यूरोपीय संघ का कृत्रिम बुद्धिमत्ता अधिनियम: अभी क्या लागू है और क्या स्थगित है

यूरोपीय संघ का कृत्रिम बुद्धिमत्ता अधिनियम, विनियमन (ईयू) 2024/1689, 1 अगस्त 2024 को लागू होने के बाद से चरणबद्ध तरीके से लागू हो रहा है: प्रतिबंध, सामान्य प्रयोजन वाले कृत्रिम बुद्धिमत्ता मॉडल के नियम और चैटबॉट तथा कृत्रिम बुद्धिमत्ता द्वारा निर्मित सामग्री के लिए पारदर्शिता संबंधी दायित्व पहले से ही लागू हैं। उच्च जोखिम वाली कृत्रिम बुद्धिमत्ता के लिए सबसे सख्त व्यवस्था को कृत्रिम बुद्धिमत्ता संबंधी व्यापक समीक्षा द्वारा परिशिष्ट III में सूचीबद्ध प्रणालियों के लिए 2 दिसंबर 2027 तक और विनियमित उत्पादों में कृत्रिम बुद्धिमत्ता के लिए 2 अगस्त 2028 तक स्थगित कर दिया गया है।

एआई ओम्निबस, विनियमन (ईयू) 2026/1744, जुलाई 2026 में आधिकारिक राजपत्र में प्रकाशित हुआ था और अब लागू है। इसलिए स्थगित तिथियां अब स्थापित कानून हैं, न कि कोई योजनागत अनुमान। नीचे हम बताते हैं कि एआई अधिनियम में क्या आवश्यक है, यह किसे बाध्य करता है, आज क्या लागू होता है और आप कैसे तैयारी कर सकते हैं।

ईयू एआई अधिनियम क्या है?

एआई अधिनियम एक जोखिम-आधारित यूरोपीय संघ विनियमन है: एआई प्रणाली से जितना अधिक जोखिम उत्पन्न होता है, दायित्व उतने ही अधिक होते हैं। यह नीदरलैंड में सीधे लागू होता है, इसके मूल नियमों के लिए डच कार्यान्वयन कानून की आवश्यकता नहीं है।

इसका उद्देश्य दोहरा है। यह अधिनियम स्वास्थ्य, सुरक्षा और मौलिक अधिकारों की रक्षा करता है, और यह व्यवसायों को कानूनी निश्चितता प्रदान करता है ताकि विश्वसनीय एआई को एकल बाजार में विकसित और उपयोग किया जा सके।

यह अधिनियम, ओईसीडी के दृष्टिकोण के अनुरूप, एआई प्रणाली को व्यापक रूप से परिभाषित करता है। यह एक मशीन-आधारित प्रणाली है जो कुछ हद तक स्वायत्तता के साथ काम करती है, तैनाती के बाद अनुकूलित हो सकती है और प्राप्त इनपुट से यह अनुमान लगाती है कि भविष्यवाणियां, सामग्री, अनुशंसाएं या निर्णय जैसे आउटपुट कैसे उत्पन्न किए जाएं जो भौतिक या आभासी वातावरण को प्रभावित कर सकते हैं। यह व्यापक परिभाषा जनरेटिव और सामान्य-उद्देश्यीय एआई सहित आधुनिक मशीन-लर्निंग मॉडल को समाहित करती है। साधारण नियम-आधारित सॉफ़्टवेयर जो केवल मनुष्यों द्वारा लिखे गए निर्देशों का पालन करते हैं, आमतौर पर इसके दायरे से बाहर आते हैं।

क्या एआई अधिनियम आपके संगठन पर लागू होता है?

संभवतः, यदि आप यूरोपीय संघ में व्यावसायिक संदर्भ में एआई सिस्टम विकसित करते हैं, बेचते हैं या उपयोग करते हैं। यह अधिनियम यूरोपीय संघ के बाहर की कंपनियों पर भी लागू होता है जब उनका सिस्टम यूरोपीय संघ के बाजार में रखा जाता है या उसका आउटपुट यूरोपीय संघ में उपयोग किया जाता है।

इसलिए, यूरोपीय ग्राहकों को सेवा प्रदान करने वाली अमेरिकी या ब्रिटिश कंपनी इसके दायरे में आ सकती है। अधिनियम कई भूमिकाओं को अलग-अलग परिभाषित करता है, जिनमें से प्रत्येक के अपने कर्तव्य हैं:

• सेवा प्रदाता एक एआई प्रणाली या सामान्य प्रयोजन एआई मॉडल विकसित करते हैं और इसे अपने नाम या ट्रेडमार्क के तहत बाजार में उतारते हैं या सेवा में लाते हैं। इन पर सबसे अधिक दायित्व होते हैं।
• प्रवर्तक पेशेवर संदर्भ में अपने अधिकार क्षेत्र के अंतर्गत एआई सिस्टम का उपयोग करते हैं, उदाहरण के लिए, एक नियोक्ता नौकरी के आवेदकों की स्क्रीनिंग के लिए एआई टूल का उपयोग करता है। विशुद्ध रूप से व्यक्तिगत, गैर-पेशेवर उपयोग इन कर्तव्यों के दायरे से बाहर आता है।
• आयातकर्ता और वितरक किसी तृतीय-पक्ष प्रणाली को यूरोपीय संघ के बाजार में लाते हैं या आपूर्ति श्रृंखला में आगे इसे उपलब्ध कराते हैं, और उन्हें यह सुनिश्चित करना होगा कि प्रदाता ने अपने दायित्वों को पूरा किया है।
• उत्पाद निर्माता और, कुछ मामलों में, गैर-ईयू प्रदाताओं के अधिकृत प्रतिनिधि प्रदाता दायित्वों को ग्रहण कर सकते हैं।

आपकी भूमिका बदल सकती है। कोई भी परिनियोजक जो किसी उच्च जोखिम वाले सिस्टम में महत्वपूर्ण बदलाव करता है, या उसे अपने नाम से बाज़ार में उतारता है, वह प्रदाता बन जाता है और उस पर अधिक सख्त ज़िम्मेदारियाँ आ जाती हैं। किसी विक्रेता से खरीदे गए सिस्टम को अनुकूलित करने से पहले इसकी जाँच कर लें।

एआई अधिनियम जोखिम को किस प्रकार वर्गीकृत करता है?

यह अधिनियम जोखिम के चार स्तरों पर काम करता है: निषिद्ध गतिविधियाँ, उच्च जोखिम, पारदर्शिता दायित्वों के साथ सीमित जोखिम और न्यूनतम जोखिम। जोखिम का स्तर उस उद्देश्य पर निर्भर करता है जिसके लिए आप सिस्टम का उपयोग करते हैं, न कि इसके पीछे की तकनीक पर।

निषिद्ध प्रथाएँ

अनुच्छेद 5 के तहत कुछ उपयोगों पर पूर्णतः प्रतिबंध है, और ये प्रतिबंध 2 फरवरी 2025 से लागू हैं। इनमें ऐसे छल-कपट या कपटपूर्ण तरीके शामिल हैं जो व्यवहार को भौतिक रूप से विकृत करते हैं और गंभीर नुकसान पहुंचाते हैं, साथ ही उम्र, विकलांगता या सामाजिक-आर्थिक स्थिति से संबंधित कमजोरियों का फायदा उठाते हैं। इसके अलावा, सोशल स्कोरिंग, पहचान डेटाबेस बनाने के लिए चेहरे की छवियों का अलंगित संग्रह, कार्यस्थल और शिक्षा में भावनाओं की पहचान (चिकित्सा या सुरक्षा कारणों को छोड़कर), और बायोमेट्रिक वर्गीकरण जो धर्म या यौन अभिविन्यास जैसी संवेदनशील विशेषताओं का अनुमान लगाता है, प्रतिबंधित हैं।

कानून प्रवर्तन एजेंसियों के लिए सार्वजनिक स्थानों पर वास्तविक समय में दूरस्थ बायोमेट्रिक पहचान निषिद्ध है, हालांकि कुछ सीमित अपवादों और सुरक्षा उपायों के साथ यह लागू है। एआई ओम्निबस में एक नया प्रावधान जोड़ा गया है जिसके तहत बाल यौन शोषण सामग्री या पहचान योग्य व्यक्तियों की बिना सहमति के अंतरंग तस्वीरें बनाने वाले एआई सिस्टम पर प्रतिबंध लगाया गया है।

भारी जोखिम

उच्च जोखिम वाली प्रणालियों की अनुमति है, लेकिन उन पर कड़ा विनियमन लागू है। इन्हें दो समूहों में बांटा गया है। परिशिष्ट I में ऐसी कृत्रिम बुद्धिमत्ता (AI) शामिल है जो किसी उत्पाद का सुरक्षा घटक है या स्वयं ही यूरोपीय संघ के उत्पाद कानून द्वारा विनियमित उत्पाद है, जैसे चिकित्सा उपकरण, मशीनरी, लिफ्ट और खिलौने। परिशिष्ट III में संवेदनशील क्षेत्रों में स्वतंत्र उपयोगों की सूची दी गई है: बायोमेट्रिक्स, महत्वपूर्ण अवसंरचना, शिक्षा, रोजगार और श्रमिक प्रबंधन, ऋण और बीमा जैसी आवश्यक सार्वजनिक और निजी सेवाओं तक पहुंच, कानून प्रवर्तन, प्रवासन और सीमा नियंत्रण, और न्याय प्रशासन एवं लोकतांत्रिक प्रक्रियाएं।

अनुलग्नक III में सूचीबद्ध कोई प्रणाली उच्च जोखिम वाली नहीं मानी जाएगी यदि वह केवल एक सीमित प्रक्रियात्मक या प्रारंभिक कार्य करती है और किसी निर्णय के परिणाम को महत्वपूर्ण रूप से प्रभावित नहीं करती है। यह अपवाद कड़ाई से परिभाषित है, और इस पर निर्भर रहने वाले प्रदाता को अपने मूल्यांकन का दस्तावेजीकरण करना होगा।

सीमित जोखिम: पारदर्शिता

कुछ प्रणालियाँ उच्च जोखिम वाली नहीं होतीं, लेकिन लोगों को गुमराह कर सकती हैं। अनुच्छेद 50 के तहत उन पर पारदर्शिता का दायित्व होता है। लोगों को यह बताया जाना चाहिए कि वे चैटबॉट से बातचीत कर रहे हैं, कृत्रिम बुद्धिमत्ता द्वारा निर्मित या हेरफेर की गई सामग्री का खुलासा और उसे चिह्नित किया जाना चाहिए, और लोगों को यह सूचित किया जाना चाहिए कि वे अनुमत भावना पहचान या बायोमेट्रिक वर्गीकरण के संपर्क में हैं।

न्यूनतम जोखिम

स्पैम फिल्टर, अनुशंसा इंजन और वीडियो गेम में उपयोग होने वाली एआई जैसी अधिकांश एआई इसी श्रेणी में आती हैं। अधिनियम में इस संबंध में कोई विशिष्ट दायित्व नहीं है, हालांकि स्वैच्छिक आचार संहिता को प्रोत्साहित किया जाता है, और अनुच्छेद 4 में उल्लिखित सामान्य एआई साक्षरता कर्तव्य अभी भी लागू होता है।

ये दायित्व कब लागू होते हैं?

यह अधिनियम चरणबद्ध तरीके से लागू होता है। प्रतिबंध, एआई साक्षरता कर्तव्य, सामान्य प्रयोजन एआई के नियम और पारदर्शिता कर्तव्य पहले से ही लागू हैं; उच्च जोखिम वाले नियम दिसंबर 2027 और अगस्त 2028 में लागू होंगे।

इसके बाद दो व्यावहारिक बिंदु आते हैं। पहला, पारदर्शिता संबंधी दायित्व भविष्य का विषय नहीं हैं: ये 2 अगस्त 2026 से लागू हो चुके हैं। केवल जनरेटिव एआई सिस्टम के वे प्रदाता जो उस तिथि से पहले ही बाजार में मौजूद थे, उन्हें मशीन-पठनीय मार्किंग की आवश्यकता को पूरा करने के लिए 2 दिसंबर 2026 तक का समय दिया गया है। 2 अगस्त 2026 के बाद बाजार में आने वाले सिस्टमों को कोई छूट अवधि नहीं दी गई है।

दूसरा, उच्च जोखिम वाली एआई के लिए दिया गया अतिरिक्त समय छूट नहीं, बल्कि स्थगन है। मूल दायित्वों में कोई बदलाव नहीं हुआ है, और तकनीकी फाइल, जोखिम प्रबंधन प्रणाली और मानवीय निगरानी तैयार करने में महीनों लग जाते हैं। इसलिए अभी से शुरू करना ही समझदारी है।

प्रदाताओं, परिनियोजनकर्ताओं और आयातकों को क्या करना चाहिए?

उच्च जोखिम वाले सिस्टमों के प्रदाताओं पर मुख्य जिम्मेदारी होती है और सिस्टम के बाजार में आने से पहले उन्हें इसकी अनुरूपता साबित करनी होती है। सिस्टम को तैनात करने वालों को इसका सही ढंग से उपयोग करना चाहिए, इसकी निगरानी करनी चाहिए और प्रभावित लोगों को सूचित करना चाहिए।

उच्च जोखिम वाले सिस्टम के प्रदाताओं को संपूर्ण जीवन चक्र को कवर करने वाली जोखिम प्रबंधन प्रणाली स्थापित करनी होगी, प्रशिक्षण, सत्यापन और परीक्षण डेटा पर डेटा गवर्नेंस लागू करना होगा और तकनीकी दस्तावेज़ तैयार करके उन्हें बनाए रखना होगा। उन्हें सिस्टम को स्वचालित लॉगिंग के लिए डिज़ाइन करना होगा, उपयोग के लिए स्पष्ट निर्देश देने होंगे, प्रभावी मानवीय निगरानी सुनिश्चित करनी होगी और उचित सटीकता, मजबूती और साइबर सुरक्षा सुनिश्चित करनी होगी। सिस्टम को बाजार में उतारने से पहले, उन्हें अनुरूपता मूल्यांकन करना होगा, यूरोपीय संघ की अनुरूपता घोषणा तैयार करनी होगी, सीई चिह्न लगाना होगा और सिस्टम को यूरोपीय संघ के डेटाबेस में पंजीकृत करना होगा। इसके बाद, उन्हें बाजार में सिस्टम की निगरानी करनी होगी और गंभीर घटनाओं की रिपोर्ट करनी होगी।

उच्च जोखिम वाली प्रणालियों को लागू करने वालों को प्रदाता के निर्देशों के अनुसार ही प्रणाली का उपयोग करना चाहिए, सक्षम कर्मचारियों द्वारा इसकी निगरानी सुनिश्चित करनी चाहिए, इनपुट डेटा की प्रासंगिकता का ध्यान रखना चाहिए, संचालन की निगरानी करनी चाहिए और लॉग बनाए रखना चाहिए। आवश्यकता पड़ने पर, उन्हें प्रभावित लोगों को सूचित करना होगा। सार्वजनिक निकायों और कुछ निजी प्रदाताओं, उदाहरण के लिए क्रेडिट स्कोरिंग और बीमा मूल्य निर्धारण में, को मौलिक अधिकारों के प्रभाव का आकलन करना होगा। नियोक्ताओं को कार्यस्थल पर उच्च जोखिम वाली प्रणाली को लागू करने से पहले श्रमिकों और उनके प्रतिनिधियों को सूचित करना होगा।

आयातकों और वितरकों को यह सुनिश्चित करना होगा कि सिस्टम उपलब्ध कराने से पहले प्रदाता ने अनुरूपता मूल्यांकन, दस्तावेज़ीकरण और CE मार्किंग पूरी कर ली हो। यदि उन्हें लगता है कि सिस्टम मानकों का पालन नहीं करता है, तो उन्हें इसकी आपूर्ति नहीं करनी चाहिए और प्रदाता तथा, जहां लागू हो, संबंधित अधिकारियों को सूचित करना चाहिए।

अनुच्छेद 4 में उल्लिखित एआई साक्षरता का दायित्व सभी प्रदाताओं और परिनियोजनकर्ताओं पर लागू होता है। एआई ओम्निबस ने शब्दों को नरम कर दिया है: संगठनों को अब अपने कर्मचारियों के बीच एआई साक्षरता के पर्याप्त स्तर को बढ़ावा देने के लिए उपाय करने होंगे। एआई के साथ काम करने वाले लोगों से यह अपेक्षा बनी हुई है कि वे इसके कार्यों और इसकी त्रुटियों को समझें।

उच्च जोखिम वाली एआई के लिए कौन सी तकनीकी आवश्यकताएं लागू होती हैं?

सेवा प्रदाता को सात चीजें प्रदर्शित करने में सक्षम होना चाहिए: जोखिम प्रबंधन, डेटा गुणवत्ता, तकनीकी दस्तावेज़ीकरण, लॉगिंग, पारदर्शिता, मानवीय निगरानी, ​​और सटीकता, मजबूती और साइबर सुरक्षा। ये सभी मिलकर अनुरूपता मूल्यांकन के लिए प्रमाण बनाते हैं।

जोखिम प्रबंधन एक दस्तावेजीकृत और निरंतर चलने वाली प्रक्रिया होनी चाहिए, न कि एक बार का अभ्यास। उपयोग किया जाने वाला डेटा इच्छित उद्देश्य के लिए उपयुक्त होना चाहिए, जिसमें पूर्वाग्रह और प्रतिनिधित्व का ध्यान रखा गया हो। तकनीकी दस्तावेज इतना विस्तृत होना चाहिए कि कोई प्राधिकरण अनुपालन का आकलन कर सके। घटनाओं को स्वचालित रूप से लॉग किया जाना चाहिए ताकि सिस्टम के संचालन का पता लगाया जा सके।

उपयोग संबंधी निर्देश ऐसे होने चाहिए जिनसे सिस्टम को लागू करने वाला व्यक्ति उसे सही ढंग से समझ सके और उसका उपयोग कर सके। सिस्टम में मानवीय निगरानी की व्यवस्था होनी चाहिए ताकि कोई व्यक्ति आउटपुट को समझ सके, हस्तक्षेप कर सके और सिस्टम को रोक सके। अंत में, प्रदाता को सटीकता, मजबूती और साइबर सुरक्षा का उचित स्तर प्रदर्शित करना होगा। व्यवहार में, नियामक सबसे पहले यही सामग्री देखना चाहेगा।

सामान्य प्रयोजन वाले एआई मॉडल पर क्या लागू होता है?

सामान्य प्रयोजन वाले एआई (जीपीएआई) मॉडल के प्रदाताओं के लिए 2 अगस्त 2025 से अपनी स्वयं की जिम्मेदारियां निर्धारित की गई हैं। प्रणालीगत जोखिम वाले मॉडलों को अतिरिक्त कर्तव्यों का सामना करना पड़ता है।

अनुच्छेद 53 से 55 के तहत, सभी GPAI प्रदाताओं को तकनीकी दस्तावेज़ बनाए रखना, प्रशिक्षण के लिए उपयोग की जाने वाली सामग्री का पर्याप्त विस्तृत सारांश प्रकाशित करना, यूरोपीय संघ के कॉपीराइट कानून का अनुपालन करने की नीति बनाना और मॉडल पर आधारित कंपनियों को जानकारी देना अनिवार्य है। प्रणालीगत जोखिम वाले मॉडल के प्रदाताओं को अपने मॉडल का मूल्यांकन करना होगा, जिसमें प्रतिकूल परीक्षण शामिल है, प्रणालीगत जोखिमों का आकलन और निवारण करना, गंभीर घटनाओं पर नज़र रखना और उनकी रिपोर्ट करना, और मजबूत साइबर सुरक्षा सुनिश्चित करना शामिल है। आधिकारिक सामान्य-उद्देश्यीय AI आचार संहिता का पालन करना अनुपालन दर्शाने का एक मान्यता प्राप्त तरीका है। यूरोपीय आयोग का AI कार्यालय इन प्रदाताओं की प्रत्यक्ष निगरानी करता है।

वर्तमान में पारदर्शिता संबंधी कौन-कौन से दायित्व लागू होते हैं?

2 अगस्त 2026 से, अनुच्छेद 50 के तहत लोगों को यह जानना अनिवार्य है कि वे कृत्रिम बुद्धिमत्ता (एआई) से निपट रहे हैं या नहीं। यह चैटबॉट, एआई-जनित सामग्री और डीपफेक के साथ-साथ भावना पहचान और बायोमेट्रिक वर्गीकरण पर भी लागू होता है।

चैटबॉट और संवादात्मक एजेंट प्रदान करने वालों को यह स्पष्ट करना होगा कि उपयोगकर्ता एक मशीन से बातचीत कर रहा है, जब तक कि यह स्पष्ट न हो। कृत्रिम ऑडियो, चित्र, वीडियो या टेक्स्ट उत्पन्न करने वाले सिस्टम प्रदान करने वालों को आउटपुट को मशीन-पठनीय प्रारूप में चिह्नित करना होगा ताकि इसे कृत्रिम के रूप में पहचाना जा सके। डीपफेक प्रकाशित करने वालों को यह बताना होगा कि सामग्री कृत्रिम रूप से उत्पन्न या हेरफेर की गई थी, और सार्वजनिक हित के मामलों पर एआई-जनित टेक्स्ट प्रकाशित करने वालों को यह बताना होगा, जब तक कि किसी व्यक्ति ने इसकी समीक्षा न की हो और संपादकीय जिम्मेदारी न ली हो। अनुमत भावना पहचान या बायोमेट्रिक वर्गीकरण का उपयोग करने वालों को इससे प्रभावित लोगों को सूचित करना होगा।

यदि आप पहले से ही जनरेटिव एआई सुविधाएँ प्रदान करते हैं, तो 2 दिसंबर 2026 को उन प्रणालियों के आउटपुट को चिह्नित करने की अंतिम तिथि के रूप में मानें जो 2 अगस्त 2026 से पहले बाजार में थीं।

एआई अधिनियम के तहत क्या-क्या जुर्माने हैं?

अनुच्छेद 99 के तहत, निषिद्ध गतिविधियों के लिए जुर्माना 35 मिलियन यूरो तक या वैश्विक वार्षिक कारोबार का 7% तक हो सकता है। लघु एवं मध्यम आकार के उद्यमों के लिए, इन दोनों राशियों में से जो भी कम हो, वह लागू होती है।

• निषिद्ध प्रथाएं (अनुच्छेद 5): 35 मिलियन यूरो तक या वैश्विक वार्षिक कारोबार का 7%, जो भी अधिक हो।
• उच्च जोखिम संबंधी आवश्यकताओं और पारदर्शिता संबंधी कर्तव्यों सहित अधिकांश अन्य दायित्वों का उल्लंघन: 15 मिलियन यूरो तक या वैश्विक वार्षिक कारोबार का 3% तक।
• अधिसूचित निकायों या अधिकारियों को गलत, अधूरी या भ्रामक जानकारी प्रदान करना: 7.5 मिलियन यूरो तक या वैश्विक वार्षिक कारोबार का 1% तक का जुर्माना।

लघु एवं मध्यम उद्यमों और स्टार्टअप्स के लिए, जुर्माना निर्धारित राशि और प्रतिशत में से जो भी कम हो, उस पर सीमित है। एआई ओम्निबस इन राहतों का विस्तार करते हुए कई राहतें छोटी और मध्यम आकार की कंपनियों को भी प्रदान करता है। जुर्माना ही एकमात्र उपाय नहीं है: बाजार निगरानी प्राधिकरण सुधारात्मक कार्रवाई की मांग कर सकते हैं, किसी सिस्टम को उपलब्ध कराने पर प्रतिबंध लगा सकते हैं या उसे वापस लेने का आदेश दे सकते हैं।

एआई अधिनियम का जीडीपीआर और साइबर सुरक्षा अधिनियम से क्या संबंध है?

एआई अधिनियम मौजूदा कानून के अतिरिक्त लागू होता है। यदि आपका एआई सिस्टम व्यक्तिगत डेटा संसाधित करता है, तो जीडीपीआर पूरी तरह से लागू होता है, और यदि आप आवश्यक या महत्वपूर्ण सेवाएं प्रदान करते हैं, तो डच साइबर सुरक्षा कानून भी लागू होता है।

GDPR के तहत आपको एक वैध आधार की आवश्यकता होती है, आपको उद्देश्य सीमा और डेटा विषय अधिकारों का सम्मान करना होगा, और अक्सर आपको डेटा सुरक्षा प्रभाव आकलन (DPIA) करना पड़ता है। AI अधिनियम के तहत मौलिक अधिकारों का प्रभाव आकलन और DPIA एक दूसरे से संबंधित हैं, इसलिए इन्हें एक साथ करना अधिक प्रभावी होता है।

यूरोपीय संघ के एनआईएस2 निर्देश को लागू करने वाला साइबर सुरक्षा अधिनियम (साइबरबेवेइलिगिंग्सवेट) नीदरलैंड्स में 15 अगस्त 2026 से लागू हो गया है। यह आवश्यक और महत्वपूर्ण संस्थाओं के लिए जोखिम प्रबंधन और घटना रिपोर्टिंग संबंधी कर्तव्यों को जोड़ता है, जो एआई अधिनियम की मजबूती और सुरक्षा संबंधी आवश्यकताओं को सुदृढ़ करता है। इन व्यवस्थाओं को तीन अलग-अलग परियोजनाओं के बजाय एक ही अनुपालन कार्यक्रम के रूप में मानें: इससे प्रयास की बचत होती है और परस्पर विरोधी नियंत्रणों से बचा जा सकता है।

नीदरलैंड्स में एआई अधिनियम को कौन लागू करता है?

सामान्य प्रयोजन वाले एआई मॉडल की निगरानी ब्रुसेल्स स्थित एआई कार्यालय द्वारा की जाती है; बाकी सभी मामलों को राष्ट्रीय बाजार निगरानी प्राधिकरणों द्वारा लागू किया जाता है। नीदरलैंड्स में, इन प्राधिकरणों को नामित करने वाला कानून अभी भी विधायी प्रक्रिया से गुजर रहा है।

यूरोपीय संघ स्तर पर, यूरोपीय आयोग के अंतर्गत एआई कार्यालय सामान्य प्रयोजन वाले एआई मॉडलों की सीधी निगरानी करता है और दिशानिर्देश एवं आचार संहिता विकसित करता है। यह यूरोपीय कृत्रिम बुद्धिमत्ता बोर्ड के साथ मिलकर काम करता है, जिसमें सदस्य देशों का प्रतिनिधित्व होता है, और एक स्वतंत्र वैज्ञानिक पैनल के साथ भी। एआई ओम्निबस ने एआई कार्यालय की शक्तियों को प्रदाता के अपने जीपीएआई मॉडल पर आधारित एआई प्रणालियों और बहुत बड़े ऑनलाइन प्लेटफॉर्म और सर्च इंजनों में एकीकृत एआई तक विस्तारित कर दिया है। अधिसूचित निकाय अधिनियम के अनुसार तृतीय-पक्ष अनुरूपता मूल्यांकन करते हैं।

एआई अधिनियम सीधे तौर पर लागू होता है, इसलिए व्यवसाय पहले से ही इसके लागू होने वाले प्रावधानों से बंधे हुए हैं। हालांकि, पर्यवेक्षकों और उनकी शक्तियों को निर्दिष्ट करने वाला डच अधिनियम अभी तक लागू नहीं हुआ है, और अंतिम आवंटन में अभी भी बदलाव हो सकता है। अब तक प्रस्तावित मॉडल एक हाइब्रिड मॉडल है। मौजूदा क्षेत्र नियामक अपने-अपने क्षेत्रों में बाजार निगरानी प्राधिकरण बन जाते हैं, इसलिए स्वास्थ्य सेवा एआई स्वास्थ्य निरीक्षणालय के अंतर्गत आता है और कार्यस्थल में एआई श्रम निरीक्षणालय के अंतर्गत आता है। डच डेटा संरक्षण प्राधिकरण (Autoriteit Persoonsgegevens, AP) और डच डिजिटल अवसंरचना प्राधिकरण (Rijksinspectie Digitale Infrastructuur, RDI) समन्वयकारी भूमिका निभाते हैं, जिसमें AP उन उच्च जोखिम वाली प्रणालियों के अवशिष्ट पर्यवेक्षक के रूप में कार्य करता है जिनका कोई स्पष्ट क्षेत्र नियामक नहीं है।

व्यवसायों के लिए, व्यावहारिक प्रश्न केवल यह नहीं है कि कोई प्रणाली उच्च जोखिम वाली है या नहीं, बल्कि यह भी है कि कौन सा नियामक इसकी जांच करेगा।

आपको किन गलत धारणाओं से बचना चाहिए?

एआई अधिनियम के बारे में लगभग हर पहली बातचीत में पांच गलतफहमियां सामने आती हैं। इनमें से प्रत्येक गलतफहमी संगठनों को गलत जगह पर प्रयास करने के लिए प्रेरित करती है।

पहली बात यह है कि अधिनियम सामान्य रूप से कृत्रिम बुद्धिमत्ता पर प्रतिबंध लगाता है या उसे लाइसेंस देता है। यह दोनों में से कुछ भी नहीं करता। कठोर नियम लागू होने का कारण वह उद्देश्य है जिसकी पूर्ति प्रणाली करती है, न कि उसके पीछे की तकनीक।

दूसरी बात यह है कि मानव हस्ताक्षर से उच्च जोखिम का लेबल हट जाता है। ऐसा नहीं है। प्रक्रियात्मक या प्रारंभिक कार्यों से संबंधित अपवाद बहुत सीमित हैं। नौकरी के आवेदकों को रैंक देने या गहन समीक्षा के लिए फाइलों का चयन करने वाला उपकरण, भले ही किसी व्यक्ति के हस्ताक्षर हों, निर्णय को प्रभावित करता है। रबर स्टैंप मानव निगरानी नहीं है और इससे कोई प्रणाली परिशिष्ट III से बाहर नहीं हो जाती।

तीसरी बात यह है कि केवल डेवलपर्स ही विनियमित होते हैं। सिस्टम का उपयोग करने वाले संगठन के विरुद्ध परिनियोजनकर्ताओं के दायित्व वास्तविक और लागू करने योग्य होते हैं। इनमें से कई दायित्व, जैसे कि कर्मचारियों और उनके प्रतिनिधियों को सूचित करना, सक्षम पर्यवेक्षण नियुक्त करना और लॉग रखना, विक्रेता को नहीं सौंपे जा सकते।

चौथा नियम यह है कि पहले से उपयोग में आने वाली सभी चीज़ें छूट के दायरे में आती हैं। अनुच्छेद 111 के तहत, उच्च जोखिम वाले नियमों के लागू होने से पहले बाज़ार में उतारे गए उच्च जोखिम वाले सिस्टम सैद्धांतिक रूप से तभी दायरे में आते हैं जब उनके डिज़ाइन में बाद में महत्वपूर्ण बदलाव होता है। यह अपवाद जितना लगता है उससे कहीं अधिक सीमित है: अपडेट, पुनः प्रशिक्षण और नए उपयोग ठीक उसी प्रकार के बदलाव हैं जो किसी सिस्टम को फिर से दायरे में लाते हैं। सार्वजनिक प्राधिकरणों द्वारा उपयोग किए जाने वाले सिस्टम को 2 अगस्त 2030 तक हर हाल में नियमों का पालन करना होगा। यदि आप संक्रमणकालीन नियम पर निर्भर रहने की योजना बना रहे हैं, तो वर्तमान कॉन्फ़िगरेशन को अभी दस्तावेज़ में दर्ज करें।

पांचवा बिंदु यह है कि एआई अधिनियम मौजूदा कानून का स्थान लेता है। यह उसके ऊपर लागू होता है। डेटा संरक्षण, समान व्यवहार कानून, उपभोक्ता कानून, क्षेत्र विनियमन, रोजगार कानून और श्रमिक परिषद (ओंडरनेमिंग्सराड) के अधिकार पूर्ण रूप से लागू रहेंगे। नीदरलैंड्स में, आमतौर पर एआई अधिनियम के बजाय इनमें से किसी एक के कारण पहली ठोस शिकायत दर्ज की जाती है। उदाहरण के लिए, श्रमिक परिषद अधिनियम (वेट ओप डे ओंडरनेमिंग्सराडेन) के अनुच्छेद 27(1)(एल) के तहत, कर्मचारियों की निगरानी प्रणाली शुरू करने के लिए श्रमिक परिषद की सहमति आवश्यक है।

आप एआई अधिनियम के लिए कैसे तैयारी करते हैं?

सबसे पहले, आपके द्वारा प्रदान की जाने वाली या उपयोग की जाने वाली कृत्रिम बुद्धिमत्ता (एआई) की सूची बनाएं और प्रत्येक सिस्टम के लिए जोखिम स्तर और अपनी भूमिका निर्धारित करें। फिर, प्रतिबंधित उपयोगों और पारदर्शिता से संबंधित मुद्दों को प्राथमिकता दें, क्योंकि ये नियम पहले से ही लागू होते हैं।

• आपके द्वारा प्रदान किए जाने वाले या उपयोग किए जाने वाले प्रत्येक एआई सिस्टम की सूची बनाएं, जिसमें तृतीय-पक्ष सॉफ़्टवेयर में निर्मित एआई भी शामिल है।
• प्रत्येक प्रणाली को वर्गीकृत करें: निषिद्ध, उच्च जोखिम, पारदर्शिता कर्तव्य या न्यूनतम जोखिम।
• प्रत्येक सिस्टम के लिए अपनी भूमिका निर्धारित करें: प्रदाता, परिनियोजनकर्ता, आयातक या वितरक।
• अनुच्छेद 5 के अंतर्गत आने वाले किसी भी प्रकार के उपयोग को रोकें।
• चैटबॉट, डीपफेक और एआई-जनित सामग्री के लिए पारदर्शिता उपायों को लागू करें और 2 दिसंबर 2026 से पहले आउटपुट मार्किंग की योजना बनाएं।
• उच्च जोखिम वाली प्रणालियों के लिए, दिसंबर 2027 से पहले तकनीकी फाइल, जोखिम प्रबंधन और मानव निगरानी का निर्माण करें।
• यदि आप सामान्य प्रयोजन वाले मॉडल विकसित करते हैं या उनमें पर्याप्त संशोधन करते हैं, तो GPAI के दायित्वों की जांच अवश्य करें।
• संबंधित कर्मचारियों के बीच एआई साक्षरता को बढ़ावा देने के लिए उपाय करें।
• अपने डीपीआईए, मौलिक अधिकार प्रभाव आकलन और सुरक्षा उपायों को जीडीपीआर और साइबर सुरक्षा अधिनियम के अनुरूप बनाएं।
• स्वामित्व, दस्तावेज़ीकरण और निगरानी का कार्य सौंपें और अपने रिकॉर्ड को ऑडिट के लिए तैयार रखें।

यदि कृत्रिम बुद्धिमत्ता (AI) कर्मचारियों को प्रभावित करती है, तो कार्य परिषद को प्रारंभिक चरण में ही शामिल करें। उनकी सहमति आवश्यक हो सकती है, और सहमति के लिए देर से किया गया अनुरोध किसी प्रणाली के कार्यान्वयन में महीनों की देरी कर सकता है।

सारांश में

• यूरोपीय संघ का कृत्रिम बुद्धिमत्ता अधिनियम (विनियमन (ईयू) 2024/1689) 1 अगस्त 2024 से लागू है और इसे चरणबद्ध तरीके से लागू किया जाएगा।
• प्रतिबंध, एआई साक्षरता, जीपीएआई नियम और पारदर्शिता संबंधी कर्तव्य पहले से ही लागू हैं; पुराने जनरेटिव सिस्टम से आउटपुट की मार्किंग 2 दिसंबर 2026 तक होनी है।
• एआई ओम्निबस (विनियमन (ईयू) 2026/1744) ने उच्च जोखिम वाले नियमों को 2 दिसंबर 2027 (परिशिष्ट III) और 2 अगस्त 2028 (परिशिष्ट I) तक स्थगित कर दिया है।
• जुर्माना 35 मिलियन यूरो तक या वैश्विक कारोबार के 7% तक हो सकता है; लघु एवं मध्यम उद्यमों के लिए, कम राशि लागू होती है।
• एआई अधिनियम, जीडीपीआर, साइबर सुरक्षा अधिनियम और रोजगार कानून के अतिरिक्त है; अनुपालन की योजना एक ही कार्यक्रम के रूप में बनाएं।

ज़्यादातर पूछे जाने वाले सवाल

प्रौद्योगिकी और गोपनीयता के वकील Law & More यह सेवा प्रदाताओं और परिनियोजनकर्ताओं को GDPR के अनुरूप अपने सिस्टम को वर्गीकृत करने, निषिद्ध या गैर-अनुपालनकारी उपयोगों को समायोजित करने, पारदर्शिता संबंधी कर्तव्यों को पूरा करने और उच्च जोखिम वाले नियमों के लिए तैयार होने में मदद करता है। आप इसका पूरा पाठ पढ़ सकते हैं। EUR-Lex पर AI अधिनियमऔर हमारे डच आईटी और गोपनीयता कानून संबंधी दिशानिर्देशों का सूचकांक इस विषय पर हमने जो कुछ भी लिखा है, उसकी सूची यहाँ दी गई है। क्या आप अपनी स्थिति को लेकर असमंजस में हैं? हमें अपनी स्थिति के बारे में बताएं। हम आपको एक कार्यदिवस के भीतर आपके विकल्पों के बारे में बता देंगे।

कैसे Law & More हम इस मामले में आपकी मदद कर सकते हैं, इसके बारे में हमारी वेबसाइट पर विस्तार से बताया गया है। आईटी वकील इस पृष्ठ पर ज़ूम कई वीडियो ट्यूटोरियल और अन्य साहायक साधन प्रदान करता है।