आपका स्टाफ ChatGPT इस्तेमाल करता है, क्या यह डेटा लीक है?

अभी इसी पल, आपकी कंपनी में कहीं कोई एक ग्राहक का ईमेल ChatGPT में पेस्ट कर रहा है ताकि उसका साफ-सुथरा जवाब बन जाए। या एक कोटेशन। या नाम और फ़ोन नंबरों की एक सूची जिसे ‚जल्दी से छाँटना‘ है। सुविधाजनक, तेज़, और ठीक वही तरह की क्रिया जिसके बारे में डच डेटा प्राधिकरण चेतावनी देता है। क्योंकि जैसे ही व्यक्तिगत डेटा किसी AI चैटबॉट में पहुँचता है, वह एक डेटा लीक हो सकता है। ऐसा लीक जिसकी सूचना आपको 72 घंटों के भीतर देनी होती है। आपका स्टाफ ChatGPT काफ़ी समय से इस्तेमाल कर रहा है, सवाल यह है कि क्या आप जानते हैं कि वे उसमें क्या डालते हैं।

Shadow AI: आपके लोग AI इस्तेमाल करते हैं, आपको पता नहीं किसलिए

इसका एक नाम है: shadow AI। कर्मचारी AI टूल इस्तेमाल करते हैं, ChatGPT, Copilot, Gemini, मुफ़्त अनुवाद साइटें, बिना किसी तय नियम के। बुरी नीयत से नहीं। वे बस तेज़ी से काम करना चाहते हैं। पर चूँकि किसी के पास पूरी तस्वीर नहीं, आपको पता नहीं चलता कि कंपनी की कौन-सी जानकारी इमारत से बाहर जा रही है।

इस्तेमाल करने और यह-जानने कि आप क्या कर रहे हैं, के बीच की यही खाई समस्या है। आपके तीन-चौथाई लोग AI के साथ काम करते हैं। सात में से एक ने इसे सुरक्षित ढंग से करना सीखा है। बाक़ी अंदाज़ा लगाते हैं, और सबसे ख़राब हालत में संवेदनशील ग्राहक डेटा एक ऐसे टूल में पेस्ट कर देते हैं, बिना यह जाने कि डेटा कहाँ जाता है।

क्यों ‚सिर्फ़ ChatGPT‘ एक लीक हो सकता है

डच डेटा प्राधिकरण (AP), राष्ट्रीय गोपनीयता नियामक, ने इस बारे में एक स्पष्ट चेतावनी जारी की है। उसे AI चैटबॉट के इस्तेमाल से हुए डेटा लीक की कई सूचनाएँ मिलीं। सबसे चर्चित उदाहरण: एक डॉक्टर की प्रैक्टिस के कर्मचारी ने मरीज़ों का चिकित्सा डेटा एक चैटबॉट में डाल दिया। चैटबॉट के पीछे की कंपनी डाली गई जानकारी को संग्रहीत कर के दोबारा इस्तेमाल कर सकती है, और तब आप नियंत्रण खो चुके होते हैं।

वही जोखिम उठाने के लिए डॉक्टर होना ज़रूरी नहीं। एक नाम, एक फ़ोन नंबर, एक ग्राहक का पता, एक कर्मचारी की फ़ाइल, शिकायत वाला एक ईमेल, ये सब व्यक्तिगत डेटा हैं। जैसे ही ये किसी AI चैटबॉट में पहुँचते हैं और आपको पता नहीं कि उनके साथ क्या होता है, यह GDPR के तहत एक लीक माना जा सकता है। और व्यक्तिगत डेटा वाले लीक की सूचना नियामक को 72 घंटों के भीतर देनी होती है। न दें, तो अकेले यही जुर्माना ला सकता है।

आपके लोग अभी शायद क्या डाल रहे हैं

अपनी टीम से सीधे मत पूछिए, लगभग कोई नहीं कहता ‚हाँ, मैं ग्राहक डेटा ChatGPT में पेस्ट करता हूँ‘। पर ईमानदारी से देखिए कि हर दिन क्या होता है:

• ग्राहक ईमेल जिन्हें ‚झटपट साफ़-सुथरा‘ दोबारा लिखा जाता है, नाम, ऑर्डर नंबर और कभी-कभी किसी व्यक्ति की शिकायत सहित
• कोटेशन और इनवॉइस जो नया बनवाने के लिए उदाहरण के रूप में पेस्ट किए जाते हैं
• नाम, ईमेल पते या फ़ोन नंबरों की सूचियाँ जिन्हें ‚छाँटना या साफ़ करना‘ है
• नौकरी के आवेदन और CV जिन्हें AI सारांशित या आँकता है
• ग्राहकों, आपूर्तिकर्ताओं या स्टाफ़ के नामों वाले मीटिंग के नोट्स और कार्यवृत्त
• आपके लेखांकन या ग्राहक सिस्टम के अंश जो संदर्भ के रूप में दिए जाते हैं

हर एक तार्किक, नेकनीयत क्रिया। और हर एक संभावित लीक, अगर टूल सुरक्षित ढंग से सेट न हो।

दोहरा जोखिम: सिर्फ़ GDPR नहीं

2 फ़रवरी 2025 से एक और बात लागू है। यूरोपीय AI क़ानून (AI Act) AI इस्तेमाल करने वाली हर कंपनी को बाध्य करता है कि उसके कर्मचारी ‚AI-साक्षर‘ हों, उन्हें बुनियादी जानकारी हो कि टूल सुरक्षित ढंग से क्या कर सकता है और क्या नहीं। यह अनुच्छेद 4 है। तो ग्राहक डेटा को चैटबॉट में पेस्ट करने वाला एक कर्मचारी एक साथ दो चीज़ें है: एक संभावित GDPR लीक और इस बात का संकेत कि आप उस AI-साक्षरता को पूरा नहीं करते।

यानी यह घट नहीं रहा। पिछले साल जहाँ बात ‚कोई ChatGPT से कुछ पूछता है‘ तक थी, अब ऐसे टूल बढ़ते जा रहे हैं जो ख़ुद ईमेल भेजते हैं, अपॉइंटमेंट बुक करते हैं या फ़ाइलें प्रोसेस करते हैं। अगर इस पर आपकी नज़र नहीं, तो जोखिम हफ़्ते-दर-हफ़्ते बढ़ता है।

क्या GDPR के तहत ChatGPT की अनुमति भी है?

हाँ, ChatGPT पर रोक नहीं है। बात टूल की नहीं, बल्कि इसकी है कि आप उसमें क्या डालते हैं। ChatGPT से बिना व्यक्तिगत डेटा के ब्लॉग लिखवाना या कोई विचार विकसित करवाना? कोई दिक़्क़त नहीं। उसमें ग्राहक फ़ाइल या नामों वाला ईमेल पेस्ट करना? जोखिम वहीं से शुरू होता है। सीमा सरल है: अगर ऐसी जानकारी जाती है जिससे किसी व्यक्ति को पहचाना जा सके, तो उसका खुले AI टूल में स्थान नहीं। यही एक नियम अधिकांश समस्याओं को रोक देता है।

रोक लगाना काम नहीं करता, यह हालात बिगाड़ता है

कई उद्यमियों की पहली प्रतिक्रिया: ‚काम पर ChatGPT? मना है।‘ समझ में आता है, पर यह उल्टा पड़ता है। आपके लोग इसे इसलिए इस्तेमाल करते हैं क्योंकि यह उनका काम आसान करता है। रोक लगाओगे तो वे बंद नहीं करेंगे, बस चुपके से, अपने फ़ोन पर, हर नज़र से बाहर करेंगे। इससे समस्या छोटी होने के बजाय अदृश्य हो जाती है। समाधान कम AI नहीं, बल्कि ऐसा AI है जिस पर आप भरोसा कर सकें।

क्या काम करता है, 4 क़दमों में

• इसे बातचीत का विषय बनाइए। बिना दोष दिए पूछिए, आपकी टीम कौन-से टूल और किसलिए इस्तेमाल करती है। आप चौंक जाएँगे कि कितना पहले से चल रहा है। यह क़ानून द्वारा माँगी गई AI-साक्षरता का पहला क़दम भी है।
• तय कीजिए कि किसी खुले AI टूल में कभी क्या नहीं डालना। एक सरल नियम जो सब समझें: ChatGPT या मुफ़्त अनुवाद साइट में न नाम, न ग्राहक डेटा, न स्टाफ़ फ़ाइलें। इसे एक पन्ने पर लिख दीजिए।
• एक सुरक्षित विकल्प दीजिए। यही केंद्र है: जब तक कोई अच्छा, सुरक्षित टूल नहीं होगा, लोग असुरक्षित वाला इस्तेमाल करते रहेंगे। ऐसा संस्करण सुनिश्चित कीजिए जिससे कंपनी का डेटा बाहर न जाए।
• इसे जीवित रखिए। एक व्यक्ति को ज़िम्मेदार बनाइए, तिमाही में एक बार संक्षेप में चर्चा कीजिए, और नए टूल आने पर अपने नियम अपडेट कीजिए।

असली समाधान: आपका अपना सुरक्षित संस्करण

नियमों की सूची समय के दबाव में किसी को नहीं रोकती। जो काम करता है वह है ChatGPT जितना ही आसान एक AI टूल, पर आपकी कंपनी के लिए सेट किया गया, आपके अपने सिस्टम से जुड़ा, ताकि ग्राहक डेटा अंदर ही रहे। आपके लोगों को वह रफ़्तार मिलती है जो वे चाहते हैं, और डेटा कहाँ जाता है उस पर नियंत्रण आपके पास रहता है।

यह कोई बड़ी, महँगी परियोजना होना ज़रूरी नहीं। अक्सर यह उन दो-तीन कामों से शुरू होता है जिनके लिए आपकी टीम सबसे ज़्यादा AI का सहारा लेती है, ईमेल का जवाब देना, कोटेशन बनाना, सूचियाँ साफ़ करना, और आप उनके लिए एक सुरक्षित संस्करण बनाते हैं। जैसे ही लोग देखते हैं कि यह काम करता है और इसकी अनुमति है, बाक़ी अपने आप आता है।

Socialo इसे कैसे संभालती है

मैं एक निःशुल्क परिचय बातचीत से शुरुआत करता हूँ। हम चर्चा करते हैं कि किन कामों में समय लगता है, आप कौन से सिस्टम इस्तेमाल करते हैं और ऑटोमेशन कहाँ मदद कर सकता है। इसके बाद आपको ऑटोमेशन के अवसरों, कनेक्शन, समय-योजना और लागत का प्रस्ताव मिलता है।

Shadow AI भविष्य की समस्या नहीं है। आपका स्टाफ़ अभी, हर दिन AI इस्तेमाल करता है, अक्सर ऐसे डेटा के साथ जिसे इमारत से बाहर नहीं जाना चाहिए। अच्छी ख़बर: न आपको इस पर रोक लगानी है, न वकील रखना है। आपको बस इसे दिखाई देने योग्य बनाना है और एक सुरक्षित विकल्प देना है। जो इसे अभी संभाल लेगा वह आगे रहेगा, बजाय हाथ में लीक की सूचना लिए घटनाओं के पीछे भागने के।