कंपनी और ग्राहक डेटा ChatGPT में डालना कब सुरक्षित है?

पहले डेटा को वर्गीकृत करें

“सिर्फ भाषा सुधारनी है” फिर भी सावधानी क्यों ज़रूरी है

Prompt भी input data है

कई लोग सोचते हैं कि “बस text paste करना” document upload करने जैसा नहीं है। लेकिन data processing के नज़रिए से prompt, attachment और upload की गई दूसरी सामग्री भी service input बन सकती है। OpenAI की privacy policy स्पष्ट करती है कि services के input में दिए गए Personal Data को collect किया जाता है, जिसमें prompts और uploaded content शामिल हैं।

इसलिए AI इस्तेमाल करने से पहले data minimisation करें: जहां original text की ज़रूरत नहीं, वहां summary दें; जहां पूरा document ज़रूरी नहीं, वहां छोटा relevant हिस्सा दें; और जहां पहचान हट सकती है, वहां पहले पहचान हटाएं।

Enterprise controls मदद करते हैं, पर company policy फिर भी ज़रूरी है

OpenAI का enterprise privacy page business data पर ownership and control की बात करता है, और ChatGPT Business, ChatGPT Enterprise व API के लिए DPA support का उल्लेख करता है। OpenAI का business data page data retention policies, Enterprise Key Management और GDPR, CCPA व कुछ security/compliance frameworks के support/alignment का उल्लेख करता है।

ये controls risk management में मदद कर सकते हैं, लेकिन company को फिर भी साफ नियम बनाने होंगे: कौन-सा डेटा input किया जा सकता है, किस डेटा को पहले de-identify करना है, कौन-सा डेटा बिल्कुल नहीं डालना है, access किसे मिलेगा, और गलती होने पर report कैसे करनी है।

Tool सुरक्षित हो सकता है, पर content डालने की अनुमति अलग सवाल है

किसी AI tool में enterprise-level controls हों, तब भी डेटा पर customer contracts, industry rules या internal confidentiality obligations लागू हो सकते हैं। फैसला इस आधार पर न लें कि “AI मदद करेगा या नहीं”; पहले यह पूछें कि “क्या यह डेटा अपने मौजूदा controlled environment से बाहर जाना चाहिए?”

Paste करने से पहले ये 4 सवाल पूछें

1. क्या इसमें personal या customer data है?

अगर जानकारी किसी व्यक्ति या ग्राहक को सीधे या indirectly identify कर सकती है, तो उसे high-risk मानें। practical तरीका: नाम, phone number, email, address, account number, order number, case ID, identity details और payment information हटाएं या replace करें। यह इसलिए भी ज़रूरी है क्योंकि prompt खुद service input बन सकता है।

2. क्या यह company confidential है?

Personal data न होने पर भी जानकारी sensitive business data हो सकती है—जैसे quotation, contract terms, unpublished revenue, internal process, product strategy या customer list। ऐसी जानकारी को केवल “format ठीक करवाना है” कहकर unapproved tool में मूल रूप में paste न करें।

3. क्या आप company-approved AI environment इस्तेमाल कर रहे हैं?

Private account, free tool या बिना approval वाला external AI tool company data processing environment नहीं माना जाना चाहिए। अगर काम में business data प्रोसेस करना ही है, तो company-approved solution इस्तेमाल करें और देखें कि DPA, data retention policy, Enterprise Key Management या अन्य controls आपकी company requirements से मेल खाते हैं या नहीं।

4. क्या task के लिए original text सच में ज़रूरी है?

कई AI tasks पूरे original data के बिना हो जाते हैं। उदाहरण के लिए customer reply draft करवाने के लिए अक्सर complaint का सार, tone की अपेक्षा और allowed next steps काफी होते हैं; ग्राहक का असली नाम, phone number, address, order number या पूरा contract डालना ज़रूरी नहीं होता।

ज़्यादा सुरक्षित AI workflow

पहला कदम: company policy देखें। क्या आपकी company की AI usage policy, data classification policy, customer contract restrictions या compliance requirements हैं? अगर स्पष्टता नहीं है, तो “शायद ठीक होगा” मानकर आगे न बढ़ें।

दूसरा कदम: पहले classify करें, फिर decide करें। देखें कि content में personal data, customer data, internal secrets, contracts, financials, payment data, identity information या अन्य sensitive details हैं या नहीं। जवाब “हां” या “पता नहीं” है, तो high-risk मानें।

तीसरा कदम: minimise और de-identify करें। जहां original text की ज़रूरत नहीं, वहां original न paste करें। जहां summary काफी है, वहां पूरी file upload न करें। real names, company names, phone numbers, emails, addresses, account numbers, order numbers और case IDs को “ग्राहक A”, “supplier B”, “order 123” जैसे neutral labels से replace करें।

चौथा कदम: high-risk data सिर्फ approved environment में। अगर काम में business data प्रोसेस करना अनिवार्य है, तो company-approved enterprise solution इस्तेमाल करें और DPA, data retention policy, Enterprise Key Management या अन्य management controls की suitability confirm करें।

पांचवां कदम: संदेह हो तो escalate करें। customer, employee, identity, payment, medical, contract, financial या unpublished strategy data से जुड़ा मामला हो, तो पहले IT, legal, compliance या manager से पूछें।

Prompt rewrite example

ऐसे paste करना उचित नहीं है:

यह ग्राहक का पूरा complaint email, phone number, address, order number और contract text है। कृपया reply लिख दें।

ज़्यादा सुरक्षित तरीका:

नीचे de-identified customer complaint summary है। ग्राहक A का कहना है कि product delivery 10 दिन late है और वह refund चाहता/चाहती है। कृपया एक polite reply draft करें, जिसमें issue acknowledge हो और next steps बताए जाएं। कोई ऐसा fact न जोड़ें जो मैंने नहीं दिया है।

यह तरीका risk को zero नहीं करता, लेकिन अनावश्यक personal data और company data exposure कम करता है। चूंकि OpenAI की privacy policy services के input में दिए गए Personal Data—prompts सहित—के collection का उल्लेख करती है, इसलिए input को कम रखना basic safety practice है।

क्या enterprise version का मतलब है कि सब कुछ paste किया जा सकता है?

नहीं। Enterprise या API setup में contract, retention और admin controls बेहतर हो सकते हैं। OpenAI कहता है कि उसके relevant business services business data पर ownership and control देते हैं और GDPR जैसी privacy laws के compliance support के लिए DPA किया जा सकता है। OpenAI Enterprise Key Management, data retention policies और GDPR, CCPA व कुछ security/compliance frameworks के support/alignment का भी उल्लेख करता है।

लेकिन ये controls सिर्फ risk management का एक हिस्सा हैं। company को फिर भी तय करना होगा: कौन-सा डेटा allowed है, क्या पहले de-identification चाहिए, कौन-सा डेटा prohibited है, किसे access मिलेगा, और incident होने पर record/report कैसे होगा।

त्वरित चेकलिस्ट

कंपनी या customer data ChatGPT/AI में डालने से पहले यह check करें:

• company policy इस use case की अनुमति देती है
• content में customer personal data नहीं है, या de-identification पूरी हो चुकी है
• content में company secret नहीं है, या उसे process करने की approval है
• आपने सिर्फ न्यूनतम ज़रूरी content डाला है; पूरी raw file upload नहीं की
• आप private या unapproved account नहीं, बल्कि company-approved tool इस्तेमाल कर रहे हैं
• enterprise solution इस्तेमाल हो रहा है तो DPA, data retention policy और relevant management controls verify हो चुके हैं
• संदेह होने पर IT, legal, compliance या manager से पूछ लिया है

सबसे practical rule यह है: public और low-sensitivity data पर AI का उपयोग company policy के भीतर किया जा सकता है; लेकिन customer, contract, finance, identity, payment, unpublished business information या company confidential data को सामान्य या unapproved AI tool में मूल रूप में paste न करें। पहले minimise करें, de-identify करें, और high-risk काम सिर्फ approved controlled environment में करें।