विषय-सूची

अप्रैल 2023 में, Samsung Electronics ने ChatGPT के माध्यम से 20 दिनों में तीन बार गोपनीय डेटा लीक किया — सेमीकंडक्टर सोर्स कोड, ख़राब उपकरणों का फिक्स कोड, और एक पूरी आंतरिक मीटिंग का प्रतिलेख — सभी कर्मचारियों ने जिस क्षण पेस्ट किया उसी क्षण OpenAI के सर्वर पर पहुँच गए, वापस खींचना नामुमकिन। Samsung ने तत्काल पूरी कंपनी में ChatGPT, Bing और Bard पर प्रतिबंध लगा दिया। JPMorgan, Goldman Sachs, Citi, Bank of America और Wells Fargo ने उसी समयावधि में समान प्रतिबंध लागू किए।

तीन साल बाद, 2026 में "प्रतिबंध" अब काम नहीं करता। कर्मचारी अपने फ़ोन पर ChatGPT का उपयोग करते हैं, इंजीनियर Claude Code से लिखते हैं, मार्केटिंग Gemini में डेक बनाती है — प्रतिबंध लगाओ और आप बस शैडो AI (अनधिकृत उपयोग) को बढ़ावा देते हैं। इसके ऊपर, EU AI Act के बाक़ी प्रावधान 2 अगस्त 2026 को आम तौर पर लागू हो चुके हैं, और AI-जनित सामग्री पर लेबल लगाने का दायित्व (अनुच्छेद 50) भी उसी दिन से लागू है (पहले से बाज़ार में मौजूद सिस्टम की मशीन-पठनीय मार्किंग के लिए 2 दिसंबर 2026 तक संक्रमण अवधि)। भर्ती और क्रेडिट जैसे उच्च-जोखिम दायित्व 2 दिसंबर 2027 तक टाल दिए गए, पर मोहलत मिलने का मतलब "तैयारी की ज़रूरत नहीं" नहीं होता। आप न प्रतिबंध लगा सकते हैं, न अनदेखा कर सकते हैं। केवल एक रास्ता बचा है — "दिशानिर्देशों से ढाँचा बनाओ और सुरक्षित उपयोग को सक्रिय रूप से सक्षम करो।"

पहले मेरा रुख। "मोटी PDF दिशानिर्देश को कोई नहीं पढ़ता" सुनने में सही लगता है पर निष्कर्ष के तौर पर ग़लत है। दिशानिर्देशों का मक़सद पढ़ा जाना नहीं है — मक़सद है घटना होने पर ज़िम्मेदारी को स्पष्ट करना, और कर्मचारियों के दिमाग़ में न्यूनतम अनुल्लंघनीय बिंदु जला देना। यह लेख सात आवश्यक बिंदुओं, निषिद्ध इनपुट डेटा की पाँच श्रेणियों, EU AI Act की समय-सीमा, पाँच-चरण कार्यान्वयन रोडमैप और गड्ढों को कवर करता है — सब मई 2026 तक की व्यावहारिक जानकारी के साथ।

CORPORATE AI GOVERNANCE

प्रतिबंध या अनदेखा — दोनों हारते हैं। दिशानिर्देश तीसरा रास्ता हैं

— लीक रोको × उत्पादकता बढ़ाओ × अनुपालन बनाए रखो

1. लीक का जोखिम
Samsung: 20 दिनों में 3
कर्मचारी इसे सहायक उपकरण मानते हैं, राज़ पेस्ट कर देते हैं — और कोई रिकॉल नहीं। प्रतिबंध बस छेद बड़े करते हैं
2. अनुपालन
EU AI Act, 2 अगस्त 2026 से
AI-जनित सामग्री पर लेबल का दायित्व लागू (मौजूदा सिस्टम के लिए 2 दिसंबर तक संक्रमण)। उच्च-जोखिम 2 दिसंबर 2027 तक टला
3. उत्पादकता
प्रतिबंध की लागत 30–50%
इंजीनियरिंग, बिक्री, मार्केटिंग में स्पष्ट लाभ। प्रबंधन निर्णय के रूप में प्रतिबंध की लागत बहुत अधिक है
4. उत्तर
7-बिंदु दिशानिर्देश
स्वीकृत सूची, निषिद्ध डेटा, ज़िम्मेदारी, प्रशिक्षण, ऑडिट। टेम्पलेट से रोल आउट करने में दो हफ़्ते

2023 का मॉडल: "पूरी कंपनी में प्रतिबंध" ताकि जोखिम से बचा जाए → 2026 का मॉडल: "ढाँचे के अंदर सुरक्षित संचालन" लीक रोकथाम + उत्पादकता + अनुपालन, तीनों के लिए।
आपको मोटी PDF की ज़रूरत नहीं। A4 के दो पन्ने और एक स्वीकृत सूची काफ़ी है।

1. अप्रैल 2023 — Samsung ने 20 दिनों में AI पर प्रतिबंध लगाया

क्रम सरल है। मार्च में, Samsung के सेमीकंडक्टर डिवीज़न ने आंतरिक ChatGPT उपयोग की मंज़ूरी दी। अप्रैल के अगले 20 दिनों में, लगातार तीन गोपनीय लीक हुए। 1. कर्मचारी A ने एक ख़राब सेमीकंडक्टर डेटाबेस का पूरा सोर्स कोड ChatGPT में पेस्ट किया और सुधार माँगा। 2. कर्मचारी B ने ख़राब निर्माण उपकरण के फिक्स कोड के साथ वही किया। 3. कर्मचारी C ने एक पूरी आंतरिक-मीटिंग का प्रतिलेख पेस्ट कर दिया और मिनट माँगे। तीनों, उस क्षण, OpenAI के सर्वरों तक पहुँच गए और हो सकता है कि प्रशिक्षण डेटा के रूप में इस्तेमाल हुए हों।

Samsung ने तत्काल सभी कंपनी-स्वामित्व वाले उपकरणों पर ChatGPT, Bing और Bard को ब्लॉक कर दिया, और जब कॉर्पोरेट नेटवर्क से जुड़ा हो तो व्यक्तिगत उपकरणों पर भी। लगभग उसी समय, प्रमुख वित्तीय कंपनियाँ — JPMorgan, Goldman Sachs, Citi, Bank of America, Wells Fargo, Deutsche Bank — ने समान प्रतिबंध जारी किए। यही वह क्षण था जब "कंपनियाँ AI पर प्रतिबंध लगा रही हैं" की लहर शुरू हुई।

2026 तक, Samsung अब भी ChatGPT पर प्रतिबंध रखता है और उसने "Samsung Gauss" नामक अपना आंतरिक LLM बनाया है। यह एक वैध रास्ता है, लेकिन निवेश का पैमाना मध्यम-बाज़ार और उससे छोटी कंपनियों के लिए नक़ल करने के लिए बहुत बड़ा है। बाक़ी सबके लिए, एकमात्र रास्ता है "दिशानिर्देशों के अंदर वाणिज्यिक AI सेवाओं का सुरक्षित उपयोग।"

2. अभी दिशानिर्देशों की आवश्यकता क्यों — तीन दबाव

दबाव 1 विनियमन
EU AI Act के बाक़ी प्रावधान 2 अगस्त 2026 को आम तौर पर लागू हुए, जिनमें AI-जनित सामग्री पर लेबल लगाने का दायित्व (अनुच्छेद 50) भी है; उससे पहले बाज़ार में आए सिस्टम की मशीन-पठनीय मार्किंग के लिए 2 दिसंबर 2026 तक संक्रमण अवधि है। जापान के AI Business Operator Guidelines (METI) का संशोधन भी रोलआउट में
दबाव 2 शैडो AI
प्रतिबंध लगाओ और कर्मचारी अपने फ़ोन पर इस्तेमाल करते हैं। "अनधिकृत उपयोग कहीं अधिक ख़तरनाक है" स्थितियाँ — कंपनी को अदृश्य
दबाव 3 प्रतिस्पर्धा
AI का उपयोग करने वाली कंपनियाँ 30–50% अधिक उत्पादक हैं। प्रतिबंध आपको भर्ती की दौड़ और व्यापार की दौड़ — दोनों में हराता है

तीनों में से, शैडो AI दरअसल सबसे गंभीर है, मेरी राय में। Samsung लगभग भाग्यशाली था कि "लीक कंपनी द्वारा स्वीकृत चैनल पर हुआ, इसलिए वे उसे देख सके।" ज़्यादातर कंपनियों में, एक कर्मचारी द्वारा क्लाइंट-नाम वाले मीटिंग नोट्स को अपने फ़ोन पर ChatGPT में पेस्ट करना कभी दर्ज नहीं होता। "देख न पाना" सबसे ख़राब प्रकार का जोखिम है, और इसे ठीक करने का एकमात्र तरीक़ा है एक आधिकारिक चैनल बनाना जिसे कंपनी देख सके — जिसका मतलब है दिशानिर्देश।

3. सात-बिंदु टेम्पलेट — इन्हें भरें और आप सुरक्षित हैं

मोटी PDF नहीं — एक सात-बिंदु टेम्पलेट जो A4 के दो पन्नों पर समा जाए। लक्ष्य है ऐसा विस्तार जिससे आप आज शुरू कर सकें और सप्ताहांत तक बाँट सकें।

1. स्वीकृत AI
विशिष्ट अनुमत उपकरण सूचीबद्ध करें
नाम लें: "ChatGPT Team," "Claude Enterprise," "Microsoft Copilot।" व्यक्तिगत प्लान डिफ़ॉल्ट रूप से अनुमत नहीं (डेटा प्रशिक्षण में जाएगा या नहीं, यह हर उपयोगकर्ता की सेटिंग पर निर्भर है, जिसे कंपनी नियंत्रित नहीं कर सकती: ChatGPT के व्यक्तिगत प्लान जब तक उपयोगकर्ता बंद न करे, बातचीत का उपयोग कर सकते हैं, और Claude के केवल उपयोगकर्ता की अनुमति पर)। केवल बिज़नेस प्लान या API
2. निषिद्ध डेटा
उदाहरणों सहित पाँच श्रेणियाँ (अगला सेक्शन)
PII, गोपनीय जानकारी, NDA-बंधित डेटा, IP, विनियमित डेटा। Samsung-शैली के लीक रोकने का दिल
3. उपयोग के मामले
तीन स्तर: अनुमत / समीक्षा-आवश्यक / निषिद्ध
अनुमत: सार्वजनिक जानकारी का सारांश, कोडिंग सहायता, अंग्रेज़ी अनुवाद। समीक्षा: ग्राहक-सामना ड्राफ़्ट, अनुबंध ड्राफ़्ट। निषिद्ध: भर्ती निर्णय, HR मूल्यांकन, क़ानूनी निर्णय
4. आउटपुट ज़िम्मेदारी
"AI ने लिखा" बचाव नहीं है
AI आउटपुट का तथ्य-जाँच, कॉपीराइट क्लीयरेंस और प्रकाशन अनुमोदन उपयोगकर्ता की ज़िम्मेदारी हैं। Air Canada AI चैटबॉट रिफ़ंड केस (कनाडाई ट्रिब्यूनल, 2024) का सबक़
5. घटना रिपोर्टिंग
"दुर्घटनावश इनपुट" को दंडित न करें
गोपनीय डेटा ग़लती से अंदर जाने पर तत्काल-रिपोर्टिंग फ़ॉर्म। छुपाने की लागत कहीं अधिक है। लिखित में बताएँ: "रिपोर्ट करने से अनुशासन नहीं होगा"
6. प्रशिक्षण और अपडेट
ऑनबोर्डिंग पर और साल में एक बार, न्यूनतम
30 मिनट का ई-लर्निंग मॉड्यूल और एक समझ परीक्षण। AI परिदृश्य हर छह महीने में बदलता है, इसलिए दिशानिर्देश को हर 6 से 12 महीने में संशोधित करने की योजना बनाएँ
7. ऑडिट लॉग
उपयोग लॉग कम से कम छह महीने तक रखें
बिज़नेस प्लान एडमिन कंसोल के माध्यम से उपयोग लॉग दिखाते हैं। "किसने क्या डाला, और कब" को ट्रेस करने योग्य बनाएँ। EU AI Act Article 12 (इवेंट लॉगिंग) को संतुष्ट करता है

इनमें से, "2. निषिद्ध डेटा" और "5. घटना रिपोर्टिंग" वे दो बिंदु हैं जो तय करते हैं कि दिशानिर्देश वास्तव में काम करता है या नहीं। 1, 3, 4, 6, 7 ऐसी चीज़ें हैं जो कोई भी समझदार ड्राफ़्टर भर सकता है। पर "आप क्या नहीं डाल सकते" को ठोस उदाहरणों के साथ लिखना, और लिखित में बताना "हम दुर्घटनावश इनपुट को दंडित नहीं करेंगे" — इनके लिए दृढ़ निश्चय चाहिए। दंड संस्कृति चुनें और कर्मचारी चीज़ें छुपाते हैं, और फिर आप लीक देख ही नहीं सकते।

4. निषिद्ध इनपुट डेटा की पाँच श्रेणियाँ — उदाहरण सहित

"गोपनीय जानकारी न डालें" बहुत अस्पष्ट है। पाँच श्रेणियाँ लिखें, प्रत्येक के साथ उदाहरण।

श्रेणी उदाहरण (न डालें) विकल्प
1. PII नाम, पते, फ़ोन, ईमेल, कर्मचारी ID, राष्ट्रीय ID डालने से पहले "ग्राहक A," "उपयोगकर्ता B" से बदलें
2. गोपनीय जानकारी अघोषित वित्तीय, रणनीति, M&A, HR डेटा संख्याओं को सार बनाएँ ("राजस्व YoY XX% ऊपर," आदि)
3. NDA-बंधित NDA के अधीन क्लाइंट डेटा, API कुंजियाँ, SSO क्रेडेंशियल बिल्कुल न डालें। आंतरिक LLM या no-train अनुबंध वाले बिज़नेस API का उपयोग करें
4. बौद्धिक संपदा अप्रकाशित सोर्स कोड, फ़ाइलिंग से पहले के पेटेंट डिज़ाइन, स्वामित्व एल्गोरिथम Samsung का सबक़: संबंधित हिस्सों को सार बनाएँ, या आंतरिक LLM तक सीमित रखें
5. विनियमित पहचान योग्य चिकित्सा डेटा, वित्तीय लेन-देन विवरण, अप्रकाशित शोध डेटा उद्योग-विशिष्ट on-prem AI (HIPAA/GxP-अनुपालित) का उपयोग करें

महत्वपूर्ण विवरण यह है कि आप निषेधों के साथ हमेशा "विकल्प" जोड़ें। केवल "न डालें" लिखें और कर्मचारी तय करते हैं "मैं AI के साथ काम नहीं कर सकता," फिर परछाई में इसका उपयोग शुरू करते हैं। "व्यक्तिगत नामों को 'ग्राहक A' से बदलें और आप इसे डाल सकते हैं" जैसा विकल्प दें और वे स्वीकृत रास्ता उपयोग करते हैं। शैडो AI को दबाने का यह व्यावहारिक उपाय है।

5. EU AI Act — अभी कौन-से दायित्व लागू हैं, और कौन-सी समय-सीमाएँ टलीं

EU AI Act AI सिस्टम को चार जोखिम स्तरों पर विनियमित करता है। इसके बाक़ी प्रावधान 2 अगस्त 2026 को आम तौर पर लागू हो गए — पर ⚠️ जो भी व्याख्या यह कहती है कि उसी तारीख़ को उच्च-जोखिम नियम पूरी तरह लागू हो गए, वह पुरानी पड़ चुकी है। Digital Omnibus संशोधनों ने उच्च-जोखिम दायित्वों को पीछे खिसका दिया — Annex III के लिए 2 दिसंबर 2027, और Annex I (चिकित्सा उपकरणों, मशीनरी, वाहनों आदि में अंतर्निहित AI) के लिए 2 अगस्त 2028। अभी असल में जो असर डाल रहे हैं वे पारदर्शिता दायित्व और सामान्य-प्रयोजन AI (GPAI) नियम हैं, और अगली समय-सीमा 2 दिसंबर 2026 है।

जोखिम स्तर उदाहरण दायित्व जुर्माना
निषिद्ध सामाजिक स्कोरिंग, अवचेतन हेरफेर, कार्यस्थल भावना पहचान उपयोग निषिद्ध 3.5 करोड़ यूरो तक या राजस्व का 7%
उच्च-जोखिम भर्ती निर्णय, क्रेडिट स्कोरिंग, शैक्षणिक मूल्यांकन, चिकित्सीय निदान, न्यायिक निर्णय तकनीकी दस्तावेज़ीकरण, जोखिम प्रबंधन, मानव निगरानी, लॉग प्रतिधारण (Art. 9/11/12) 1.5 करोड़ यूरो तक या राजस्व का 3%
सीमित जोखिम चैटबॉट, डीपफ़ेक पारदर्शिता दायित्व (AI जनरेशन का खुलासा) 1.5 करोड़ यूरो तक या राजस्व का 3%
न्यूनतम जोखिम स्पैम फ़िल्टर, AI गेम NPCs कोई नहीं (अनुशंसित सर्वोत्तम प्रथाएँ) —

कौन-सा दायित्व कब आता है — चार तारीख़ें

जोखिम स्तरों से पहले आप शायद यह जानना चाहेंगे कि आपकी कंपनी पर दायित्व असल में कब आ पड़ेगा। इनमें से कुछ तारीख़ें मूल कार्यक्रम से पीछे खिसक चुकी हैं, इसलिए बस यही हिस्सा ठीक-ठीक जान लेना ज़रूरी है।

2 अगस्त 2026 (हो चुका)

बाक़ी प्रावधान आम तौर पर लागू हो गए। पारदर्शिता दायित्वों और सामान्य-प्रयोजन AI (GPAI) नियमों का प्रवर्तन शुरू हुआ।

2 दिसंबर 2026 (अगली)

2 अगस्त से पहले बाज़ार में आए जनरेटिव AI सिस्टम की मशीन-पठनीय मार्किंग (अनुच्छेद 50(2)) की संक्रमण अवधि ख़त्म, और बिना सहमति के यौन डीपफ़ेक या बाल यौन शोषण सामग्री बनाने वाले AI पर प्रतिबंध लागू। अभी काम इसी पर करना है।

2 दिसंबर 2027

Annex III का उच्च-जोखिम (भर्ती, क्रेडिट स्कोरिंग, शिक्षा, क़ानून प्रवर्तन आदि)। मूल रूप से 2 अगस्त 2026 थी।

2 अगस्त 2028

Annex I का अंतर्निहित उच्च-जोखिम (चिकित्सा उपकरण, मशीनरी, वाहन आदि)। मूल रूप से 2 अगस्त 2027 थी।

स्रोत: EU AI Act कार्यान्वयन समय-रेखा, यूरोपीय आयोग AI Act Service Desk

ध्यान दें: 2 अगस्त 2026 से लागू "AI-जनित सामग्री पर लेबल" का दायित्व (अनुच्छेद 50) आंतरिक नियमावली से पहले प्रकाशन के मोर्चे पर असर डालता है। किस पर कौन-सा दायित्व है (प्रदाता और उपयोगकर्ता के लिए अलग-अलग), और इंसानी समीक्षा से छूट मिलती है या नहीं — ये व्यावहारिक सवाल अनुच्छेद 50 को व्यवहार की नज़र से पढ़ने वाले लेख में अलग से देखे गए हैं।

आम ग़लतफ़हमी: EU में मौजूदगी के बिना भी आप दायरे में हैं, यदि आप EU बाज़ार में AI सिस्टम उतारते हैं या आपके AI सिस्टम का आउटपुट EU में इस्तेमाल होता है (अनुच्छेद 2)। कसौटी यह नहीं कि आप EU नागरिकों का डेटा संसाधित करते हैं या नहीं (वह GDPR का विषय है)। जो जापानी कंपनी यूरोपीय ग्राहकों को AI-आधारित सेवा देती है या AI का आउटपुट यूरोप में इस्तेमाल करती है, उसे EU AI Act का अनुपालन करना होगा। दूसरी ओर, "अनुवाद के लिए ChatGPT का उपयोग करने वाला एक कर्मचारी" स्पष्ट रूप से न्यूनतम जोखिम है और इसके कोई विशेष दायित्व नहीं हैं। "आवेदन सामग्री पर स्वचालित भर्ती निर्णय" या "AI के साथ ऋण मंज़ूरी स्वतः-निर्णय" स्पष्ट रूप से उच्च-जोखिम है, पर तकनीकी दस्तावेज़ीकरण, मानव निगरानी और लॉग प्रतिधारण 2 दिसंबर 2027 से ही क़ानूनी दायित्व बनते हैं (Annex III)। इसका मतलब यह नहीं कि आज कुछ करने को नहीं है — यदि आपके पास ऐसा काम है, तो आंतरिक दिशानिर्देश में जोड़ें: "किसी भी उच्च-जोखिम उपयोग के लिए तैनाती से पहले क़ानूनी मंज़ूरी आवश्यक है।"

6. पाँच-चरण कार्यान्वयन रोडमैप

दिशानिर्देश का मसौदा तैयार करना अंत नहीं है। एक रोडमैप जो मध्यम आकार की कंपनी (200 कर्मचारियों तक) के लिए 2–3 महीने और बड़े उद्यम के लिए लगभग 6 महीने लेता है।

PHASE 1 · 2 हफ़्ते
ज़मीनी हक़ीक़त जानें
कर्मचारी सर्वेक्षण से समझें "लोग वास्तव में आज क्या इस्तेमाल करते हैं।" शैडो-AI की हक़ीक़त सामने लाएँ
PHASE 2 · 4 हफ़्ते
समिति बनाएँ; मसौदा
क़ानूनी, इन्फ़ोसेक, HR और परिचालन इकाइयों से एक-एक व्यक्ति। शुरुआती मसौदे के रूप में सात-बिंदु टेम्पलेट का उपयोग करें
PHASE 3 · 2 हफ़्ते
बिज़नेस अनुबंध करें
Team/Enterprise प्लान पर स्वीकृत-सूची के उत्पाद थोक में ख़रीदें। व्यक्तिगत-प्लान के उपयोग को भौतिक रूप से कम आम बनाएँ
PHASE 4 · 4 हफ़्ते
घोषित करें और प्रशिक्षित करें
पूरी कंपनी की ब्रीफ़िंग, ई-लर्निंग, समझ परीक्षण। 90%+ पूर्णता का लक्ष्य रखें
PHASE 5 · निरंतर
संचालन करें और हर छह महीने में संशोधित करें
ऑडिट-लॉग समीक्षाएँ और घटना विश्लेषण। AI परिदृश्य के साथ क़दम मिलाने के लिए हर छह महीने में दिशानिर्देश संशोधित करें
समानांतर में
उच्च-जोखिम काम के लिए विशेष व्यवस्था
भर्ती, क्रेडिट स्कोरिंग, चिकित्सा निदान और अन्य EU AI Act उच्च-जोखिम क्षेत्रों के लिए अलग तकनीकी दस्तावेज़ीकरण और निगरानी सिस्टम बनाएँ

इसके अंदर, PHASE 1 (सर्वेक्षण) हर हाल में पहले आता है। यह मानकर दिशानिर्देश बनाएँ कि "प्रतिबंध लगाओ और कोई इस्तेमाल नहीं करेगा" और आप ऐसा कुछ बनाएँगे जो हक़ीक़त से कटा हुआ है। एक गुमनाम सर्वेक्षण चलाएँ जो पूछे "पिछले महीने आपने कौन-सी AI सेवाओं का उपयोग किया? काम के लिए किस प्रकार का डेटा डाला?" और शैडो AI आपकी अपेक्षा से कहीं अधिक व्यापक निकलेगा। नियम लिखने से पहले हक़ीक़त जानना सही क्रम है।

7. तीन गड्ढे जिनसे बचना ज़रूरी है

गड्ढा 1: पूरी कंपनी में प्रतिबंध लगाना

Samsung के अलावा किसी भी कंपनी के लिए, यह लगभग हमेशा शैडो AI में विस्फोट का कारण बनता है। कर्मचारी अपने फ़ोन पर ChatGPT Personal उपयोग करते हैं, कंपनी को कोई दिखता नहीं, और जब लीक होता है तो कोई रिपोर्ट नहीं करता। प्रतिबंध की असली लागत है "दृश्यता खोना।" Samsung Samsung Gauss आंतरिक रूप से बना सका क्योंकि उसके पास शीर्ष-स्तरीय सेमीकंडक्टर कंपनी की ताक़त थी। मध्यम-बाज़ार और उससे छोटे लोगों के लिए, "दिशानिर्देशों के माध्यम से स्वीकृत चैनल प्रदान करें" व्यावहारिक उत्तर है।

गड्ढा 2: दंड के आसपास डिज़ाइन करना

"गोपनीय डेटा डालने वाले किसी भी कर्मचारी को अनुशासन का सामना करना पड़ेगा" का मतलब है गोपनीय डेटा ग़लती से डालने वाला कोई भी कर्मचारी उसे छुपा देगा। लीक होता है, कंपनी को पता नहीं चलता, ग्राहक डेटा बाहर पहुँच जाता है, ग्राहक रिपोर्ट करता है, और आपकी प्रतिष्ठा गिर जाती है — सबसे ख़राब रास्ता। लिखित में डालें: "रिपोर्ट करने पर दिशानिर्देश उल्लंघन को दंडित नहीं किया जाता।" फिर बनाएँ कि "केवल रिपोर्ट करने में विफलता अनुशासन का आधार है," और घटना रिपोर्टिंग, अजीब बात है, काम करने लगती है।

गड्ढा 3: एक बार लिखकर भूल जाना

AI उद्योग हर छह महीने में अपनी मान्यताएँ बदलता है। 2024 का दिशानिर्देश जो कहता है "ChatGPT उपयोग निषिद्ध है" में Claude Code चलाने वाले इंजीनियर तर्क करते हैं "यह ChatGPT नहीं है, इसलिए ठीक है।" नामित उत्पाद और मॉडल हर 6 से 12 महीने में समीक्षा होनी चाहिए। नई सेवा (Cursor / Perplexity / Notion AI) स्वीकृत है या प्रतिबंधित — यह स्पष्ट होना चाहिए ताकि कर्मचारी अनुमान न लगाएँ। पिछले लेख (077) के Wayfair केस सहित, दिशानिर्देश को "जीवित दस्तावेज़" मानें।

सारांश

सिद्धांत
"प्रतिबंध या अनदेखा — दोनों हारते हैं।" दिशानिर्देश से ढाँचा बनाएँ और सुरक्षित रूप से संचालित करें। यही 2026 का उत्तर है
सात आवश्यक बिंदु
स्वीकृत AI / निषिद्ध डेटा / उपयोग के मामले / ज़िम्मेदारी / रिपोर्टिंग / प्रशिक्षण / लॉग। A4 के दो पन्ने काफ़ी हैं
समय-सीमा
EU AI Act, 2 अगस्त 2026 से — AI-जनित सामग्री पर लेबल (मौजूदा सिस्टम के लिए 2 दिसंबर तक संक्रमण)। उच्च-जोखिम 2 दिसंबर 2027 से
गड्ढों से बचें
पूरी कंपनी पर प्रतिबंध नहीं, दंड-आधारित डिज़ाइन नहीं, एक-बार-और-भूल नहीं। हर छह महीने में संशोधित करें

2023 के Samsung लीक के तीन साल बाद, कॉर्पोरेट AI उपयोग "प्रतिबंध या अनुमति" के द्विआधारी से आगे बढ़कर "ढाँचा कैसे बनाएँ और उसके अंदर कैसे संचालित करें" के कार्यान्वयन चरण में चला गया है। तीन तरफ़ से घिरा — क़ानूनी जोखिम (EU AI Act), लीक जोखिम (Samsung का सबक़) और प्रतिस्पर्धात्मक जोखिम (30–50% उत्पादकता अंतर) — मोटी PDF लिखने का समय नहीं है, और "कोई दिशानिर्देश ही नहीं" भी काम नहीं करता। इस लेख का सात-बिंदु टेम्पलेट और पाँच-चरण रोडमैप मध्यम आकार की कंपनी को 2–3 महीने में तैनात करने देगा। "न्यूनतम ढाँचे के साथ अधिकतम सुरक्षित संचालन" — 2026 के लिए यही व्यावहारिक AI शासन उत्तर है। और चूँकि सेवा की शर्तों के उल्लंघन से कार्य खाते का निलंबन भी लीक जितना ही वास्तविक नुकसान है, इसलिए दिशानिर्देश के साथ-साथ खाता बैन से कैसे बचें भी कंपनी में साझा करना चाहिए।

FAQ

क्या हमें कंपनी के अंदर AI पर प्रतिबंध लगाना चाहिए?

डिफ़ॉल्ट के तौर पर, नहीं, आपको प्रतिबंध नहीं लगाना चाहिए। जब तक कि आप Samsung-स्तरीय कंपनी न हों जो अपना आंतरिक LLM बना सके, प्रतिबंध बस शैडो AI (कर्मचारी अपने आप उपयोग करते हैं) की मात्रा बढ़ाता है, और परिणामस्वरूप लीक का जोखिम बढ़ जाता है। दिशानिर्देश से ढाँचा बनाना और कंपनी अनुबंध पर बिज़नेस प्लान (Team/Enterprise) प्रदान करना व्यावहारिक उत्तर है।

क्या EU AI Act जापानी कंपनियों पर लागू होता है?

हाँ, EU के बाहर की कंपनियों पर भी, यदि वे EU बाज़ार में AI सिस्टम उतारती हैं या उनके AI का आउटपुट EU में इस्तेमाल होता है (अनुच्छेद 2); कसौटी EU नागरिकों का डेटा संसाधित करना नहीं है। पूरी तरह से जापान के अंदर निहित काम (जैसे केवल आंतरिक कर्मचारियों के लिए अनुवाद) न्यूनतम जोखिम है और लगभग कोई दायित्व नहीं रखता। यदि आप यूरोपीय ग्राहकों पर AI के माध्यम से ऋण मंज़ूरी या भर्ती निर्णय चलाते हैं, तो तकनीकी दस्तावेज़ीकरण, मानव निगरानी और लॉग प्रतिधारण 2 दिसंबर 2027 (Annex III) से क़ानूनी दायित्व बनते हैं, और चिकित्सा उपकरण जैसे उपकरणों में अंतर्निहित AI के लिए 2 अगस्त 2028 (Annex I) से। मूल तारीख़ 2 अगस्त 2026 थी, पर Digital Omnibus संशोधनों ने उसे पीछे खिसका दिया। इससे पहले से लागू है सामग्री के AI-जनित होने का खुलासा करने का दायित्व (अनुच्छेद 50), जो 2 अगस्त 2026 से प्रभावी है; उससे पहले बाज़ार में आए सिस्टम की मशीन-पठनीय मार्किंग के लिए 2 दिसंबर 2026 तक संक्रमण अवधि है। जुर्माना निषिद्ध प्रथाओं के लिए 3.5 करोड़ यूरो तक या वैश्विक राजस्व का 7% तक है, और उच्च-जोखिम व पारदर्शिता दायित्वों के उल्लंघन पर 1.5 करोड़ यूरो तक या 3% तक।

दिशानिर्देश कितने पन्ने का होना चाहिए?

मुख्य भाग के लिए A4 के दो पन्ने और कुछ पन्ने परिशिष्टों के (स्वीकृत सूची, निषिद्ध-डेटा के उदाहरण) अच्छा काम करता है। "मोटी PDF कोई नहीं पढ़ता" सच है, इसलिए मुख्य भाग को सारांश तक रखें और पाठक का बोझ कम करने के लिए विवरण परिशिष्टों में डालें। मायने रखने वाली चीज़ पन्नों की संख्या नहीं है — मायने रखता है कि "2. निषिद्ध डेटा" और "5. घटना रिपोर्टिंग" ठोस और मनोवैज्ञानिक रूप से सुरक्षित हों।

व्यक्तिगत और बिज़नेस प्लान में क्या अंतर है?

बिज़नेस प्लान (ChatGPT Team / Claude Enterprise / Microsoft Copilot Business आदि) डिफ़ॉल्ट रूप से अनुबंध करते हैं कि आपके इनपुट डेटा का उपयोग मॉडल प्रशिक्षण के लिए न किया जाए (no-train)। व्यक्तिगत प्लान (ChatGPT Plus और जैसे) प्रशिक्षण के लिए उपयोग किए जा सकते हैं। दिशानिर्देश में निर्दिष्ट करें "व्यावसायिक उपयोग केवल बिज़नेस प्लान तक सीमित है" और आप Samsung-शैली के लीक जोखिम को तेज़ी से कम करते हैं। क़ीमत प्रति उपयोगकर्ता प्रति माह लगभग 20–60 डॉलर है।

सच में — दुर्घटनावश इनपुट को दंडित न करना ठीक है?

हाँ, यह इसका दिल है। दंडित करें और कर्मचारी इसे छुपाते हैं, कंपनी दृश्यता खो देती है, और वह अदृश्य लीक सबसे ख़राब परिणाम (ग्राहक रिपोर्ट, सोशल-मीडिया लीक, नियामक की भागीदारी) ट्रिगर करता है। इसे ऐसे डिज़ाइन करें कि "रिपोर्ट करें और आप दंडित नहीं हैं; छुपाने पर अनुशासन" और, अजीब बात है, घटना रिपोर्टिंग बढ़ जाती है और आप जल्दी हस्तक्षेप कर सकते हैं। यह विमानन में सुरक्षा संस्कृति वाला तर्क है।

क्या एक छोटे स्टार्टअप को भी इसकी ज़रूरत है?

हाँ। छोटी कंपनियों को वास्तव में जल्दी करना चाहिए — शुरू से ही संस्कृति में निर्मित, यह बाद में जोड़ी गई किसी चीज़ से बेहतर चिपकता है। 10–30 कर्मचारियों पर आप इस लेख के सात-बिंदु टेम्पलेट को जैसा है वैसा ले सकते हैं और एक दिन में मुख्य भाग का मसौदा तैयार करें, एक हफ़्ते में रोलआउट पूरा करें। "AI उपयोग दिशानिर्देश मौजूद है" निवेशकों या प्रमुख ग्राहकों (विशेष रूप से EU ग्राहकों) के साथ अनुबंध करते समय due diligence में एक बुनियादी चेकलिस्ट आइटम भी बनता जा रहा है।