AI इस्तेमाल करते समय आपका डेटा कहाँ रहता है?

आप किसी AI सहायक को अपना इनबॉक्स पढ़ने देते हैं, या जाँच के लिए कोई कोटेशन ChatGPT में चिपका देते हैं। उसी पल आपकी कोई चीज़ घर से बाहर चली जाती है। AI इस्तेमाल करते समय आपका डेटा कहाँ रहता है, और उस तक कौन पहुँच सकता है? यह सवाल पहले से लगभग कोई नहीं पूछता। और लगभग हर कारोबारी को यह सवाल छह महीने बाद वैसे भी मिल जाता है, किसी ग्राहक से, अपने अकाउंटेंट से, या ऐसे कर्मचारी से जो सोचता है कि यह सब कानूनी भी है या नहीं। यहाँ ईमानदार जवाब है: डराए बिना, और यह दिखावा किए बिना कि इसके लिए आपको एक आईटी विभाग चाहिए।

जब AI एक ग्राहक का ईमेल पढ़ता है तो क्या होता है

मान लीजिए एक ग्राहक डिलीवरी के बारे में सवाल भेजता है और आपका AI सहायक जवाब तैयार करता है। तब वह ईमेल तीन जगहों से गुज़रता है। इन्हें अलग-अलग देखना ज़रूरी है, क्योंकि ये तीन अलग फैसले हैं जिनका आपस में कोई लेना-देना नहीं।

• वह जगह जहाँ आपकी फाइलें और संदेश पहले से थे, आपका मेल प्रोग्राम, दस्तावेज़ फ़ोल्डर, ग्राहक सिस्टम।
• वह जगह जहाँ सोचने का काम होता है, उस कंपनी के कंप्यूटर जो AI मॉडल चलाती है। ईमेल का टेक्स्ट वहीं जाता है और जवाब वहीं से आता है।
• वह जगह जहाँ बीच का हिस्सा चलता है, वह टुकड़ा जो मेल उठाता है, आगे भेजता है और जवाब वापस रखता है। आमतौर पर यही हिस्सा कोई आपके लिए बनाता है।

इन तीनों में से हर एक नीदरलैंड में हो सकता है, यूरोप में कहीं और, या अमेरिका में। और आप इन्हें अलग-अलग चुन सकते हैं। बातचीत ठीक यहीं गड़बड़ाती है: कोई कहता है «हमारा डेटा यूरोप में है» और उसका मतलब सिर्फ़ पहला बिंदु होता है, जबकि सोचने का काम आराम से अमेरिका में हो रहा होता है। या इसका उल्टा।

«यूरोपीय सर्वर» और «यूरोपीय कंपनी» एक ही बात नहीं है

यह वह हिस्सा है जो ज़्यादातर कारोबारियों को कभी नहीं बताया जाता। अमेरिका का 2018 का CLOUD Act अमेरिकी कंपनियों को बाध्य करता है कि वैध अदालती आदेश होने पर वे डेटा अमेरिकी अधिकारियों को सौंपें, भले ही वह डेटा यूरोप के सर्वरों पर हो। कानून यह देखता है कि प्रदाता कौन है, यह नहीं कि अलमारी कहाँ रखी है। यानी एम्स्टर्डम में किसी अमेरिकी कंपनी का डेटा सेंटर, एम्स्टर्डम में किसी डच कंपनी के डेटा सेंटर से अलग चीज़ है।

दूसरी ओर, एक यूरोपीय समझौता भी है जो अमेरिकी पक्षों के साथ डेटा के आदान-प्रदान की अनुमति देता है। 2025 में यूरोपीय अदालत ने पहली सुनवाई में इस समझौते को बरकरार रखा, लेकिन न्यायालय में अपील अब भी लंबित है। आपकी स्थिति में इसका मतलब: आज इसकी अनुमति है, और यह तय नहीं कि दो साल बाद नियम वही रहेंगे।

हर जगह के लिए आप असल में क्या चुन सकते हैं

अच्छी खबर: आपके पास सोचने से ज़्यादा विकल्प हैं, और आमतौर पर इसका कोई अतिरिक्त खर्च नहीं। बुरी खबर: यह चुनाव पहले करना पड़ता है, क्योंकि बाद में जगह बदलने में सचमुच पैसा लगता है।

सोचने वाले हिस्से के लिए, यानी वह मॉडल जो टेक्स्ट लिखता है, बड़े प्रदाता अब यूरोप में प्रोसेसिंग देते हैं, लेकिन हर सब्सक्रिप्शन में नहीं। OpenAI यह फरवरी 2025 से अपने कारोबारी संस्करणों (ChatGPT Enterprise और Edu) और डेवलपर प्लेटफ़ॉर्म के प्रोजेक्ट्स के लिए करता है, जहाँ टेक्स्ट यूरोप में प्रोसेस होता है और कुछ भी सहेजा नहीं जाता। साधारण Plus या Business सब्सक्रिप्शन इसमें शामिल नहीं है। यह फर्क बड़ा है और किसी कीमत वाले पेज पर नहीं लिखा होता। इसके अलावा यूरोपीय मॉडल बनाने वाले भी हैं, जैसे फ्रांस का Mistral, जहाँ यह सवाल उठता ही नहीं।

बीच के हिस्से के लिए, वही हिस्सा जो हम और दूसरी एजेंसियाँ आपके लिए बनाती हैं, चुनाव सबसे आसान है। वह आराम से किसी डच डेटा सेंटर के सर्वर पर चल सकता है। TransIP जैसे डच प्रदाता के यहाँ ऐसा सर्वर, यह लिखे जाने के समय, लगभग पाँच यूरो प्रति माह से शुरू होता है। यानी न करने की वजह शायद ही कभी कीमत होती है।

• सोचना: पूछिए कौन-सा मॉडल इस्तेमाल होता है, वह किस देश में चलता है, और कुछ सहेजा जाता है या नहीं।
• भंडारण: पूछिए फाइलें, बातचीत और रिकॉर्ड कहाँ रहते हैं और कितने समय तक।
• बीच का हिस्सा: पूछिए वह किस डेटा सेंटर में चलता है और अनुबंध किसके नाम है।
• यहाँ जो भी तय हो, वह डेटा प्रोसेसिंग अनुबंध में लिखा होना चाहिए, किसी मैसेज में नहीं।

शुरू से सही करने में कितना खर्च आता है

हमें जो ज़्यादातर छोटे कारोबारी ऑटोमेशन मिलते हैं, उनमें जवाब है: कुछ भी अतिरिक्त नहीं। चुनाव सेटअप में है, कीमत में नहीं। बनाते समय आप यूरोपीय प्रोसेसिंग और डच सर्वर चुन लेते हैं, बस। पैसा तब लगता है जब बाद में बदलना पड़े, तब एक हिस्सा दोबारा बनाना पड़ता है और मौजूदा डेटा हटाना पड़ता है।

और कभी-कभी यह संभव ही नहीं होता। कुछ सुविधाओं के लिए, आवाज़, तस्वीर, कोई बहुत खास मॉडल, अभी यूरोपीय रास्ता है ही नहीं। तब ईमानदार बात यह है: उस हिस्से का इस्तेमाल संवेदनशील डेटा के लिए मत कीजिए, या एक बार लिख लीजिए कि इस मामले में आप इसे क्यों स्वीकार्य मानते हैं। यह दिखावा करना कि समस्या है ही नहीं, अकेला गलत विकल्प है।

15 अगस्त 2026 से आपका ग्राहक यह पूछेगा

अब तक यह मुख्य रूप से आपका अपना मामला था। इस महीने यह बदल रहा है। डच साइबर सुरक्षा कानून, यूरोप के NIS2 नियमों का राष्ट्रीय रूप, 15 अगस्त 2026 को लागू हो रहा है, जिसे सीनेट ने 7 जुलाई को मंज़ूरी दी। यह अठारह क्षेत्रों की उन संस्थाओं पर लागू होता है जिनमें लगभग पचास से ज़्यादा कर्मचारी हैं या एक करोड़ यूरो से ज़्यादा कारोबार। दायरे में आने वाली संस्थाओं की संख्या करीब एक हज़ार से बढ़कर करीब आठ हज़ार हो रही है।

आप खुद इसमें नहीं आते? फिर भी यह आपको छूता है, क्योंकि ये आठ हज़ार संस्थाएँ अपनी आपूर्ति शृंखला के जोखिम संभालने के लिए बाध्य हैं। और वे यह अपने सीधे सप्लायरों से सवाल पूछकर करती हैं, उन सप्लायरों से भी जो खुद कानून के दायरे में नहीं हैं। व्यवहार में इसका मतलब है एक प्रश्नावली। और ऐसी सूची में यह सवाल हमेशा होता है: हमारा डेटा कहाँ प्रोसेस और स्टोर होता है? मुख्य दायित्वों के लिए कोई संक्रमण अवधि नहीं है, इसलिए ये बातचीत तुरंत शुरू हो जाएगी।

«सच कहूँ तो मुझे पता नहीं» वाला जवाब ऐसे खरीदार के सामने आपके नंबर काटता है जो खुद निगरानी में है। «हमारा ग्राहक सिस्टम नीदरलैंड में चलता है, टेक्स्ट यूरोप में प्रोसेस होता है और कुछ सहेजा नहीं जाता» वाला जवाब बातचीत तीस सेकंड में खत्म कर देता है। यह फर्क एक हफ्ते में नहीं बनता, यह उसी वक्त बनता है जब आप ऑटोमेशन बनवाते हैं।

हर AI सप्लायर से पूछने लायक तीन सवाल

इसके लिए तकनीकी होना ज़रूरी नहीं। ये तीन सवाल पाँच मिनट में बता देते हैं कि किसका घर व्यवस्थित है। ये सवाल हमसे भी पूछिए।

• मेरा टेक्स्ट कहाँ प्रोसेस होता है और कहाँ रहता है? अच्छा जवाब देश का नाम लेता है और बताता है कि कुछ सहेजा जाता है या नहीं। कमज़ोर जवाब सिर्फ़ किसी ब्रांड का नाम लेता है।
• क्या मेरा डेटा मॉडल सुधारने में इस्तेमाल होता है? जवाब 'नहीं' होना चाहिए, और यह डेटा प्रोसेसिंग अनुबंध में लिखा होना चाहिए, सिर्फ़ ईमेल में नहीं।
• अगर मैं बंद कर दूँ या आप बंद कर दें तो क्या होगा? आप सुनना चाहते हैं कि डेटा आपके साथ जाएगा, अनुबंध आपके नाम हो सकता है, और आप किसी एक पक्ष से बँधे नहीं हैं।

अगर कोई इस पर घुमा-फिरा कर बात करे, तो आपको जवाब मिल गया। इसलिए नहीं कि ज़रूर कुछ गलत है, बल्कि इसलिए कि जो सप्लायर खुद नहीं जानता, वह आपके ग्राहक की प्रश्नावली में भी आपकी मदद नहीं कर पाएगा।

यह कब सचमुच मायने रखता है, और कब नहीं

हम डर नहीं बेचते। छोटे कारोबार AI से जो करते हैं, उसके बड़े हिस्से के लिए यह भारी मुद्दा नहीं है। किसी पर इसलिए जुर्माना नहीं लगता कि विज्ञापन का टेक्स्ट अमेरिका में लिखा गया। एक बार जो फर्क आपको तय करना है, वह यह है:

• मायने रखता है: ग्राहकों और कर्मचारियों का डेटा, फाइलें, कीमतों और ड्रॉइंग वाले कोटेशन, ग्राहक के साथ गोपनीयता समझौते में आने वाली हर चीज़, और वह सब जो आप किसी बड़ी कंपनी को देते हैं।
• कम मायने रखता है: सार्वजनिक टेक्स्ट, मार्केटिंग के विचार, उन चीज़ों के सारांश जो पहले से आपकी वेबसाइट पर हैं, बिना नाम और रकम वाले सामान्य सवाल।
• हमेशा गलत: बिना किसी समझौते के संवेदनशील डेटा किसी मुफ़्त टूल में चिपकाना, चाहे वह टूल कहीं भी चलता हो।

व्यवहार में सबसे बड़ा जोखिम यही आखिरी बिंदु है। नक्शा नहीं, बल्कि वह कर्मचारी जो सुविधा के लिए ग्राहक की फाइल झटपट किसी मुफ़्त चैटबॉट में चिपका देता है। इसके खिलाफ कोई यूरोपीय सर्वर काम नहीं आता, काम आता है सिर्फ़ ऐसा नियम जो लोग समझें, और एक सुरक्षित टूल जो चले और उतना ही आसान हो।

इस हफ्ते आप क्या कर सकते हैं

• लिखिए कि आपके कारोबार में कौन-कौन से AI टूल चल रहे हैं। बस पूछ लीजिए; आप हैरान होंगे।
• हर टूल की सेटिंग्स में देखिए कि क्या आप यूरोपीय प्रोसेसिंग चालू कर सकते हैं और बातचीत सहेजना बंद कर सकते हैं।
• हर टूल के लिए एक लाइन लिखिए: इसमें क्या डाला जा सकता है और क्या नहीं। टीम से बात करने के लिए इतना ही काफी है।
• कुछ बनवा रहे हैं? ऊपर के तीन सवाल अपनी माँग में शामिल कीजिए, कुछ भी बनने से पहले।

तब शीर्षक का सवाल कोई समस्या नहीं रह जाता, बल्कि ऐसा जवाब बन जाता है जो आपके पास तैयार है। अपने लिए, अपने ग्राहकों के लिए, और इस महीने आने वाली प्रश्नावली के लिए।