ईयू का Article 88c: AI प्रशिक्षण के लिए निजी डेटा पर क्या बदलेगा?

ईयू के Digital Omnibus पर बहस को अक्सर ऐसे पेश किया जाता है मानो कंपनियों को लोगों की सहमति के बिना उनके निजी डेटा से AI मॉडल प्रशिक्षित करने की खुली छूट मिलने वाली हो। बात इतनी सीधी नहीं है।

चर्चा का मुख्य प्रावधान प्रस्तावित GDPR Article 88c है। यह स्पष्ट रूप से मान्यता देगा कि GDPR के Article 6(1)(f) के तहत वैध हित (legitimate interest) कुछ स्थितियों में निजी डेटा के प्रसंस्करण का कानूनी आधार हो सकता है—जब AI सिस्टम या मॉडल के वैध डिजाइन, विकास या उपयोग के लिए वह प्रसंस्करण कार्यात्मक रूप से आवश्यक हो। लेकिन इससे GDPR खत्म नहीं होगा, वेब स्क्रैपिंग अपने-आप वैध नहीं हो जाएगी और जहां किसी दूसरे नियम के तहत सहमति जरूरी है, वहां सहमति अप्रासंगिक नहीं होगी।13

सबसे अहम बात: यह Digital Omnibus डेटा प्रस्ताव का हिस्सा है, न कि AI से संबंधित वह Digital Omnibus जो पहले ही अपनाया जा चुका है। डेटा प्रस्ताव अभी ईयू की विधायी प्रक्रिया में है; इसलिए इसका अंतिम पाठ और परिणाम तय नहीं हैं।

Article 88c से क्या बदल सकता है?

प्रस्तावित भाषा के तहत, किसी नियंत्रक (controller) या तीसरे पक्ष को AI सिस्टम या मॉडल के पूरे जीवनचक्र में निजी डेटा के प्रसंस्करण के लिए वैध हित का आधार मिल सकता है, बशर्ते वह उसके वैध डिजाइन, विकास या उपयोग के लिए कार्यात्मक रूप से जरूरी हो।3

इससे AI के संदर्भ में उस रास्ते को अधिक स्पष्टता मिलेगी जो GDPR के तहत कुछ मामलों में पहले से मौजूद हो सकता है। यूरोपीय डेटा संरक्षण बोर्ड (EDPB) पहले कह चुका है कि कुछ परिस्थितियों में AI मॉडल या सिस्टम विकसित और तैनात करने के लिए वैध हित उचित कानूनी आधार हो सकता है।45

लेकिन यहां “हो सकता है” बेहद महत्वपूर्ण है। कोई कंपनी केवल यह कहकर मुक्त नहीं हो जाएगी कि AI मॉडल बनाना उसका हित है। उसे वैध हित की सामान्य कसौटी पूरी करनी होगी:

• एक वास्तविक और वैध हित की पहचान;
• यह दिखाना कि उस हित के लिए डेटा प्रसंस्करण जरूरी है; और
• उस हित का प्रभावित लोगों के अधिकारों और स्वतंत्रताओं के साथ संतुलन करना।15

साथ ही, ईयू या सदस्य देशों के वे अन्य नियम लागू रहेंगे जो सहमति मांगते हैं। इसलिए Article 88c, मॉडल प्रशिक्षण के लिए हर तरह का सार्वजनिक या निजी व्यक्तिगत डेटा जुटाने की आम अनुमति नहीं होगा।1

प्रस्तावित सुरक्षा उपाय क्यों मायने रखते हैं?

Article 88c की बहस सिर्फ इस पर नहीं है कि वैध हित कभी लागू हो सकता है या नहीं। असली सवाल यह है कि उसके साथ कौन-से सुरक्षा उपाय अनिवार्य होंगे।

प्रावधान के इर्द-गिर्द जिन उपायों पर चर्चा हुई है, उनमें स्रोत-चयन और प्रशिक्षण के दौरान डेटा न्यूनीकरण, तकनीकी एवं संगठनात्मक सुरक्षा, सार्थक पारदर्शिता, और मशीन-पठनीय आपत्तियों या ऑप्ट-आउट को मान्यता देने वाली प्रणालियां शामिल हैं। प्रस्तावित दृष्टिकोण में इस AI-संबंधित प्रसंस्करण के खिलाफ बिना शर्त आपत्ति का अधिकार भी शामिल है।13

व्यवहार में यही सुरक्षा उपाय तय करेंगे कि वैध हित का आकलन वास्तविक है या सिर्फ कागजी दावा। डेटा न्यूनीकरण इस तर्क को सीमित करता है कि डेवलपर हर डेटा इसलिए ले सकता है क्योंकि वह कभी भविष्य में उपयोगी हो सकता है। पारदर्शिता लोगों को यह जानने का अवसर देती है कि उनके डेटा के साथ क्या हो रहा है। और आपत्ति का वास्तविक अधिकार किसी छिपे हुए सेटिंग विकल्प से अधिक होना चाहिए।

संवेदनशील डेटा के लिए खुली छूट नहीं

संवेदनशील डेटा से संबंधित एक अलग छूट पर परिषद की चर्चा ने एक संकरे दायरे पर जोर दिया है: विशेष श्रेणी के डेटा का आकस्मिक और अवशिष्ट प्रसंस्करण। यानी नियंत्रक का इरादा संवेदनशील डेटा संसाधित करने का नहीं था, लेकिन मुख्य प्रसंस्करण गतिविधि में ऐसा कुछ डेटा अनिवार्य रूप से आ गया। यह संवेदनशील निजी डेटा को जानबूझकर प्रशिक्षण सामग्री के रूप में इकट्ठा करने से अलग स्थिति है।2

EDPB और EDPS को आपत्ति क्यों है?

EDPB और यूरोपीय डेटा संरक्षण पर्यवेक्षक (EDPS) ने यह नहीं कहा कि AI-संबंधी प्रसंस्करण के लिए वैध हित कभी कानूनी आधार हो ही नहीं सकता। उनकी मुख्य आपत्ति यह है कि अलग से Article 88c की जरूरत नहीं है, क्योंकि मौजूदा GDPR विश्लेषण उपयुक्त मामलों में पहले से इस निष्कर्ष की अनुमति देता है।45

उनकी चिंता कानूनी होने के साथ व्यावहारिक भी है: AI-विशेष नया प्रावधान केवल स्पष्टीकरण से आगे बढ़कर मौजूदा GDPR सुरक्षा उपायों के बारे में अनिश्चितता पैदा कर सकता है। नियामकों की राय परामर्शात्मक है, बाध्यकारी नहीं; फिर भी विधायी बहस में उसका खास महत्व है।5

क्या Article 88c फिर से आ गया है? स्थिति अभी अनिश्चित है

उपलब्ध विधायी सामग्री बताती है कि परिषद के भीतर इस विषय पर मतभेद रहे हैं। परिषद के वार्तात्मक जनादेश पर COREPER में होने वाला प्रस्तावित मतदान खुले मुद्दों पर सहमति न बनने के बाद रद्द कर दिया गया और इसके बाद काम आयरिश परिषद अध्यक्षता के तहत जारी रहा।

आयरलैंड के अध्यक्षता कार्यक्रम में 2026 के अंत तक यूरोपीय संसद के साथ Digital Omnibus पैकेज पर समझौता करने का लक्ष्य है। हालांकि, उपलब्ध आधिकारिक सामग्री से यह स्वतंत्र रूप से स्थापित नहीं होता कि Article 88c को किसी अंतिम परिषद स्थिति में निर्णायक रूप से बहाल कर दिया गया है।

इसलिए सबसे सुरक्षित निष्कर्ष यह है: Article 88c राजनीतिक रूप से विवादित है और अभी वार्ता के दायरे में है। कंपनियां इसे GDPR की मौजूदा शर्तों की जगह लेने वाले बाध्यकारी कानूनी आधार के रूप में अभी नहीं अपना सकतीं।

दो अलग-अलग Digital Omnibus प्रस्तावों को न मिलाएं

भ्रम इसलिए भी होता है क्योंकि एक अलग उपाय—Digital Omnibus on AI—पहले ही Regulation (EU) 2026/1744 के रूप में अपनाया जा चुका है।

इस AI उपाय ने AI Act के कुछ हिस्सों की कार्यान्वयन समय-सीमा बदली है। खास तौर पर Annex III में सूचीबद्ध स्वतंत्र उच्च-जोखिम AI प्रणालियों के दायित्व 2 दिसंबर 2027 से लागू होंगे; विनियमित उत्पादों में शामिल उच्च-जोखिम प्रणालियों के लिए समय-सीमा बाद की है।1920

जब Annex III की शर्तें लागू होंगी, तब उनमें जोखिम आकलन और जोखिम कम करने के उपाय, भेदभावपूर्ण नतीजों का जोखिम घटाने के लिए उच्च-गुणवत्ता वाले डेटासेट, लॉगिंग और ट्रेसबिलिटी, दस्तावेज़ीकरण, सिस्टम तैनात करने वालों के लिए जानकारी, मानव निगरानी, मजबूती और साइबर सुरक्षा जैसे दायित्व शामिल होंगे।20

ये AI Act वाले दायित्व, AI प्रशिक्षण के लिए निजी डेटा संसाधित करने की GDPR वाली कानूनी बहस से अलग हैं। उच्च-जोखिम AI नियमों को टालने से Article 88c लागू नहीं हो जाता।

AI डेवलपर और आम लोगों के लिए इसका अर्थ

डेवलपर्स के लिए Article 88c पाठ में अधिक स्पष्टता दे सकता है, लेकिन यह अनुपालन से बचने का शॉर्टकट नहीं होगा। एक टिकाऊ अनुपालन व्यवस्था में आवश्यकता और हितों के संतुलन का दस्तावेज़ीकरण, डेटा न्यूनीकरण, पारदर्शी सूचना-प्रथाएं और आपत्तियों पर कार्रवाई की ठोस प्रक्रिया अब भी जरूरी होगी।

जिन लोगों का डेटा इस्तेमाल हो सकता है, उनके लिए सवाल यह है कि अंतिम कानून सार्थक सीमाएं बचाए रखता है या नहीं: क्या डेटा का उपयोग सच में जरूरी है, क्या संवेदनशील डेटा पर दायरा संकरा रहता है, और क्या आपत्ति दर्ज कराने का अधिकार तकनीकी रूप से प्रभावी है या केवल प्रतीकात्मक।

बड़ी तस्वीर यह नहीं है कि यूरोप ने निवारक AI विनियमन छोड़ दिया है। अपनाया जा चुका AI Omnibus कुछ उच्च-जोखिम दायित्वों को टालता है, जबकि अलग डेटा प्रस्ताव AI-संबंधी कुछ डेटा प्रसंस्करण के लिए अधिक स्पष्ट रास्ता तलाशता है। अंतिम संतुलन परिषद और यूरोपीय संसद के बीच वार्ता तथा किसी भी अपनाए गए पाठ की व्याख्या और प्रवर्तन पर निर्भर करेगा।19