मॉडल और डेटा सिक्योरिटीएडवांस्डपाठ 1786 मिनट का पाठ

EU AI Act और सुरक्षा टीमों के लिए भारत के नियम

आम शब्दों में, EU AI Act और भारत के डेटा व साइबर नियमों का AI को सुरक्षित रखने वाली टीमों के लिए क्या मतलब है। मौजूदा नियमों की पुष्टि हमेशा कानूनी सलाहकारों से करें।

✦ ट्यूटर से पूछें🧪 लैब · 30 min📝 पाठ का टेस्ट
पाठ वीडियो में

60 सेकंड में

EU AI Act और सुरक्षा टीमों के लिए भारत के नियम

आम शब्दों में, EU AI Act और भारत के डेटा व साइबर नियमों का AI को सुरक्षित रखने वाली टीमों के लिए क्या मतलब है। मौजूदा नियमों की पुष्टि हमेशा कानूनी सलाहकारों से करें।

1/4
आसान शब्दों में
अलग-अलग क्रिकेट बोर्ड के नियम थोड़े अलग होते हैं, और विदेश दौरे पर जाने वाले खिलाड़ी को वहाँ के स्थानीय नियमों का पालन करना पड़ता है। जो कंपनियाँ AI बनाती या बेचती हैं, उन्हें भी हर उस जगह के नियमों का पालन करना होता है जहाँ वे काम करती हैं।
यह पाठ मुख्य नियमों को सुरक्षा टीम के नज़रिए से समझाता है। यह कोई कानूनी सलाह नहीं है। कानून, नियम और समय-सीमाएँ बदलती रहती हैं, और आपकी ज़िम्मेदारियाँ आपकी भूमिका और परिस्थितियों पर निर्भर करती हैं। मौजूदा नियमों की पुष्टि कानूनी सलाहकारों से करें।

EU AI Act: जोखिम पर आधारित एक तरीका

EU AI Act 2024 में लागू हुआ। इसके नियम और ज़िम्मेदारियाँ कई सालों में धीरे-धीरे लागू हो रही हैं, और कुछ हिस्सों की तय तारीखों पर चर्चा हुई है व उन्हें बदला गया है, इसलिए ताज़ा टाइमलाइन ज़रूर देखें। यह AI के इस्तेमाल को जोखिम के हिसाब से बाँटता है।
कैटेगरीआम शब्दों में मतलबइस्तेमाल के प्रकार के उदाहरण
प्रतिबंधितऐसे तौर-तरीके जिन्हें अस्वीकार्य माना गया है, पूरी तरह बैनलोगों को बरगलाने वाली कुछ तकनीकें, और उस तरह की सोशल स्कोरिंग जिसका ज़िक्र Act में है
हाई-रिस्कअनुमति है, लेकिन सख्त शर्तों के साथनौकरी, शिक्षा, लोन/क्रेडिट और ज़रूरी सेवाओं जैसे क्षेत्रों में कुछ ख़ास इस्तेमाल, और सुरक्षा से जुड़े कुछ हिस्से
सीमित जोखिम (पारदर्शिता)लोगों को बताना ज़रूरी हैचैटबॉट यूज़र्स को बताएं कि वे AI हैं; AI से बनाए गए कुछ ख़ास कंटेंट पर लेबल लगाना
न्यूनतम जोखिमकोई ख़ास नए नियम या पाबंदियाँ नहींस्पैम फ़िल्टर, गेम्स में AI
इस Act में general-purpose AI models बनाने वालों के लिए भी नियम हैं, और सबसे ताकतवर मॉडल्स के लिए कुछ अतिरिक्त ज़िम्मेदारियाँ हैं।

सुरक्षा टीमों के लिए सबसे महत्वपूर्ण क्या है

  • High-risk सिस्टम्स को सटीकता, मज़बूती (robustness) और साइबर सुरक्षा की शर्तों को पूरा करना होगा, जिसमें data poisoning, adversarial examples और मॉडल की कमियों जैसे हमलों से बचाव शामिल है।
  • High-risk सिस्टम्स के लिए जोखिम प्रबंधन, डेटा गवर्नेंस, लॉगिंग, टेक्निकल दस्तावेज़ और इंसानी निगरानी भी ज़रूरी हैं। आपका AI-BOM, पाइपलाइन कंट्रोल्स और लॉग्स सबूत के तौर पर काम आते हैं।
  • High-risk सिस्टम्स से जुड़ी गंभीर घटनाओं की जानकारी अधिकारियों को देना ज़रूरी है।
  • Systemic risk वाले general-purpose AI models के प्रोवाइडर्स की अतिरिक्त ज़िम्मेदारियाँ होती हैं, जिनमें साइबर सुरक्षा बचाव भी शामिल है।

भारतीय कंपनियों को इसकी परवाह क्यों करनी चाहिए

यह Act EU के बाहर की संस्थाओं पर भी लागू हो सकता है, जैसे कि जब वे अपने AI सिस्टम्स को EU के बाज़ार में उतारती हैं या जब उनके सिस्टम का आउटपुट EU में इस्तेमाल होता है। EU के ग्राहकों को सेवा देने वाली कोई भारतीय SaaS कंपनी या IT सेवा फ़र्म इसके दायरे में आ सकती है, और EU के ग्राहक इन शर्तों को कॉन्ट्रैक्ट्स के ज़रिए आगे बढ़ा सकते हैं।

भारत: डेटा, साइबर और सेक्टोरल नियम

नियम या संस्थाआम शब्दों में AI सुरक्षा के लिए इसका क्या मतलब है
डिजिटल पर्सनल डेटा प्रोटेक्शन एक्ट, 2023तब लागू होता है जब AI सिस्टम डिजिटल पर्सनल डेटा प्रोसेस करते हैं: नोटिस, सहमति, मकसद, सुरक्षा के उपाय, डेटा लीक से निपटना और लोगों के अधिकार। इसके विस्तृत नियम और समय-सीमाएँ सरकार तय करती है।
सूचना प्रौद्योगिकी अधिनियम, 2000इलेक्ट्रॉनिक रिकॉर्ड्स, साइबर अपराधों और मध्यस्थों (intermediaries) पर भारत का मुख्य कानून, और इसके तहत बनाए गए नियम।
CERT-Inसाइबर सुरक्षा घटनाओं से निपटने के लिए भारत की राष्ट्रीय एजेंसी। इसके 2022 के निर्देशों के मुताबिक, कुछ ख़ास साइबर घटनाओं का पता चलने के 6 घंटे के भीतर उनकी जानकारी CERT-In को देना ज़रूरी है, और इसमें लॉग्स सुरक्षित रखने जैसी शर्तें भी शामिल हैं।
सेक्टर रेगुलेटर्सRBI, SEBI और IRDAI जैसे रेगुलेटर्स अपने-अपने सेक्टर्स के लिए साइबर सुरक्षा और टेक्नोलॉजी नियम जारी करते हैं, और अब AI पर भी तेज़ी से बात कर रहे हैं। देखें कि आप पर क्या लागू होता है।
सावधान रहें
AI सिस्टम पर होने वाला हमला भी आखिरकार एक साइबर घटना ही है। अगर कोई मॉडल सर्वर हैक हो जाता है या किसी AI फ़ीचर के ज़रिए डेटा लीक होता है, तो आपकी सामान्य घटना रिपोर्टिंग की ज़िम्मेदारियाँ शुरू हो सकती हैं—जिनमें CERT-In और लागू होने पर सेक्टर रेगुलेटर्स को रिपोर्ट करना शामिल है। AI से जुड़ी घटनाओं को अपनी मौजूदा रिपोर्टिंग प्रक्रिया का हिस्सा बनाएं।

एक व्यावहारिक तरीका

  1. 1

    इन्वेंट्री

    जानें कि आप कौन-से AI सिस्टम बनाते, खरीदते और बेचते हैं, और उनके यूज़र्स कहाँ हैं।
  2. 2

    वर्गीकरण

    कानूनी सलाहकारों की मदद से तय करें कि हर सिस्टम पर कौन-से नियम और कैटेगरी लागू होते हैं।
  3. 3

    कंट्रोल्स का मिलान करें

    हर ज़िम्मेदारी को अपने पास पहले से मौजूद कंट्रोल्स से जोड़ें, जैसे कि ISO 27001, ISO/IEC 42001 और NIST AI RMF से जुड़ी गतिविधियाँ।
  4. 4

    कमियों को पूरा करें

    जो कंट्रोल्स छूट गए हैं उन्हें जोड़ें: robustness testing, लॉगिंग, दस्तावेज़ीकरण, घटना रिपोर्टिंग।
  5. 5

    नज़र बनाए रखें

    कानूनों, नियमों और तारीखों में होने वाले बदलावों पर नज़र रखने के लिए किसी की ज़िम्मेदारी तय करें।

और देखें और पढ़ें

AI Act — regulatory framework for AIEuropean Commission · policy page · readingCERT-InGovernment of India · website · reading

लैब

दो AI सिस्टम्स के लिए ज़िम्मेदारियों का मैप, जिसमें उनके ओनर्स और कानूनी सलाहकारों के लिए सवाल शामिल हों।

~30 min

समस्या

दो AI सिस्टम चुनें: एक जो आपकी कंपनी के भीतर इस्तेमाल होता हो और दूसरा जो ग्राहकों को बेचा जाता हो या उनके द्वारा इस्तेमाल किया जाता हो (असली या वास्तविक जैसा, जैसे कि एक रिज़्यूमे स्क्रिनर और एक कस्टमर सपोर्ट बॉट)।

  1. दोनों के लिए लिखें: इसे कौन इस्तेमाल करता है, यूज़र्स कहाँ हैं, क्या यह पर्सनल डेटा हैंडल करता है, और यह किन फैसलों को प्रभावित करता है।
  2. अपना शुरुआती अंदाज़ा लिखें कि कौन-से नियम लागू हो सकते हैं: EU AI Act कैटेगरी, DPDP Act, CERT-In रिपोर्टिंग, सेक्टर रेगुलेटर्स।
  3. दोनों के लिए उन सुरक्षा कंट्रोल्स की लिस्ट बनाएं जो सबूत के तौर पर काम करेंगे (लॉग्स, robustness tests, AI-BOM, घटना से निपटने की प्रक्रिया)।
  4. कानूनी सलाहकारों के लिए कम से कम तीन सटीक सवाल लिखें।

आपका काम तब पूरा होगा जब

कठिन सवाल

उत्तर देखने से पहले ख़ुद जवाब देने की कोशिश करें। अगर आप इनके जवाब दे सकते हैं, तो आप पाठ समझ गए हैं।

Q1EU AI Act के तहत एक रिज़्यूमे स्क्रीनिंग टूल को स्पैम फ़िल्टर से बिल्कुल अलग क्यों माना जा सकता है?दिखाएं

यह Act लोगों के अधिकारों और सुरक्षा पर पड़ने वाले असर पर ध्यान देता है। नौकरी पर रखने से जुड़े फैसले लोगों की ज़िंदगी पर गहरा असर डाल सकते हैं, और रोज़गार को हाई-रिस्क इस्तेमाल वाले क्षेत्रों में गिना गया है। एक स्पैम फ़िल्टर का असर बहुत कम होता है, इसलिए यह आमतौर पर न्यूनतम जोखिम में आता है। एक ही तकनीक अपने इस्तेमाल के आधार पर अलग-अलग कैटेगरी में आ सकती है।

Q2कोई हमलावर आपके फ़ाइन-ट्यूनिंग डेटा को पॉइज़न कर देता है और आपका चैटबॉट ग्राहकों का डेटा लीक करने लगता है। इससे कौन-सी कानूनी ज़िम्मेदारियाँ शुरू हो सकती हैं?दिखाएं

शायद एक साथ कई: DPDP Act के तहत पर्सनल डेटा ब्रीच, CERT-In के निर्देशों के तहत रिपोर्ट करने योग्य साइबर घटना, सेक्टर रेगुलेटर को सूचना, ग्राहकों के प्रति कॉन्ट्रैक्ट की ज़िम्मेदारियाँ, और यदि कोई EU हाई-रिस्क सिस्टम शामिल है, तो AI Act के तहत गंभीर घटना की रिपोर्टिंग। यही वजह है कि AI घटनाओं को मौजूदा incident process के ज़रिए ही हैंडल किया जाना चाहिए और शुरुआत से ही कानूनी सलाहकारों को शामिल करना चाहिए।

जारी रखने के लिए कृपया साइन इन करें।

अक्सर पूछे जाने वाले सवाल

हम एक भारतीय कंपनी हैं और EU में हमारा कोई दफ़्तर नहीं है। क्या EU AI Act फिर भी हम पर लागू हो सकता है?

शायद हाँ। यह सिर्फ़ इस बात पर निर्भर नहीं करता कि कंपनी कहाँ स्थित है, बल्कि इस बात पर भी लागू हो सकता है कि AI सिस्टम कहाँ बाज़ार में उतारे जा रहे हैं या उनके आउटपुट का इस्तेमाल कहाँ हो रहा है। अपने प्रॉडक्ट्स और ग्राहकों का आकलन करने के लिए कानूनी सलाहकारों से पूछें।

क्या भारत में कोई एक अलग AI कानून है?

यह लिखे जाने के समय तक, भारत किसी एक ख़ास AI कानून के बजाय मौजूदा कानूनों, जैसे कि DPDP Act और IT Act, के साथ-साथ सरकारी दिशा-निर्देशों और सेक्टर रेगुलेटर्स के नियमों पर भरोसा करता है। यह स्थिति बदल सकती है, इसलिए नज़र बनाए रखें।

क्या CERT-In की 6 घंटे वाली रिपोर्टिंग हर सुरक्षा घटना पर लागू होती है?

नहीं। निर्देशों में उन घटनाओं की लिस्ट दी गई है जिनकी रिपोर्ट करना ज़रूरी है। आपकी incident response टीम और कानूनी सलाहकारों को मौजूदा लिस्ट और प्रक्रिया की जानकारी होनी चाहिए, और AI घटनाओं को भी इसी प्रक्रिया के तहत हैंडल किया जाना चाहिए।

मैं आधिकारिक दस्तावेज़ कहाँ पढ़ सकता हूँ?

आधिकारिक स्रोतों से पढ़ें: AI Act के लिए यूरोपियन कमीशन के पेज, दिशा-निर्देशों के लिए CERT-In की वेबसाइट, और DPDP Act व उसके नियमों के लिए भारत सरकार के आधिकारिक स्रोत। सिर्फ़ समरी पर निर्भर रहने से बचें।

पाठ का टेस्ट

5 सवाल। पास होने और इस पाठ को पूरा करने के लिए 3 सही होने चाहिए (60%)।

टेस्ट देने और अपनी प्रोग्रेस सेव करने के लिए साइन इन करें