فائدہ:
- اس بات کا جائزہ لینا کہ آیا AI کے استعمال کے لیے DPIA کی ضرورت ہے۔
- AI پروجیکٹ پر سات قدمی DPIA عمل کو لاگو کرنا
- امکانی اثرات کے میٹرکس کے ساتھ خطرات کو ترجیح دیں اور تخفیف کے اقدامات کو ڈیزائن کریں۔
AI کے کچھ استعمال افراد کے لیے سنگین خطرات لاحق ہیں: بڑے پیمانے پر نگرانی، حساس ڈیٹا پروسیسنگ، خودکار فیصلے۔ اس طرح کے منصوبوں میں، KVKK/GDPR اور EU AI قانون دونوں کام شروع ہونے سے پہلے ایک منظم خطرے کی تشخیص کی توقع کرتے ہیں۔ اس تشخیص کا نام ڈیٹا پروٹیکشن امپیکٹ اسیسمنٹ (DPIA) ہے۔ اس یونٹ میں ہم یہ سیکھیں گے کہ کس طرح بتانا ہے کہ آیا کسی استعمال کے لیے DPIA کی ضرورت ہے، AI پروجیکٹ پر سات قدمی DPIA عمل کو کیسے لاگو کیا جائے، اور امکانی اثرات کے میٹرکس کے ساتھ خطرات کو کیسے ترجیح دی جائے۔
DPIA کیا ہے اور اس کی کب ضرورت ہے؟
ڈیٹا پروٹیکشن امپیکٹ اسسمنٹ (DPIA) ایک منظم تجزیہ ہے جو افراد کے حقوق اور آزادیوں پر کارروائی کی سرگرمی کے خطرات کا پیشگی جائزہ لیتا ہے اور تخفیف کے اقدامات کا تعین کرتا ہے۔ اہم نکتہ: DPIA ڈیزائن کے مرحلے پر کیا جاتا ہے، پروسیسنگ شروع ہونے سے پہلے - مسئلہ پیدا ہونے کے بعد نہیں۔
DPIA کی عام طور پر ضرورت ہوتی ہے جب:
- نئی ٹیکنالوجی کا استعمال (AI اکثر شامل ہوتا ہے)۔
- ذاتی ڈیٹا کی بڑے پیمانے پر پروسیسنگ۔
- منظم نگرانی یا پروفائلنگ۔
- خصوصی ڈیٹا پروسیسنگ۔
- خودکار فیصلے جو لوگوں کو نمایاں طور پر متاثر کرتے ہیں۔
اشارہ: اگر آپ کو یقین نہیں ہے تو، "اسکریننگ" کریں: اگر اوپر پانچ میں سے دو یا زیادہ موجود ہیں، تو ڈیفالٹ ڈی پی آئی اے کرنا۔ DPIA کرنے کی لاگت کم ہے؛ ایسا نہ کرنے کی قیمت ایک خلاف ورزی میں بہت زیادہ ہے۔
سات قدمی DPIA عمل
آپ ان سات مراحل میں AI پروجیکٹ پر DPIA کا اطلاق کرتے ہیں:
قدم
آپ کیا کرتے ہیں؟
1. تفصیل
پروسیسنگ کی وضاحت کریں: کیا ڈیٹا، مقصد، دائرہ کار، بہاؤ
2. ضرورت اور تناسب
کیا AI واقعی ضروری ہے؟ کیا کوئی کم دخل اندازی کرنے والا طریقہ ہے؟
3. اسٹیک ہولڈر کی رائے
متعلقہ افراد/ نمائندوں کی رائے حاصل کریں۔
4. خطرے کی شناخت
افراد کو ممکنہ نقصانات کی فہرست بنائیں
5. خطرے کی تشخیص
ہر خطرے کو امکان اور اثر سے اسکور کریں۔
6. تخفیف کے اقدامات
ہر خطرے کے لیے احتیاطی تدابیر تیار کریں، بقایا خطرے کی نشاندہی کریں۔
7. منظوری اور جائزہ
نتیجہ کو دستاویز کریں، اسے منظوری کے لیے جمع کروائیں، وقتاً فوقتاً اسے اپ ڈیٹ کریں۔
خطرے کو ترجیح دینا: امکان-اثر میٹرکس
آپ ہر خطرے کو دو جہتوں میں جانچتے ہیں: اس کے ہونے کا امکان اور اگر ایسا ہوتا ہے تو اس کا اثر۔ دونوں کا امتزاج ترجیح دیتا ہے۔
<w:tcPr><w:tcW w:type="dxa" w:w="2160"/></w:tcPr><w:p><w:r><w:rPr><w:b/></w:rPr><w:t>کم اثر
درمیانی اثر
اعلی اثر
اعلی امکان
درمیانہ
اعلی
تنقیدی
درمیانی امکان
کم
درمیانہ
اعلی
کم امکان
کم
کم
درمیانہ
اہم اور زیادہ خطرات ایسے خطرات ہیں جن کے لیے احتیاطی تدابیر اختیار کیے بغیر منصوبے کو جاری نہیں رکھنا چاہیے۔ مقصد ہر خطرے کو ختم کرنا نہیں ہے۔ ہر خطرے کو ایک قابل قبول سطح تک کم کرنا اور بقیہ (بقیہ) خطرے کو شعوری طور پر قبول کرنا ہے۔
تین چھوٹے مقدمات
کیس 1 - چھوڑ دیا گیا DPIA۔ ایک خوردہ سلسلہ ایک ایسا نظام نافذ کرتا ہے جو DI کے ساتھ، DPIA کے بغیر اسٹور میں کسٹمر کے رویے کو ٹریک کرتا ہے۔ مہینوں بعد، ایک شکایت سے پتہ چلتا ہے کہ نظام نے مخصوص اندازے لگائے (صحت، حمل کی پیشن گوئی)۔ آڈٹ میں سوال "آپ نے ڈی پی آئی اے کیوں نہیں کیا" کا کوئی جواب نہیں ہے۔ شروع سے ایک DPIA نے ڈیزائن کے مرحلے پر اس خطرے کو پکڑ لیا ہوگا اور پروجیکٹ کو محفوظ بنایا ہوگا۔
کیس 2 - پروجیکٹ کو DPIA نے بچایا۔ ڈی پی آئی اے بینک میں بھرتی سپورٹ AI کے لیے کیا جاتا ہے۔ خطرے کی شناخت کے مرحلے کے دوران، تاریخی اعداد و شمار کی وجہ سے صنفی تعصب کا خطرہ "زیادہ" نکلتا ہے۔ تخفیف کے طور پر، ٹیم ماڈل سے صنفی معلومات کو ہٹاتی ہے، آؤٹ پٹ کو باقاعدہ تعصب کی جانچ سے منسوب کرتی ہے، اور انسانی توثیق کی ضرورت ہوتی ہے۔ اب خطرہ کم ہو کر "اعتدال پسند" ہو جاتا ہے اور منصوبہ قابل قبول ہو جاتا ہے۔ ڈی پی آئی اے منصوبے کو مارنے کے بجائے محفوظ بناتا ہے۔
کیس 3 - تناسب ٹیسٹ۔ ایک کمپنی AI کے ساتھ "وفاداری کے تجزیہ" کے لیے ملازمین کی ای میلز کو اسکین کرنا چاہتی ہے۔ DPIA کی ضرورت/تناسب کے مرحلے میں یہ مقصد کی نسبت حد سے زیادہ دخل اندازی پایا جاتا ہے۔ کم دخل اندازی کرنے والے متبادل ہیں۔ اس منصوبے کی موجودہ شکل میں منظوری نہیں دی گئی ہے۔ تناسب ٹیسٹ "ہم کر سکتے ہیں" اور "ہمیں چاہیے" کے درمیان فرق کرتا ہے۔
دھیان دیں: DPIA کوئی فارم نہیں ہے جسے ایک بار بھر کر ایک طرف رکھ دیا جائے۔ تبدیلیوں پر کارروائی کرتے وقت (نیا ڈیٹا، نیا مقصد، نیا ٹول) DPIA کو اپ ڈیٹ کرنا ضروری ہے۔ ایک مردہ DPIA کسی بھی DPIA سے زیادہ گمراہ کن ہے کیونکہ یہ غلط اعتماد دیتا ہے۔
DPIA کون کرتا ہے اور DPIA کے ساتھ رسک رجسٹر کا تعلق
ایک فرد اپنی میز پر DPIA نہیں بھر سکتا۔ درست DPIA ایک ٹیم کی کوشش ہے۔ عام طور پر، ڈیٹا پروٹیکشن آفیسر اس عمل کو انجام دیتا ہے (Doer)، تعمیل مینیجر بالآخر ذمہ دار ہوتا ہے (جوابدہ)، متعلقہ کاروباری یونٹ پروسیسنگ کی وضاحت کرتا ہے، IT/سیکیورٹی تکنیکی اقدامات کا جائزہ لیتا ہے اور قانونی بنیاد کی تصدیق کرتا ہے۔ متعلقہ لوگوں کی رائے حاصل کرنا (تیسرا مرحلہ) نظرانداز نہیں کیا جانا چاہئے؛ تاہم، یہ وہ قدم ہے جسے عملی طور پر سب سے زیادہ چھوڑا جاتا ہے۔
DPIA کا آؤٹ پٹ خلا میں نہیں بیٹھتا: شناخت شدہ خطرات تنظیم کے رسک رجسٹر میں درج کیے جاتے ہیں۔ رسک رجسٹر ایک لائیو چارٹ ہے جو تمام کھلے خطرات، ان کی ترجیحات، تخفیف، مجرموں اور آخری جائزہ کی تاریخوں کو حاصل کرتا ہے۔ اس طرح، ایک AI پروجیکٹ کے خطرات وہی زبان بولتے ہیں جو تنظیم کے مجموعی رسک مینجمنٹ کی ہوتی ہے اور ان کی باقاعدگی سے نگرانی کی جاتی ہے۔
رسک رجسٹر ایریا
مثال
خطرے کی تعریف
بھرتی AI میں صنفی تعصب
ترجیح
اعلی
تخفیف کی پیمائش
سروگیٹ متغیر نکالنے + تعصب کی جانچ
ذمہ دار
ڈیٹا پروٹیکشن آفیسر
جائزہ لیں
ہر 3 ماہ
ٹپ: DPIA کے ساتھ "رسک لاگ اینڈ ٹریک" ذہنیت کے ساتھ سلوک کریں، نہ کہ "ہو گیا اور بھول جاؤ" کے طریقہ کار کے ساتھ۔ کیا خطرے کی تخفیف کو لاگو کیا گیا ہے، کیا قابل قبول سطح پر بقایا خطرہ ہے - ان کا ریکارڈ رکھنے کے بغیر، DPIA ایک ونڈو دستاویز بن جاتا ہے۔
کاپی کرنے کے قابل ٹیمپلیٹس
ٹیمپلیٹ 1 — ڈی پی آئی اے پری اسکریننگ: "کیا اس AI کے استعمال کے لیے DPIA کی ضرورت ہے؟
ٹیمپلیٹ 2 — خطرے کی شناخت کے بارے میں دماغی طوفان: "اس AI پروجیکٹ میں لوگوں کو پہنچنے والے ممکنہ نقصانات کی فہرست بنائیں [پروجیکٹ کی وضاحت کریں]: ڈیٹا لیک، امتیازی سلوک، غلط فیصلہ، رازداری پر حملہ، شفافیت کی کمی، مقصد کا بہاؤ۔ ہر نقصان کے لیے ایک جملہ کا منظر نامہ لکھیں۔ بس پتہ لگائیں، پھر بھی جوابی کارروائی نہ کریں۔"
ٹیمپلیٹ 3 — امکانی اثرات کا اسکورنگ: "مندرجہ ذیل خطرات [فہرست خطرات] کو امکان (کم/درمیانے/اعلی) اور اثر (کم/درمیانے/اعلی) کے طور پر اسکور کریں؛ ترجیح (کم/درمیانی/اعلی/تنقیدی) ہر قطار پر ظاہر ہوتی ہے۔ فہرست اہم اور اعلیٰ اوپر۔ جدول میں پیش ہے۔
سانچہ 4 — تخفیف کا ڈیزائن: "مندرجہ ذیل خطرے کے لیے [خطرہ لکھیں]، کم از کم 3 تخفیف کے اقدامات تجویز کریں (تکنیکی، عمل، تنظیمی)۔ ہر پیمائش کے بعد 'بقیہ خطرے' کی سطح کا اندازہ لگائیں۔ اگر پیمائش کے بعد بھی خطرہ زیادہ ہے، تو اشارہ کریں کہ منصوبے کو دوبارہ ڈیزائن کیا جانا چاہیے۔"
کمزور فوری / مضبوط اشارہ
کمزور: "کیا یہ AI پروجیکٹ خطرناک ہے؟" -> ماڈل ایک مبہم 'شاید' جواب دیتا ہے۔ خطرات کی درجہ بندی نہیں کرتا، خطرات کو ترجیح نہیں دیتا، اقدامات نہیں کرتا۔ قطعی قانونی فیصلہ سازی؛ ایک مسودہ تیار کرتا ہے جو قانونی منظوری کے لیے جائے گا۔
عام غلطیاں
- لین دین شروع ہونے کے بعد (یا مسئلہ پیدا ہونے کے بعد بھی) DPIA کرنا۔
- ہائی رسک پروسیسنگ کو چھوڑنا جس میں DPIA کی ضرورت ہوتی ہے "کوئی بڑی بات نہیں۔"
- خطرات کی فہرست نہ بنانا اور امکان اور اثر کے لحاظ سے ان کو ترجیح دینا۔
- ہر خطرے کے لیے اقدامات کیے بغیر DPIA کو "مکمل" سمجھنا۔
- ضرورت/تناسب کے قدم کو چھوڑنا اور یہ کہنا کہ "ہم یہ کر سکتے ہیں، تو آئیے کرتے ہیں"۔
- DPIA کو ایک بار پُر کرنا اور عمل میں تبدیلی آنے پر اسے اپ ڈیٹ نہ کرنا۔
- بقایا (بقیہ) خطرے کو واضح طور پر دستاویز کیے بغیر پروجیکٹ کو منظور کرنا۔
خلاصہ میں
- DPIA ایک منظم تجزیہ ہے جو لوگوں پر اعلی خطرے کی پروسیسنگ کے شروع ہونے سے پہلے اس کے اثرات کا جائزہ لیتا ہے۔
- اگر نئی ٹیکنالوجی، بڑے پیمانے پر پروسیسنگ، منظم نگرانی، حساس ڈیٹا یا اہم خودکار فیصلہ سازی ہو تو DPIA کی ضرورت ہے۔
- یہ عمل سات مراحل پر مشتمل ہے: شناخت، ضرورت/تناسب، اسٹیک ہولڈر کی رائے، خطرے کی شناخت، تشخیص، کارروائی، منظوری/جائزہ۔
- امکانی اثرات کے میٹرکس کے ساتھ خطرات کو ترجیح دی جاتی ہے۔ احتیاطی تدابیر کے بغیر اہم/زیادہ خطرات کو قبول نہیں کیا جاتا ہے۔
- DPIA منصوبے کو ختم نہیں کرتا، یہ اسے محفوظ بناتا ہے۔ یہ ایک زندہ دستاویز ہے جسے پروسیسنگ تبدیلیوں کے طور پر اپ ڈیٹ کرنا ضروری ہے۔
درخواست کا کام
AI کے استعمال کا انتخاب کریں جسے آپ کی تنظیم استعمال کر سکتی ہے جو زیادہ خطرہ والا ہو (مثال کے طور پر، بھرتی سپورٹ، طرز عمل سے باخبر رہنا، یا کریڈٹ اسکورنگ)۔ پہلے غور کریں کہ آیا DPIA پانچ محرکات کے ساتھ ضروری ہے۔ پھر اس استعمال کے لیے ایک منی ڈی پی آئی اے کروائیں: پروسیسنگ کی وضاحت کریں، افراد کو کم از کم چھ ممکنہ نقصانات کی فہرست بنائیں، ہر ایک کو امکانی اثرات کے میٹرکس پر اسکور کریں، اور ترجیح تفویض کریں۔ دو اہم اور زیادہ خطرات کے لیے تخفیف کے تین اقدامات تیار کریں اور پیمائش کے بعد بقایا خطرے کی سطح کا اندازہ لگائیں۔ آخر میں، نوٹ کریں کہ اس DPIA کو کب اپ ڈیٹ کرنے کی ضرورت ہوگی۔
چیک لسٹ
- [ ] میں نے DPIA کی ضرورت کو پانچ محرکات کے ساتھ جانچا۔
- میں نے پروسیسنگ (ڈیٹا، مقصد، دائرہ کار، بہاؤ) کی وضاحت کی۔
- میں نے ضرورت اور تناسب پر سوال اٹھایا۔
- میں نے افراد کو ممکنہ نقصانات کی فہرست دی ہے۔
- میں نے امکانی اثرات کے میٹرکس میں خطرات کو ترجیح دی۔
- میں نے اہم/زیادہ خطرات کے لیے تخفیف کے اقدامات تیار کیے ہیں۔
- میں نے اب خطرے کو دستاویزی شکل دی ہے اور جائزے کی شرائط طے کی ہیں۔