लाभ:
- यह मूल्यांकन करना कि क्या AI के उपयोग के लिए DPIA की आवश्यकता है
- एआई प्रोजेक्ट में सात-चरणीय डीपीआईए प्रक्रिया को लागू करना
- संभाव्यता-प्रभाव मैट्रिक्स के साथ जोखिमों को प्राथमिकता दें और कम करने वाले उपाय डिज़ाइन करें
एआई के कुछ उपयोग व्यक्तियों के लिए गंभीर जोखिम पैदा करते हैं: बड़े पैमाने पर निगरानी, संवेदनशील डेटा प्रोसेसिंग, स्वचालित निर्णय। ऐसी परियोजनाओं में, केवीकेके/जीडीपीआर और ईयू एआई कानून दोनों काम शुरू होने से पहले एक संरचित जोखिम मूल्यांकन की उम्मीद करते हैं। इस असेसमेंट का नाम डेटा प्रोटेक्शन इम्पैक्ट असेसमेंट (DPIA) है. इस इकाई में हम सीखेंगे कि कैसे बताया जाए कि किसी उपयोग के लिए डीपीआईए की आवश्यकता है, एआई परियोजना में सात-चरण वाली डीपीआईए प्रक्रिया को कैसे लागू किया जाए, और संभाव्यता-प्रभाव मैट्रिक्स के साथ जोखिमों को कैसे प्राथमिकता दी जाए।
DPIA क्या है और इसकी आवश्यकता कब पड़ती है?
डेटा सुरक्षा प्रभाव आकलन (डीपीआईए) एक संरचित विश्लेषण है जो व्यक्तियों के अधिकारों और स्वतंत्रता पर प्रसंस्करण गतिविधि के जोखिमों का अग्रिम मूल्यांकन करता है और कम करने के उपाय निर्धारित करता है। महत्वपूर्ण बिंदु: DPIA डिज़ाइन चरण में किया जाता है, प्रसंस्करण शुरू होने से पहले - समस्या उत्पन्न होने के बाद नहीं।
DPIA की आवश्यकता आमतौर पर तब होती है जब:
- नई तकनीक का उपयोग (एआई को अक्सर शामिल किया जाता है)।
- व्यक्तिगत डेटा का बड़े पैमाने पर प्रसंस्करण।
- व्यवस्थित निगरानी या प्रोफ़ाइलिंग.
- विशेष डेटा प्रोसेसिंग.
- स्वचालित निर्णय जो लोगों पर महत्वपूर्ण प्रभाव डालते हैं।
युक्ति: यदि आप निश्चित नहीं हैं, तो "स्क्रीनिंग" करें: यदि उपरोक्त पांच में से दो या अधिक मौजूद हैं, तो डीपीआईए करना डिफ़ॉल्ट है। DPIA करने की लागत कम है; ऐसा न करने की कीमत एक उल्लंघन में बहुत अधिक है।
सात-चरणीय डीपीआईए प्रक्रिया
आप इन सात चरणों में एआई प्रोजेक्ट पर डीपीआईए लागू करते हैं:
कदम
आप क्या करते हैं?
1. विवरण
प्रसंस्करण का वर्णन करें: कौन सा डेटा, उद्देश्य, दायरा, प्रवाह
2. आवश्यकता एवं आनुपातिकता
क्या AI वाकई ज़रूरी है? क्या कोई कम दखल देने वाला तरीका है?
3. हितधारक की राय
संबंधित व्यक्तियों/प्रतिनिधियों की राय प्राप्त करें
4. जोखिम की पहचान
व्यक्तियों को संभावित नुकसान की सूची बनाएं
5. जोखिम मूल्यांकन
प्रत्येक जोखिम को संभाव्यता और प्रभाव के आधार पर स्कोर करें
6. शमन उपाय
प्रत्येक जोखिम के लिए सावधानियां डिज़ाइन करें, अवशिष्ट जोखिम की पहचान करें
7. अनुमोदन और समीक्षा
परिणाम का दस्तावेजीकरण करें, इसे अनुमोदन के लिए प्रस्तुत करें, इसे समय-समय पर अद्यतन करें
जोखिम को प्राथमिकता देना: संभाव्यता-प्रभाव मैट्रिक्स
आप प्रत्येक जोखिम का मूल्यांकन दो आयामों में करते हैं: इसके होने की संभावना और यदि ऐसा होता है तो प्रभाव। दोनों के संयोजन को प्राथमिकता मिलती है.
<w:tcPr><w:tcW w:type='dxa' w:w='2160'/></w:tcPr><w:p><w:r><w:rPr><w:b/></w:rPr><w:t>कम प्रभाव
मध्यम प्रभाव
उच्च प्रभाव
उच्च संभावना
मध्यम
उच्च
आलोचनात्मक
मध्यम संभावना
कम
मध्यम
उच्च
कम संभावना
कम
कम
मध्यम
गंभीर और उच्च जोखिम ऐसे जोखिम हैं जिनके लिए सावधानी बरते बिना परियोजना को जारी नहीं रखा जाना चाहिए। उद्देश्य हर जोखिम को ख़त्म करना नहीं है; प्रत्येक जोखिम को स्वीकार्य स्तर तक कम करना और शेष (अवशिष्ट) जोखिम को सचेत रूप से स्वीकार करना है।
तीन मिनी मामले
केस 1 - छोड़ा गया डीपीआईए। एक खुदरा श्रृंखला एक ऐसी प्रणाली लागू करती है जो DPIA के बिना, AI के साथ स्टोर में ग्राहक के व्यवहार को ट्रैक करती है। महीनों बाद, एक शिकायत से पता चलता है कि सिस्टम ने विशिष्ट निष्कर्ष निकाले हैं (स्वास्थ्य, गर्भावस्था की भविष्यवाणी)। ऑडिट में "आपने डीपीआईए क्यों नहीं किया" सवाल का कोई जवाब नहीं है। एक DPIA ने शुरू से ही डिज़ाइन चरण में इस जोखिम को पकड़ लिया होगा और परियोजना को सुरक्षित बना दिया होगा।
केस 2 - डीपीआईए द्वारा बचाया गया प्रोजेक्ट। डीपीआईए किसी बैंक में भर्ती सहायता एआई के लिए किया जाता है। जोखिम पहचान चरण के दौरान, ऐतिहासिक डेटा के कारण लिंग पूर्वाग्रह का जोखिम "उच्च" हो जाता है। शमन के रूप में, टीम मॉडल से लिंग संबंधी जानकारी हटा देती है, आउटपुट का श्रेय नियमित पूर्वाग्रह परीक्षण को देती है, और मानव सत्यापन की आवश्यकता होती है। अब जोखिम घटकर "मध्यम" हो गया है और परियोजना स्वीकार्य हो गई है। DPIA प्रोजेक्ट को ख़त्म करने के बजाय उसे सुरक्षित बनाता है।
केस 3 - आनुपातिकता परीक्षण। एक कंपनी एआई के साथ "वफादारी विश्लेषण" के लिए कर्मचारियों के ईमेल को स्कैन करना चाहती है। डीपीआईए की आवश्यकता/आनुपातिकता कदम में यह उद्देश्य के सापेक्ष अत्यधिक दखल देने वाला पाया गया है; कम दखल देने वाले विकल्प हैं. परियोजना अपने मौजूदा स्वरूप में स्वीकृत नहीं है. आनुपातिकता परीक्षण "हम कर सकते हैं" और "हमें अवश्य करना चाहिए" के बीच अंतर करता है।
ध्यान दें: डीपीआईए कोई ऐसा फॉर्म नहीं है जिसे एक बार भरकर अलग रख दिया जाए। प्रसंस्करण परिवर्तन (नया डेटा, नया उद्देश्य, नया उपकरण) करते समय डीपीआईए को अद्यतन किया जाना चाहिए। एक मृत डीपीआईए बिल्कुल भी डीपीआईए न होने की तुलना में अधिक भ्रामक है क्योंकि यह झूठा विश्वास दिलाता है।
DPIA और जोखिम पंजीकरण DPIA के साथ संबंध कौन करता है?
एक भी व्यक्ति अपने डेस्क पर DPIA नहीं भर सकता; सही डीपीआईए एक टीम प्रयास है। आमतौर पर, डेटा सुरक्षा अधिकारी प्रक्रिया को अंजाम देता है (कर्ता), अनुपालन प्रबंधक अंततः जिम्मेदार (जवाबदेह) होता है, संबंधित व्यावसायिक इकाई प्रसंस्करण का वर्णन करती है, आईटी/सुरक्षा तकनीकी उपायों का मूल्यांकन करती है और कानूनी आधार की पुष्टि करती है। प्रासंगिक लोगों की राय प्राप्त करना (तीसरा चरण) की उपेक्षा नहीं की जानी चाहिए; हालाँकि, यह वह कदम है जिसे व्यवहार में सबसे अधिक छोड़ा जाता है।
डीपीआईए का आउटपुट शून्य में नहीं बैठता: पहचाने गए जोखिम संगठन के जोखिम रजिस्टर में दर्ज किए जाते हैं। जोखिम रजिस्टर एक लाइव चार्ट है जो सभी खुले जोखिमों, उनकी प्राथमिकताओं, शमन, दोषियों और अंतिम समीक्षा तिथियों को दर्शाता है। इस तरह, एआई परियोजना के जोखिम संगठन के समग्र जोखिम प्रबंधन के समान ही भाषा बोलते हैं और नियमित रूप से निगरानी की जाती है।
जोखिम रजिस्टर क्षेत्र
उदाहरण
जोखिम की परिभाषा
भर्ती एआई में लिंग पूर्वाग्रह
प्राथमिकता
उच्च
शमन उपाय
सरोगेट चर निष्कर्षण + पूर्वाग्रह परीक्षण
जिम्मेदार
डेटा सुरक्षा अधिकारी
समीक्षा
हर 3 महीने में
टिप: डीपीआईए के साथ "जोखिम लॉग और ट्रैक" मानसिकता के साथ व्यवहार करें, न कि "पूरा करो और भूल जाओ" दृष्टिकोण के साथ। क्या जोखिम शमन कार्यान्वित किया गया है, क्या अवशिष्ट जोखिम स्वीकार्य स्तर पर है - इनका रिकॉर्ड रखने के बिना, डीपीआईए एक विंडो दस्तावेज़ बन जाता है।
कॉपी करने योग्य टेम्पलेट
टेम्प्लेट 1 - डीपीआईए प्री-स्क्रीनिंग: "क्या इस एआई उपयोग के लिए डीपीआईए आवश्यक है? [उपयोग का वर्णन करें]। पांच ट्रिगर्स के खिलाफ मूल्यांकन करें: नई तकनीक, बड़े पैमाने पर प्रसंस्करण, व्यवस्थित निगरानी, संवेदनशील डेटा, महत्वपूर्ण स्वचालित निर्णय लेना। कितने ट्रिगर हैं, क्या आप औचित्य के साथ डीपीआईए की सिफारिश करते हैं।"
टेम्प्लेट 2 - जोखिम पहचान विचार-मंथन: "इस एआई प्रोजेक्ट में लोगों को संभावित नुकसान की सूची बनाएं [परियोजना का वर्णन करें]: डेटा लीक, भेदभाव, गलत निर्णय, गोपनीयता का आक्रमण, पारदर्शिता की कमी, उद्देश्य विचलन। प्रत्येक नुकसान के लिए एक-वाक्य परिदृश्य लिखें। बस पता लगाएं, फिर भी प्रतिकार न करें।"
टेम्प्लेट 3 - संभावना-प्रभाव स्कोरिंग: "निम्नलिखित जोखिमों को संभाव्यता (कम/मध्यम/उच्च) और प्रभाव (कम/मध्यम/उच्च) के रूप में स्कोर करें; प्राथमिकता (कम/मध्यम/उच्च/महत्वपूर्ण) प्रत्येक पंक्ति पर दिखाई देती है। शीर्ष पर महत्वपूर्ण और उच्च की सूची बनाएं। तालिका प्रारूप में प्रस्तुत करें।"
टेम्प्लेट 4 - शमन डिज़ाइन: "निम्नलिखित जोखिम के लिए [जोखिम लिखें], कम से कम 3 शमन उपायों (तकनीकी, प्रक्रिया, संगठनात्मक) का प्रस्ताव करें। प्रत्येक उपाय के बाद 'अवशिष्ट जोखिम' स्तर का अनुमान लगाएं। यदि उपाय के बाद भी जोखिम अधिक है, तो संकेत दें कि परियोजना को फिर से डिजाइन किया जाना चाहिए।"
कमजोर संकेत/मजबूत संकेत
कमजोर: "क्या यह एआई प्रोजेक्ट जोखिम भरा है?"-> मॉडल अस्पष्ट 'शायद' उत्तर देता है; जोखिमों को वर्गीकृत नहीं करता है, जोखिमों को प्राथमिकता नहीं देता है, उपायों का उत्पादन नहीं करता है। मजबूत: "निम्नलिखित एआई परियोजना के लिए एक मिनी डीपीआईए का संचालन करें: (1) प्रसंस्करण का वर्णन करें, (2) 5 ट्रिगर्स के साथ डीपीआईए की आवश्यकता का मूल्यांकन करें, (3) सूची 6 व्यक्तियों को संभावित नुकसान, (4) संभावना-प्रभाव के आधार पर प्रत्येक को स्कोर करें, (5) गंभीर/उच्च जोखिमों के लिए शमन की सिफारिश करें। निश्चित कानूनी निर्णय लें; एक मसौदा तैयार करें जो कानूनी अनुमोदन के लिए जाएगा।"-> मॉडल एक संरचित, कार्रवाई योग्य डीपीआईए का मसौदा तैयार करता है।
सामान्य गलतियाँ
- लेन-देन शुरू होने के बाद (या समस्या उत्पन्न होने के बाद भी) DPIA करना।
- डीपीआईए की आवश्यकता वाले उच्च जोखिम वाले प्रसंस्करण को छोड़ना "कोई बड़ी बात नहीं है।"
- जोखिमों को सूचीबद्ध न करना और उन्हें संभाव्यता और प्रभाव के आधार पर प्राथमिकता देना।
- प्रत्येक जोखिम के लिए उपाय किए बिना DPIA को "पूर्ण" मानना।
- आवश्यकता/आनुपातिकता कदम को छोड़कर यह कहना कि "हम यह कर सकते हैं, तो आइए इसे करें"।
- DPIA को एक बार भरना और प्रक्रिया बदलने पर इसे अपडेट न करना।
- अवशिष्ट (शेष) जोखिम का स्पष्ट दस्तावेजीकरण किए बिना परियोजना को मंजूरी देना।
संक्षेप में
- डीपीआईए एक संरचित विश्लेषण है जो शुरू होने से पहले व्यक्तियों पर उच्च जोखिम वाले प्रसंस्करण के प्रभाव का मूल्यांकन करता है।
- नई तकनीक, बड़े पैमाने पर प्रसंस्करण, व्यवस्थित निगरानी, संवेदनशील डेटा या महत्वपूर्ण स्वचालित निर्णय लेने की स्थिति में डीपीआईए की आवश्यकता होती है।
- प्रक्रिया में सात चरण होते हैं: पहचान, आवश्यकता/आनुपातिकता, हितधारक की राय, जोखिम की पहचान, मूल्यांकन, कार्रवाई, अनुमोदन/समीक्षा।
- संभाव्यता-प्रभाव मैट्रिक्स के साथ जोखिमों को प्राथमिकता दी जाती है; गंभीर/उच्च जोखिमों को सावधानियों के बिना स्वीकार नहीं किया जाता है।
- डीपीआईए परियोजना को समाप्त नहीं करता, यह इसे सुरक्षित बनाता है; यह एक जीवित दस्तावेज़ है जिसे प्रसंस्करण परिवर्तन के रूप में अद्यतन किया जाना चाहिए।
आवेदन कार्य
एआई का ऐसा उपयोग चुनें जिसका उपयोग आपका संगठन कर सकता है जो उच्च जोखिम वाला हो सकता है (उदाहरण के लिए, भर्ती सहायता, व्यवहार ट्रैकिंग, या क्रेडिट स्कोरिंग)। पहले विचार करें कि क्या DPIA पाँच ट्रिगर्स के साथ आवश्यक है। फिर इस उपयोग के लिए एक मिनी डीपीआईए का संचालन करें: प्रसंस्करण का वर्णन करें, व्यक्तियों को होने वाले कम से कम छह संभावित नुकसानों की सूची बनाएं, प्रत्येक को संभावना-प्रभाव मैट्रिक्स पर स्कोर करें, और प्राथमिकता निर्दिष्ट करें। दो गंभीर और उच्च जोखिमों के लिए तीन शमन उपाय डिज़ाइन करें और उपाय के बाद अवशिष्ट जोखिम स्तर का अनुमान लगाएं। अंत में, ध्यान दें कि इस DPIA को कब अद्यतन करने की आवश्यकता होगी।
चेकलिस्ट
- [ ] मैंने पांच ट्रिगर्स के साथ डीपीआईए आवश्यकता का मूल्यांकन किया।
- [ ] मैंने प्रसंस्करण (डेटा, उद्देश्य, दायरा, प्रवाह) को परिभाषित किया।
- [ ] मैंने आवश्यकता और आनुपातिकता पर सवाल उठाया।
- [ ] मैंने व्यक्तियों को होने वाले संभावित नुकसानों को सूचीबद्ध किया है।
- [ ] मैंने संभाव्यता-प्रभाव मैट्रिक्स में जोखिमों को प्राथमिकता दी।
- [ ] मैंने गंभीर/उच्च जोखिमों के लिए शमन उपाय तैयार किए।
- [ ] मैंने अब जोखिम का दस्तावेजीकरण कर लिया है और समीक्षा शर्तें निर्धारित कर दी हैं।