क्या AI GDPR/DSGVO के अनुरूप है? जर्मनी और EU के लिए साफ़ जवाब

संक्षिप्त जवाब: AI को सिर्फ इसलिए GDPR/DSGVO के अनुरूप नहीं माना जा सकता कि वह AI है। और केवल AI होने की वजह से वह अपने-आप प्रतिबंधित भी नहीं हो जाता। EU डेटा संरक्षण ढांचे में असली सवाल यह है कि किसी खास AI मॉडल के विकास, तैनाती या इस्तेमाल में व्यक्तिगत डेटा प्रोसेस हो रहा है या नहीं—और यदि हाँ, तो उसका उद्देश्य, कानूनी आधार, जोखिम और आगे की प्रोसेसिंग कैसे संभाली गई है ।

GDPR का जर्मन संक्षिप्त नाम DSGVO है। इसलिए जर्मनी के संदर्भ में भी बहस का केंद्र वही रहता है: तकनीक का लेबल नहीं, बल्कि वास्तविक डेटा प्रोसेसिंग।

फैक्ट-चेक: न सामान्य हरी झंडी, न सामान्य रोक

EDPB यानी European Data Protection Board की Opinion 28/2024 उपलब्ध स्रोतों में सबसे महत्वपूर्ण हालिया संदर्भ है। यह राय AI मॉडल के संदर्भ में व्यक्तिगत डेटा की प्रोसेसिंग से जुड़े कुछ खास डेटा-सुरक्षा पहलुओं पर केंद्रित है ।

इससे कोई सार्वभौमिक छूट नहीं निकलती कि हर AI सिस्टम GDPR/DSGVO के अनुरूप है। लेकिन इससे यह भी नहीं निकलता कि AI का हर उपयोग अवैध है। EDPB की सामग्री AI मॉडल को ऐसे संदर्भ के रूप में देखती है, जहाँ व्यक्तिगत डेटा प्रोसेस हो सकता है, और उसी प्रोसेसिंग की जांच की जाती है ।

EDPB ने 18 दिसंबर 2024 की सूचना में Opinion 28/2024 के तीन केंद्रीय प्रश्न बताए: AI मॉडल कब और कैसे अनाम माने जा सकते हैं; वैध हित यानी legitimate interest को विकास या उपयोग के कानूनी आधार के रूप में कब और कैसे लिया जा सकता है; और क्या होता है जब कोई AI मॉडल ऐसे व्यक्तिगत डेटा से विकसित हुआ हो जिसे गैर-कानूनी ढंग से प्रोसेस किया गया था ।

जर्मनी के लिए इन स्रोतों से कोई अलग, सामान्य AI-छूट नहीं मिलती। व्यावहारिक जांच वही है: कौन सा व्यक्तिगत डेटा, किस उद्देश्य से, किस कानूनी आधार पर और किस आगे के जोखिम के साथ प्रोसेस किया जा रहा है ?

Opinion 28/2024 असल में क्या साफ करती है

Opinion 28/2024 सभी AI कानूनों की पूरी गाइड नहीं है। इसका दायरा खास है: AI मॉडल के संदर्भ में व्यक्तिगत डेटा की प्रोसेसिंग से जुड़े कुछ डेटा-सुरक्षा पहलू ।

इसलिए किसी AI परियोजना का आकलन उसके नाम, प्रचार या तकनीकी चमक से नहीं होता। GDPR/DSGVO के लिए मुख्य बात यह है कि उस परियोजना में व्यक्तिगत डेटा कहाँ आता है, मॉडल में क्या बचता है, कानूनी आधार क्या है और बाद की प्रोसेसिंग पर उसका क्या असर पड़ सकता है ।

1. AI मॉडल अपने-आप अनाम नहीं हो जाता

एक आम धारणा है कि अगर कच्चा डेटा स्क्रीन पर नहीं दिख रहा, तो मॉडल अनाम होगा। EDPB की सूचना इसके बजाय कहती है कि किसी AI मॉडल को अनाम माना जा सकता है या नहीं, यह डेटा-सुरक्षा प्राधिकरणों द्वारा केस-दर-केस आंका जाना चाहिए ।

इसका मतलब है: सिर्फ यह लिख देना कि मॉडल अनाम है, पर्याप्त नहीं है। यह दिखाना होगा कि खास मॉडल, खास परिस्थितियों में सचमुच अनाम माना जा सकता है ।

यह और भी अहम हो जाता है जब व्यक्तिगत डेटा किसी रूप में मॉडल में बना रह सकता हो। ENISA की EDPB Opinion पर वेबिनार सामग्री ऐसे परिदृश्यों का उल्लेख करती है जहाँ मॉडल में व्यक्तिगत डेटा बने रहने से बाद की प्रोसेसिंग की वैधता प्रभावित हो सकती है; इसके लिए केस-दर-केस जांच जरूरी बताई गई है ।

2. वैध हित संभव है, लेकिन ऑटो-पास नहीं

EDPB ने यह सवाल सीधे लिया है कि AI मॉडल के विकास या उपयोग के लिए वैध हित यानी legitimate interest को कानूनी आधार के रूप में इस्तेमाल किया जा सकता है या नहीं, और कैसे किया जा सकता है ।

इसका अर्थ यह नहीं कि हर AI ट्रेनिंग या हर AI उपयोग वैध हित के नाम पर अपने-आप सही हो जाएगा। सवाल हमेशा यह रहेगा कि क्या यह आधार उस खास प्रोसेसिंग के लिए टिकाऊ है ।

अगर पहले के प्रोसेसिंग चरण में समस्या थी, तो जांच और गंभीर हो जाती है। ENISA सामग्री बताती है कि बाद की प्रोसेसिंग यदि वैध हित पर आधारित हो, तो प्रारंभिक गैर-कानूनी प्रोसेसिंग को उस वैध हित के आकलन में ध्यान में रखना पड़ सकता है ।

3. प्रशिक्षण डेटा की गड़बड़ी बाद में भी मायने रख सकती है

Opinion 28/2024 का एक केंद्रीय मुद्दा यह भी है कि अगर AI मॉडल ऐसे व्यक्तिगत डेटा से विकसित हुआ जिसे गैर-कानूनी ढंग से प्रोसेस किया गया था, तो उसके बाद क्या होगा ।

व्यावहारिक नतीजा यह है कि डेटा की संदिग्ध या अवैध शुरुआत सिर्फ इसलिए गायब नहीं हो जाती कि बाद में मूल डेटासेट की जगह मॉडल इस्तेमाल हो रहा है। यदि व्यक्तिगत डेटा मॉडल में बना रहता है, तो यह बाद की प्रोसेसिंग की वैधता को प्रभावित कर सकता है; ENISA सामग्री इसके लिए भी केस-दर-केस आकलन की बात करती है ।

जब कई संस्थाएं शामिल हों, तो जिम्मेदारियां और भी साफ करनी पड़ती हैं। ENISA सामग्री समान कंट्रोलर और अलग कंट्रोलर वाले परिदृश्यों में फर्क करती है और कहती है कि हर कंट्रोलर को अपनी प्रोसेसिंग की वैधता सुनिश्चित करनी चाहिए ।

AI परियोजनाओं के लिए GDPR/DSGVO चेकलिस्ट

यह सूची कानूनी सलाह का विकल्प नहीं है। यह केवल उन मुख्य जांच-बिंदुओं को व्यवस्थित करती है जो EDPB और ENISA की उपलब्ध सामग्री से AI मॉडल के संदर्भ में निकलते हैं।

1. चरण और उद्देश्य अलग करें। पहले तय करें कि बात मॉडल के विकास, तैनाती, इस्तेमाल या किसी और प्रोसेसिंग चरण की है। EDPB की सूचना व्यक्तिगत डेटा के उपयोग को AI मॉडल के विकास और तैनाती से जोड़कर देखती है ।

2. व्यक्तिगत डेटा कहाँ है, लिखित रूप में पहचानें। यह दर्ज करें कि कौन सा व्यक्तिगत डेटा कब और कहाँ प्रोसेस हो रहा है। Opinion 28/2024 का दायरा ही AI मॉडल के संदर्भ में व्यक्तिगत डेटा की प्रोसेसिंग है ।

3. अनामिकता साबित करें, केवल दावा न करें। अगर मॉडल को अनाम बताया जा रहा है, तो उसका आधार ठोस होना चाहिए। EDPB के अनुसार AI मॉडल की अनामिकता का आकलन केस-दर-केस किया जाना चाहिए ।

4. कानूनी आधार को खास प्रोसेसिंग से जोड़ें। यदि वैध हित पर भरोसा किया जा रहा है, तो देखना होगा कि यह विकास या उपयोग के खास चरण के लिए कैसे लागू होता है । उपलब्ध स्रोतों में AI के लिए कोई सामान्य GDPR/DSGVO अपवाद नहीं मिलता ।

5. मॉडल में बची सामग्री और डेटा की इतिहास-रेखा देखें। जांचें कि क्या व्यक्तिगत डेटा मॉडल में रह गया है और विकास चरण में डेटा की प्रोसेसिंग वैध थी या नहीं। दोनों बातें बाद की प्रोसेसिंग पर असर डाल सकती हैं ।

6. कंट्रोलर और जिम्मेदारियां स्पष्ट करें। अगर अलग-अलग संस्थाएं विकास, उपलब्ध कराने या इस्तेमाल में शामिल हैं, तो यह साफ होना चाहिए कि किस प्रोसेसिंग के लिए कौन जिम्मेदार है। ENISA सामग्री के अनुसार हर कंट्रोलर को अपनी प्रोसेसिंग की वैधता सुनिश्चित करनी चाहिए ।

आम गलतफहमियां

गलतफहमी: मॉडल में कच्चा डेटा नहीं दिखता, इसलिए वह अनाम है। जरूरी नहीं। EDPB की सूचना के अनुसार AI मॉडल की अनामिकता केस-दर-केस आंकी जानी चाहिए ।

गलतफहमी: वैध हित लिख देने से AI उपयोग सुरक्षित हो जाता है। EDPB यह देखती है कि वैध हित को कानूनी आधार के रूप में कब और कैसे इस्तेमाल किया जा सकता है; इससे हर AI उपयोग की स्वचालित मंजूरी नहीं मिलती ।

गलतफहमी: मॉडल ट्रेन हो गया, तो डेटा की उत्पत्ति अब अप्रासंगिक है। Opinion 28/2024 विशेष रूप से उस स्थिति को देखती है जहाँ मॉडल गैर-कानूनी ढंग से प्रोसेस किए गए व्यक्तिगत डेटा से विकसित हुआ हो । यदि व्यक्तिगत डेटा मॉडल में बना रहता है, तो बाद की प्रोसेसिंग प्रभावित हो सकती है ।

निष्कर्ष

जर्मनी और EU में AI को लेकर सही जवाब हाँ या नहीं में नहीं सिमटता। AI न तो अपने-आप GDPR/DSGVO के अनुरूप है और न अपने-आप अवैध। मजबूत फैक्ट-चेक यही है: हर AI मॉडल या उपयोग-मामले में व्यक्तिगत डेटा की वास्तविक प्रोसेसिंग, मॉडल की अनामिकता, कानूनी आधार, मॉडल में बची जानकारी और संभावित गैर-कानूनी पूर्व-प्रोसेसिंग के असर को अलग-अलग जांचना होगा ।