यूरोपीय संघ का कृत्रिम बुद्धिमत्ता अधिनियम: इसके क्या प्रावधान हैं और यह कब लागू होता है

यूरोपीय संघ का कृत्रिम बुद्धिमत्ता अधिनियम विनियमन (ईयू) 2024/1689 है, जो दुनिया भर में कृत्रिम बुद्धिमत्ता पर पहला व्यापक कानून है। यह 1 अगस्त 2024 को लागू हुआ और चरणबद्ध तरीके से लागू किया जाता है। चूंकि यह एक विनियमन है, इसलिए नीदरलैंड में इसे दोहराने की आवश्यकता के बिना यह सीधे लागू होता है। इसका तर्क जोखिम-आधारित है: कुछ चुनिंदा कृत्रिम बुद्धिमत्ता प्रथाओं पर पूर्णतः प्रतिबंध लगा दिया गया है, उच्च जोखिम वाली प्रणालियों के एक परिभाषित समूह पर भारी दायित्व हैं, लोगों के साथ बातचीत करने या सामग्री उत्पन्न करने वाली प्रणालियों पर पारदर्शिता का दायित्व है, और बाकी सभी को छूट दी गई है।

यूरोपीय संघ का कृत्रिम बुद्धिमत्ता अधिनियम क्या है और इसका प्रत्येक भाग कब लागू होता है

यह अधिनियम यूरोपीय संघ के बाज़ार में उपलब्ध कराए गए या संघ में उपयोग में लाए गए एआई सिस्टम और सामान्य प्रयोजन वाले एआई मॉडल को विनियमित करता है, और यह विनियमन क्षेत्र के बजाय भूमिका के आधार पर किया जाता है। अधिकांश संगठनों के लिए दो महत्वपूर्ण भूमिकाएँ हैं: प्रदाता, यानी वह पक्ष जो एआई सिस्टम विकसित करता है या विकसित करवाता है और उसे अपने नाम से बाज़ार में उतारता है, और परिनियोजनकर्ता, यानी वह पक्ष जो पेशेवर क्षमता में अपने अधिकार के तहत एआई सिस्टम का उपयोग करता है। आयातकों और वितरकों के लिए अपने अलग, कम सख्त कर्तव्य हैं। एक डच कंपनी जो किसी अमेरिकी विक्रेता से स्क्रीनिंग टूल खरीदती है, वह परिनियोजनकर्ता है; वही कंपनी उस क्षण प्रदाता बन जाती है जब वह टूल पर अपना नाम लगाती है या अपने उद्देश्यों के लिए उसमें पर्याप्त संशोधन करती है।

इस अधिनियम का दायरा यूरोपीय संघ के बाहर भी लागू होता है। यूरोपीय संघ के बाहर स्थापित कोई भी प्रदाता, यदि वह यूरोपीय संघ के बाज़ार में कोई सिस्टम स्थापित करता है, तो वह भी इसके दायरे में आता है। इसी तरह, यूरोपीय संघ के बाहर स्थित कोई भी प्रदाता या परिनियोजक जिसका सिस्टम यूरोपीय संघ में उपयोग होने वाला आउटपुट उत्पन्न करता है, वह भी इसके दायरे में आता है। व्यावहारिक प्रभाव GDPR के समान ही है: गैर-यूरोपीय संघ के विक्रेताओं के साथ किए गए अनुबंधों में दायित्वों का पालन करना अनिवार्य है, क्योंकि एक डच परिनियोजक केवल कागज़ पर ही अनुपालन नहीं कर सकता, क्योंकि उसके पास कोई वास्तविक अनुबंध नहीं है।

आवेदन समय सारिणी

अधिनियम का चरणबद्ध कार्यान्वयन सबसे अधिक गलत समझा जाने वाला हिस्सा है, जिसका एक कारण यह है कि अधिनियम को अपनाने के बाद समय सारिणी में संशोधन किया गया था। कृत्रिम बुद्धिमत्ता पर प्रतिबंध और इसे सुनिश्चित करने का दायित्व 2 फरवरी 2025 से लागू हो गया है। सामान्य प्रयोजन वाले कृत्रिम बुद्धिमत्ता मॉडलों के नियम, शासन संरचना और दंड व्यवस्था, 2 अगस्त 2025 से लागू हो गए हैं। शेष प्रावधानों का बड़ा हिस्सा, जिसमें लोगों के साथ संवाद करने वाले या कृत्रिम सामग्री उत्पन्न करने वाले सिस्टम के लिए पारदर्शिता दायित्व शामिल हैं, 2 अगस्त 2026 से लागू हो गए।

उच्च जोखिम व्यवस्था में बदलाव किया गया है। डिजिटल व्यापक पैकेज के तहत, रोजगार, शिक्षा, ऋण और आवश्यक सेवाओं जैसे क्षेत्रों में उपयोग की जाने वाली स्वतंत्र प्रणालियों (परिशिष्ट III में सूचीबद्ध) के लिए दायित्व 2 दिसंबर 2027 से लागू होंगे। यूरोपीय संघ के उत्पाद कानून के अंतर्गत पहले से ही शामिल उच्च जोखिम वाली कृत्रिम बुद्धिमत्ता (एआई) के लिए दायित्व (परिशिष्ट I में सूचीबद्ध) 2 अगस्त 2028 से लागू होंगे। अधिनियम में अन्य कोई प्रावधान स्थगित नहीं किया गया है: प्रतिबंध, सामान्य प्रयोजन मॉडल नियम और पारदर्शिता संबंधी कर्तव्य यथावत बने रहेंगे।

स्थगित करने का मतलब अप्रासंगिक होना नहीं है। उच्च जोखिम वाले सिस्टमों के लिए खरीद प्रक्रिया, मॉडल प्रशिक्षण और विक्रेता अनुबंध कई वर्षों तक चलते हैं, और आज खरीदा गया सिस्टम तब भी चल रहा होगा जब उसकी जिम्मेदारियां पूरी होनी शुरू होंगी। स्थगन से कार्यान्वयन के लिए समय मिल जाता है; लेकिन इससे इसके लिए डिज़ाइन करने की आवश्यकता समाप्त नहीं होती।

जोखिम के चार स्तर

वर्गीकरण सर्वोपरि है, क्योंकि श्रेणी ही दायित्वों का निर्धारण करती है। किसी भी दिशा में गलती करना महंगा पड़ सकता है: अपर्याप्त वर्गीकरण संगठन को कानूनी कार्रवाई के दायरे में ला खड़ा करता है, जबकि अति-वर्गीकरण एक ऐसे उपकरण पर अनुरूपता व्यवस्था का बोझ डालता है जिसकी वास्तव में आवश्यकता नहीं थी।

निषिद्ध प्रथाएँ

अनुच्छेद 5 कुछ चुनिंदा प्रथाओं पर पूर्णतः प्रतिबंध लगाता है, और यह प्रतिबंध फरवरी 2025 से लागू है। इसमें ऐसी कृत्रिम बुद्धिमत्ता (एआई) शामिल है जो अवचेतन या जानबूझकर भ्रामक तकनीकों के माध्यम से व्यवहार में हेरफेर करके गंभीर नुकसान पहुंचाती है, और ऐसी एआई जो उम्र, विकलांगता या सामाजिक या आर्थिक स्थिति से जुड़ी कमजोरियों का फायदा उठाती है। इसमें सार्वजनिक या निजी संस्थाओं द्वारा सामाजिक स्कोरिंग भी शामिल है, जहां परिणामी व्यवहार अनुचित या मूल्यांकित व्यवहार के अनुपातहीन होता है। इसमें ऐसी प्रणालियां भी शामिल हैं जो केवल प्रोफाइलिंग या व्यक्तित्व लक्षणों के आधार पर आपराधिक अपराध की भविष्यवाणी करती हैं, पहचान डेटाबेस बनाने के लिए इंटरनेट या सीसीटीवी से लक्षित चेहरे की छवियों का अनधिकृत संग्रहण, कार्यस्थल और शिक्षा में संकीर्ण चिकित्सा या सुरक्षा उपयोगों के अलावा अन्य क्षेत्रों में भावनाओं की पहचान, और नस्ल, राजनीतिक राय या यौन अभिविन्यास जैसी विशेषताओं का अनुमान लगाने के लिए बायोमेट्रिक वर्गीकरण। कानून प्रवर्तन के लिए सार्वजनिक रूप से सुलभ स्थानों में वास्तविक समय में दूरस्थ बायोमेट्रिक पहचान निषिद्ध है, सिवाय पूर्व प्राधिकरण के अधीन विशिष्ट परिस्थितियों के।

इनमें से दो मुद्दे आम नियोक्ताओं के लिए सीधे तौर पर मायने रखते हैं। कर्मचारियों पर भाव-निर्धारण तकनीक का प्रयोग, उदाहरण के लिए कॉल सेंटर में आवाज के लहजे या मीटिंग में ध्यान केंद्रित करने की क्षमता को मापने वाला सॉफ्टवेयर, कोई अस्पष्ट मामला नहीं बल्कि एक प्रतिबंधित प्रथा है। और इस अधिनियम में प्रवर्तन का जोखिम सबसे अधिक है।

उच्च जोखिम वाली प्रणालियाँ

कोई प्रणाली दो स्थितियों में से किसी एक में उच्च जोखिम वाली मानी जाती है। यह यूरोपीय संघ के उत्पाद कानून के अंतर्गत आने वाले उत्पाद का एक सुरक्षा घटक है, जो परिशिष्ट I में सूचीबद्ध है, जैसे कि चिकित्सा उपकरण, मशीनरी, लिफ्ट या वाहन, और उस उत्पाद के लिए तृतीय-पक्ष अनुरूपता मूल्यांकन आवश्यक है। या यह परिशिष्ट III में सूचीबद्ध क्षेत्रों में से किसी एक के अंतर्गत आता है: बायोमेट्रिक्स, महत्वपूर्ण अवसंरचना, शिक्षा और व्यावसायिक प्रशिक्षण, रोजगार और श्रमिक प्रबंधन, आवश्यक निजी और सार्वजनिक सेवाओं तक पहुंच जिसमें साख और जीवन एवं स्वास्थ्य बीमा मूल्य निर्धारण शामिल है, कानून प्रवर्तन, प्रवासन और सीमा नियंत्रण, और न्याय प्रशासन एवं लोकतांत्रिक प्रक्रियाएं।

परिशिष्ट III कोई सर्वव्यापी नियम नहीं है। इन क्षेत्रों में से किसी एक में कोई सिस्टम उच्च जोखिम वाला नहीं माना जाता है यदि वह कोई सीमित प्रक्रियात्मक कार्य करता है, पहले से किए गए मानवीय कार्य के परिणाम में सुधार करता है, मानवीय मूल्यांकन को प्रतिस्थापित किए बिना निर्णय पैटर्न का पता लगाता है, या कोई प्रारंभिक कार्य करता है। जो प्रदाता इस अपवाद का लाभ उठाता है, उसे अपने मूल्यांकन का दस्तावेजीकरण करना होगा, और व्यक्तियों की प्रोफाइलिंग हमेशा सिस्टम को उच्च जोखिम वाली श्रेणी में रखती है। डच नियोक्ताओं के लिए व्यावहारिक परिणाम यह है कि नौकरी के आवेदकों को रैंक या फ़िल्टर करने, कार्य आवंटित करने या प्रदर्शन की निगरानी और मूल्यांकन करने वाला उपकरण उच्च जोखिम वाला है, जबकि केवल रिक्ति पाठ को प्रारूपित या वर्तनी जांचने वाला उपकरण उच्च जोखिम वाला नहीं है।

पारदर्शिता संबंधी दायित्व

अनुच्छेद 50 जोखिम स्तर की परवाह किए बिना लागू होता है और अगस्त 2026 से प्रभावी है। लोगों के साथ सीधे बातचीत करने वाली किसी भी प्रणाली को यह स्पष्ट करना होगा कि वे एक कृत्रिम बुद्धिमत्ता प्रणाली से निपट रहे हैं, जब तक कि यह संदर्भ से स्पष्ट न हो। कृत्रिम ऑडियो, छवि, वीडियो और पाठ सामग्री को मशीन-पठनीय तरीके से कृत्रिम रूप से उत्पन्न या हेरफेर की गई सामग्री के रूप में चिह्नित किया जाना चाहिए। डीपफेक प्रकाशित करने वाले किसी भी प्रवर्तक को, यानी ऐसी सामग्री जो वास्तविक लोगों, स्थानों या घटनाओं से काफी मिलती-जुलती हो और प्रामाणिक प्रतीत हो, यह खुलासा करना होगा कि यह कृत्रिम रूप से उत्पन्न है। इसी प्रकार, सार्वजनिक हित के मामलों पर जनता को सूचित करने के लिए कृत्रिम बुद्धिमत्ता द्वारा उत्पन्न पाठ प्रकाशित करने वाले किसी भी प्रवर्तक को इसका खुलासा करना होगा, जब तक कि किसी मानव द्वारा पाठ की समीक्षा न की गई हो और कोई व्यक्ति इसके लिए संपादकीय जिम्मेदारी वहन न करता हो। भावना पहचान और बायोमेट्रिक वर्गीकरण प्रणालियों, जहां भी उन्हें अनुमति दी गई है, के लिए यह अनिवार्य है कि वे उनसे प्रभावित लोगों को सूचित करें।

बाकि सब कुछ

स्पैम फिल्टर और मांग पूर्वानुमान से लेकर दस्तावेज़ खोज तक, व्यावसायिक उपयोग में आने वाली अधिकांश कृत्रिम बुद्धिमत्ता उपरोक्त सभी के दायरे से बाहर है और इस अधिनियम के अंतर्गत सामान्य कृत्रिम बुद्धिमत्ता साक्षरता कर्तव्य के अलावा कोई अन्य दायित्व नहीं रखती है। अधिनियम कृत्रिम बुद्धिमत्ता के लिए लाइसेंस की आवश्यकता नहीं बनाता है, और न ही यह किसी को सामान्य व्यावसायिक सॉफ़्टवेयर पंजीकृत करने के लिए बाध्य करता है।

उच्च जोखिम प्रणाली के प्रदाता को क्या करना चाहिए

उच्च जोखिम व्यवस्था यूरोपीय संघ के उत्पाद कानून की तरह ही बनाई गई है, और इसे समझने की कुंजी यही है। प्रदाता को सिस्टम के बाजार में आने से पहले ही उसकी अनुरूपता साबित करनी होगी और उसके बाद भी इसे लगातार साबित करते रहना होगा। ये आवश्यकताएं अधिनियम के अनुच्छेद 9 से 15 में दी गई हैं और प्रत्येक अनुच्छेद में एक विशिष्ट तरीके का उल्लेख है जिससे एक एआई सिस्टम विफल हो सकता है।

जोखिम प्रबंधन प्रणाली को संपूर्ण जीवनचक्र में लागू होना चाहिए, जिसमें स्वास्थ्य, सुरक्षा और मौलिक अधिकारों के लिए संभावित जोखिमों की पहचान करना और उनके खिलाफ उपाय अपनाना शामिल है, जिसमें संभावित दुरुपयोग के खिलाफ उपाय भी शामिल हैं। प्रशिक्षण, सत्यापन और परीक्षण डेटा को डेटा गवर्नेंस आवश्यकताओं को पूरा करना होगा: प्रासंगिकता, प्रतिनिधित्व, पूर्वाग्रह की जांच और इच्छित उद्देश्य के लिए उपयुक्त सांख्यिकीय गुण। सिस्टम को बाजार में लाने से पहले तकनीकी दस्तावेज मौजूद होने चाहिए और इतने विस्तृत होने चाहिए कि कोई प्राधिकरण अनुरूपता का आकलन कर सके। सिस्टम को घटनाओं को स्वचालित रूप से लॉग करना होगा ताकि इसके संचालन का पता लगाया जा सके। उपयोग के लिए दिए गए निर्देशों में सिस्टम के कार्यों, उसकी सटीकता, उसकी ज्ञात सीमाओं और निगरानी के तरीकों के बारे में जानकारी होनी चाहिए। सिस्टम को इस तरह से डिजाइन किया जाना चाहिए कि कोई व्यक्ति वास्तव में हस्तक्षेप कर सके, जिसमें एक स्टॉप फ़ंक्शन भी शामिल हो। और इसे निर्देशों में घोषित सटीकता, मजबूती और साइबर सुरक्षा के उचित स्तर तक पहुंचना होगा।

इन मूलभूत आवश्यकताओं के इर्द-गिर्द प्रक्रिया घूमती है। प्रदाता एक गुणवत्ता प्रबंधन प्रणाली बनाए रखता है, अनुरूपता मूल्यांकन करता है (जो अधिकांश अनुलग्नक III प्रणालियों के लिए एक आंतरिक नियंत्रण प्रक्रिया है, लेकिन कुछ बायोमेट्रिक प्रणालियों के लिए इसमें एक अधिसूचित निकाय शामिल होता है), यूरोपीय संघ की अनुरूपता घोषणा तैयार करता है, सीई चिह्न लगाता है, और सिस्टम को सेवा में लाने से पहले यूरोपीय संघ के डेटाबेस में पंजीकृत करता है। लॉन्च के बाद, एक पोस्ट-मार्केट मॉनिटरिंग योजना क्षेत्र से अनुभव एकत्र करती है, और गंभीर घटनाओं की रिपोर्ट कम समय सीमा के भीतर बाजार निगरानी प्राधिकरण को देनी होती है।

मानवीय निगरानी पर विशेष ध्यान देना आवश्यक है क्योंकि यहीं से कागज़ी अनुपालन और वास्तविक अनुपालन में अंतर स्पष्ट होता है। एक ऐसा ओवरराइड बटन जिसका उपयोग करने का प्रशिक्षण किसी को नहीं दिया गया हो, या एक ऐसा समीक्षक जो प्रति घंटे सौ एल्गोरिथम अनुशंसाओं को मंजूरी दे देता हो, निगरानी नहीं है। अधिनियम के अनुसार, इस कार्य के लिए नियुक्त व्यक्तियों को सिस्टम की क्षमताओं और सीमाओं को समझना, स्वचालन पूर्वाग्रह के प्रति सतर्क रहना, आउटपुट की सही व्याख्या करने में सक्षम होना और इसका उपयोग न करने का निर्णय लेने में सक्षम होना आवश्यक है। इसका प्रभाव न केवल इंटरफ़ेस पर पड़ता है, बल्कि कर्मचारियों की संख्या और कार्यभार पर भी पड़ता है।

एक परिनियोजनकर्ता को क्या करना चाहिए

अधिकांश डच संगठन कभी भी प्रदाता नहीं बनेंगे। वे एआई खरीदते हैं और उसका उपयोग करते हैं, जो उन्हें परिनियोजक बनाता है, और अनुच्छेद 26 में उल्लिखित परिनियोजक दायित्वों की अनदेखी होने की सबसे अधिक संभावना है। उच्च जोखिम वाली प्रणाली के परिनियोजक को निर्देशों के अनुसार इसका उपयोग करना होगा, ऐसे लोगों को मानवीय पर्यवेक्षण सौंपना होगा जिनके पास इसे करने की क्षमता, प्रशिक्षण और अधिकार हो, यह सुनिश्चित करना होगा कि इसके द्वारा नियंत्रित इनपुट डेटा प्रासंगिक और पर्याप्त रूप से प्रतिनिधि हो, संचालन की निगरानी करनी होगी और जोखिम की पहचान होने पर उपयोग को निलंबित करना होगा और प्रदाता को सूचित करना होगा, और स्वचालित रूप से उत्पन्न लॉग को उचित अवधि के लिए सुरक्षित रखना होगा।

कार्यस्थल से संबंधित दो कर्तव्य विशेष रूप से महत्वपूर्ण हैं। किसी उच्च जोखिम वाले एआई सिस्टम को कार्यस्थल पर लागू करने से पहले, सिस्टम को लागू करने वाली संस्था को कर्मचारियों के प्रतिनिधियों और प्रभावित कर्मचारियों को सूचित करना होगा कि वे इसके अधीन होंगे। और यदि सिस्टम का उपयोग व्यक्तियों से संबंधित निर्णय लेने या उनमें सहायता करने के लिए किया जाता है, तो उन व्यक्तियों को भी सूचित करना आवश्यक है। एक डच कंपनी में, यह सीधे तौर पर कर्मचारी परिषद से जुड़ा होता है, जिसकी सहमति कर्मचारी व्यक्तिगत डेटा के प्रसंस्करण और उपस्थिति, आचरण या प्रदर्शन की निगरानी या जाँच के लिए उपयुक्त सुविधाओं से संबंधित व्यवस्थाओं के लिए आवश्यक है। कर्मचारियों को स्कोर या रैंकिंग देने वाला एआई टूल इन दोनों को शामिल करता है। डच रोजगार कानून में एआई और स्वचालन पर हमारे लेख में हमने इसके रोजगार संबंधी पहलू को अधिक विस्तार से बताया है ।

कुछ प्रणालियों को लागू करने वालों को पहली बार उपयोग करने से पहले मौलिक अधिकारों पर प्रभाव का आकलन करना आवश्यक होता है: सार्वजनिक कानून द्वारा शासित निकाय, सार्वजनिक सेवाएं प्रदान करने वाली निजी संस्थाएं, और वे प्रणालियां जो साख का मूल्यांकन करती हैं या जीवन एवं स्वास्थ्य बीमा में जोखिम आकलन और मूल्य निर्धारण करती हैं। यह आकलन उन प्रक्रियाओं का वर्णन करता है जिनमें प्रणाली का उपयोग किया जाएगा, प्रभावित लोगों की श्रेणियां, नुकसान के विशिष्ट जोखिम और मानवीय निगरानी एवं उपचारात्मक उपाय। यह GDPR के तहत डेटा सुरक्षा प्रभाव आकलन के साथ-साथ किया जाता है, न कि उसके स्थान पर।

जोखिम स्तर की परवाह किए बिना, प्रत्येक संगठन पर एक दायित्व लागू होता है, जो फरवरी 2025 से प्रभावी है: प्रदाताओं और परिनियोजनकर्ताओं को यह सुनिश्चित करने के लिए उपाय करने होंगे कि उनकी ओर से एआई सिस्टम संचालित करने वाले कर्मचारियों में एआई साक्षरता का पर्याप्त स्तर हो, जिसमें उनके प्रशिक्षण, अनुभव और उपयोग के संदर्भ को ध्यान में रखा जाए। यह प्रमाणन की आवश्यकता नहीं है; यह सुनिश्चित करना एक कर्तव्य है कि उपकरणों का उपयोग करने वाले लोग यह समझें कि वे क्या कर सकते हैं और क्या नहीं कर सकते। यह वह दायित्व भी है जिसे साबित करना सबसे आसान है, और जिसमें विफल होना भी सबसे आसान है।

अंत में, किसी उच्च जोखिम वाली प्रणाली के आधार पर लिए गए किसी निर्णय से प्रभावित व्यक्ति को, जिसके कानूनी परिणाम होते हैं या जो उसे इसी प्रकार महत्वपूर्ण रूप से प्रभावित करता है, उस निर्णय में प्रणाली की भूमिका का स्पष्ट और सार्थक स्पष्टीकरण प्राप्त करने का अधिकार है। कोई भी व्यक्ति राष्ट्रीय बाजार निगरानी प्राधिकरण के पास शिकायत दर्ज करा सकता है।

सामान्य प्रयोजन वाले एआई मॉडल

अधिनियम का अध्याय V सामान्य प्रयोजन वाले AI मॉडल, यानी अधिकांश वर्तमान AI उत्पादों के आधारभूत बड़े मॉडल, को विनियमित करता है, और ये नियम अगस्त 2025 से लागू हैं। ऐसे मॉडल के प्रदाता को तकनीकी दस्तावेज़ तैयार करके रखना होगा, मॉडल पर आधारित सिस्टम बनाने वाले प्रदाताओं को जानकारी प्रदान करनी होगी, टेक्स्ट और डेटा माइनिंग के विरुद्ध अधिकारों के आरक्षण सहित यूरोपीय संघ के कॉपीराइट कानून का अनुपालन करने के लिए एक नीति बनानी होगी, और प्रशिक्षण के लिए उपयोग की गई सामग्री का पर्याप्त विस्तृत सारांश प्रकाशित करना होगा। प्रणालीगत जोखिम प्रस्तुत करने वाले मॉडल के प्रदाताओं के अतिरिक्त कर्तव्य हैं, जिनमें मॉडल मूल्यांकन, प्रतिकूल परीक्षण, गंभीर घटनाओं की ट्रैकिंग और रिपोर्टिंग तथा साइबर सुरक्षा सुनिश्चित करना शामिल है।

एक सामान्य डच व्यवसाय के लिए, इसका महत्व अप्रत्यक्ष है लेकिन वास्तविक है। यदि आप किसी अन्य व्यक्ति के मॉडल पर आधारित उत्पाद बनाते हैं, तो आप उस जानकारी पर निर्भर होते हैं जो उन्हें आपको प्रदान करनी अनिवार्य है, और आपके अनुबंध में इसका उल्लेख होना चाहिए। यदि आप किसी मॉडल में पर्याप्त सुधार करते हैं, तो आप स्वयं प्रदाता की भूमिका में आ सकते हैं। और यदि आपका उपयोग ऐसा है जहाँ मॉडल के प्रशिक्षण डेटा या कॉपीराइट की स्थिति मायने रखती है, तो मॉडल प्रदाता द्वारा प्रकाशित सारांश एक ऐसा दस्तावेज़ है जिसके बारे में आप वास्तव में पूछताछ कर सकते हैं।

नीदरलैंड्स में एआई अधिनियम को कौन लागू करता है?

कानून प्रवर्तन का दायित्व ब्रुसेल्स और सदस्य देशों के बीच विभाजित है। यूरोपीय स्तर पर, यूरोपीय आयोग के अंतर्गत एआई कार्यालय सामान्य प्रयोजन वाले एआई मॉडलों की सीधी निगरानी करता है, आचार संहिता और दिशानिर्देश विकसित करता है, और सदस्य देशों को एक साथ लाने वाले यूरोपीय कृत्रिम बुद्धिमत्ता बोर्ड तथा विशेषज्ञों के एक स्वतंत्र वैज्ञानिक पैनल के साथ समन्वय करता है। सामान्य प्रयोजन वाले मॉडलों के अलावा अन्य सभी चीजों का प्रवर्तन प्रत्येक सदस्य देश द्वारा नामित बाजार निगरानी प्राधिकरणों द्वारा राष्ट्रीय स्तर पर किया जाता है, और अधिनियम के अनुसार अधिसूचित निकाय तृतीय-पक्ष अनुरूपता मूल्यांकन करते हैं।

नीदरलैंड्स में इस मामले की स्थिति अभी तय नहीं हुई है। अधिनियम सीधे तौर पर लागू होता है, इसलिए व्यवसाय पहले से ही लागू हो चुके प्रावधानों से बंधे हुए हैं, लेकिन पर्यवेक्षकों और उनकी शक्तियों को निर्धारित करने वाला राष्ट्रीय कार्यान्वयन अधिनियम अभी तक लागू नहीं हुआ है। इसका मसौदा 2026 के वसंत में सार्वजनिक परामर्श के लिए जारी किया गया था और अब विधायी प्रक्रिया से गुजर रहा है, जिसका अर्थ है कि अंतिम पदनाम और शक्तियों का सटीक आवंटन अभी भी बदल सकता है और कोई निश्चित तिथि नहीं मानी जानी चाहिए।

मसौदा मॉडल एक हाइब्रिड मॉडल है। मौजूदा क्षेत्र नियामक अपने-अपने क्षेत्रों में बाजार निगरानी प्राधिकरण बन जाते हैं, इसलिए स्वास्थ्य सेवा में एआई स्वास्थ्य निरीक्षणालय के अंतर्गत आता है, कार्यस्थल में एआई श्रम निरीक्षणालय के अंतर्गत आता है, इत्यादि। डच डेटा संरक्षण प्राधिकरण (Autoriteit Persoonsgegevens) और डिजिटल इन्फ्रास्ट्रक्चर निरीक्षण (Rijksinspectie Digitale Infrastructuur) को समन्वयकारी भूमिकाएँ दी गई हैं, जिसमें AP उन उच्च जोखिम वाली प्रणालियों के अवशिष्ट पर्यवेक्षक के रूप में कार्य करता है जिनका कोई स्पष्ट क्षेत्र नियामक नहीं है और RDI राष्ट्रीय संपर्क बिंदु के रूप में कार्य करता है। व्यवसायों के लिए इसका अर्थ है कि व्यावहारिक प्रश्न केवल यह नहीं है कि कोई प्रणाली उच्च जोखिम वाली है या नहीं, बल्कि यह भी है कि कौन सा नियामक इसकी निगरानी करेगा।

दंड व्यवस्था स्तरबद्ध और कठोर है। सबसे कठोर स्तर, जिसे एक निश्चित अधिकतम राशि या वैश्विक वार्षिक कारोबार के प्रतिशत के रूप में व्यक्त किया जाता है, जो भी अधिक हो, अनुच्छेद 5 में उल्लिखित प्रतिबंधों के उल्लंघन पर लागू होता है। मध्य स्तर अधिकांश अन्य दायित्वों के उल्लंघन पर लागू होता है, जिसमें उच्च जोखिम संबंधी आवश्यकताएं और पारदर्शिता संबंधी कर्तव्य शामिल हैं। निम्न स्तर अधिसूचित निकायों या अधिकारियों को गलत, अपूर्ण या भ्रामक जानकारी प्रदान करने पर लागू होता है। वर्तमान अधिकतम सीमाएं विनियमन के अनुच्छेद 99 में निर्धारित हैं, और लघु एवं मध्यम आकार के उद्यमों और स्टार्टअप्स के लिए कम सीमाएं लागू होती हैं। हालांकि, प्रवर्तन केवल जुर्माने तक सीमित नहीं है: बाजार निगरानी प्राधिकरण सुधारात्मक कार्रवाई की मांग कर सकते हैं, किसी प्रणाली को उपलब्ध कराने पर प्रतिबंध लगा सकते हैं या उसे वापस लेने का आदेश दे सकते हैं।

एआई अधिनियम डेटा संरक्षण और दायित्व के साथ किस प्रकार जुड़ा हुआ है?

एआई अधिनियम किसी भी चीज़ का प्रतिस्थापन नहीं करता है। इसे मौजूदा कानून में जोड़ा गया है, और अधिकांश डच एआई परियोजनाओं में जीडीपीआर ही अधिक महत्वपूर्ण साधन बना हुआ है। व्यक्तिगत डेटा पर प्रशिक्षित या लागू प्रत्येक एआई प्रणाली को अभी भी एक कानूनी आधार की आवश्यकता होती है, पारदर्शिता संबंधी दायित्वों को पूरा करना होता है, और जहां प्रसंस्करण से उच्च जोखिम उत्पन्न होने की संभावना है, वहां डेटा सुरक्षा प्रभाव मूल्यांकन की आवश्यकता होती है। स्वचालित व्यक्तिगत निर्णय लेने संबंधी जीडीपीआर का अपना नियम एआई अधिनियम से स्वतंत्र रूप से लागू होता है, और यह संबंधित व्यक्ति को मानवीय हस्तक्षेप और निर्णय को चुनौती देने का अधिकार देता है। सामान्य डेटा संरक्षण विनियमन का हमारा अवलोकन उस ढांचे को स्पष्ट करता है।

दायित्व वह क्षेत्र है जहां अपेक्षाएं अक्सर वास्तविकता से कहीं आगे निकल जाती हैं। प्रस्तावित एआई दायित्व निर्देश, जो एआई द्वारा होने वाले नुकसान के लिए दीवानी दावों में सामंजस्य स्थापित करता, वापस ले लिया गया है। इससे दो रास्ते बचते हैं। पहला है राष्ट्रीय कानून: नीदरलैंड्स में, नागरिक संहिता के अनुच्छेद 6:162 के तहत अपकृत्य का दावा, या आपूर्तिकर्ता के खिलाफ संविदात्मक दावा, जिसका मूल्यांकन कारण और प्रमाण के भार के सामान्य नियमों के अनुसार किया जाता है। दूसरा है संशोधित यूरोपीय उत्पाद दायित्व व्यवस्था, जो स्पष्ट रूप से एआई प्रणालियों सहित सॉफ्टवेयर को उत्पाद की अवधारणा के अंतर्गत लाती है और दावेदारों की साक्ष्य संबंधी स्थिति को सरल बनाती है; सदस्य देशों को इसे राष्ट्रीय कानून में शामिल करना होगा, और जब तक डच कार्यान्वयन कानून लागू नहीं हो जाता, नागरिक संहिता के मौजूदा उत्पाद दायित्व प्रावधान लागू रहेंगे।

आपराधिक उत्तरदायित्व एक अलग प्रश्न है, और एआई अधिनियम इसका कोई उत्तर नहीं देता। यदि कोई स्वायत्त प्रणाली नुकसान पहुंचाती है, तो डच आपराधिक कानून जानबूझकर या लापरवाही से काम करने वाले किसी व्यक्ति या कानूनी संस्था को दोषी ठहराता है, जो नियामक अनुपालन से बिल्कुल अलग प्रक्रिया है। हम एआई और आपराधिक कानून पर अपने लेख में इस पर चर्चा करते हैं: जब कोई मशीन अपराध करती है तो कौन जिम्मेदार होता है?

अनुपालन का एक व्यावहारिक मार्ग

यह कार्य चार चरणों में विभाजित है, और पहले दो चरण उन संगठनों के लिए भी करने योग्य हैं जो आश्वस्त हैं कि उनके पास कोई उच्च जोखिम वाली चीज नहीं है।

सबसे पहले एक सूची बनाएं। संगठन द्वारा विकसित, खरीदे गए, स्थापित या परीक्षणाधीन सभी एआई सिस्टमों की सूची बनाएं, जिसमें वे उपकरण भी शामिल हों जो खरीद के बजाय विभागीय सदस्यता के माध्यम से प्राप्त हुए हैं। प्रत्येक सिस्टम के लिए यह रिकॉर्ड करें कि वह क्या करता है, उसे कौन प्रदान करता है, वह किस डेटा का उपयोग करता है, उसे कौन संचालित करता है और वह किन निर्णयों को प्रभावित करता है। केंद्रीय निगरानी के बिना टीमों द्वारा अपनाई गई शैडो एआई में ही वर्गीकरण संबंधी अधिकांश अप्रत्याशित समस्याएं सामने आती हैं।

इसके बाद, प्रत्येक सिस्टम के लिए अपनी भूमिका और जोखिम स्तर का निर्धारण करें, क्योंकि एक ही टूल के प्रदाता या डिप्लॉयर होने के आधार पर अलग-अलग दायित्व उत्पन्न होते हैं। इसके पीछे का कारण रिकॉर्ड करें, विशेष रूप से तब जब आप यह निष्कर्ष निकालते हैं कि अनुलग्नक III सिस्टम अपवादों में से एक के अंतर्गत आता है; पर्यवेक्षक सबसे पहले यही रिकॉर्ड मांगेगा।

इसके बाद, वास्तविक दायित्वों के आधार पर गैप एनालिसिस करें। उच्च जोखिम वाली प्रणाली को लागू करने वाले के लिए इसका अर्थ है निगरानी व्यवस्था और उसे लागू करने वाले व्यक्तियों की योग्यता, इनपुट डेटा की गुणवत्ता, लॉग का रखरखाव, कर्मचारियों और उनके प्रतिनिधियों को दी जाने वाली जानकारी, और जहां लागू हो, मौलिक अधिकारों के प्रभाव का आकलन। प्रदाता के लिए इसका अर्थ है अनुच्छेद 9 से 15 तक की पूरी फाइल के साथ-साथ गुणवत्ता प्रबंधन प्रणाली और अनुरूपता प्रक्रिया।

अंत में, अनुबंधों और शासन व्यवस्था को सुव्यवस्थित करें। विक्रेता समझौतों में आपूर्तिकर्ता को उपयोग संबंधी निर्देश, परिनियोजनकर्ता को आवश्यक तकनीकी जानकारी, घटना सूचनाएँ और नियामक अनुरोधों के लिए सहायता प्रदान करने के लिए बाध्य किया जाना चाहिए, और यदि सिस्टम का वर्गीकरण गलत पाया जाता है तो जिम्मेदारी का निर्धारण किया जाना चाहिए। आंतरिक रूप से, एआई अनुपालन का स्वामित्व किसी नामित व्यक्ति को सौंपें, इसे एक समानांतर संरचना बनाने के बजाय मौजूदा गोपनीयता और सुरक्षा शासन व्यवस्था से जोड़ें, और एआई साक्षरता दायित्व को प्रशिक्षण कैलेंडर में शामिल करें। हमारी आईटी कानून शाखा संगठनों को ठीक इसी क्रम में सहायता प्रदान करती है।

पांच गलत धारणाएं जिन्हें दूर करना आवश्यक है

लगभग हर प्रारंभिक बातचीत में वही गलतफहमियां सामने आती हैं, और उनमें से प्रत्येक संगठनों को गलत जगह पर प्रयास खर्च करने के लिए प्रेरित करती है।

पहला यह है कि अधिनियम सामान्य एआई के उपयोग पर प्रतिबंध लगाता है या उसे लाइसेंस देता है। यह दोनों में से कुछ भी नहीं करता। किसी आंतरिक ज्ञापन का मसौदा तैयार करने के लिए वाणिज्यिक चैट सहायक का उपयोग करने से एआई साक्षरता के अलावा कोई दायित्व उत्पन्न नहीं होता है, और यदि आउटपुट जनता को सूचित करने के लिए प्रकाशित किया जाता है, तो प्रकटीकरण का दायित्व भी लागू होता है। कठोर नियम लागू होने का कारण सिस्टम का उद्देश्य है, न कि उसके पीछे की तकनीक।

दूसरी बात यह है कि मानव हस्ताक्षर से उच्च जोखिम का लेबल हट जाता है। ऐसा नहीं है। संकीर्ण प्रक्रियात्मक या प्रारंभिक कार्य करने वाली प्रणालियों के लिए अपवाद बहुत सीमित है, और उम्मीदवारों को रैंक देने या गहन समीक्षा के लिए फाइलों को चिह्नित करने वाला उपकरण निर्णय को प्रभावित करता है, भले ही उस पर किसी व्यक्ति के हस्ताक्षर हों। रबर स्टैंप मानव निगरानी नहीं है और यह परिशिष्ट III से बचने का कोई उपाय नहीं है।

तीसरी बात यह है कि केवल डेवलपर्स ही विनियमित होते हैं। सिस्टम को तैनात करने वालों के दायित्व वास्तविक होते हैं, उन्हें सिस्टम का उपयोग करने वाले संगठन के विरुद्ध लागू किया जा सकता है, और उनमें से कई, जैसे कि कर्मचारियों और उनके प्रतिनिधियों को सूचित करना, सक्षम पर्यवेक्षण नियुक्त करना, लॉग रखना, विक्रेता को सौंपे नहीं जा सकते।

चौथा नियम यह है कि पहले से स्थापित सभी प्रणालियों को पूर्व-स्थापित नियमों के अंतर्गत रखा गया है। उच्च जोखिम नियमों के लागू होने से पहले बाज़ार में उतारी गई प्रणालियाँ सैद्धांतिक रूप से तभी दायरे में आती हैं जब उनके डिज़ाइन में बाद में महत्वपूर्ण परिवर्तन किए जाते हैं, लेकिन यह छूट जितनी लगती है उससे कहीं अधिक सीमित है: मॉडल अपडेट, पुनः प्रशिक्षण और पुनर्उद्देश्यीकरण ठीक उसी प्रकार के परिवर्तन हैं जो किसी प्रणाली को फिर से दायरे में लाते हैं। सार्वजनिक प्राधिकरणों द्वारा उपयोग की जाने वाली प्रणालियों पर एक अलग और अधिक सख्त नियम लागू होता है। संक्रमणकालीन स्थिति पर निर्भर रहने की योजना बनाने वाले किसी भी व्यक्ति को वर्तमान कॉन्फ़िगरेशन का दस्तावेजीकरण करना चाहिए।

पांचवा बिंदु यह है कि एआई अधिनियम मौजूदा कानूनों से ऊपर है। यह उनके ऊपर लागू होता है। डेटा संरक्षण, गैर-भेदभाव कानून, उपभोक्ता कानून, क्षेत्र विनियमन, रोजगार कानून और श्रमिक परिषद के अधिकार सभी पूर्ण रूप से लागू होते रहेंगे, और नीदरलैंड्स में आमतौर पर एआई अधिनियम के बजाय इनमें से ही कोई एक कानून पहली ठोस शिकायत का आधार बनता है। एआई अधिनियम का पालन करने वाली लेकिन जीडीपीआर का उल्लंघन करने वाली एआई परियोजना अनुपालन नहीं करती है, और इसका विपरीत भी उतना ही सत्य है।

ज़्यादातर पूछे जाने वाले सवाल

इस अधिनियम के बारे में होने वाली लगभग हर पहली बातचीत में नीचे दिए गए प्रश्न सामने आते हैं।

Law & More हम प्रदाताओं और परिनियोजनकर्ताओं को एआई अधिनियम वर्गीकरण, आपूर्ति श्रृंखला में अनुपालन को व्यावहारिक बनाने वाले अनुबंधों और डेटा सुरक्षा एवं दायित्व के बीच संबंध के बारे में सलाह देते हैं। यदि आप यह पता लगाने की कोशिश कर रहे हैं कि आपके द्वारा निर्मित या उपयोग किए जा रहे सिस्टम पर कौन से दायित्व लागू होते हैं, तो हमें आपके साथ इस पर चर्चा करने में खुशी होगी।