil tekenen, vertelt u iets.

Afsprakenbot en kantoormarketing

Antwoordt een bot op uw website, dan moeten mensen kunnen merken dat een machine schrijft — één zin volstaat: „U chat met een automatische assistent.” Sinds 2 augustus 2026 verlangt artikel 50 van de EU AI-verordening bovendien dat AI-gegenereerde of wezenlijk met AI bewerkte beelden, audio en video worden gelabeld. En de beroepsregels verlangen van adviseurs zakelijke, niet-misleidende communicatie — een AI die vlotte succesbeloften opstelt, past niet in dat kader.

En de training?

Sinds 2 februari 2025 verplicht artikel 4 van de EU AI-verordening u maatregelen te nemen die de AI-geletterdheid van uw medewerkers bevorderen — sinds de Digital Omnibus een inspanningsverplichting, geen resultaatsverplichting, en zonder eigen boete (artikel 99 lid 4 somt de beboetbare plichten limitatief op; artikel 4 staat er niet in). Waarom het bewijs toch telt: in een kantoor waar dagelijks cliëntgegevens door veel handen gaan, is de eerste vraag na elk incident: wisten uw medewerkers wat ze deden? Een gedateerd trainingsbewijs beantwoordt haar — tegenover de beroepsorganisatie, de Autoriteit Persoonsgegevens en de cliënt.

Een stappenplan dat u in één middag afmaakt

1. Register: kantoorsoftware-AI, dictaat, tekstopstelling, onderzoekstools, afsprakenbot — ook wat medewerkers privé gebruiken.
2. Leg de cliëntgegevensregel vast: geen cliëntkenmerken in algemene tools; houd een lijst met vrijgegeven tools bij.
3. Toets aanbieders: verwerkersovereenkomst en geheimhoudingsverklaring schriftelijk; trainingsgebruik uitgeschakeld.
4. Label de bot en uw content: een meldingszin op de bot, een label op AI-content.
5. Train het team en berg het bewijs op — gedateerd, per persoon.

Veelgestelde vragen