جی ڈی پی آر اور بڑا ڈیٹا: نیدرلینڈز میں اے آئی کی تربیت کے لیے جائز بنیادیں۔

GDPR اور بڑا ڈیٹا متضاد نہیں ہیں، لیکن وہ ایک انتخاب پر مجبور کرتے ہیں جسے بہت سی تنظیمیں ملتوی کرتی ہیں: اس سے پہلے کہ آپ کسی بڑے ڈیٹاسیٹ کو جمع یا دوبارہ استعمال کریں، آپ کو ایسا کرنے کے لیے قانونی بنیاد کا نام دینے کے قابل ہونا چاہیے اور یہ ظاہر کرنا چاہیے کہ اس مقصد کے لیے کارروائی ضروری ہے۔ عملی طور پر اس کا مطلب یہ ہے کہ جنرل ڈیٹا پروٹیکشن ریگولیشن کے آرٹیکل 6 کے تحت ایک زمین کی دستاویز کرنا، یہ جانچنا کہ آیا الگورتھم کی تربیت کے لیے بعد میں استعمال اس مقصد کے ساتھ مطابقت رکھتا ہے جس کے لیے ڈیٹا کو اصل میں جمع کیا گیا تھا، اور پہلے ماڈل کے بننے سے پہلے خطرے کا اندازہ لگانا۔ یہ مضمون یہ بتاتا ہے کہ یہ اصول نیدرلینڈز میں بڑے پیمانے پر تجزیات اور AI ٹریننگ پر کیسے لاگو ہوتے ہیں، اور جہاں Autoriteit Personsgegevens لائن کھینچتا ہے۔

بڑے ڈیٹا سیٹ میں ذاتی ڈیٹا کے طور پر کیا شمار ہوتا ہے۔

GDPR کا اطلاق کسی شناخت شدہ یا قابل شناخت قدرتی شخص سے متعلق معلومات پر ہوتا ہے۔ اعداد و شمار کے بڑے سیاق و سباق میں کہ تنظیموں کی توقع سے کہیں زیادہ حد کو عبور کیا جاتا ہے، کیونکہ شناختی قابلیت کا اندازہ ان تمام ذرائع کے حوالے سے لگایا جاتا ہے جن کا استعمال کنٹرولر کے ذریعہ یا کسی اور کے ذریعہ، کسی کو الگ کرنے کے لئے کیا جاتا ہے۔ ڈیوائس کے شناخت کنندگان، مقام کے نشانات، لین دین کے ریکارڈ یا کلک اسٹریمز کا ڈیٹا سیٹ تقریباً ہمیشہ ذاتی ڈیٹا ہوتا ہے، یہاں تک کہ جہاں ایک کالم میں کوئی نام ظاہر نہ ہو۔

دو تصورات باقاعدگی سے الجھے ہوئے ہیں، اور فرق یہ فیصلہ کرتا ہے کہ آیا ضابطہ بالکل لاگو ہوتا ہے۔ تخلصی ڈیٹا، جہاں شناخت کنندگان کو تبدیل کر دیا گیا ہے لیکن کلید اب بھی کہیں موجود ہے، ذاتی ڈیٹا رہتا ہے اور مکمل طور پر GDPR کے تابع رہتا ہے۔ گمنام ڈیٹا، جہاں دوبارہ شناخت کسی کے لیے معقول طور پر ممکن نہیں ہے، اس سے باہر آتا ہے۔ حقیقی گمنامی کا بار بہت زیادہ ہے: جمع کرنا، ہیش کرنا یا براہ راست شناخت کنندگان کو ہٹانا عام طور پر ایک پرعزم فریق کے لیے افراد کی دوبارہ شناخت کرنے کے لیے کافی فنگر پرنٹ چھوڑ دیتا ہے، خاص طور پر جب ڈیٹا سیٹ امیر ہو اور طویل مدت پر محیط ہو۔

یہ اس لیے اہمیت رکھتا ہے کہ یہ دعویٰ کہ ڈیٹاسیٹ گمنام ہے اکثر پورے AI پروگرام میں بوجھ برداشت کرنے والا مفروضہ ہوتا ہے۔ اگر یہ ناکام ہو جاتا ہے تو، ہر نیچے کی طرف قدم، تربیت سے لے کر برقرار رکھنے کے شیڈول تک، بغیر کسی قانونی بنیاد کے انجام دیا گیا ہے۔ محفوظ نقطہ نظر یہ ہے کہ ڈیٹاسیٹ کو ذاتی ڈیٹا کے طور پر سمجھا جائے جب تک کہ دستاویزی دوبارہ شناخت کا تجزیہ دوسری صورت میں نہ کہے، اور جب ڈیٹاسیٹ کو افزودہ کیا جائے یا کسی اور ذریعہ کے ساتھ جوڑا جائے تو اس تجزیہ پر نظرثانی کی جائے۔ یوروپی ڈیٹا پروٹیکشن بورڈ نے اس بات پر بھی توجہ دی ہے کہ جب ایک AI ماڈل کو خود کو گمنام سمجھا جا سکتا ہے، اور اس کا جواب یہ ہے کہ یہ فرض نہیں کیا جا سکتا: ذاتی ڈیٹا پر تربیت یافتہ ماڈل میں اب بھی وہ ڈیٹا ایکسٹریکٹیبل شکل میں ہو سکتا ہے اور اس کا اندازہ کیس کے لحاظ سے کیا جانا چاہیے۔

بڑے ڈیٹا اور AI ٹریننگ کے لیے قانونی بنیاد کا انتخاب کرنا

ہر پروسیسنگ آپریشن کو آرٹیکل 6 میں چھ بنیادوں میں سے ایک کی ضرورت ہوتی ہے، اور بعد میں دوبارہ تعمیر کرنے کے بجائے پروسیسنگ شروع ہونے سے پہلے زمین کا انتخاب کرنا ہوتا ہے۔ بڑے پیمانے پر تجزیات کے لیے، صرف تین ہی حقیقت پسند امیدوار ہیں۔

رضامندی تھیوری میں سب سے صاف اور عملی طور پر سب سے نازک ہے۔ اسے آزادانہ طور پر دیا جانا چاہیے، مخصوص، باخبر اور غیر مبہم، اور اسے واپس لینا اتنا ہی آسان ہونا چاہیے جتنا کہ دینا تھا۔ رضامندی جو عام اصطلاحات میں بنڈل کی جاتی ہے، ایسی سروس کی شرط کے طور پر حاصل کی جاتی ہے جس کو ڈیٹا کی ضرورت نہیں ہوتی ہے، یا اس قدر وسیع پیمانے پر فریم کیا جاتا ہے کہ فرد یہ نہیں دیکھ سکتا کہ جس پر اتفاق کیا جا رہا ہے، وہ برقرار نہیں رہے گا۔ جہاں رضامندی واپس لی جاتی ہے، آپ کو اس سوال کا تکنیکی جواب درکار ہوتا ہے کہ پہلے سے تربیت یافتہ ماڈل کا کیا ہوتا ہے۔

کسی معاہدے کی کارکردگی کی ضرورت اس سے کہیں زیادہ تنگ ہے۔ ٹیسٹ اس خدمت کے لیے معروضی ضرورت ہے جس کے لیے فرد نے درحقیقت مانگی ہے، تجارتی افادیت نہیں۔ سفارشی انجن کو بہتر بنانے کے لیے کسی صارف کی پروفائلنگ عام طور پر اس کی خریدی ہوئی پروڈکٹ کی ترسیل کے لیے ضروری نہیں ہوتی ہے، اور عدالتِ انصاف نے اس بنیاد کو رویے کی تشہیر اور ذاتی نوعیت کا احاطہ کرنے کی کوششوں کو بار بار مسترد کیا ہے۔

اس سے جائز مفادات رہ جاتے ہیں، جس پر سب سے زیادہ بڑے پیمانے پر پروسیسنگ پر انحصار کرنا پڑتا ہے۔ اس کے لیے تین مراحل کی ضرورت ہوتی ہے، اس ترتیب میں دستاویزی: ایک حقیقی اور قانونی مفاد کی نشاندہی کرنا، یہ ظاہر کرنا کہ پروسیسنگ ضروری ہے کیونکہ اسے حاصل کرنے کے لیے کوئی کم دخل اندازی نہیں ہے، اور متعلقہ لوگوں کے حقوق اور معقول توقعات کے خلاف مفاد کو متوازن کرنا۔ قومی ٹینس ایسوسی ایشن سے متعلق ایک ڈچ عدالت کے ایک ریفرنس میں، کورٹ آف جسٹس نے 2024 میں تصدیق کی کہ خالصتاً تجارتی مفاد جائز مفاد کے طور پر اہل ہو سکتا ہے، لیکن صرف اس صورت میں جب ضرورت اور توازن کے ٹیسٹ حقیقی طور پر مطمئن ہوں۔ لہذا تجارتی قیمت ایک قابل قبول سود ہے، لائسنس نہیں۔

خصوصی زمرے اور تخمینہ شدہ خصوصیات

شناخت کے لیے استعمال ہونے والے جینیاتی اور بائیو میٹرک ڈیٹا کے ساتھ نسلی یا نسلی اصل، سیاسی آراء، مذہبی عقائد، ٹریڈ یونین کی رکنیت، صحت، جنسی زندگی یا جنسی رجحان کو ظاہر کرنے والے ڈیٹا پر اس وقت تک کارروائی نہیں کی جا سکتی ہے جب تک کہ آرٹیکل 9 میں سے کسی ایک کا اطلاق نہ ہو۔ واضح رضامندی معمول کا راستہ ہے۔ دوسرے شاذ و نادر ہی کسی تجارتی ڈیٹاسیٹ میں فٹ ہوتے ہیں۔

بگ ڈیٹا میں ٹریپ یہ ہے کہ اسپیشل کیٹیگری کا ڈیٹا جان بوجھ کر اکٹھا نہیں کرنا پڑتا۔ جہاں ڈیٹا سیٹ کسی محفوظ خصوصیت کا اندازہ لگانے کی اجازت دیتا ہے، مثال کے طور پر خریداری کے پیٹرن، مقام کی تاریخ یا مفت ٹیکسٹ فیلڈز کے مواد کے ذریعے، سخت نظام اس پروسیسنگ پر لاگو ہوتا ہے حالانکہ کسی نے بھی براہ راست سوال نہیں پوچھا۔ ماڈل کی خصوصیات جو کسی محفوظ خصوصیت کے لیے پراکسی کے طور پر کام کرتی ہیں ان کی نشاندہی ترقی کے دوران کی جانی چاہیے، نہ کہ شکایت کے بعد۔

مقصد کی حد: کیا آپ ماڈل کو تربیت دینے کے لیے ڈیٹا کو دوبارہ استعمال کر سکتے ہیں۔

آپ کر سکتے ہیں، لیکن خود بخود نہیں۔ GDPR کے لیے ضروری ہے کہ ذاتی ڈیٹا کو مخصوص، واضح اور جائز مقاصد کے لیے جمع کیا جائے اور اس پر مزید کارروائی اس طریقے سے نہ کی جائے جو ان مقاصد سے مطابقت نہ رکھتا ہو۔ آرڈر کی تکمیل، کسٹمر سپورٹ یا دھوکہ دہی کی روک تھام کے لیے جمع کیے گئے ڈیٹا پر الگورتھم کی تربیت ایک مزید پروسیسنگ آپریشن ہے، اور یہ صرف اس صورت میں جائز ہے جب یہ ضابطے کے مطابق مطابقت کے امتحان میں کامیاب ہو جائے۔

یہ ٹیسٹ کوئی رسمی بات نہیں ہے۔ یہ اصل مقصد اور نئے کے درمیان تعلق کے بارے میں پوچھتا ہے، جس سیاق و سباق میں ڈیٹا اکٹھا کیا گیا تھا اور اس بنیاد پر فرد معقول طور پر کیا توقع کر سکتا ہے، ڈیٹا کی نوعیت اور کیا خصوصی زمرے اس میں شامل ہیں، نئی پروسیسنگ کے ممکنہ نتائج، اور تخلص یا خفیہ کاری جیسے تحفظات کے وجود کے بارے میں۔ میڈیکل یا مالیاتی ریکارڈ کا ڈیٹا سیٹ اس ٹیسٹ میں ناکام ہو جائے گا جہاں گمنام آپریشنل لاگز کا ڈیٹا سیٹ اسے پاس کرے گا۔

ایک شارٹ کٹ ہے، اور یہ اس سے کم ہے جتنا عام طور پر سمجھا جاتا ہے۔ عوامی مفاد میں، سائنسی یا تاریخی تحقیق کے لیے یا شماریاتی مقاصد کے لیے آرکائیونگ کے لیے مزید پروسیسنگ کو ہم آہنگ سمجھا جاتا ہے، بشرطیکہ ریسرچ پروسیسنگ کے لیے حفاظتی اقدامات موجود ہوں۔ کمرشل ماڈل ڈیولپمنٹ جیسا کہ تحقیق کوالیفائی نہیں کرتی۔ استثنیٰ کا مقصد حقیقی تحقیق کو طریقہ کار اور اخلاقی معیارات کے تابع کرنا ہے، نہ کہ مصنوعات کی بہتری کے لیے۔ جہاں مطابقت کا امتحان پورا نہیں ہوتا ہے، آپ کو ایک نئی قانونی بنیاد اور، زیادہ تر معاملات میں، متعلقہ لوگوں کو تازہ معلومات کی ضرورت ہوتی ہے۔

عملی نتیجہ یہ ہے کہ مقصد کی حد کو جمع کرنے کے مقام پر ہینڈل کرنا پڑتا ہے۔ پرائیویسی کے بیانات جو مقاصد کو اتنے وسیع پیمانے پر بیان کرتے ہیں کہ وہ بے معنی ہیں، بعد میں ہونے والی تربیت کو نہیں بچائیں گے، کیونکہ ٹیسٹ اس بات کو دیکھتا ہے کہ فرد معقول طور پر کیا توقع کر سکتا ہے، اس پر نہیں کہ مسودہ تکنیکی طور پر کیا اجازت دیتا ہے۔ نیدرلینڈز میں رازداری کی پالیسی لکھنے کے لیے ہماری گائیڈ یہ بتاتی ہے کہ مقاصد کو اس طریقے سے کیسے بیان کیا جائے جو ایماندار اور قابل استعمال ہو۔

جب ماڈل سب کچھ چاہتا ہے تو تخفیف، برقراری اور درستگی

ڈیٹا کو کم سے کم کرنے کے لیے ذاتی ڈیٹا کا مناسب، متعلقہ اور ضروری حد تک محدود ہونا ضروری ہے۔ یہ اصول حقیقی طور پر ایک ترقیاتی طریقہ کار کے ساتھ تناؤ میں ہے جس کی منطق یہ ہے کہ زیادہ ڈیٹا ایک بہتر ماڈل تیار کرتا ہے، اور تناؤ کو نظر انداز کر کے حل نہیں کیا جا سکتا۔ اس کو جس چیز سے حل کیا جا سکتا ہے وہ ایک دستاویزی دلیل ہے: بیان کردہ مقصد کے لیے کون سے فیلڈز کی ضرورت ہے، ان کے بغیر کیا ٹیسٹ کیا گیا، اور باقی کو کیوں ضائع کر دیا گیا۔ ایک کنٹرولر جو یہ ظاہر کر سکتا ہے کہ ڈیٹا سیٹ کے بڑے ہونے پر بھی تجزیہ کی ایک قابل دفاع پوزیشن ہوتی ہے۔ ایک کنٹرولر جس نے سب کچھ رکھا کیونکہ اسٹوریج سستا ہے۔

اسٹوریج کی حد وقت کے ساتھ ایک ہی سوال اٹھاتی ہے۔ ٹریننگ ڈیٹا، فیچر اسٹورز، ماڈل چیک پوائنٹس اور انفرنس لاگس سبھی برقرار رکھنے کی ذمہ داری میں آتے ہیں، اور ہر ایک کو ایک مقصد سے منسلک اپنی مدت کی ضرورت ہوتی ہے۔ انفرنس لاگز اکثر بھول جاتے ہیں اور اکثر اس میں ٹریننگ سیٹ سے زیادہ ذاتی ڈیٹا ہوتا ہے۔

درستگی وہ اصول ہے جسے اکثر اس تناظر میں نظر انداز کیا جاتا ہے، اور اس کا ایک قانونی کنارہ ہے جسے کھونا آسان ہے۔ ذاتی ڈیٹا درست ہونا چاہیے اور جہاں ضروری ہو، اپ ٹو ڈیٹ رکھا جائے، اور افراد کو درست کرنے کا حق حاصل ہے۔ جہاں ایک ماڈل کسی قابل شناخت شخص کے بارے میں آؤٹ پٹ تیار کرتا ہے، وہ آؤٹ پٹ خود ذاتی ڈیٹا ہوتا ہے۔ یہ اندازہ کہ کوئی ایک غریب کریڈٹ رسک ہے، ممکنہ طور پر دھوکہ دہی کرنے والا یا غیر موزوں امیدوار ان کے بارے میں ڈیٹا ہے، یہ غلط ہو سکتا ہے، اور اسے چیلنج کیا جا سکتا ہے۔ ایک ایسا نظام بنانا جس میں اس طرح کے آؤٹ پٹ کو درست نہیں کیا جا سکتا ہے، ایک تعمیل کا مسئلہ پیدا کرتا ہے جس کے بعد کوئی بھی دستاویزات ٹھیک نہیں ہوں گی۔

جب ڈیٹا پروٹیکشن اثر کی تشخیص لازمی ہے۔

ڈیٹا پروٹیکشن اثر کا جائزہ لازمی ہے جہاں ایک قسم کی پروسیسنگ کے نتیجے میں افراد کے حقوق اور آزادیوں کو زیادہ خطرہ لاحق ہو سکتا ہے، اور ضابطے میں خاص طور پر تین صورتوں کا نام دیا گیا ہے: خودکار پروسیسنگ پر مبنی ذاتی پہلوؤں کا منظم اور وسیع جائزہ، بشمول پروفائلنگ، جس پر قانونی یا اسی طرح کے اہم اثرات والے فیصلے پر مبنی ہوتے ہیں۔ ڈیٹا کے خصوصی زمرے یا مجرمانہ سزا کے ڈیٹا کی بڑے پیمانے پر پروسیسنگ؛ اور بڑے پیمانے پر عوامی طور پر قابل رسائی علاقے کی منظم نگرانی۔ سب سے زیادہ سنجیدہ بڑے ڈیٹا پروجیکٹس پہلے یا دوسرے میں آتے ہیں۔

Autoriteit Personsgegevens نے پروسیسنگ آپریشنز کی ایک فہرست بھی شائع کی ہے جس کے لیے نیدرلینڈز میں ہمیشہ تشخیص کی ضرورت ہوتی ہے، جس میں بڑے پیمانے پر پروفائلنگ، ملازمین کی منظم تشخیص، ہیلتھ ڈیٹا پلیٹ فارمز اور کیمرہ سسٹمز کے استعمال جیسے شعبوں کا احاطہ کیا جاتا ہے۔ اس فہرست کو کسی پروجیکٹ کے آغاز میں مشورہ کرنے والی پہلی دستاویز ہونی چاہیے، کیونکہ یہ اس دلیل کو ختم کر دیتی ہے کہ آیا کسی تشخیص کی ضرورت ہے۔

وقت کے بارے میں دو نکات فیصلہ کن ہیں۔ تشخیص کو پروسیسنگ شروع ہونے سے پہلے انجام دینا ہوتا ہے، جس کا مطلب اے آئی پروجیکٹ میں تربیتی ڈیٹا کو جمع کرنے سے پہلے ہوتا ہے، تعیناتی سے پہلے نہیں۔ اور جہاں تشخیص ایک اعلی بقایا خطرہ کو ظاہر کرتا ہے جسے آپ کم نہیں کرسکتے ہیں، آپ کو آگے بڑھنے سے پہلے نگران اتھارٹی سے مشورہ کرنا چاہئے۔ اس مشاورت کو نظر انداز کرنا بذات خود ایک خلاف ورزی ہے، اس بات سے آزاد کہ آیا پروسیسنگ جائز ہے۔

الگورتھمک نظام کے لیے مفید تشخیص معیاری ٹیمپلیٹ سے باہر ہے۔ یہ ریکارڈ کرتا ہے کہ کون سے ڈیٹا ذرائع ماڈل کو فیڈ کرتے ہیں اور کس بنیاد پر، ماڈل کو خود فیصلہ کرنے کی اجازت ہے اور انسان کیا فیصلہ کرتا ہے، متاثرہ شخص کو آؤٹ پٹ کی وضاحت کیسے کی جاتی ہے، تربیتی ڈیٹا کو محفوظ گروپوں کے خلاف تعصب کے لیے کیسے جانچا گیا، اور اگر ماڈل غلط ہے تو کیا ہوتا ہے۔ یہ وہ سوالات ہیں جو ایک ریگولیٹر پہلے پوچھتا ہے۔

Autoriteit Personsgegevens اسے کیسے نافذ کرتا ہے۔

ڈچ سپروائزری اتھارٹی Autoriteit Personsgegevens ہے، جو GDPR کو ڈچ نافذ کرنے والے ایکٹ، Uitvoeringswet AVG کے ساتھ مل کر نافذ کرتی ہے۔ اس کے اختیارات انتباہ اور سرزنش سے لے کر جرمانے کی ادائیگی، پروسیسنگ پر عارضی یا قطعی پابندی اور انتظامی جرمانے سے مشروط حکم تک چلتے ہیں۔ ضابطہ حدوں کا تعین کرتا ہے: نچلے درجے کے لیے دس ملین یورو یا کل دنیا بھر کے سالانہ کاروبار کا دو فیصد تک، اور بنیادی اصولوں، قانونی بنیادوں، ڈیٹا کے مضامین کے حقوق اور بین الاقوامی منتقلی کے قوانین کی خلاف ورزی پر بیس ملین یورو یا چار فیصد تک، جو بھی زیادہ ہو۔

ڈچ پریکٹس میں نفاذ کے دو تھیمز نظر آتے ہیں اور دونوں ہی بڑے ڈیٹا پر براہ راست اثر انداز ہوتے ہیں۔ پہلی شفافیت ہے: حالیہ کارروائی کا کافی حصہ رازداری کے بیانات سے متعلق ہے جو قابل فہم زبان میں اس بات کی وضاحت نہیں کرتے ہیں کہ کون سا ڈیٹا استعمال کیا جاتا ہے، کس مقصد کے لیے اور کتنے عرصے کے لیے۔ مبہم مقصد کی وضاحتوں کو ان کے اپنے حق میں خلاف ورزی سمجھا جاتا ہے، مسودہ سازی کی خامی کے طور پر نہیں۔ دوسرا الگورتھمک نگرانی ہے۔ اتھارٹی کے پاس الگورتھم کی نگرانی کے لیے ایک سرشار یونٹ ہے اور وہ الگورتھمک خطرات پر وقتاً فوقتاً رپورٹیں شائع کرتی ہے، جو کہ تحقیقات کا موضوع بننے سے پہلے اس کی توقع کے بیان کے طور پر پڑھنے کے قابل ہے۔

نفاذ کے ساتھ ساتھ خلاف ورزی کی اطلاع کی ڈیوٹی ہے۔ ذاتی ڈیٹا کی خلاف ورزی کی اطلاع بغیر کسی تاخیر کے اتھارٹی کو دی جانی چاہیے اور جہاں ممکن ہو، اس کے بارے میں آگاہ ہونے کے 72 گھنٹے کے اندر، جب تک کہ خلاف ورزی کے نتیجے میں افراد کے لیے خطرہ ہونے کا امکان نہ ہو؛ جہاں افراد کے لیے خطرہ زیادہ ہے، انہیں بھی آگاہ کیا جانا چاہیے۔ AI ماحول میں تشخیص پہلے سے کہیں زیادہ مشکل ہے، کیونکہ سمجھوتہ شدہ تربیتی سیٹ یا فیچر اسٹور ہر اس شخص کو متاثر کرتا ہے جس کا ڈیٹا اس میں ہوتا ہے اور اس کے نتائج ماڈل کے ہر فیصلے تک پہنچتے ہیں۔ نوٹ کریں کہ یہ NIS2 کے ڈچ نفاذ Cyberbeveiligingswet کے تحت واقعہ کی رپورٹنگ کے فرائض سے ایک الگ ذمہ داری ہے، جس کا اطلاق 15 اگست 2026 سے ہوا ہے اور اپنے دائرہ کار میں موجود اداروں پر چوبیس اور 72 گھنٹے کی اپنی نوٹیفکیشن ڈیڈ لائن نافذ کرتا ہے۔ NIS2 اور ڈچ سائبر سیکیورٹی ایکٹ کا ہمارا جائزہ اس بات کی وضاحت کرتا ہے کہ دونوں حکومتیں ایک دوسرے کے ساتھ کس طرح بیٹھتی ہیں۔

اے آئی ایکٹ جی ڈی پی آر کی جگہ نہیں لیتا

EU مصنوعی ذہانت کا ایکٹ AI سسٹمز کو بطور پروڈکٹس ریگولیٹ کرتا ہے: یہ انہیں خطرے کے لحاظ سے درجہ بندی کرتا ہے اور فراہم کنندگان اور تعینات کرنے والوں پر ذمہ داریاں عائد کرتا ہے۔ یہ ذاتی ڈیٹا پر کارروائی کرنے کے لیے قانونی بنیاد فراہم نہیں کرتا ہے، اور اس کی تعمیل GDPR کی تعمیل کے بارے میں کچھ نہیں کہتی ہے۔ جہاں ایک AI نظام ذاتی ڈیٹا پر کارروائی کرتا ہے، دونوں حکومتیں مکمل اور متوازی طور پر لاگو ہوتی ہیں۔

منصوبہ بندی کے لیے ٹائم ٹیبل اہمیت رکھتا ہے۔ ناقابل قبول طریقوں پر پابندیاں، عام مقصد کے AI ماڈلز کی ذمہ داریاں اور ایسے نظاموں کے لیے شفافیت کے فرائض جو لوگوں کے ساتھ تعامل کرتے ہیں یا مصنوعی مواد تیار کرتے ہیں، پہلے سے نافذ ہیں۔ ہائی رسک نظام کو ڈیجیٹل اومنیبس پیکج کے ذریعے ملتوی کر دیا گیا تھا: انیکس III میں درج ہائی رسک سسٹمز کی ذمہ داریاں اب 2 دسمبر 2027 سے لاگو ہوں گی، اور ان سسٹمز کے لیے جو ضمیمہ I کے تحت 2 اگست 2028 سے ریگولیٹڈ پروڈکٹس کے حفاظتی اجزاء ہیں۔ AI ذمہ داری کے لیے علیحدہ تجویز، AI کے ذریعے نظام کو نقصان پہنچانے کی ہدایت جاری کی گئی ہے۔ کنٹریکٹ اور ٹارٹ پر عام ڈچ قوانین اور یورپی مصنوعات کی ذمہ داری کے نظام کے ذریعے کنٹرول کیا جاتا ہے۔

ڈیٹا سے چلنے والی تنظیم کے لیے عملی نتیجہ یہ ہے کہ GDPR تجزیہ آج بھی ایک پابند رکاوٹ ہے، جب کہ AI ایکٹ اس بات کا تعین کرتا ہے کہ دہائی کے اختتام سے پہلے اسی نظام کو کن دستاویزات، جانچ اور انسانی نگرانی کی ضرورت ہوگی۔ دو مشقوں کو الگ الگ بنانا کام کی نقل کرتا ہے۔ ان کو ایک ساتھ بنانا نہیں ہے. EU AI ایکٹ اور ہائی رسک AI سسٹمز کے لیے ہمارے گائیڈز درجہ بندی اور ذمہ داریوں کو تفصیل سے بیان کرتے ہیں۔

گروپ کے دعوے اور نقصانات: خطرے کا شہری پہلو

ریگولیٹری جرمانے صرف نمائش نہیں ہیں، اور ہالینڈ میں یہ سب سے بڑے نہیں ہوسکتے ہیں۔ Wet afwikkeling massachade in collective actie (WAMCA) ایسی فاؤنڈیشن یا ایسوسی ایشن کو اجازت دیتا ہے جو سخت گورننس اور فنڈنگ ​​کے تقاضوں کو پورا کرتی ہو، ایک متعین گروپ کی جانب سے ہرجانے کے لیے اجتماعی کارروائی کرنے کے لیے، نیدرلینڈز میں مقیم لوگوں کے لیے آپٹ آؤٹ نظام کے ساتھ۔ ڈیٹا پر مبنی پروسیسنگ ایک واضح ہدف ہے: ایک ہی ڈیزائن کا فیصلہ ہر صارف کو اسی طرح متاثر کرتا ہے، جو بالکل وہی یکسانیت ہے جس کی اجتماعی کارروائی کی ضرورت ہوتی ہے۔

جی ڈی پی آر اسے اپنی طرف سے تقویت دیتا ہے۔ یہ کسی کو بھی جس کو خلاف ورزی کے نتیجے میں مادی یا غیر مادی نقصان کا سامنا کرنا پڑا ہے اسے کنٹرولر یا پروسیسر سے معاوضے کا حق دیتا ہے، اور یہ ڈیٹا کے تحفظ کے شعبے میں سرگرم ایک غیر منافع بخش ادارے کو ڈیٹا کے مضامین کی جانب سے کارروائی کرنے کی اجازت دیتا ہے، بعض صورتوں میں ان کی جانب سے مینڈیٹ کے بغیر۔ کورٹ آف جسٹس نے تصدیق کی ہے کہ صارف تحفظ ایسوسی ایشن اس بنیاد پر کام کر سکتی ہے۔

ایک حد ہے، اور یہ مدعا علیہان کے لیے مفید ہے۔ کورٹ آف جسٹس نے کہا ہے کہ GDPR کی خلاف ورزی بذات خود معاوضے کے حق کو جنم نہیں دیتی ہے: دعویدار کو اصل نقصان اور ایک وجہ ربط ظاہر کرنا چاہیے، حالانکہ اس کے قائم ہونے کے بعد غیر مادی نقصان پر سنجیدگی کی کوئی حد لاگو نہیں ہوتی ہے۔ ڈچ پریکٹس میں انفرادی ایوارڈز اس لیے معمولی رہے ہیں، لیکن سیکڑوں ہزاروں کی کلاس کا ریاضی تصویر کو مکمل طور پر بدل دیتا ہے۔ بڑے پیمانے پر نقصان کی صورت میں اجتماعی دعووں پر ہمارا مضمون یہ بیان کرتا ہے کہ یہ کارروائی کیسے چلتی ہے۔

جب ہر جگہ سے ڈیٹا آتا ہے تو کنٹرولر کون ہوتا ہے۔

بڑے ڈیٹا پروجیکٹس شاذ و نادر ہی ایک تنظیم کے اندر رہتے ہیں۔ ڈیٹا کو ایک بروکر کے ذریعے افزودہ کیا جاتا ہے، جس کی میزبانی ایک کلاؤڈ فراہم کنندہ کرتا ہے، ایک تجزیاتی ایجنسی کے ذریعے صاف کیا جاتا ہے اور ایک وینڈر کے ذریعہ فراہم کردہ ماڈل میں کھلایا جاتا ہے، اور ان میں سے ہر ایک تعلق کو صحیح طریقے سے بیان کیا جانا چاہیے، کیونکہ کرداروں کی تقسیم سے یہ طے ہوتا ہے کہ کون کون سی ذمہ داری کو نبھاتا ہے اور کون ریگولیٹر کو جواب دیتا ہے۔

ایک کنٹرولر پروسیسنگ کے مقاصد اور ذرائع کا تعین کرتا ہے۔ ایک پروسیسر صرف کنٹرولر کی دستاویزی ہدایات پر کام کرتا ہے۔ جہاں دو یا دو سے زیادہ فریق مشترکہ طور پر مقاصد اور ذرائع کا تعین کرتے ہیں، وہ مشترکہ کنٹرولر ہیں اور انہیں ایک انتظام میں اپنی متعلقہ ذمہ داریوں کا تعین کرنا چاہیے، خاص طور پر معلومات فراہم کرنے اور افراد سے درخواستوں کو سنبھالنے کے لیے، جو کسی بھی صورت میں ان میں سے کسی کے خلاف اپنے حقوق کا استعمال کر سکتے ہیں۔ معاہدے میں استعمال ہونے والا لیبل فیصلہ کن نہیں ہے: اس بات کی اہمیت کیا ہے کہ اصل میں کون فیصلہ کرتا ہے کہ ڈیٹا پر کیوں اور کیسے کارروائی کی جاتی ہے۔ ایک سپلائر جو آپ کے ڈیٹا کو اپنی مصنوعات کو بہتر بنانے کے لیے استعمال کرنے کا حق محفوظ رکھتا ہے، اس حد تک، اپنے مقاصد کے لیے ایک کنٹرولر بن جاتا ہے، چاہے وہ معاہدہ اسے کہے جو بھی ہو۔

سپلائی کنٹریکٹس میں دو شقیں AI تناظر میں خاص توجہ کی مستحق ہیں۔ پہلا وہ ہے جو فراہم کنندہ کو تربیت کے لیے یا خدمت میں بہتری کے لیے کسٹمر کا مواد استعمال کرنے کی اجازت دیتا ہے۔ اگر یہ موجود ہے، تو آپ کسی دوسرے کنٹرولر کو ذاتی ڈیٹا کا انکشاف کر رہے ہیں اور آپ کو اس انکشاف کے لیے ایک بنیاد اور نوٹس کی ضرورت ہے۔ دوسری ذیلی پروسیسر شق ہے، کیونکہ ماڈل فراہم کرنے والے اکثر مزید سپلائرز اور یورپی اکنامک ایریا سے باہر انفراسٹرکچر پر انحصار کرتے ہیں، جو منتقلی کے قوانین کو عملی جامہ پہناتے ہیں۔ ایک پروسیسنگ معاہدہ جو مطلوبہ موضوع کا احاطہ کرتا ہے لیکن اس کی وضاحت نہیں کرتا ہے کہ اصل میں ڈیٹا کے ساتھ کیا ہوتا ہے تحقیقات میں بہت کم استعمال ہوتا ہے۔

آخر میں، یاد رکھیں کہ احتساب کا اصول کنٹرولر پر ثبوت کا بوجھ ڈالتا ہے۔ تعمیل کرنا کافی نہیں ہے۔ آپ کو ریکارڈز، جائزوں اور معاہدوں کے ساتھ اس کا مظاہرہ کرنے کے قابل ہونا چاہیے جو کہ سسٹمز سے میل کھاتے ہیں جیسا کہ وہ اصل میں بنائے گئے ہیں۔

اگلا پروجیکٹ شروع ہونے سے پہلے کیا رکھنا ہے۔

بڑے ڈیٹا کی تعمیل ڈیزائن کے مرحلے پر کی جاتی ہے، کیونکہ ضابطے کے لیے ڈیزائن اور بذریعہ ڈیفالٹ ڈیٹا کے تحفظ کی ضرورت ہوتی ہے: مناسب تکنیکی اور تنظیمی اقدامات کو خود پروسیسنگ میں ضم کرنا ہوتا ہے، اور ہر مخصوص مقصد کے لیے ضروری صرف ذاتی ڈیٹا پر ڈیفالٹ کے ذریعے کارروائی کی جا سکتی ہے۔ Retrofitting مہنگا اور عام طور پر نامکمل ہے.

پانچ چیزیں عمل میں فرق پیدا کرتی ہیں۔ پروسیسنگ کی سرگرمیوں کا ریکارڈ رکھیں جو اصل میں ہر ماڈل کے پیچھے ڈیٹا کے بہاؤ کو بیان کرتا ہے بجائے اس کے کہ ان محکموں کی ملکیت ہو۔ ہر پروسیسنگ آپریشن کی قانونی بنیاد کا فیصلہ کریں اور لکھیں، بشمول تربیت میں شامل مزید پروسیسنگ، اور اس کے ساتھ جائز مفادات کا اندازہ رکھیں۔ اعداد و شمار کے جمع ہونے سے پہلے اثرات کی تشخیص کو انجام دیں، اور جہاں بقایا خطرہ زیادہ رہتا ہے وہاں نگران اتھارٹی سے مشورہ کریں۔ ماڈل یا پلیٹ فارم کے فراہم کنندگان سمیت ڈیٹا کو چھونے والے ہر سپلائر کے ساتھ ڈیٹا پروسیسنگ کا معاہدہ کریں، اور چیک کریں کہ انہیں اپنے مقاصد کے لیے آپ کے ڈیٹا کے ساتھ کیا کرنے کی اجازت ہے۔ ڈیٹا پروسیسنگ معاہدے کے لیے ہماری گائیڈ میں تقاضے بیان کیے گئے ہیں ۔ اور چیک کریں کہ ڈیٹا کہاں جاتا ہے: یورپی اکنامک ایریا سے باہر کی منتقلی کے لیے ریگولیشن کے باب V کے تحت منتقلی کے طریقہ کار اور منتقلی کے اثرات کی تشخیص کی ضرورت ہوتی ہے، اور انفرادی تیسرے ممالک کی پوزیشن تبدیل ہو سکتی ہے۔

سب سے بڑھ کر، ان لوگوں کو بنائیں جو ماڈل بناتے ہیں اور جو لوگ خطرے کا اندازہ لگاتے ہیں ان کو ایک ہی دستاویز پر کام کریں۔ ریگولیشن کی بنیادوں کا خلاصہ ہمارے عمومی ڈیٹا پروٹیکشن ریگولیشن کے جائزہ میں دیا گیا ہے، اور ذاتی ڈیٹا کو AI سسٹم میں ڈال کر اٹھائے گئے مخصوص سوالات، خودکار فیصلہ سازی سے لے کر متاثرہ لوگوں کے حقوق تک، نیدرلینڈز میں GDPR اور AI پر ہمارے ساتھی مضمون میں نمٹا گیا ہے ۔

چند عام سوالات

اے آئی ماڈل کی تربیت کے لیے ہمیں کون سی قانونی بنیاد استعمال کرنی چاہیے۔

زیادہ تر تجارتی ترتیبات میں جواب جائز مفادات ہے، جس میں دلچسپی، ضرورت اور توازن کی مشق کا احاطہ کرنے والے تحریری جائزے کے ذریعے تعاون کیا جاتا ہے۔ رضامندی بہتر ہوتی ہے جہاں ڈیٹا حساس ہو یا اس کا استعمال متعلقہ لوگوں کو حیران کر دے، لیکن یہ حقیقی طور پر مفت اور قابل تنسیخ ہونا چاہیے، جسے تربیتی سیٹ کے لیے منظم کرنا مشکل ہے۔ کسی معاہدے کی ضرورت تقریباً کبھی بھی ماڈل کی ترقی کا احاطہ نہیں کرتی ہے، کیونکہ تربیت وہ نہیں ہے جو گاہک نے مانگی ہے۔ آپ جو بھی گراؤنڈ چنیں، اسے پروسیسنگ شروع ہونے سے پہلے ریکارڈ کر لیں: سابقہ ​​طور پر کسی بنیاد کا انتخاب کرنا بالکل بھی بنیاد نہیں سمجھا جاتا ہے۔

کیا GDPR اب بھی لاگو ہوتا ہے اگر ہم پہلے ڈیٹا کو گمنام کرتے ہیں۔

صرف اس صورت میں جب گمنامی حقیقی طور پر کام کرتی ہے۔ ڈیٹا گمنام ہوتا ہے جب دوبارہ شناخت کسی کے لیے معقول طور پر ممکن نہ ہو، استعمال کیے جانے والے تمام ذرائع اور اس کے ساتھ جوڑے جانے والے دیگر ڈیٹا سیٹس کو مدنظر رکھتے ہوئے ناموں کو ہٹانا، شناخت کنندگان کو ہیش سے تبدیل کرنا یا چھوٹے گروپوں کو جمع کرنا عام طور پر اس معیار سے کم ہوتا ہے، اور نتیجہ تخلصی ڈیٹا ہے، جو مکمل طور پر ضابطے کے تابع رہتا ہے۔ جہاں گمنامی کسی پروجیکٹ کو دائرہ کار سے باہر سمجھنے کی بنیاد ہے، اس نتیجے کو جانچنے اور دستاویز کرنے کی ضرورت ہے، اور جب بھی ڈیٹاسیٹ تبدیل ہوتا ہے تو اس پر نظر ثانی کی جاتی ہے۔

کیا ہم کسٹمر ڈیٹا کو دوبارہ استعمال کرنے کے لیے تحقیقی استثنا پر بھروسہ کر سکتے ہیں؟

شاذ و نادر ہی۔ سائنسی یا شماریاتی مقاصد کے لیے مزید پروسیسنگ کو اصل مقصد کے ساتھ ہم آہنگ سمجھا جاتا ہے، لیکن استثنیٰ کا مقصد تسلیم شدہ طریقہ کار کے معیارات پر کی جانے والی تحقیق اور تخلص اور رسائی کی پابندیوں جیسے تحفظات کے تابع ہے۔ کسی تجارتی پارٹی کی طرف سے اپنے فائدے کے لیے مصنوعات کی ترقی یا ماڈل کی بہتری تحقیق نہیں بنتی کیونکہ اس میں ڈیٹا سائنس شامل ہے۔ اگر مطابقت کا امتحان اس کی اپنی خوبیوں پر پورا نہیں اترتا ہے، تو آپ کو ایک نئی قانونی بنیاد اور، زیادہ تر معاملات میں، متعلقہ افراد کے لیے نئی معلومات کی ضرورت ہے۔

کیا ہوتا ہے اگر کوئی ماڈل کی تربیت کے بعد رضامندی واپس لے لے

واپسی مستقبل کے لیے لاگو ہوتی ہے اور سابقہ ​​کارروائی کو غیر قانونی نہیں بناتا، لیکن اس کا مطلب یہ ہے کہ ڈیٹا اس بنیاد پر مزید استعمال نہیں کیا جا سکتا۔ عملی طور پر، اس کے لیے فرد کو تربیتی سیٹ اور فیچر اسٹورز اور لاگز سے ہٹانے، اور دوبارہ تربیت دینے یا دوسری صورت میں اس بات کو یقینی بنانے کی صلاحیت کی ضرورت ہوتی ہے کہ ماڈل اب اس شخص کے ڈیٹا کی عکاسی نہیں کرتا ہے جہاں اسے ایسا کرنے کے لیے دکھایا جا سکتا ہے۔ یہ ایک وجہ ہے کہ ماڈل ٹریننگ کے لیے رضامندی ایک مشکل بنیاد ہے، اور یہ ایک ایسا سوال ہے جس کا جواب پہلی درخواست کے آنے کے بجائے ڈیزائن کے مرحلے میں دینے کے قابل ہے۔

کس طرح Law and More مدد کر سکتے ہیں

Law and More ڈچ اور بین الاقوامی تنظیموں کو تجزیات اور AI کے ڈیٹا پروٹیکشن سائیڈ پر مشورہ دیتا ہے: قانونی بنیادوں کا انتخاب اور دستاویز کرنا، جائز مفادات کے جائزوں اور اثرات کے جائزوں کو انجام دینا، رازداری کے بیانات کا مسودہ تیار کرنا اور جانچ پڑتال سے بچنے والے معاہدوں پر کارروائی کرنا، Autoriteit Personsgevens کا جواب دینا، اور انفرادی دعووں کے ذریعے لائے گئے نمائندوں یا دعووں کا دفاع کرنا۔ اگر آپ ڈیٹا سے چلنے والے پروجیکٹ کی منصوبہ بندی کر رہے ہیں یا کوئی ریگولیٹر پہلے ہی رابطے میں ہے، تو ہمیں آپ کے ساتھ فائل دیکھ کر خوشی ہوگی۔