فائدہ:
- RACI میٹرکس کے ساتھ حکمرانی کے کردار کی وضاحت کرنا
- ایک متوازن منظوری کا عمل اور باقاعدہ آڈٹ پروگرام قائم کریں۔
- 72 گھنٹے کے اصول کے ساتھ AI اور ڈیٹا کی خلاف ورزی کے واقعے کے جوابی منصوبے کو نافذ کریں۔
پہلی اکائی سے اس مقام تک، ہم نے پالیسی لکھی، قانون سازی سیکھی، اور خطرات کا جائزہ لیا۔ اب وقت آگیا ہے کہ ان سب کو ورکنگ سسٹم میں پلگ کیا جائے۔ اس سے کوئی فرق نہیں پڑتا ہے کہ کوئی پالیسی کتنی ہی اچھی طرح سے لکھی گئی ہے، اگر اس کے پیچھے کوئی کردار، منظوری کا بہاؤ، آڈیٹنگ اور واقعہ کا ردعمل نہ ہو، تو یہ ایک دستاویز کے طور پر شیلف پر رہتی ہے۔ اس اختتامی یونٹ میں، ہم ان چار میکانزم کو یکجا کرتے ہیں جو AI گورننس کو زندہ رکھتے ہیں — کردار (RACI)، منظوری کا عمل، باقاعدہ آڈٹ، اور واقعے کا ردعمل — اور فریم ورک کو مکمل کرتے ہیں۔
واضح کردار: RACI میٹرکس
حکمرانی کا پہلا اصول: ہر کام کا ایک مالک ہونا ضروری ہے۔ اس کو واضح کرنے کا کلاسک ٹول RACI میٹرکس ہے۔ RACI چار کرداروں کے ابتدائیہ سے آتا ہے:
- R (ذمہ دار / کرنے والا): وہ جو اصل میں کام کرتا ہے۔
- A (احتساب کے قابل): صرف ایک شخص ہونا چاہئے جو بالآخر ذمہ دار ہو۔
- ج (مشورہ): جس کی رائے لی جائے۔
- میں (باخبر): باخبر۔
جستجو
(ر) کے ذریعہ بنایا گیا
جوابدہ (A)
مشورہ کیا گیا (C)
باخبر (I)
پالیسی لکھنا
اے آئی آفیسر
تعمیل مینیجر
قانونی، آئی ٹی، ایچ آر
سینئر مینجمنٹ
نئی گاڑی کی منظوری
آئی ٹی/سیکیورٹی
تعمیل مینیجر
قانون
کاروباری یونٹ
ڈی پی آئی اے پر عمل درآمد
ڈیٹا پروٹیکشن آفیسر
تعمیل مینیجر
متعلقہ ٹیم
سینئر مینجمنٹ
خلاف ورزی کا جواب
سیکورٹی ٹیم
سینئر مینجمنٹ
قانون، مواصلات
پورے ادارے
آڈٹ
اندرونی آڈٹ
تعمیل مینیجر
یونٹس
سینئر مینجمنٹ
مشورہ: فی سطر صرف ایک "A" (حساب نامہ) رکھیں۔ دو بالآخر ذمہ دار ہیں، صفر ذمہ دار ہے۔ یہ وہ جگہ ہے جہاں سے بحران کے وقت "میں نے سوچا تھا کہ آپ دیکھ رہے ہیں"۔ کسی ایک کردار پر ذمہ داری کا تعین کرنا گورننس کا اصول ہے۔
متوازن منظوری کا عمل
ایک نیا AI ٹول یا اس کے استعمال کے لیے منظوری کے عمل کی ضرورت ہوتی ہے۔ دو پھندوں سے گریز کیا جاتا ہے: بہت ڈھیلا (سب کچھ مفت ہے، شیڈو AI) اور بہت سخت (ہر چیز مہینوں تک منظوری کا منتظر ہے، کوئی بھی پریشان نہیں ہوتا)۔ تجارت بند خطرے کی بنیاد پر بتدریج منظوری ہے:
خطرے کی سطح
مثال
منظوری کا راستہ
کم
کھلے ڈیٹا کے ساتھ ٹیکسٹ ڈرافٹ
کسی منظوری کی ضرورت نہیں، پالیسی کے اندر مفت
درمیانہ
اندرون ملک ڈیٹا کے ساتھ تجزیہ
یونٹ مینیجر + منظور شدہ گاڑی کی ضرورت
اعلی
ذاتی/نجی ڈیٹا، خودکار فیصلہ
تعمیل + قانونی منظوری + DPIA
کم خطرے والے استعمال کو جاری کرنا ٹیموں کو اس عمل کی ملکیت لینے کی اجازت دیتا ہے۔ زیادہ خطرہ والے افراد کو سخت کنٹرول میں رکھنا حقیقی خطرے کا انتظام کرتا ہے۔ اس طرح، عمل تیز اور محفوظ دونوں ہے.
باقاعدہ معائنہ
گورننس ایک زندہ نظام ہے؛ باقاعدہ نگرانی کے بغیر یہ مر جاتا ہے۔ آڈٹ چیک: کیا وہ گاڑیاں جو ابھی بھی منظور شدہ فہرست میں استعمال کی گئی ہیں، کیا شیڈو AI کے نشانات ہیں، کیا برقرار رکھنے کی مدت لاگو ہے، کیا DPIAs اپ ٹو ڈیٹ ہیں، کیا واقعات ریکارڈ کیے گئے ہیں۔ آڈٹ فریکوئنسی کا تعین خطرے سے کیا جاتا ہے (مثلاً ہائی رسک سسٹمز کے لیے سہ ماہی، عام کے لیے ہر چھ ماہ بعد)۔
توجہ: آڈیٹنگ "کسی پر الزام لگانے" کا آلہ نہیں ہے، بلکہ "نظام کو بہتر بنانے" کا ایک آلہ ہے۔ سزا پر مبنی آڈٹ کلچر ملازمین کو مسائل کو چھپانے پر مجبور کرتا ہے اور شیڈو AI کو فروغ دیتا ہے۔ اس کا مقصد مسائل کو جلد دیکھنا اور ان کو ٹھیک کرنا ہے۔
واقعہ کا جواب اور 72 گھنٹے کا اصول
اس سے کوئی فرق نہیں پڑتا ہے کہ کتنی اچھی طرح سے انتظام کیا گیا ہے، ایک دن ایک واقعہ رونما ہوگا: ڈیٹا لیک، غلط AI فیصلہ، خفیہ ڈیٹا کا غلط ٹول میں جانا۔ واقعہ کے ردعمل کا منصوبہ بتاتا ہے کہ کیا کرنا ہے:
- پتہ لگانا اور روکنا: واقعے کو پہچانیں، اس کے پھیلاؤ کو روکیں (مثلاً رسائی کاٹ دیں)۔
- تشخیص: کون سا ڈیٹا، کتنے لوگ، کتنے متاثر ہوئے؟
- اطلاع: ذاتی ڈیٹا کی خلاف ورزی کی صورت میں، جب ضروری ہو متعلقہ اتھارٹی (KVKK بورڈ) اور متعلقہ افراد کو مطلع کریں۔ جی ڈی پی آر کو خلاف ورزی کا علم ہونے کے 72 گھنٹوں کے اندر اتھارٹی کو اطلاع دینے کی ضرورت ہے۔ KVKK بھی "جلد سے جلد" اطلاع کی توقع کرتا ہے۔
- تصحیح اور سیکھنا: بنیادی وجہ کو درست کریں، اسی طرح کی روک تھام کے لیے کارروائی کریں، واقعے کو دستاویز کریں۔
دھیان دیں: 72 گھنٹے کے نوٹس کا دورانیہ اس لمحے سے شروع ہوتا ہے جب آپ کو واقعے کے بارے میں معلوم ہوتا ہے۔ "آئیے پہلے اسے اندرونی طور پر حل کریں، پھر ہم آپ کو بتائیں گے" کا نقطہ نظر آخری تاریخ سے محروم ہو جائے گا۔ واقعہ کے ردعمل کا منصوبہ اور کمیونیکیشن چین کو پہلے سے تیار رکھنے سے بحران کے دوران وقت کی بچت ہوتی ہے۔
تین چھوٹے مقدمات
کیس 1 - غیر دعوی شدہ کام۔ ایک کمپنی کے پاس AI پالیسی ہے، لیکن یہ واضح نہیں ہے کہ "منظور شدہ ٹول لسٹ کو کون اپ ڈیٹ کرتا ہے"۔ فہرست کو 8 ماہ تک اپ ڈیٹ نہیں کیا گیا، ٹیمیں ایسے اوزار استعمال کرنا شروع کر دیتی ہیں جو فہرست میں نہیں ہیں۔ اگر ایک RACI میٹرکس نے اس کام کو کسی کردار میں پن کیا ہے، تو یہ خلا پیدا نہیں ہوگا۔
کیس 2 - 72 گھنٹے چھوٹ گئے۔ ایک ملازم غلط ٹول میں پراسرار خریداروں کی فہرست میں داخل ہوتا ہے۔ ٹیم اسے اندرونی طور پر حل کرنے کی کوشش کرتی ہے اور تین دن بعد قانون کو آگاہ کرتی ہے۔ ویسے نوٹیفکیشن کی مدت گزر چکی ہے۔ ایک تیار شدہ واقعہ رسپانس پلان اور ایک واضح کمیونیکیشن چین واقعے کو پہلے گھنٹے میں صحیح چینل پر منتقل کر دیتا۔
کیس 3 - شیڈو AI آڈٹ کے ذریعے پکڑا گیا۔ ایک تنظیم معمول کے نیم سالانہ آڈٹ کے دوران نیٹ ورک ٹریفک میں تین غیر منظور شدہ AI ٹولز کا پتہ لگاتی ہے۔ سزا کے بجائے، وہ ٹیموں سے بات کرتا ہے، سمجھتا ہے کہ انہیں ان ٹولز کی ضرورت کیوں ہے، دونوں کا جائزہ لیا جاتا ہے اور انہیں منظور شدہ فہرست میں شامل کرتا ہے۔ آڈٹ دونوں خطرے کو بند کر دیتا ہے اور حقیقی ضرورت کو ظاہر کرتا ہے۔
کاپی کرنے کے قابل ٹیمپلیٹس
ٹیمپلیٹ 1 — RACI میٹرکس کا خاکہ: "ہماری تنظیم کے AI گورننس کے لیے RACI میٹرکس کا مسودہ تیار کریں۔ کام: پالیسی تحریر، ٹول کی منظوری، DPIA، خلاف ورزی کا جواب، آڈٹ، تربیت۔ کردار: AI لیڈ، تعمیل مینیجر، قانونی، IT، HR، سینئر مینجمنٹ۔ ہر کردار میں صرف ایک 'A'۔"
ٹیمپلیٹ 2 — ٹائرڈ منظوری کا بہاؤ: "خطرے کے مطابق ایک ٹائرڈ AI منظوری کے عمل کو ڈیزائن کریں: کم/درمیانے/زیادہ خطرے کے لیے علیحدہ منظوری کے راستے۔ ہر سطح کے لیے مثال کے استعمال، منظوری دینے والے کا کردار اور مطلوبہ دستاویز (DPIA وغیرہ) لکھیں۔ عمل کو تیز اور محفوظ بنائیں۔"
ٹیمپلیٹ 3 — آڈٹ چیک لسٹ: "چھ ماہ کے AI گورننس آڈٹ کے لیے چیک لسٹ تیار کریں: منظور شدہ ٹول کمپلائنس، شیڈو AI اشارے، برقرار رکھنے کی مدت، DPIA کرنسی، ایونٹ لاگز، ٹریننگ کی تکمیل کی شرح۔ ہر آئٹم میں 'کیسے چیک کریں' طریقہ شامل کریں۔"
ٹیمپلیٹ 4 — وقوعہ کے ردعمل کا بہاؤ کارڈ: "AI/ڈیٹا کی خلاف ورزی کے لیے ایک صفحے کا واقعہ رسپانس فلو کارڈ لکھیں: مرحلہ وار (پتہ لگانا، روک تھام، تشخیص، اطلاع، تدارک)، ذمہ دارانہ کردار اور ہر قدم پر رابطے کی معلومات، 72 گھنٹے کا نوٹیفکیشن الرٹ۔ بحران میں میز پر بیٹھنے کے لیے اسے اتنا آسان رکھیں۔"
کمزور فوری / مضبوط اشارہ
کمزور: "ہمیں AI گورننس کے لیے کیا کرنا چاہیے؟"-> ماڈل ایک عمومی فہرست دیتا ہے۔ کردار، منظوری کے راستے اور واقعہ کا منصوبہ ادارہ کے لحاظ سے مخصوص اور قابل اطلاق نہیں ہوگا۔ مضبوط: "ہم 60 افراد پر مشتمل ایک تنظیم ہیں۔ AI گورننس کو کام کرنے کے لیے: (1) ایک 5-ٹاسک RACI میٹرکس تیار کریں، (2) کم/درمیانے/زیادہ خطرے کے لیے ٹائرڈ منظوری کا بہاؤ، (3) 72 گھنٹے کے اصول کے ساتھ ایک صفحے کا واقعہ رسپانس کارڈ۔ ہر ایک میں ایک 'A' ہونے دیں، فوری طور پر قابل اطلاق اور آسان تنظیم سازی کے قابل اور آسان ماڈل۔ حکمرانی کے اوزار.
عام غلطیاں
- کردار کے کاموں کو ٹھیک نہیں کرنا؛ "ہر ایک کا کام کسی کا کاروبار نہیں ہے" خلا پیدا کرنا۔
- کسی کام پر ایک سے زیادہ "A" (حتمی ذمہ دار) کی تعریف کرنا۔
- منظوری کے عمل کو یا تو بہت سست یا بہت سخت بنانا؛ خطرے کے مطابق درجہ بندی نہیں کرنا۔
- معائنہ بالکل نہ کرنا یا اسے سزا کے آلے میں تبدیل کرنا اور مسائل کو چھپانا۔
- واقعہ پیش آنے کے بعد ریسپانس پلان پر غور کرنا۔
- صرف "آئیے پہلے اسے اندرونی طور پر ٹھیک کریں" کے لیے 72 گھنٹے نوٹس کی مدت غائب ہے۔
- حکمرانی کو ایک بار قائم کرنا اور اس کا دوبارہ جائزہ نہ لینا۔ تاہم، یہ ایک زندہ نظام ہے.
خلاصہ میں
- چار میکانزم گورننس کا کام کرتے ہیں: کردار (RACI)، ٹائرڈ منظوری، باقاعدہ آڈیٹنگ، اور واقعہ کا ردعمل۔
- RACI میٹرکس میں، ہر کام کے لیے ایک حتمی ذمہ دار شخص (A) ہونا چاہیے۔
- منظوری کا عمل خطرے کے مطابق کیا جانا چاہیے؛ کم خطرے سے پاک، اعلی خطرے کا سخت کنٹرول۔
- باقاعدہ آڈٹ گورننس کو زندہ رکھتا ہے۔ یہ شفا یابی کے ذریعہ استعمال کیا جاتا ہے، سزا نہیں.
- واقعہ کے ردعمل کا منصوبہ پہلے سے تیار کیا جانا چاہئے؛ ذاتی ڈیٹا کی خلاف ورزی کی صورت میں 72 گھنٹے کے نوٹیفکیشن کے اصول کو نہیں بھولنا چاہیے۔
درخواست کا کام
ایک دستاویز میں اپنی تنظیم کے لیے مکمل گورننس فریم ورک جمع کریں۔ پہلے کم از کم پانچ کاموں کا ایک RACI میٹرکس قائم کریں۔ یقینی بنائیں کہ ہر کام میں صرف ایک "A" ہے۔ پھر کم، درمیانے اور زیادہ خطرے کے لیے ایک سطحی منظوری کے بہاؤ کو ڈیزائن کریں، اور ہر سطح پر مثال کے استعمال، منظوری دینے والے کردار، اور مطلوبہ دستاویزات شامل کریں۔ پھر چھ ماہ کی آڈٹ چیک لسٹ بنائیں۔ آخر میں، AI/ڈیٹا کی خلاف ورزی کے لیے ایک صفحے کا واقعہ رسپانس کارڈ لکھیں۔ 72 گھنٹے نوٹیفکیشن الرٹ اور کمیونیکیشن چین شامل کریں۔ یہ چار ٹکڑے وہ دستاویز ہوں گے جو آپ نے پورے ماڈیول میں جو کچھ سیکھا ہے اسے ورکنگ سسٹم میں بدل دیتا ہے۔
چیک لسٹ
- میں نے RACI میٹرکس قائم کیا؛ ہر مشن میں صرف ایک "A" ہوتا ہے۔
- میں نے خطرے کے مطابق بتدریج منظوری کا بہاؤ ڈیزائن کیا۔
- میں نے کم خطرے والے استعمال کو معقول حد تک لبرل چھوڑ دیا ہے۔
- میں نے چھ ماہ کی آڈٹ چیک لسٹ تیار کی۔
- میں نے آڈیٹنگ کو بہتری کے ایک ٹول کے طور پر رکھا۔
- میں نے ایک صفحے کا واقعہ جوابی کارڈ لکھا۔
- [ ] میں نے 72 گھنٹے کے نوٹس کا اصول اور مواصلات کا سلسلہ شامل کیا ہے۔
ماڈیول امتحان
1. وہ کیا تصور ہے جو ملازمین کے ذریعے AI کے غیر منظور شدہ استعمال کی طرف اشارہ کرتا ہے جو اس وقت ہوتا ہے جب تنظیموں کے پاس تحریری AI پالیسی نہیں ہوتی ہے؟
- A) شیڈو AI (شیڈو AI) ✔
- ب) اوپن ویٹ AI
- C) ملٹی موڈل AI
- D) زیر نگرانی AI
تفصیل: ادارے کے علم اور منظوری کے بغیر AI کا استعمال 'shadow AI' کہلاتا ہے اور اس سے ڈیٹا لیک ہونے جیسے سنگین خطرات لاحق ہوتے ہیں۔
2. ایک اچھی کارپوریٹ AI پالیسی کا بنیادی نقطہ نظر کیا ہونا چاہیے؟
- A) AI کے استعمال پر حتی الامکان پابندی لگانا
- ب) ایک ایسا فریم ورک بننا جو ذمہ دارانہ استعمال کو قابل بناتا ہے اور وضاحت اور اعتماد فراہم کرتا ہے ✔
- ج) ایک تکنیکی دستاویز ہونے کی وجہ سے جو صرف آئی ٹی ڈیپارٹمنٹ کو معلوم ہے۔
- D) جتنا ممکن ہو طویل ہونا اور صرف قانونی زبان میں لکھا جانا
وضاحت: ایک اچھی پالیسی ممنوعات کی فہرست نہیں ہے، بلکہ ایک فریم ورک ہے جو ذمہ دارانہ استعمال کو قابل بناتا ہے۔ اس پر مکمل پابندی لگانے سے استعمال ختم نہیں ہوگا۔ یہ صرف اسے پوشیدہ اور بے قابو بنا دیتا ہے۔
3. کیا ڈیٹا کی درجہ بندی کا تعین کرتا ہے، جو ایک انٹرپرائز AI پالیسی کا سب سے اہم حصہ ہے؟
- A) AI ماڈل کی ٹوکن قیمت
- ب) کمپنی کا سالانہ AI بجٹ
- ج) کس قسم کا ڈیٹا کس AI ٹول میں داخل کیا جا سکتا ہے ✔
- D) کون سا ملازم کون سی تنخواہ وصول کرے گا؟
تفصیل: ڈیٹا کی درجہ بندی؛ یہ واضح اصول طے کرتا ہے کہ کس قسم کے کھلے، اندرونی، خفیہ اور ملکیتی ڈیٹا کو کس AI ٹول میں داخل کیا جا سکتا ہے اور نہیں کیا جا سکتا۔
4. AI کے استعمال میں KVKK کے "ڈیٹا مائنسائزیشن" (متعلق، محدود اور متناسب) اصول کا کیا مطلب ہے؟
- A) AI میں صرف ضروری ڈیٹا داخل کرنا اور مزید نہیں ✔
- ب) AI میں زیادہ سے زیادہ ڈیٹا ڈال کر بہتر نتائج حاصل کریں۔
- C) ڈیٹا کو غیر معینہ مدت تک ذخیرہ کرنا
- D) تمام ڈیٹا کو بیرون ملک منتقل کرنا یقینی بنائیں
وضاحت: ڈیٹا مائنسائزیشن سے مراد صرف AI میں ڈیٹا داخل کرنا ہے جو اس مقصد کے لیے ضروری ہے اور مزید نہیں۔ اگر ممکن ہو تو، ڈیٹا کو گمنام یا نقاب پوش درج کیا جاتا ہے۔
5. ایک AI ٹول میں ذاتی ڈیٹا پر مشتمل ٹیکسٹ داخل کرتے وقت KVKK کے لحاظ سے کیا خیال کیا جاتا ہے جو فراہم کنندہ کے سرور پر ڈیٹا پر کارروائی کرتا ہے؟
- A) ایک عام لین دین جس کا کوئی قانونی نتیجہ نہیں ہے۔
- ب) ایک ایسا عمل جو ہر حال میں سختی سے ممنوع ہے۔
- C) ایک آپریشن جو صرف اس صورت میں اہم ہے جب ڈیٹا کھلا ہو۔
- D) ایک لین دین اور اکثر منتقلی؛ قانونی بنیاد اور یقین دہانی کی ضرورت ہے ✔
وضاحت: یہ ایک 'پروسیسنگ' ہے اور اکثر 'منتقلی' ہے کیونکہ ڈیٹا کو فراہم کنندہ کے سرور پر پروسیس کیا جاتا ہے (اکثر بیرون ملک)؛ اس کے لیے درست قانونی بنیاد اور مناسب معاہدہ/ گارنٹی درکار ہے۔
6. EU AI ایکٹ کا بنیادی نقطہ نظر کیا ہے؟
- A) تمام AI سسٹمز کو یکساں سخت قوانین کے تابع کرنا
- B) AI سسٹمز کو ان کے ممکنہ خطرے کے مطابق درجہ بندی کریں اور اس کے مطابق اصول لاگو کریں ✔
- C) یورپی یونین میں AI کے استعمال پر مکمل پابندی
- D) ماڈل کی صرف ٹوکن قیمت کو کنٹرول کرنا
وضاحت: EU AI قانون تمام AI کو اکٹھا نہیں کرتا ہے۔ یہ سسٹمز کو ان کے ممکنہ نقصان کے مطابق چار رسک کلاسز (ممنوعہ، زیادہ، محدود، کم سے کم) میں تقسیم کرتا ہے اور جوں جوں خطرہ بڑھتا ہے قوانین کو سخت کرتا ہے۔
7. EU AI قانون کے مطابق، ایک AI سسٹم کس خطرے کی کلاس میں ہوگا جو امیدواروں کی بھرتی کے فیصلوں میں زیادہ تر ممکنہ طور پر آتا ہے؟
- ا) زیادہ خطرہ ✔
- ب) کم سے کم خطرہ
- سی) محدود خطرہ
- D) خطرے سے پاک
تفصیل: ایسے شعبے جو لوگوں کی زندگیوں کو سنجیدگی سے متاثر کرتے ہیں، جیسے کہ بھرتی، کریڈٹ اور صحت کی دیکھ بھال، عام طور پر 'ہائی رسک' کے زمرے میں آتے ہیں اور سخت ذمہ داریوں کے تابع ہوتے ہیں (ریکارڈنگ، انسانی نگرانی، ڈیٹا کا معیار)۔
8. EU AI قانون کے تحت، ریاست کے زیر اہتمام "سوشل اسکورنگ" سسٹم کس زمرے میں آتا ہے، جو لوگوں کو ان کے رویے یا خصوصیات کی بنیاد پر اسکور کرتے ہیں اور انہیں سماجی طور پر نقصان پہنچاتے ہیں؟
- A) محدود خطرہ
- ب) زیادہ خطرہ
- ج) ممنوعہ (ناقابل قبول خطرہ) مشق ✔
- D) کم سے کم خطرہ
تفصیل: سماجی اسکورنگ، شاندار ہیرا پھیری اور بعض بائیو میٹرک نگرانی کے طریقے 'ممنوعہ طریقوں' میں شامل ہیں۔ خطرہ کم ہونے کے باوجود ان کو جاری نہیں کیا جا سکتا، یہ مکمل طور پر ممنوع ہیں۔
9. آرٹیکل 22 GDPR افراد کو کس چیز سے تحفظ فراہم کرتا ہے؟
- A) AI ٹولز کی اونچی قیمتوں کے خلاف
- ب) صرف اشتہاری ای میلز کے خلاف
- ج) خسارے والے ماڈلز کے استعمال کے خلاف
- D) ایسے فیصلوں کے خلاف جو شخص کو نمایاں طور پر متاثر کرتے ہیں اور صرف خود بخود کیے جاتے ہیں ✔
وضاحت: جی ڈی پی آر کا آرٹیکل 22 فرد کو ایسے فیصلوں سے تحفظ فراہم کرتا ہے جو فرد کو قانونی یا اسی طرح کی اہم حد تک متاثر کرتے ہیں اور جو مکمل طور پر خودکار پروسیسنگ (بشمول AI) پر مبنی ہوتے ہیں۔ یہ انسانی مداخلت اور اعتراض کی درخواست کرنے کا حق فراہم کرتا ہے۔
10. جب آپ بیرون ملک کسی AI فراہم کنندہ کے سرور پر ذاتی ڈیٹا پر کارروائی کرنا چاہتے ہیں تو KVKK/GDPR کے لحاظ سے کیا ضروری ہے؟
- A) کوئی اضافی شرائط نہیں؛ ڈیٹا کو آزادانہ طور پر منتقل کیا جا سکتا ہے۔
- ب) مناسب یقین دہانی (لیٹر آف انڈرٹیکنگ/معیاری معاہدے کی شقیں) یا ایک طریقہ کار جیسا کہ اظہار رضامندی ✔
- C) ڈیٹا کی صرف خفیہ کاری ہی کافی ہے۔
- D) ملازم سے صرف زبانی منظوری ہی کافی ہے۔
وضاحت: سرحد پار منتقلی، ایک اصول کے طور پر، ایسے طریقہ کار کی ضرورت ہوتی ہے جس میں واضح رضامندی یا تحفظ کے لیے مناسب وابستگی شامل ہو (مناسب حفاظتی اقدامات جیسے کہ ایک خط، معیاری معاہدہ کی شقیں)؛ ڈیٹا کو تصادفی طور پر منتقل نہیں کیا جا سکتا۔
11. کیا طے کرتا ہے کہ آیا AI سے تیار کردہ آؤٹ پٹ زیادہ تر قانونی نظاموں میں کاپی رائٹ کے قابل ہے؟
- A) انسانی تخلیقی صلاحیتوں کی سطح اور مواد میں شراکت ✔
- ب) استعمال شدہ ماڈل کی ٹوکن قیمت
- C) صرف آؤٹ پٹ کی لمبائی
- D) AI ٹول کا اصل ملک
تفصیل: بہت سے قانونی نظاموں میں، کاپی رائٹ کے تحفظ کے لیے انسانی تخلیقی صلاحیتوں کی ضرورت ہوتی ہے۔ جتنی زیادہ انسانی سمت، انتخاب، ضابطہ اور منفرد شراکت، آؤٹ پٹ کو محفوظ رکھنے کا امکان اتنا ہی زیادہ ہوگا۔
12. اے آئی گورننس فریم ورک کا سب سے اہم اصول "انسانی کنٹرول" کس چیز کا حوالہ دیتا ہے؟
- A) AI تمام فیصلے اکیلے اور خود بخود کرتا ہے۔
- ب) لوگ AI کا استعمال مکمل طور پر چھوڑ دیتے ہیں۔
- C) AI ایک ٹول ہے۔ اہم فیصلوں میں آخری بات اور ذمہ داری ہمیشہ انسان کی ہوتی ہے ✔
- D) صرف سب سے مہنگا ماڈل استعمال کریں۔
تفصیل: انسانی کنٹرول کا اصول اس بات پر زور دیتا ہے کہ AI ایک آلہ ہے اور یہ ذمہ داری ہمیشہ انسان کے ساتھ رہتی ہے۔ ایک بااختیار شخص اہم فیصلوں میں حتمی رائے رکھتا ہے۔ 'AI نے ایسا کہا' کوئی بہانہ نہیں ہے۔
13. ڈیٹا پروٹیکشن امپیکٹ اسسمنٹ (DPIA) عام طور پر کب کیا جانا چاہیے؟
- A) ڈیٹا کی خلاف ورزی کے بعد
- ب) ڈیزائن کے مرحلے پر، ہائی رسک پروسیسنگ شروع کرنے سے پہلے ✔
- ج) صرف اس صورت میں جب آڈیٹر اس کی درخواست کرے۔
- D) معمول کے مطابق، منصوبے کے سالوں بعد
تفصیل: ڈی پی آئی اے کو AI پروسیسنگ کی سرگرمی شروع کرنے سے پہلے ڈیزائن کے مرحلے پر انجام دیا جانا چاہیے جس میں نئی ٹیکنالوجی استعمال کی گئی ہو، بڑے پیمانے پر یا منظم نگرانی شامل ہو، یا افراد کے لیے زیادہ خطرہ ہو۔
14. KVKK کے "مقصد کی حد" اور برقرار رکھنے کے اصولوں کے مطابق، AI ٹول کی چیٹ ہسٹری میں ذاتی ڈیٹا کے لیے کیا کیا جانا چاہیے؟
- ا) اسے ہمیشہ کے لیے رکھنا چاہیے۔
- ب) کسی اصول کی ضرورت نہیں، یہ فراہم کنندہ کا مسئلہ ہے۔
- C) صرف مینیجر کی درخواست پر اس کا سالانہ جائزہ لیا جاتا ہے۔
- D) اسے اسٹوریج اور تباہی کی پالیسی سے منسلک کیا جانا چاہئے، اور مقصد مکمل ہونے پر اسے حذف یا گمنام کیا جانا چاہئے ✔
وضاحت: ذاتی ڈیٹا کو اس مقصد کے لیے ضرورت سے زیادہ دیر تک نہیں رکھا جا سکتا جس کے لیے اس پر کارروائی کی جاتی ہے۔ AI چیٹ کی سرگزشت کو برقرار رکھنے اور تباہی کی پالیسی سے بھی جوڑا جانا چاہیے۔ جب مقصد باقی نہ رہے تو اسے حذف یا گمنام کر دینا چاہیے۔
15. ڈیٹا کنٹرولرز کے لیے کون سی رجسٹری درکار ہے جو اپنی ذاتی ڈیٹا پروسیسنگ کی سرگرمیوں کو ترکی میں رجسٹر کرنے کے لیے مخصوص حد سے تجاوز کرتے ہیں؟
- A) VERBIS (ڈیٹا کنٹرولرز رجسٹری انفارمیشن سسٹم) ✔
- ب) مرسی تجارتی رجسٹری
- C) EU AI قانون کا ڈیٹا بیس
- ڈی) ٹیکس دہندہ رجسٹر
تفصیل: VERBIS (ڈیٹا کنٹرولرز رجسٹری انفارمیشن سسٹم) ایک سرکاری رجسٹری ہے جہاں ڈیٹا کنٹرولرز اپنی پروسیسنگ انوینٹری کو رجسٹر کرتے ہیں۔ ایک نئی AI پر مبنی پروسیسنگ سرگرمی انوینٹری میں اور اگر ضروری ہو تو VERBIS ریکارڈ میں ظاہر ہونی چاہیے۔