मान लीजिए किसी लिस्टेड कंपनी के अकाउंटिंग कर्मचारियों को तिमाही वित्तीय रिपोर्ट से जरूरी जानकारी निकालनी है. आंकड़ों का मैन्युअल विश्लेषण करने के बजाय वे पूरी फाइल किसी AI टूल पर अपलोड करके उससे प्रमुख रुझान बताने के लिए कह देते हैं.
इसी तरह, किसी कंपनी के कस्टमर सपोर्ट कर्मचारियों के पास बड़ी संख्या में शिकायतें हैं और वे उनमें बार-बार सामने आ रही समस्याओं की पहचान करना चाहते हैं.
वे इन फाइलों को किसी लार्ज लैंग्वेज मॉडल (LLM) पर अपलोड करके उन्हें अलग-अलग श्रेणियों में बांटने के लिए कह देते हैं. अब इन फाइलों में ग्राहकों के नाम, खरीदारी से जुड़ी जानकारी, पते और फोन नंबर भी हो सकते हैं.
कर्मचारियों को लगता है कि वे काम जल्दी पूरा करके अपनी दक्षता और उत्पादकता बढ़ा रहे हैं. लेकिन टीमलीज रेगटेक के सह-संस्थापक और सीईओ ऋषि अग्रवाल चेतावनी देते हैं कि यह तरीका कंपनियों के लिए बड़ी कंप्लायंस (कानूनी और पेशेवर तौर पर जरूरी नियमों का पालन) की समस्या बन सकता है.
अग्रवाल के मुताबिक, काम को तेज और बेहतर करने की कोशिश में कर्मचारी अक्सर जानकारी को संक्षेप में पेश करने या उसका विश्लेषण करने के लिए AI टूल्स में कंपनी का काफी डेटा डाल देते हैं. उन्हें यह एहसास नहीं होता कि इस प्रक्रिया में संवेदनशील जानकारी कंपनी के नियंत्रण वाले दायरे से बाहर चली जाती है.
वे कहते हैं, "जो चीज काम जल्दी करने का एक आसान तरीका लगती है, वह डेटा सुरक्षा, गोपनीयता, बौद्धिक संपदा, साइबर सिक्योरिटी या रेगुलेटरी नियमों से जुड़े जोखिम पैदा कर सकती है. इससे कंपनियों के लिए डेटा गवर्नेंस का जोखिम पैदा होता है."
आमतौर पर कंपनियों के पास ईमेल, क्लाउड स्टोरेज, यूएसबी ड्राइव और थर्ड-पार्टी वेंडर्स के जरिए कंपनी की जानकारी के आने-जाने को लेकर कड़े नियंत्रण होते हैं. लेकिन AI टूल्स इन सभी व्यवस्थाओं के बाहर हो सकते हैं. दरअसल, किसी कर्मचारी का AI में डाला गया एक प्रॉम्प्ट भी कंपनी की जानकारी के बाहर जाने का नया रास्ता बन सकता है.
AI टूल पर अपलोड की जाने वाली जानकारी में निजी डेटा, अप्रकाशित वित्तीय जानकारी, ग्राहक की गोपनीय जानकारी, सोर्स कोड, व्यापार रहस्य, बोर्ड से जुड़ा दस्तावेज, किसी कंपनी के अधिग्रहण की योजना या नियामक संस्था को भेजे जाने वाले जवाब का मसौदा शामिल हो सकता है.
इसके अलावा, कंपनियों को यह भी पता नहीं होता कि कर्मचारी ने कौन-सी जानकारी साझा की, उसे कहां प्रोसेस किया गया, कितने समय तक रखा गया या उस तक किसकी पहुंच हो सकती है.
जोखिम बड़ा है
मिसाल के तौर पर, डिजिटल पर्सनल डेटा प्रोटेक्शन एक्ट, 2023 के तहत निजी डेटा को केवल कानूनी उद्देश्य के लिए और सहमति या किसी तय वैध उपयोग के आधार पर ही प्रोसेस किया जा सकता है.
निजी डेटा के उल्लंघन को रोकने के लिए उचित सुरक्षा उपाय करना भी जरूरी है. ऐसा नहीं करने पर कंपनी पर 250 करोड़ रुपए तक का जुर्माना लगाया जा सकता है.
मान लीजिए कोई एचआर कर्मचारी प्रोविडेंट फंड का चालान किसी बाहरी AI टूल पर अपलोड कर देता है. इसमें आमतौर पर कर्मचारी का नाम, वेतन, यूएएन (यूनिवर्सल अकाउंट नंबर), पैन (परमानेंट अकाउंट नंबर), बैंक की जानकारी या दूसरी पहचान संबंधी जानकारी होती है. ऐसे में कंपनी ने अनजाने में निजी डेटा से जुड़ी एक नई डेटा-प्रोसेसिंग गतिविधि शुरू कर दी.
जोखिम तब और गंभीर हो जाता है जब जानकारी निजी डेटा नहीं, बल्कि अप्रकाशित कीमत-संवेदनशील जानकारी हो और उसे AI सिस्टम पर अपलोड कर दिया जाए.
भारतीय प्रतिभूति और विनिमय बोर्ड (सेबी) के इनसाइडर ट्रेडिंग से जुड़े नियमों के तहत किसी इनसाइडर को अप्रकाशित कीमत-संवेदनशील जानकारी साझा करने, उपलब्ध कराने या किसी दूसरे व्यक्ति को उस तक पहुंच देने की मनाही है, सिवाय उन मामलों के जहां ऐसा करना बेहद जरूरी हो.
इसके अलावा, अगर ऐसी जानकारी तय नियमों के दायरे से बाहर साझा की जाती है तो कंपनी पर इनसाइडर ट्रेडिंग से जुड़े नियमों के तहत कार्रवाई का जोखिम पैदा हो सकता है. अगर बाद में कानून के दायरे में आने वाली परिस्थितियों में उस जानकारी के आधार पर ट्रेडिंग की जाती है तो इसके नतीजे और गंभीर हो सकते हैं.
अग्रवाल कहते हैं कि ऐसे मामलों में सिर्फ यह कहना कि "कर्मचारी ने इसे अपलोड किया था", कंपनी के लिए बचाव नहीं हो सकता. इससे कंपनी के सामने कई कंप्लायंस सवाल खड़े होते हैं. क्या इस AI सेवा को इस्तेमाल करने की मंजूरी थी? क्या इस तरह डेटा प्रोसेस करने की अनुमति थी? क्या जरूरी कानूनी और सुरक्षा उपाय किए गए थे?
अगर किसी कंपनी के पास उस AI सेवा देने वाले के साथ कोई स्वीकृत व्यवस्था नहीं है, अतिरिक्त डेटा प्रोसेसिंग का कोई स्पष्ट उद्देश्य नहीं है, सुरक्षा नियंत्रण नहीं हैं और यह पता लगाने का कोई तरीका नहीं है कि जानकारी सबमिट करने के बाद उसका क्या हुआ, तो कर्मचारी ने प्रभावी तौर पर कंपनी की मंजूरी के बिना एक बाहरी डेटा-प्रोसेसिंग प्रक्रिया शुरू कर दी है.
अग्रवाल के मुताबिक, यही AI को अपनाने और उसके लिए उचित गवर्नेंस व्यवस्था के बीच की असहज खाई है.
इसका नतीजा हर्जाने के दावे, क्षतिपूर्ति के दावे, कारोबारी संबंध खत्म होने या अदालत की ओर से किसी काम पर रोक लगाने के आदेश के रूप में सामने आ सकता है. सोर्स कोड या कंपनी की अपनी तकनीक के मामले में मुख्य जोखिम बौद्धिक संपदा और गोपनीयता से जुड़ा हो सकता है.
वहीं, अगर किसी कॉन्ट्रैक्ट के तहत ग्राहक की जानकारी शामिल है तो डिजिटल पर्सनल डेटा प्रोटेक्शन (डीपीडीपी) से जुड़ी जिम्मेदारियां भी लागू हो सकती हैं. यानी एक ही दस्तावेज कंपनी के लिए एक साथ कई तरह के कंप्लायंस नियमों का उल्लंघन करने का जोखिम पैदा कर सकता है.
कंपनियों को क्या करना चाहिए?
कर्मचारियों को सार्वजनिक AI टूल्स इस्तेमाल करने से रोकना शायद काम न करे क्योंकि AI अब रोजमर्रा के ज्ञान-आधारित काम का हिस्सा बनता जा रहा है. पूरी तरह रोक लगाने से कर्मचारी इसका इस्तेमाल छिपकर कर सकते हैं. इससे कंपनियों के लिए यह देखना, नियंत्रित करना या जांच करना और मुश्किल हो जाएगा.
अग्रवाल के मुताबिक, कंपनियों को व्यावहारिक सुरक्षा सीमाओं के साथ एक औपचारिक AI उपयोग नीति बनानी चाहिए. कर्मचारी के एंटर दबाने से पहले इस नीति को एक आसान सवाल का जवाब देना चाहिए: क्या मैं यह जानकारी इस AI टूल में डाल सकता हूं?
अग्रवाल ने कंपनियों के लिए कुछ अहम सुझाव दिए हैं :
- एक आसान ‘ग्रीन-एम्बर-रेड’ डेटा फ्रेमवर्क बनाएं
कंपनियां जानकारी की अलग-अलग श्रेणियां तय कर सकती हैं ताकि कर्मचारी कुछ ही सेकंड में यह तय कर सकें कि किसी खास काम के लिए AI का इस्तेमाल किया जा सकता है या नहीं.
ग्रीन (अनुमति): सार्वजनिक जानकारी, सार्वजनिक रूप से उपलब्ध रेगुलेटरी डॉक्यूमेंट, सामान्य ब्रेनस्टॉर्मिंग और गैर-गोपनीय सामग्री.
एम्बर (सीमित इस्तेमाल): कंपनी की आंतरिक कारोबारी जानकारी, आंतरिक प्रेजेंटेशन और एकत्रित या पहचान छिपाए गए डेटा सेट. इनका इस्तेमाल केवल मंजूर किए गए एंटरप्राइज AI टूल्स के जरिए और तय सुरक्षा नियंत्रणों के तहत किया जाना चाहिए.
रेड (पूरी तरह प्रतिबंधित): निजी डेटा, ग्राहकों और कर्मचारियों के रिकॉर्ड, यूपीएसआई (अप्रकाशित कीमत-संवेदनशील जानकारी), अप्रकाशित वित्तीय जानकारी, लॉगिन या दूसरी संवेदनशील जानकारियां, सोर्स कोड, व्यापार रहस्य, गोपनीय कॉन्ट्रैक्ट, नियामकीय जांच से जुड़ी सामग्री और संवेदनशील एमएंडए (विलय और अधिग्रहण) से जुड़ी जानकारी.
- AI टूल्स और उनके इस्तेमाल की स्थितियां तय करें
कंपनियों को स्पष्ट रूप से बताना चाहिए कि कर्मचारी किन AI टूल्स का इस्तेमाल कर सकते हैं. इसे मौजूदा डेटा-सिक्योरिटी और थर्ड-पार्टी वेंडर से जुड़े नियंत्रणों के साथ जोड़ा जाना चाहिए.
किसी कर्मचारी को खुद यह तय करने की स्थिति में नहीं होना चाहिए कि कंपनी की जानकारी संभालने के लिए कोई सार्वजनिक AI सेवा उपयुक्त है या नहीं.
- फ्री, पेड और एंटरप्राइज AI के बीच अंतर करें
AI का इस्तेमाल कंपनी के नियंत्रण वाले माहौल में होना चाहिए, न कि कर्मचारियों के व्यक्तिगत और बिना निगरानी वाले अकाउंट के जरिए.
इसलिए पहले से तयशुदा AI टूल्स की सूची में सिर्फ यह नहीं बताया जाना चाहिए कि कौन-से AI प्लेटफॉर्म इस्तेमाल किए जा सकते हैंबल्कि यह भी स्पष्ट होना चाहिए कि किस तरह की जानकारी के लिए उसका कौन-सा वर्जन, अकाउंट टाइप या डिप्लॉयमेंट इस्तेमाल किया जा सकता है.
मिसाल के तौर पर, कोई कंपनी इस तरह की व्यवस्था कर सकती है:
फ्री/कंज्यूमर AI: केवल सार्वजनिक रूप से उपलब्ध जानकारी और सामान्य ब्रेनस्टॉर्मिंग के लिए.
पेड/प्रोफेशनल AI: तभी जब कंपनी ने सेवा देने वाली कंपनी की शर्तों और सुरक्षा नियंत्रणों का आकलन कर लिया हो और उस इस्तेमाल को स्पष्ट रूप से मंजूरी दी हो.
एंटरप्राइज/बिजनेस डिप्लॉयमेंट: मंजूर आंतरिक जानकारी के लिए, जिसमें एक्सेस कंट्रोल, डेटा का वर्गीकरण, डेटा को कितने समय तक रखा जाएगा और उसकी निगरानी जैसी शर्तें लागू हों.
प्रतिबंधित श्रेणी की जानकारी: इसे बाहरी AI प्लेटफॉर्म पर बिल्कुल भी दर्ज नहीं किया जाना चाहिए, चाहे अकाउंट फ्री हो, पेड हो या एंटरप्राइज.
- वास्तविक परिस्थितियों को ध्यान में रखकर जागरूकता बढ़ाएं
ट्रेनिंग में सिर्फ कर्मचारियों से यह कह देना काफी नहीं है कि वे "AI का जिम्मेदारी से इस्तेमाल करें". उन्हें उन वास्तविक परिस्थितियों से भी रूबरू कराया जाना चाहिए, जिनका सामना वे अपने काम में करते हैं.
- AI के इस्तेमाल और उसके आउटपुट की जिम्मेदारी इंसानों पर रहे
AI मदद कर सकता है, लेकिन कर्मचारी जो जानकारी उसमें डालते हैं या उसके आधार पर कोई कार्रवाई करते हैं, उसकी जिम्मेदारी उन्हीं की होनी चाहिए. कंपनियों को यह तय करना चाहिए कि किन मामलों में इंसानी स्तर पर समीक्षा अनिवार्य होगी. खासकर रेगुलेटरी फाइलिंग, वित्तीय विश्लेषण, कानूनी दस्तावेज, एचआर से जुड़े फैसलों और ग्राहकों से होने वाले संवाद में यह जरूरी होना चाहिए.
- गलतियों से निपटने की आसान प्रक्रिया बनाएं
कंपनियों को यह मानकर चलना चाहिए कि कभी-कभी कर्मचारी ऐसी जानकारी भी अपलोड कर सकते हैं, जिसे उन्हें नहीं करना चाहिए था. इसलिए नीति में एक स्पष्ट प्रक्रिया होनी चाहिए: रोकें, रिपोर्ट करें, नुकसान सीमित करें, आकलन करें और सुधारात्मक कार्रवाई करें.
कंपनी के पास यह पता लगाने की व्यवस्था होनी चाहिए कि कौन-सी जानकारी साझा की गई, किस AI टूल को दी गई, उसमें निजी डेटा, यूपीएसआई या गोपनीय जानकारी शामिल थी या नहीं और क्या किसी रेगुलेटरी या कानूनी कार्रवाई की जरूरत है.
