उच्च जोखिम वाले एआई सिस्टम: एआई अधिनियम के तहत आपके संगठन से क्या अपेक्षाएं हैं

यूरोपीय एआई विनियमन ( विनियमन (ईयू) 2024/1689 ), जिसे आमतौर पर एआई अधिनियम कहा जाता है, उच्च जोखिम वाले एआई सिस्टमों पर केंद्रित है। यह विनियमन कृत्रिम बुद्धिमत्ता (एआई) सिस्टमों के विकास, आपूर्ति और उपयोग के लिए जोखिम-आधारित ढांचा प्रस्तुत करता है। स्वास्थ्य, सुरक्षा और मौलिक अधिकारों के लिए जोखिम जितना अधिक होगा, दायित्व भी उतने ही गंभीर होंगे।

संगठनों के लिए, अनुपालन की शुरुआत तकनीकी दस्तावेज़ तैयार करने से नहीं, बल्कि सही वर्गीकरण से होती है। सबसे पहले यह निर्धारित करें कि संगठन के भीतर कौन से एआई सिस्टम विकसित किए गए हैं, खरीदे गए हैं या उपयोग किए जा रहे हैं। फिर मूल्यांकन करें कि क्या कोई सिस्टम प्रतिबंधित है , उच्च जोखिम वाला है, पारदर्शिता दायित्वों के अधीन है, या किसी विशिष्ट दायित्व से बाहर है।

इस लेख में बताया गया है कि कोई एआई सिस्टम कब उच्च जोखिम वाला माना जा सकता है, प्रदाताओं और परिनियोजनकर्ताओं पर क्या दायित्व लागू होते हैं, और संगठन अभी क्या कदम उठा सकते हैं। इसमें डिजिटल ओम्निबस के तहत उच्च जोखिम संबंधी दायित्वों के स्थगन के बाद की वर्तमान समयसीमा भी बताई गई है।

एआई सिस्टम कब उच्च जोखिम वाला होता है?

उच्च जोखिम वाली एआई प्रणालियों का मूल्यांकन मुख्य रूप से एआई अधिनियम के अनुच्छेद 6 और अनुलग्नक 1 और 3 के तहत किया जाता है। इसके दो तरीके हैं।

पहला मार्ग उन एआई प्रणालियों से संबंधित है जो परिशिष्ट I में सूचीबद्ध यूरोपीय उत्पाद कानून के अंतर्गत आने वाले उत्पादों का हिस्सा हैं और जिनके लिए तृतीय-पक्ष अनुरूपता मूल्यांकन आवश्यक है। उदाहरण के लिए, कुछ चिकित्सा उपकरण, मशीनरी, लिफ्ट और खिलौने। इन प्रणालियों के लिए, एआई अधिनियम मौजूदा अनुरूपता मूल्यांकन प्रक्रिया पर आधारित है।

दूसरा मार्ग परिशिष्ट III में सूचीबद्ध क्षेत्रों में उपयोग किए जाने वाले एआई सिस्टम से संबंधित है: बायोमेट्रिक्स, महत्वपूर्ण अवसंरचना, शिक्षा और व्यावसायिक प्रशिक्षण, रोजगार और कार्यबल प्रबंधन, आवश्यक निजी और सार्वजनिक सेवाओं तक पहुंच, कानून प्रवर्तन, प्रवासन, शरण और सीमा नियंत्रण, और न्याय प्रशासन और लोकतांत्रिक प्रक्रियाएं। ऐसे किसी भी क्षेत्र में प्रत्येक उपयोग स्वतः ही उच्च जोखिम वाले एआई सिस्टम की श्रेणी में नहीं आता: सिस्टम के विशिष्ट कार्य और अनुच्छेद 6 की शर्तों का भी मूल्यांकन किया जाना चाहिए।

अनुच्छेद 6(3) में अपवाद

अनुलग्नक III के अंतर्गत आने वाली कोई प्रणाली स्वतः ही उच्च जोखिम वाली कृत्रिम बुद्धिमत्ता प्रणालियों की श्रेणी में नहीं आती: इस वर्गीकरण से तब बाहर रखा जाता है जब वह व्यक्तियों के स्वास्थ्य, सुरक्षा या मौलिक अधिकारों के लिए कोई महत्वपूर्ण जोखिम उत्पन्न नहीं करती और निर्णय लेने की प्रक्रिया को भौतिक रूप से प्रभावित नहीं करती। ऐसा तब हो सकता है जब प्रणाली केवल एक सीमित प्रक्रियात्मक कार्य करती हो, किसी मानव द्वारा पहले से किए गए कार्य में सुधार करती हो, पहले के मानव निर्णय लेने में हुई त्रुटियों को इंगित करती हो लेकिन उस मूल्यांकन को प्रतिस्थापित न करती हो, या केवल एक प्रारंभिक कार्य करती हो।

इस अपवाद पर निर्भरता सावधानीपूर्वक तर्कसंगत और दस्तावेजीकृत होनी चाहिए। संगठन न केवल निष्कर्ष, बल्कि उन तथ्यों और आकलन को भी दर्ज करता है जिन पर वह निष्कर्ष आधारित है। यदि कोई प्रदाता यह मानता है कि अनुलग्नक III प्रणाली उच्च जोखिम वाली एआई प्रणालियों में शामिल नहीं है, तो उसे प्रणाली को बाजार में उतारने या सेवा में लाने से पहले उस आकलन को दस्तावेजीकृत करना होगा, और वह अनुच्छेद 49(2) में उल्लिखित पंजीकरण दायित्व के अधीन भी है।

एक बिंदु पर यह विनियमन पूर्ण है। अनुच्छेद 6(3) में यह प्रावधान है कि अनुलग्नक III में उल्लिखित एआई प्रणाली को हमेशा उच्च जोखिम वाली एआई प्रणालियों में गिना जाएगा यदि वह प्राकृतिक व्यक्तियों की प्रोफाइलिंग करती है। उस स्थिति में अपवाद लागू नहीं होगा।

आपकी संस्था की क्या भूमिका है?

एआई अधिनियम इस श्रृंखला में कई भूमिकाओं को अलग-अलग परिभाषित करता है। इनमें से दो भूमिकाएँ अधिकांश संगठनों के लिए महत्वपूर्ण हैं। जो पक्ष एआई प्रणाली विकसित करता है, या उसे अपने नाम या ट्रेडमार्क के तहत बाजार में उतारता है, वह प्रदाता कहलाता है। जो पक्ष एआई प्रणाली को विकसित किए बिना अपने व्यवसाय के दौरान उसका उपयोग करता है, वह आमतौर पर परिनियोजक कहलाता है।

भूमिकाओं का यह आवंटन स्थिर नहीं है। कोई संगठन जो किसी खरीदे गए सिस्टम में पर्याप्त बदलाव करता है, उसे अपने नाम या ट्रेडमार्क के तहत आगे बेचता है, या उसके इच्छित उद्देश्य को बदलता है, उसे भी प्रदाता माना जा सकता है और इस प्रकार वह अधिक गंभीर दायित्वों के दायरे में आ सकता है। प्रत्येक सिस्टम के लिए यह निर्धारित करें कि आप कौन सी भूमिका निभाते हैं और उस मूल्यांकन को रिकॉर्ड करें।

मुख्य दायित्वों

उच्च जोखिम वाले एआई सिस्टम के प्रदाताओं पर अनुच्छेद 8 से 17, 43 और 47 से 49 में उल्लिखित दायित्वों सहित कई दायित्व लागू होते हैं:

• संपूर्ण जीवनचक्र को कवर करने वाली जोखिम प्रबंधन प्रणाली
• डेटा प्रबंधन, जिसमें उपयोग किए गए डेटा में पूर्वाग्रह का पता लगाना और उसे ठीक करना शामिल है, साथ ही प्रशिक्षण, सत्यापन और परीक्षण डेटा भी शामिल है।
• अनुलग्नक IV के अनुसार तकनीकी प्रलेखन और घटना लॉगिंग
• तैनातीकर्ताओं के लिए उपयोग हेतु स्पष्ट निर्देश
• एक ऐसा डिज़ाइन जो प्रभावी मानवीय निगरानी को सक्षम बनाता है
• सटीकता, मजबूती और साइबर सुरक्षा संबंधी आवश्यकताएं
• गुणवत्ता प्रबंधन प्रणाली, अनुरूपता मूल्यांकन, यूरोपीय संघ की अनुरूपता घोषणा, सीई मार्किंग और यूरोपीय संघ के डेटाबेस में पंजीकरण

अनुलग्नक III, बिंदु 1(क) में उल्लिखित दूरस्थ बायोमेट्रिक पहचान के लिए उपयोग किए जाने वाले उच्च जोखिम वाले एआई सिस्टम के लिए, अनुच्छेद 14(5) मानव पर्यवेक्षण पर एक अतिरिक्त आवश्यकता लागू करता है: पहचान के आधार पर कोई भी कार्रवाई या निर्णय तब तक नहीं लिया जा सकता जब तक कि आवश्यक योग्यता, प्रशिक्षण और अधिकार वाले कम से कम दो व्यक्तियों द्वारा इसकी अलग से पुष्टि और सत्यापन न हो जाए। इसे चार-आंखों का सिद्धांत कहा जाता है।

सिस्टम को लागू करने वालों पर अनुच्छेद 26 और 27 के तहत कुछ कम महत्वपूर्ण लेकिन कम प्रभावी दायित्व लागू होते हैं: उपयोग निर्देशों के अनुसार सिस्टम का उपयोग करना, सक्षम मानवीय पर्यवेक्षण, सिस्टम के संचालन की निगरानी, ​​जोखिमों और गंभीर घटनाओं की रिपोर्टिंग, और लॉग को कम से कम छह महीने तक सुरक्षित रखना। सिस्टम के साथ काम करने वाले कर्मचारियों और जिन व्यक्तियों पर इसका उपयोग किया जाएगा, उन्हें पहले से सूचित किया जाना चाहिए।

कुछ परिनियोजनकर्ताओं को मौलिक अधिकारों के प्रभाव का आकलन भी करना होगा, अनुच्छेद 27 के तहत मौलिक अधिकारों के प्रभाव का आकलन। यह किसी भी स्थिति में सार्वजनिक कानून द्वारा शासित निकायों, सार्वजनिक सेवाओं के निजी प्रदाताओं और क्रेडिट स्कोरिंग या जीवन और स्वास्थ्य बीमा में बीमा जोखिमों का आकलन करने के लिए प्रणालियों का उपयोग करने वाले परिनियोजनकर्ताओं पर लागू होता है।

समयरेखा और वर्तमान स्थिति

एआई अधिनियम 1 अगस्त 2024 से लागू हो गया है और यह चरणबद्ध तरीके से लागू होगा। व्यवहार में, पहले से लागू दायित्वों, भविष्य में लागू होने वाले दायित्वों और घोषित संशोधनों के बीच अंतर करना महत्वपूर्ण है, जिनका औपचारिक रूप से लागू होना अभी बाकी है।

निषिद्ध प्रथाएँ (अनुच्छेद 5): 2 फरवरी 2025 से लागू

एआई साक्षरता (अनुच्छेद 4): 2 फरवरी 2025 से लागू

सामान्य प्रयोजन वाले एआई मॉडल: 2 अगस्त 2025 से लागू

पारदर्शिता संबंधी दायित्व (अनुच्छेद 50): 2 अगस्त 2026 से लागू; स्थगित नहीं किया गया

अनुलग्नक III के तहत उच्च जोखिम: स्थगन के बाद 2 दिसंबर 2027 से लागू।

अनुलग्नक I के माध्यम से उच्च जोखिम: 2 अगस्त 2028 से लागू, उसी स्थगन के बाद

यह स्थगन एक स्थापित कानून है। यूरोपीय आयोग ने 19 नवंबर 2025 को डिजिटल ओम्निबस पैकेज प्रस्तुत किया, जिसमें उच्च जोखिम वाले एआई सिस्टमों के लिए दायित्वों को स्थगित करने का प्रस्ताव था। संशोधित विनियमन, विनियमन (ईयू) 2026/1744, 24 जुलाई 2026 को आधिकारिक राजपत्र में प्रकाशित हुआ और 27 जुलाई 2026 से प्रभावी हो गया।

केवल उच्च जोखिम वाले प्रावधानों में बदलाव हुआ है। परिशिष्ट III के तहत वर्गीकृत प्रणालियों के लिए अध्याय III के अंतर्गत दायित्व अब 2 दिसंबर 2027 से लागू होंगे, और परिशिष्ट I के तहत वर्गीकृत प्रणालियों के लिए 2 अगस्त 2028 से लागू होंगे। बाकी सभी प्रावधान अपनी मूल तिथि पर ही लागू रहे, इसलिए स्थगन से एआई अधिनियम में कोई व्यापक विराम नहीं आया।

तारीख में साधारण बदलाव की तरह यह स्थगन बिना शर्त नहीं है। उच्च जोखिम वाले दायित्वों का अनुप्रयोग, उनके अनुपालन के लिए आवश्यक मानकीकृत मानकों और सहायक उपकरणों की उपलब्धता से जुड़ा है, और नई तारीखें उस व्यवस्था की बाहरी सीमा के रूप में कार्य करती हैं, न कि एक लक्ष्य के रूप में जो आगे भी बढ़ सकता है। इसलिए, एक और विस्तार की संभावना के आधार पर योजना बनाना बुद्धिमानी नहीं है।

दो बिंदुओं पर अलग से ध्यान देने की आवश्यकता है। पहला, अनुच्छेद 50 के पारदर्शिता दायित्व और अनुच्छेद 4 के एआई साक्षरता दायित्व को स्थगित नहीं किया गया है: अनुच्छेद 50 2 अगस्त 2026 से और अनुच्छेद 4 2 फरवरी 2025 से लागू है। दूसरा, इस पैकेज में अनुच्छेद 5 में एक नया प्रतिबंध जोड़ा गया है, जिसका उद्देश्य गैर-सहमति से अंतरंग चित्र बनाने वाले एआई अनुप्रयोगों और एआई द्वारा निर्मित बाल यौन शोषण सामग्री पर रोक लगाना है।

संगठनों के लिए इसका मतलब यह है कि दिसंबर 2027 वह तारीख है जिसके अनुसार उच्च जोखिम वाले दस्तावेज़ीकरण की योजना बनानी चाहिए, जबकि पारदर्शिता, साक्षरता और सामान्य प्रयोजन संबंधी दायित्व तैयारी के बजाय वर्तमान अनुपालन के मामले हैं।

पर्यवेक्षण और दंड

नीदरलैंड्स में एआई अधिनियम का कार्यान्वयन अभी तक लागू नहीं हुआ है। 20 अप्रैल 2026 को सार्वजनिक परामर्श के लिए एक मसौदा जारी किया गया था। यह मसौदा डच डेटा संरक्षण प्राधिकरण (Autoriteit Persoonsgegevens) को उन क्षेत्रों के लिए पर्यवेक्षक की भूमिका देता है जिनमें कोई क्षेत्रीय पर्यवेक्षक नामित नहीं है, साथ ही एक समर्पित एआई इकाई भी प्रदान करता है। वहीं, डच डिजिटल अवसंरचना प्राधिकरण (RDI) को समन्वयकारी भूमिका दी गई है, जबकि क्षेत्रीय पर्यवेक्षकों के अपने-अपने कार्यक्षेत्र बने रहेंगे। जब तक यह अधिनियम पारित होकर लागू नहीं हो जाता, शक्तियों का सटीक आवंटन और राष्ट्रीय दंड व्यवस्था तय नहीं हो पाई है।

एआई अधिनियम के अनुच्छेद 99 में अधिकतम दंड की कई श्रेणियां निर्धारित हैं। दंड का स्तर उल्लंघन की प्रकृति और, जहां लागू हो, उद्यम के वैश्विक वार्षिक कारोबार पर निर्भर करता है। अनुच्छेद 5 में उल्लिखित निषिद्ध प्रथाओं के उल्लंघन पर अधिकतम दंड लागू होता है; उच्च जोखिम वाले एआई सिस्टम के प्रदाताओं और प्रवर्तकों सहित अन्य दायित्वों के उल्लंघन पर न्यूनतम दंड लागू होता है; और अधिकारियों को गलत, अपूर्ण या भ्रामक जानकारी देने पर न्यूनतम दंड लागू होता है। लघु एवं मध्यम आकार के उद्यमों (एसएमई), जिनमें स्टार्टअप भी शामिल हैं, के लिए अधिक अनुकूल व्यवस्था लागू है। वास्तविक दंड का निर्धारण दंड संबंधी लागू नियमों और मामले की परिस्थितियों को ध्यान में रखते हुए किया जाता है।

व्यावहारिक रोडमैप

• आपकी संस्था द्वारा विकसित, खरीदे गए या उपयोग किए गए सभी एआई सिस्टमों की सूची बनाएं।
• प्रत्येक सिस्टम के लिए यह निर्धारित करें कि आप कौन सी भूमिका निभाते हैं: प्रदाता या परिनियोजनकर्ता।
• प्रत्येक प्रणाली के लिए जोखिम श्रेणी निर्धारित करें और उस मूल्यांकन का दस्तावेजीकरण करें, जिसमें अनुच्छेद 6(3) में अपवाद पर कोई निर्भरता शामिल है।
• एआई प्रशासन की व्यवस्था स्थापित करें और एक जिम्मेदार अधिकारी नियुक्त करें।
• इन प्रणालियों के साथ काम करने वाले कर्मचारियों के बीच एआई साक्षरता सुनिश्चित करें; यह दायित्व पहले से ही लागू है।
• अनुच्छेद 50 के तहत पारदर्शिता उपायों को लागू करें; ये उपाय 2 अगस्त 2026 से लागू हो चुके हैं।
• तकनीकी दस्तावेज तैयार करना और जहां आवश्यक हो, मौलिक अधिकारों के प्रभाव का आकलन समय रहते शुरू कर दें।
• भूमिकाओं के आवंटन, सूचना प्रदान करने और लेखापरीक्षा अधिकारों के संबंध में आपूर्तिकर्ता अनुबंधों की समीक्षा करें।
• एनेक्स III सिस्टम के लिए 2 दिसंबर 2027 और एनेक्स I सिस्टम के लिए 2 अगस्त 2028 तक उच्च जोखिम वाले दस्तावेज़ीकरण की योजना बनाएं।

एआई अधिनियम आपकी संस्था से क्या अपेक्षा करता है

एआई अधिनियम संगठनों द्वारा एआई के विकास, खरीद और उपयोग के तरीके को मौलिक रूप से प्रभावित करता है। उच्च जोखिम वाले दायित्वों को स्थगित करने से व्यवस्था के सबसे महत्वपूर्ण भाग के लिए समय मिल जाता है, लेकिन बाकी सभी प्रावधान यथावत रहते हैं: अनुच्छेद 5 के प्रतिबंध, एआई साक्षरता दायित्व, सामान्य प्रयोजन एआई मॉडल के नियम और अनुच्छेद 50 के पारदर्शिता दायित्व सभी आज भी लागू हैं। प्राप्त समय का सर्वोत्तम उपयोग वर्गीकरण और प्रलेखन पर किया जाना चाहिए, क्योंकि ये वे चरण हैं जिन्हें बाद में छोटा नहीं किया जा सकता है। विनियमन का व्यापक अवलोकन प्राप्त करने के लिए, यूरोपीय संघ एआई अधिनियम के लिए हमारी संपूर्ण मार्गदर्शिका देखें , जो उच्च जोखिम वाले एआई सिस्टम पर इस लेख के फोकस का पूरक है।

Law & More यह संस्था संगठनों को उनके एआई सिस्टम की सूची बनाने और उन्हें वर्गीकृत करने, प्रदाता या परिनियोजनकर्ता के रूप में उनकी भूमिका निर्धारित करने, एआई आपूर्तिकर्ताओं के साथ अनुबंधों की समीक्षा और मसौदा तैयार करने और एआई शासन स्थापित करने में मदद करती है। यदि आप यह जानना चाहते हैं कि वर्तमान में आपके संगठन पर कौन से दायित्व लागू होते हैं और किन चरणों को प्राथमिकता दी जानी चाहिए, तो कृपया हमसे संपर्क करें।

ज़्यादातर पूछे जाने वाले सवाल

नीचे हम इस विषय पर हमसे अक्सर पूछे जाने वाले प्रश्नों के उत्तर दे रहे हैं।