GDPR और बिग डेटा एक दूसरे के विरोधी नहीं हैं, लेकिन ये एक ऐसा विकल्प चुनने पर मजबूर करते हैं जिसे कई संगठन टाल देते हैं: किसी बड़े डेटासेट को इकट्ठा करने या उसका दोबारा इस्तेमाल करने से पहले, आपको ऐसा करने का कानूनी आधार बताना होगा और यह साबित करना होगा कि प्रोसेसिंग उस उद्देश्य के लिए आवश्यक है। व्यवहार में इसका मतलब है जनरल डेटा प्रोटेक्शन रेगुलेशन के अनुच्छेद 6 के तहत आधार का दस्तावेजीकरण करना, यह जांचना कि किसी एल्गोरिदम को प्रशिक्षित करने के लिए बाद में किया जाने वाला उपयोग उस उद्देश्य के साथ संगत है जिसके लिए डेटा मूल रूप से एकत्र किया गया था, और पहला मॉडल बनाने से पहले जोखिम का आकलन करना। यह लेख बताता है कि नीदरलैंड्स में बड़े पैमाने पर एनालिटिक्स और AI प्रशिक्षण पर ये नियम कैसे लागू होते हैं, और Autoriteit Persoonsgegevens (डेटा सुरक्षा प्राधिकरण) कहां सीमा रेखा खींचता है।
बिग डेटा सेट में व्यक्तिगत डेटा के रूप में क्या माना जाता है?
GDPR किसी पहचाने गए या पहचाने जा सकने वाले व्यक्ति से संबंधित जानकारी पर लागू होता है। बड़े डेटा के संदर्भ में, यह सीमा संगठनों की अपेक्षा से कहीं अधिक बार पार हो जाती है, क्योंकि पहचान का आकलन उन सभी साधनों के आधार पर किया जाता है जिनका उपयोग नियंत्रक या किसी अन्य व्यक्ति द्वारा किसी व्यक्ति को अलग करने के लिए किया जा सकता है। इसलिए, डिवाइस पहचानकर्ताओं, स्थान ट्रेस, लेनदेन रिकॉर्ड या क्लिकस्ट्रीम का डेटासेट लगभग हमेशा व्यक्तिगत डेटा होता है, भले ही किसी भी कॉलम में कोई नाम न हो।
दो अवधारणाओं को अक्सर गलत समझा जाता है, और यही अंतर तय करता है कि विनियमन लागू होता है या नहीं। छद्मनाम डेटा, जिसमें पहचानकर्ताओं को बदल दिया गया है लेकिन कुंजी कहीं न कहीं मौजूद है, व्यक्तिगत डेटा बना रहता है और पूरी तरह से GDPR के अधीन है। अनाम डेटा, जिसमें किसी के लिए भी पुनः पहचान करना अब संभव नहीं है, इसके दायरे से बाहर है। वास्तविक अनामकरण का मानदंड उच्च है: एकत्रीकरण, हैशिंग या प्रत्यक्ष पहचानकर्ताओं को हटाने से आमतौर पर पर्याप्त निशान रह जाते हैं जिससे कोई भी व्यक्ति व्यक्तियों की पुनः पहचान कर सकता है, विशेष रूप से जब डेटासेट समृद्ध हो और लंबी अवधि को कवर करता हो।
यह इसलिए महत्वपूर्ण है क्योंकि किसी डेटासेट के गुमनाम होने का दावा अक्सर पूरे एआई प्रोग्राम की मूलभूत धारणा होती है। यदि यह गलत साबित होता है, तो प्रशिक्षण से लेकर डेटा संग्रहण तक, हर चरण बिना किसी वैध आधार के पूरा किया गया माना जाएगा। सुरक्षित तरीका यह है कि डेटासेट को व्यक्तिगत डेटा माना जाए, जब तक कि दस्तावेजी रूप से प्रमाणित पुन: पहचान विश्लेषण इसके विपरीत न कहे, और जब डेटासेट को समृद्ध किया जाए या किसी अन्य स्रोत के साथ जोड़ा जाए, तो उस विश्लेषण की पुन: समीक्षा की जाए। यूरोपीय डेटा संरक्षण बोर्ड ने इस बात पर भी विचार किया है कि किसी एआई मॉडल को स्वयं गुमनाम कब माना जा सकता है, और उसका उत्तर यह है कि ऐसा मान लेना उचित नहीं है: व्यक्तिगत डेटा पर प्रशिक्षित मॉडल में भी वह डेटा निकालने योग्य रूप में मौजूद हो सकता है और इसका मूल्यांकन प्रत्येक मामले के आधार पर किया जाना चाहिए।
बिग डेटा और एआई प्रशिक्षण के लिए कानूनी आधार का चयन करना
प्रत्येक प्रसंस्करण प्रक्रिया के लिए अनुच्छेद 6 में उल्लिखित छह आधारों में से एक की आवश्यकता होती है, और आधार का चयन प्रसंस्करण शुरू होने से पहले ही किया जाना चाहिए, न कि बाद में उसका पुनर्निर्माण किया जाना चाहिए। बड़े पैमाने पर विश्लेषण के लिए, केवल तीन ही व्यावहारिक विकल्प हैं।
सैद्धांतिक रूप से सहमति सबसे स्पष्ट होती है, लेकिन व्यवहार में सबसे नाजुक। यह स्वेच्छा से दी जानी चाहिए, विशिष्ट, सूचित और स्पष्ट होनी चाहिए, और इसे वापस लेना उतना ही आसान होना चाहिए जितना कि देना। सामान्य शब्दों में व्यक्त की गई सहमति, ऐसी सेवा की शर्त के रूप में प्राप्त की गई सहमति जिसके लिए डेटा की आवश्यकता नहीं है, या इतनी व्यापक रूप से तैयार की गई सहमति कि व्यक्ति यह न समझ पाए कि किस बात पर सहमति दी जा रही है, मान्य नहीं होगी। सहमति वापस लेने की स्थिति में, आपको इस प्रश्न का तकनीकी उत्तर चाहिए कि पहले से प्रशिक्षित मॉडल का क्या होगा।
किसी अनुबंध के निष्पादन की आवश्यकता जितनी दिखती है उससे कहीं अधिक सीमित है। इसका मापदंड सेवा की वस्तुनिष्ठ आवश्यकता है, न कि व्यावसायिक उपयोगिता। अनुशंसा इंजन को बेहतर बनाने के लिए ग्राहक का प्रोफाइल बनाना आमतौर पर उनके द्वारा खरीदे गए उत्पाद की डिलीवरी के लिए आवश्यक नहीं होता है, और न्याय न्यायालय ने व्यवहार आधारित विज्ञापन और वैयक्तिकरण को इस दायरे में विस्तारित करने के प्रयासों को बार-बार खारिज किया है।
इससे वैध हित का विकल्प बचता है, जिस पर अधिकांश बड़े पैमाने पर प्रसंस्करण निर्भर करता है। इसके लिए तीन चरणों की आवश्यकता होती है, जिन्हें इसी क्रम में प्रलेखित किया गया है: एक वास्तविक और वैध हित की पहचान करना, यह दर्शाना कि प्रसंस्करण आवश्यक है क्योंकि इसे प्राप्त करने का कोई कम हस्तक्षेपकारी तरीका नहीं है, और संबंधित लोगों के अधिकारों और उचित अपेक्षाओं के विरुद्ध हित का संतुलन स्थापित करना। राष्ट्रीय टेनिस संघ से संबंधित एक डच अदालत के संदर्भ में, न्याय न्यायालय ने 2024 में पुष्टि की कि विशुद्ध रूप से व्यावसायिक हित को वैध हित माना जा सकता है, लेकिन केवल तभी जब आवश्यकता और संतुलन परीक्षण वास्तव में संतुष्ट हों। इसलिए व्यावसायिक मूल्य एक स्वीकार्य हित है, लाइसेंस नहीं।
विशेष श्रेणियाँ और अनुमानित विशेषताएँ
नस्लीय या जातीय मूल, राजनीतिक राय, धार्मिक विश्वास, ट्रेड यूनियन सदस्यता, स्वास्थ्य, यौन जीवन या यौन अभिविन्यास को प्रकट करने वाले डेटा, साथ ही पहचान के लिए उपयोग किए जाने वाले आनुवंशिक और बायोमेट्रिक डेटा को तब तक संसाधित नहीं किया जा सकता जब तक कि अनुच्छेद 9 में उल्लिखित कुछ सीमित अपवाद लागू न हों। स्पष्ट सहमति सामान्य प्रक्रिया है; अन्य अपवाद व्यावसायिक डेटासेट के लिए शायद ही उपयुक्त हों।
बिग डेटा में सबसे बड़ी समस्या यह है कि विशेष श्रेणी के डेटा को जानबूझकर एकत्र करना आवश्यक नहीं है। यदि किसी डेटासेट से किसी संरक्षित विशेषता का अनुमान लगाया जा सकता है, उदाहरण के लिए खरीद पैटर्न, स्थान इतिहास या मुक्त-पाठ फ़ील्ड की सामग्री के माध्यम से, तो उस प्रोसेसिंग पर सख्त नियम लागू होते हैं, भले ही किसी ने सीधे तौर पर यह प्रश्न न पूछा हो। मॉडल की वे विशेषताएँ जो किसी संरक्षित विशेषता के लिए प्रॉक्सी के रूप में कार्य करती हैं, उन्हें शिकायत के बाद नहीं, बल्कि विकास के दौरान ही पहचान लिया जाना चाहिए।
उद्देश्य संबंधी सीमा: क्या आप मॉडल को प्रशिक्षित करने के लिए डेटा का पुन: उपयोग कर सकते हैं?
आप ऐसा कर सकते हैं, लेकिन स्वचालित रूप से नहीं। GDPR के अनुसार, व्यक्तिगत डेटा को निर्दिष्ट, स्पष्ट और वैध उद्देश्यों के लिए ही एकत्र किया जाना चाहिए और इसे उन उद्देश्यों के विपरीत किसी अन्य तरीके से संसाधित नहीं किया जाना चाहिए। ऑर्डर पूर्ति, ग्राहक सहायता या धोखाधड़ी रोकथाम के लिए एकत्र किए गए डेटा पर एल्गोरिदम को प्रशिक्षित करना एक अतिरिक्त प्रसंस्करण प्रक्रिया है, और यह तभी वैध है जब यह विनियमन द्वारा निर्धारित अनुकूलता परीक्षण को पूरा करता हो।
यह परीक्षण मात्र औपचारिकता नहीं है। इसमें मूल उद्देश्य और नए उद्देश्य के बीच संबंध, डेटा संग्रह का संदर्भ और उस आधार पर व्यक्ति की संभावित अपेक्षाएं, डेटा की प्रकृति और उसमें शामिल विशेष श्रेणियां, नए प्रसंस्करण के संभावित परिणाम और छद्म नामकरण या एन्क्रिप्शन जैसे सुरक्षा उपायों की मौजूदगी के बारे में पूछा जाता है। चिकित्सा या वित्तीय अभिलेखों का डेटासेट इस परीक्षण में असफल हो जाएगा, जबकि अनाम परिचालन लॉग का डेटासेट इसे पास कर लेगा।
एक आसान तरीका है, और यह आमतौर पर जितना समझा जाता है उससे कहीं अधिक सीमित है। सार्वजनिक हित में अभिलेखीकरण, वैज्ञानिक या ऐतिहासिक अनुसंधान या सांख्यिकीय उद्देश्यों के लिए आगे की प्रक्रिया को अनुकूल माना जाता है, बशर्ते अनुसंधान प्रक्रिया के लिए सुरक्षा उपाय मौजूद हों। अनुसंधान के रूप में प्रस्तुत वाणिज्यिक मॉडल विकास इसके दायरे में नहीं आता; यह अपवाद कार्यप्रणाली और नैतिक मानकों के अधीन वास्तविक अनुसंधान के लिए है, न कि उत्पाद सुधार के लिए। यदि अनुकूलता परीक्षण पूरा नहीं होता है, तो आपको एक नए कानूनी आधार की आवश्यकता होती है और अधिकांश मामलों में, संबंधित लोगों को नई जानकारी देनी पड़ती है।
इसका व्यावहारिक परिणाम यह है कि उद्देश्य संबंधी सीमा का निर्धारण डेटा संग्रह के समय ही किया जाना चाहिए। गोपनीयता संबंधी ऐसे कथन जिनमें उद्देश्यों का वर्णन इतने व्यापक शब्दों में किया गया हो कि वे अर्थहीन हो जाएं, भविष्य में होने वाले प्रशिक्षण परीक्षण में सहायक नहीं होंगे, क्योंकि परीक्षण इस बात पर केंद्रित होता है कि व्यक्ति उचित रूप से क्या अपेक्षा कर सकता है, न कि इस बात पर कि तकनीकी रूप से क्या अनुमति देता है। नीदरलैंड्स में गोपनीयता नीति लिखने के लिए हमारी मार्गदर्शिका बताती है कि उद्देश्यों का वर्णन इस प्रकार कैसे किया जाए जो ईमानदार और उपयोगी दोनों हो।
जब मॉडल को सब कुछ चाहिए तो न्यूनीकरण, प्रतिधारण और सटीकता।
डेटा न्यूनीकरण के लिए व्यक्तिगत डेटा का पर्याप्त, प्रासंगिक और केवल आवश्यक तक सीमित होना आवश्यक है। यह सिद्धांत उस विकास पद्धति के विपरीत है जिसका तर्क यह है कि अधिक डेटा से बेहतर मॉडल बनता है, और इस विरोधाभास को अनदेखा करके हल नहीं किया जा सकता। इसे केवल एक दस्तावेजी तर्क द्वारा हल किया जा सकता है: निर्दिष्ट उद्देश्य के लिए कौन से फ़ील्ड आवश्यक हैं, उनके बिना क्या परीक्षण किया गया, और शेष को क्यों हटाया गया। एक नियंत्रक जो यह प्रदर्शित कर सकता है कि विश्लेषण का बचाव योग्य आधार है, तब भी जब डेटासेट बड़ा हो। वह नियंत्रक जो भंडारण सस्ता होने के कारण सब कुछ रखता है, उसका बचाव योग्य आधार नहीं है।
भंडारण सीमा समय के साथ वही सवाल खड़ा करती है। प्रशिक्षण डेटा, फ़ीचर स्टोर, मॉडल चेकपॉइंट और अनुमान लॉग, ये सभी प्रतिधारण दायित्व के अंतर्गत आते हैं, और प्रत्येक को एक उद्देश्य से जुड़ी अपनी अवधि की आवश्यकता होती है। अनुमान लॉग अक्सर भुला दिए जाते हैं और उनमें अक्सर प्रशिक्षण सेट की तुलना में अधिक व्यक्तिगत डेटा होता है।
इस संदर्भ में सटीकता वह सिद्धांत है जिसकी अक्सर अनदेखी की जाती है, और इसका एक कानूनी पहलू भी है जिसे आसानी से नज़रअंदाज़ किया जा सकता है। व्यक्तिगत डेटा सटीक होना चाहिए और जहां आवश्यक हो, उसे अद्यतन रखा जाना चाहिए, और व्यक्तियों को सुधार का अधिकार है। यदि कोई मॉडल किसी पहचान योग्य व्यक्ति के बारे में कोई आउटपुट देता है, तो वह आउटपुट स्वयं व्यक्तिगत डेटा होता है। किसी व्यक्ति के बारे में यह अनुमान लगाना कि वह खराब क्रेडिट जोखिम वाला व्यक्ति है, संभावित धोखेबाज है या अनुपयुक्त उम्मीदवार है, उस व्यक्ति के बारे में डेटा है, यह गलत हो सकता है, और इसे चुनौती दी जा सकती है। एक ऐसी प्रणाली का निर्माण जिसमें ऐसे आउटपुट को ठीक नहीं किया जा सकता है, एक अनुपालन समस्या पैदा करता है जिसे बाद में किसी भी प्रकार के दस्तावेज़ीकरण से हल नहीं किया जा सकता है।
डेटा सुरक्षा प्रभाव आकलन कब अनिवार्य है
डेटा सुरक्षा प्रभाव आकलन अनिवार्य है जहाँ किसी प्रकार की प्रोसेसिंग से व्यक्तियों के अधिकारों और स्वतंत्रता को गंभीर खतरा होने की संभावना हो। विनियमन में विशेष रूप से तीन मामलों का उल्लेख किया गया है: स्वचालित प्रोसेसिंग (जिसमें प्रोफाइलिंग भी शामिल है) के आधार पर व्यक्तिगत पहलुओं का व्यवस्थित और व्यापक मूल्यांकन, जिसके आधार पर कानूनी या इसी तरह के महत्वपूर्ण प्रभाव वाले निर्णय लिए जाते हैं; विशेष श्रेणियों के डेटा या आपराधिक दोषसिद्धि डेटा की बड़े पैमाने पर प्रोसेसिंग; और सार्वजनिक रूप से सुलभ क्षेत्र की बड़े पैमाने पर व्यवस्थित निगरानी। अधिकांश गंभीर बिग डेटा परियोजनाएँ पहले या दूसरे प्रकार की श्रेणी में आती हैं।
नीदरलैंड्स में, सार्वजनिक स्वास्थ्य प्राधिकरण (Autoriteit Persoonsgegevens) ने उन प्रक्रियाओं की एक सूची भी प्रकाशित की है जिनके लिए मूल्यांकन अनिवार्य है। इस सूची में बड़े पैमाने पर प्रोफाइलिंग, कर्मचारियों का व्यवस्थित मूल्यांकन, स्वास्थ्य डेटा प्लेटफॉर्म और कैमरा सिस्टम का उपयोग जैसे क्षेत्र शामिल हैं। किसी भी परियोजना की शुरुआत में इस सूची को सबसे पहले देखना चाहिए, क्योंकि इससे मूल्यांकन की आवश्यकता पर बहस समाप्त हो जाती है।
समय निर्धारण के संबंध में दो बिंदु निर्णायक हैं। मूल्यांकन प्रक्रिया शुरू होने से पहले किया जाना चाहिए, जिसका अर्थ है एआई परियोजना में प्रशिक्षण डेटा एकत्र होने से पहले, न कि तैनाती से पहले। और यदि मूल्यांकन में उच्च अवशिष्ट जोखिम दिखाई देता है जिसे कम नहीं किया जा सकता है, तो आगे बढ़ने से पहले आपको पर्यवेक्षी प्राधिकरण से परामर्श करना होगा। उस परामर्श को छोड़ना स्वयं एक उल्लंघन है, चाहे प्रक्रिया कानूनी साबित हो या नहीं।
किसी एल्गोरिथम प्रणाली का उपयोगी मूल्यांकन मानक टेम्पलेट से कहीं आगे जाता है। इसमें यह दर्ज किया जाता है कि मॉडल को किन डेटा स्रोतों से डेटा मिलता है और किस आधार पर, मॉडल को अपने आप क्या निर्णय लेने की अनुमति है और क्या निर्णय कोई मनुष्य लेता है, प्रभावित व्यक्ति को परिणाम कैसे समझाया जाता है, संरक्षित समूहों के प्रति पूर्वाग्रह की जांच के लिए प्रशिक्षण डेटा का परीक्षण कैसे किया गया था, और यदि मॉडल गलत साबित होता है तो क्या होता है। नियामक सबसे पहले यही प्रश्न पूछता है।
Autoriteit Persoonsgegevens इसे कैसे लागू करता है
डच पर्यवेक्षी प्राधिकरण ऑटोरिटेट पर्सून्सगेगेवेन्स है, जो डच कार्यान्वयन अधिनियम, उइटवोएरिंग्सवेट एवीजी के साथ मिलकर जीडीपीआर को लागू करता है। इसके अधिकार चेतावनी और फटकार से लेकर जुर्माने के आदेश, प्रोसेसिंग पर अस्थायी या स्थायी प्रतिबंध और प्रशासनिक जुर्माने तक हैं। विनियमन अधिकतम सीमा निर्धारित करता है: निचले स्तर के लिए दस मिलियन यूरो या कुल वैश्विक वार्षिक कारोबार का दो प्रतिशत तक, और बुनियादी सिद्धांतों, कानूनी आधारों, डेटा विषयों के अधिकारों और अंतर्राष्ट्रीय हस्तांतरण के नियमों के उल्लंघन के लिए बीस मिलियन यूरो या चार प्रतिशत तक, जो भी राशि अधिक हो।
डच नीति में प्रवर्तन के दो मुख्य पहलू स्पष्ट रूप से दिखाई देते हैं और दोनों का सीधा संबंध बिग डेटा से है। पहला है पारदर्शिता: हाल की अधिकांश कार्रवाइयां गोपनीयता कथनों से संबंधित हैं जिनमें स्पष्ट भाषा में यह नहीं बताया गया है कि किस डेटा का उपयोग किस उद्देश्य से और कितने समय तक किया जाता है। अस्पष्ट उद्देश्य विवरण को अपने आप में उल्लंघन माना जाता है, न कि लेखन संबंधी त्रुटि। दूसरा है एल्गोरिथम की निगरानी। प्राधिकरण के पास एल्गोरिथम की निगरानी के लिए एक समर्पित इकाई है और वह एल्गोरिथम संबंधी जोखिमों पर आवधिक रिपोर्ट प्रकाशित करता है, जिन्हें पढ़ना महत्वपूर्ण है क्योंकि इससे यह स्पष्ट होता है कि किसी भी जांच का विषय बनने से पहले प्राधिकरण क्या अपेक्षा करता है।
प्रवर्तन के साथ-साथ डेटा उल्लंघन की सूचना देने का दायित्व भी है। व्यक्तिगत डेटा उल्लंघन की सूचना प्राधिकरण को बिना किसी अनावश्यक देरी के और संभव होने पर, इसकी जानकारी प्राप्त होने के बहत्तर घंटों के भीतर देनी होगी, बशर्ते कि उल्लंघन से व्यक्तियों को कोई जोखिम होने की संभावना न हो; यदि व्यक्तियों को जोखिम अधिक है, तो उन्हें भी सूचित किया जाना चाहिए। एआई वातावरण में आकलन पहले की तुलना में कठिन है, क्योंकि एक समझौता किया गया प्रशिक्षण सेट या फ़ीचर स्टोर उन सभी को प्रभावित करता है जिनका डेटा उसमें शामिल है और इसके परिणाम मॉडल द्वारा लिए गए प्रत्येक निर्णय तक विस्तारित होते हैं। ध्यान दें कि यह साइबर सुरक्षा अधिनियम (साइबर सुरक्षा अधिनियम) के तहत घटना रिपोर्टिंग दायित्वों से एक अलग दायित्व है, जो एनआईएस2 का डच कार्यान्वयन है और 15 अगस्त 2026 से लागू है तथा इसके दायरे में आने वाली संस्थाओं पर क्रमशः चौबीस और बहत्तर घंटों की अधिसूचना समयसीमा निर्धारित करता है। एनआईएस2 और डच साइबर सुरक्षा अधिनियम का हमारा अवलोकन बताता है कि ये दोनों व्यवस्थाएं एक दूसरे के साथ कैसे काम करती हैं।
एआई अधिनियम, जीडीपीआर का स्थान नहीं लेता है।
यूरोपीय संघ का कृत्रिम बुद्धिमत्ता अधिनियम कृत्रिम बुद्धिमत्ता प्रणालियों को उत्पादों के रूप में विनियमित करता है: यह उन्हें जोखिम के आधार पर वर्गीकृत करता है और प्रदाताओं और तैनातीकर्ताओं पर दायित्व लागू करता है। यह व्यक्तिगत डेटा के प्रसंस्करण के लिए कोई कानूनी आधार प्रदान नहीं करता है, और इसका अनुपालन जीडीपीआर के अनुपालन के बारे में कुछ नहीं कहता है। जहां कोई कृत्रिम बुद्धिमत्ता प्रणाली व्यक्तिगत डेटा संसाधित करती है, वहां दोनों व्यवस्थाएं पूर्ण रूप से और समानांतर रूप से लागू होती हैं।
योजना बनाने के लिए समय सारिणी महत्वपूर्ण है। अस्वीकार्य प्रथाओं पर प्रतिबंध, सामान्य प्रयोजन वाले एआई मॉडल के लिए दायित्व और लोगों के साथ बातचीत करने वाले या कृत्रिम सामग्री उत्पन्न करने वाले सिस्टम के लिए पारदर्शिता संबंधी कर्तव्य पहले से ही लागू हैं। उच्च जोखिम व्यवस्था को डिजिटल व्यापक पैकेज द्वारा स्थगित कर दिया गया था: परिशिष्ट III में सूचीबद्ध उच्च जोखिम वाले सिस्टम के लिए दायित्व अब 2 दिसंबर 2027 से लागू होते हैं, और परिशिष्ट I के तहत विनियमित उत्पादों के सुरक्षा घटक सिस्टम के लिए दायित्व 2 अगस्त 2028 से लागू होते हैं। एआई दायित्व निर्देश के लिए अलग प्रस्ताव वापस ले लिया गया है, इसलिए एआई सिस्टम द्वारा होने वाली क्षति के लिए दायित्व अनुबंध और अपकृत्य पर सामान्य डच नियमों और यूरोपीय उत्पाद दायित्व व्यवस्था द्वारा शासित होता रहेगा।
डेटा-आधारित संगठनों के लिए व्यावहारिक परिणाम यह है कि GDPR विश्लेषण आज भी बाध्यकारी बना हुआ है, जबकि AI अधिनियम यह निर्धारित करता है कि इस दशक के अंत तक उसी सिस्टम को किन दस्तावेज़ीकरण, परीक्षण और मानवीय निगरानी की आवश्यकता होगी। इन दोनों प्रक्रियाओं को अलग-अलग करने से काम दोहराव होता है; इन्हें एक साथ करने से ऐसा नहीं होता। EU AI अधिनियम और उच्च जोखिम वाले AI सिस्टमों के लिए हमारी मार्गदर्शिकाएँ वर्गीकरण और दायित्वों को विस्तार से बताती हैं।
समूह के दावे और क्षतिपूर्ति: जोखिम का नागरिक पक्ष
नियामक जुर्माने ही एकमात्र जोखिम नहीं हैं, और नीदरलैंड्स में शायद ये सबसे बड़ा जोखिम भी न हों। वेट अफविक्केलिंग मस्साशादे इन कलेक्टिव एक्टी (WAMCA) के तहत, सख्त शासन और वित्तपोषण आवश्यकताओं को पूरा करने वाला कोई भी फाउंडेशन या संगठन एक परिभाषित समूह की ओर से नुकसान के लिए सामूहिक कार्रवाई कर सकता है, जिसमें नीदरलैंड्स में रहने वाले लोगों के लिए ऑप्ट-आउट का प्रावधान है। डेटा-आधारित प्रोसेसिंग एक स्पष्ट लक्ष्य है: एक ही डिज़ाइन निर्णय हर उपयोगकर्ता को समान रूप से प्रभावित करता है, और यही वह एकरूपता है जिसकी सामूहिक कार्रवाई को आवश्यकता होती है।
GDPR स्वयं इस बात को पुष्ट करता है। यह उल्लंघन के परिणामस्वरूप भौतिक या अभौतिक क्षति झेलने वाले किसी भी व्यक्ति को नियंत्रक या संसाधक से मुआवज़ा प्राप्त करने का अधिकार देता है, और यह डेटा संरक्षण के क्षेत्र में सक्रिय गैर-लाभकारी संस्थाओं को डेटा विषयों की ओर से कार्यवाही करने की अनुमति देता है, कुछ मामलों में उनकी अनुमति के बिना भी। न्याय न्यायालय ने पुष्टि की है कि उपभोक्ता संरक्षण संघ इस आधार पर कार्रवाई कर सकता है।
एक सीमा है, और यह प्रतिवादियों के लिए उपयोगी है। न्याय न्यायालय ने माना है कि जीडीपीआर का उल्लंघन अपने आप में मुआवजे का अधिकार नहीं देता: दावेदार को वास्तविक क्षति और कारण संबंध साबित करना होगा, हालांकि एक बार साबित हो जाने पर गैर-भौतिक क्षति के लिए गंभीरता की कोई सीमा लागू नहीं होती। इसलिए डच प्रथा में व्यक्तिगत पुरस्कार मामूली रहे हैं, लेकिन लाखों लोगों के एक समूह का गणित पूरी तरह से स्थिति बदल देता है। सामूहिक क्षति के मामलों में सामूहिक दावों पर हमारा लेख बताता है कि ये कार्यवाही कैसे चलती हैं।
जब डेटा हर जगह से आता है तो नियंत्रक कौन होता है?
बिग डेटा प्रोजेक्ट शायद ही कभी किसी एक संगठन तक सीमित रहते हैं। डेटा को ब्रोकर द्वारा समृद्ध किया जाता है, क्लाउड प्रदाता द्वारा होस्ट किया जाता है, एनालिटिक्स एजेंसी द्वारा साफ किया जाता है और विक्रेता द्वारा प्रदान किए गए मॉडल में फीड किया जाता है, और इन सभी संबंधों को सही ढंग से परिभाषित करना आवश्यक है, क्योंकि भूमिकाओं का आवंटन यह निर्धारित करता है कि कौन किस दायित्व को वहन करता है और कौन नियामक के प्रति जवाबदेह है।
नियंत्रक प्रसंस्करण के उद्देश्यों और साधनों का निर्धारण करता है; प्रोसेसर केवल नियंत्रक के लिखित निर्देशों पर ही कार्य करता है। जहाँ दो या दो से अधिक पक्ष संयुक्त रूप से उद्देश्यों और साधनों का निर्धारण करते हैं, वे संयुक्त नियंत्रक कहलाते हैं और उन्हें एक समझौते में अपनी-अपनी जिम्मेदारियों को स्पष्ट रूप से बताना होगा, विशेष रूप से सूचना प्रदान करने और व्यक्तियों के अनुरोधों को संभालने के लिए, जो किसी भी स्थिति में उनमें से किसी के भी विरुद्ध अपने अधिकारों का प्रयोग कर सकते हैं। अनुबंध में प्रयुक्त नाम निर्णायक नहीं है: महत्वपूर्ण यह है कि वास्तव में कौन यह तय करता है कि डेटा को क्यों और कैसे संसाधित किया जाएगा। एक आपूर्तिकर्ता जो अपने उत्पाद को बेहतर बनाने के लिए आपके डेटा का उपयोग करने का अधिकार सुरक्षित रखता है, वह उस हद तक अपने स्वयं के उद्देश्यों के लिए नियंत्रक बन जाता है, चाहे समझौते में उसे कुछ भी कहा गया हो।
एआई के संदर्भ में आपूर्तिकर्ता अनुबंधों में दो खंड विशेष ध्यान देने योग्य हैं। पहला खंड प्रदाता को प्रशिक्षण या सेवा सुधार के लिए ग्राहक सामग्री का उपयोग करने की अनुमति देता है; यदि यह खंड मौजूद है, तो आप व्यक्तिगत डेटा को किसी अन्य नियंत्रक को प्रकट कर रहे हैं और इस प्रकटीकरण के लिए आपको एक आधार और एक सूचना की आवश्यकता है। दूसरा खंड उप-प्रोसेसर खंड है, क्योंकि मॉडल प्रदाता अक्सर अन्य आपूर्तिकर्ताओं और यूरोपीय आर्थिक क्षेत्र के बाहर के बुनियादी ढांचे पर निर्भर रहते हैं, जिससे स्थानांतरण नियम लागू होते हैं। एक प्रसंस्करण समझौता जो आवश्यक विषय वस्तु को कवर करता है लेकिन यह वर्णन नहीं करता कि डेटा के साथ वास्तव में क्या होता है, जांच में बहुत कम उपयोगी होता है।
अंत में, याद रखें कि जवाबदेही सिद्धांत नियंत्रक पर प्रमाण का भार डालता है। केवल अनुपालन करना ही पर्याप्त नहीं है; आपको रिकॉर्ड, आकलन और समझौतों के माध्यम से इसे प्रदर्शित करने में सक्षम होना चाहिए जो वास्तव में निर्मित प्रणालियों से मेल खाते हों।
अगली परियोजना शुरू होने से पहले क्या-क्या व्यवस्था करनी है
बड़े डेटा के लिए अनुपालन डिजाइन चरण में ही स्थापित किया जाता है, क्योंकि विनियमन के अनुसार डिजाइन और डिफ़ॉल्ट रूप से डेटा सुरक्षा अनिवार्य है: उचित तकनीकी और संगठनात्मक उपायों को प्रसंस्करण में ही एकीकृत किया जाना चाहिए, और डिफ़ॉल्ट रूप से केवल प्रत्येक विशिष्ट उद्देश्य के लिए आवश्यक व्यक्तिगत डेटा को ही संसाधित किया जा सकता है। बाद में इसे लागू करना महंगा और आमतौर पर अपूर्ण होता है।
व्यवहार में पाँच बातें महत्वपूर्ण होती हैं। प्रोसेसिंग गतिविधियों का रिकॉर्ड रखें जो प्रत्येक मॉडल के पीछे डेटा प्रवाह का सटीक वर्णन करे, न कि उन विभागों का जो उनके स्वामी हैं। प्रत्येक प्रोसेसिंग ऑपरेशन के लिए कानूनी आधार तय करें और उसे लिखित रूप में दर्ज करें, जिसमें प्रशिक्षण से संबंधित आगे की प्रोसेसिंग भी शामिल है, और इसके साथ वैध हित मूल्यांकन भी रखें। डेटा एकत्र करने से पहले प्रभाव मूल्यांकन करें, और यदि जोखिम अधिक बना रहता है तो पर्यवेक्षी प्राधिकरण से परामर्श लें। डेटा से संबंधित प्रत्येक आपूर्तिकर्ता के साथ डेटा प्रोसेसिंग समझौता करें, जिसमें मॉडल या प्लेटफ़ॉर्म के प्रदाता भी शामिल हैं, और यह जांचें कि वे अपने उद्देश्यों के लिए आपके डेटा का उपयोग किस लिए कर सकते हैं; आवश्यकताएँ हमारे डेटा प्रोसेसिंग समझौते संबंधी मार्गदर्शिका में दी गई हैं । और यह भी जांचें कि डेटा कहाँ जाता है: यूरोपीय आर्थिक क्षेत्र के बाहर स्थानांतरण के लिए विनियमन के अध्याय V के तहत एक स्थानांतरण तंत्र और एक स्थानांतरण प्रभाव मूल्यांकन की आवश्यकता होती है, और अलग-अलग तृतीय देशों की स्थिति बदल सकती है।
सबसे महत्वपूर्ण बात यह है कि मॉडल बनाने वाले और जोखिम का आकलन करने वाले सभी लोग एक ही दस्तावेज़ पर काम करें। इस विनियमन के मूल सिद्धांतों का सारांश हमारे सामान्य डेटा संरक्षण विनियमन के अवलोकन में दिया गया है, और व्यक्तिगत डेटा को एआई सिस्टम में डालने से उत्पन्न होने वाले विशिष्ट प्रश्न, स्वचालित निर्णय लेने से लेकर प्रभावित लोगों के अधिकारों तक, हमारे सहयोगी लेख "जीडीपीआर और नीदरलैंड में एआई" में विस्तार से बताए गए हैं ।
कुछ सामान्य प्रश्न
एआई मॉडल को प्रशिक्षित करने के लिए हमें किस कानूनी आधार का उपयोग करना चाहिए?
अधिकांश व्यावसायिक परिस्थितियों में, इसका उत्तर वैध हित होता है, जिसके लिए हित, आवश्यकता और संतुलन संबंधी लिखित मूल्यांकन आवश्यक होता है। सहमति तब बेहतर होती है जब डेटा संवेदनशील हो या उसके उपयोग से संबंधित लोगों को आश्चर्य हो, लेकिन यह वास्तव में स्वतंत्र और निरस्त करने योग्य होनी चाहिए, जिसे प्रशिक्षण कार्यक्रम के लिए व्यवस्थित करना कठिन है। अनुबंध की आवश्यकता मॉडल विकास को लगभग कभी भी कवर नहीं करती, क्योंकि प्रशिक्षण वह नहीं है जो ग्राहक ने मांगा था। आप जो भी आधार चुनें, प्रसंस्करण शुरू होने से पहले उसे रिकॉर्ड कर लें: बाद में आधार चुनना कोई आधार नहीं माना जाता।
यदि हम पहले डेटा को अनाम कर दें तो क्या GDPR अभी भी लागू होगा?
डेटा को गुमनाम तभी माना जाएगा जब गुमनामीकरण वास्तव में कारगर हो। डेटा तब गुमनाम होता है जब संभावित रूप से उपयोग किए जाने वाले सभी साधनों और अन्य डेटासेटों को ध्यान में रखते हुए, किसी के लिए भी उसकी पुनः पहचान करना संभव न हो। नामों को हटाना, पहचानकर्ताओं को हैश से बदलना या छोटे समूहों में एकत्रित करना आमतौर पर इस मानक को पूरा नहीं करता है, और परिणामस्वरूप छद्मनाम वाला डेटा प्राप्त होता है, जो पूर्ण रूप से विनियमन के अधीन रहता है। यदि गुमनामीकरण किसी परियोजना को दायरे से बाहर मानने का आधार है, तो उस निष्कर्ष का परीक्षण और दस्तावेजीकरण किया जाना आवश्यक है, और डेटासेट में परिवर्तन होने पर इसकी समीक्षा की जानी चाहिए।
क्या हम ग्राहक डेटा के पुन: उपयोग के लिए अनुसंधान अपवाद पर भरोसा कर सकते हैं?
बहुत कम मामलों में। वैज्ञानिक या सांख्यिकीय उद्देश्यों के लिए आगे की प्रक्रिया को मूल उद्देश्य के अनुरूप माना जाता है, लेकिन अपवाद उन शोधों पर लागू होता है जो मान्यता प्राप्त कार्यप्रणाली मानकों के अनुसार किए जाते हैं और छद्मनामकरण और पहुंच प्रतिबंध जैसे सुरक्षा उपायों के अधीन होते हैं। किसी व्यावसायिक पक्ष द्वारा अपने लाभ के लिए किया गया उत्पाद विकास या मॉडल सुधार शोध नहीं कहलाता क्योंकि इसमें डेटा विज्ञान शामिल होता है। यदि अनुरूपता परीक्षण अपने आप में पूरा नहीं होता है, तो आपको एक नए कानूनी आधार की आवश्यकता होती है और अधिकांश मामलों में, संबंधित व्यक्तियों को नई जानकारी देनी पड़ती है।
यदि कोई व्यक्ति मॉडल को प्रशिक्षित करने के बाद अपनी सहमति वापस ले लेता है तो क्या होगा?
वापसी भविष्य के लिए प्रभावी होती है और इससे पहले की गई प्रोसेसिंग पूर्वव्यापी रूप से गैरकानूनी नहीं हो जाती, लेकिन इसका मतलब यह है कि उस आधार पर डेटा का उपयोग अब नहीं किया जा सकता है। व्यवहारिक रूप से, इसके लिए प्रशिक्षण सेट, फ़ीचर स्टोर और लॉग से व्यक्ति को हटाने और यह सुनिश्चित करने की क्षमता आवश्यक है कि मॉडल अब उस व्यक्ति के डेटा को प्रतिबिंबित न करे, जहाँ ऐसा साबित किया जा सके। यही कारण है कि सहमति मॉडल प्रशिक्षण का एक कठिन आधार है, और यह एक ऐसा प्रश्न है जिसका उत्तर पहले अनुरोध आने के बाद नहीं, बल्कि डिज़ाइन चरण में ही देना उचित है।
कैसे Law and More मदद कर सकते हैं
Law and More हम एनालिटिक्स और एआई के डेटा सुरक्षा संबंधी मामलों में डच और अंतरराष्ट्रीय संगठनों को सलाह देते हैं: कानूनी आधार का चयन और दस्तावेजीकरण, वैध हितों का आकलन और प्रभाव आकलन करना, गोपनीयता संबंधी बयान और प्रसंस्करण समझौते तैयार करना जो जांच में खरे उतरें, प्राधिकरण (Autoriteit Persoonsgegevens) को जवाब देना, और व्यक्तियों या प्रतिनिधि संस्थाओं द्वारा लाए गए दावों का बचाव करना। यदि आप किसी डेटा-आधारित परियोजना की योजना बना रहे हैं या किसी नियामक ने पहले ही आपसे संपर्क किया है, तो हमें आपके साथ इस मामले पर चर्चा करने में खुशी होगी।
कैसे Law & More हम इस मामले में आपकी मदद कर सकते हैं, इसके बारे में हमारी वेबसाइट पर विस्तार से बताया गया है। आईटी वकील इस पृष्ठ पर ज़ूम कई वीडियो ट्यूटोरियल और अन्य साहायक साधन प्रदान करता है।
