فائدہ:
- آٹھ حصوں والی پالیسی ٹیمپلیٹ کا استعمال کرتے ہوئے ایک مسودہ تیار کریں۔
- چار سطحی ڈیٹا کی درجہ بندی پر مبنی استعمال کے قواعد لکھیں۔
- پالیسی کو نافذ کرنا اور انفورسمنٹ چیک لسٹ پر عمل کرنا
جب "اگلے جمعہ کو بورڈ کے سامنے پیش کی جانے والی AI پالیسی کا مسودہ تیار کرنے" کا کام کمپلائنس آفیسر کی میز پر آتا ہے، تو بہت سے لوگ خالی سلیٹ سے ڈرتے ہیں۔ تاہم، ایک اچھی AI پالیسی آرکیٹیکچرل طور پر معیاری ہے: اس میں آٹھ حصوں کا ایک پیش قیاسی فریم ورک ہے۔ اس یونٹ میں، ہم اس سکیلیٹن سیکشن کو سیکشن کے لحاظ سے بنائیں گے، ڈیٹا کی درجہ بندی کا جائزہ لیں گے جو اس کا دل ہے، اور مسودے کو عملی جامہ پہنانے کے اقدامات دیکھیں گے۔ اس کا مقصد ایک ٹھوس دستاویز تیار کرنا ہے جسے جمعہ کو پیش کیا جا سکے۔
پالیسی لکھنے کا سنہری اصول
اچھی پالیسی کا ایک جملے کا امتحان یہ ہے: "کیا کوئی ملازم 10 منٹ میں اس دستاویز کو پڑھ سکتا ہے اور اس سوال کا واضح جواب دے سکتا ہے کہ 'میں کیا کر سکتا ہوں اور کیا نہیں کر سکتا؟'" اگر دستاویز 30 صفحات پر مشتمل ہے، قانونی زبان میں لکھی گئی ہے اور اس میں ٹھوس مثالیں نہیں ہیں، تو ٹیسٹ ناکام ہو جاتا ہے۔ پالیسی مختصر، مثالی اور عمل پر مبنی ہونی چاہیے۔
آٹھ حصوں کا کنکال
نیچے دی گئی جدول ایک ثابت شدہ AI پالیسی فریم ورک ہے۔ ہر ادارہ اسے اپنے سیاق و سباق کے مطابق ڈھالتا ہے۔
#
سیکشن
کیا جواب دیں؟
1
مقصد اور دائرہ کار
پالیسی کس اور کن ٹولز کا احاطہ کرتی ہے؟
2
تعریفیں
AI، شیڈو AI، ذاتی ڈیٹا جیسی اصطلاحات کا کیا مطلب ہے؟
3
کردار اور ذمہ داریاں
کون منظوری دیتا ہے، کون معائنہ کرتا ہے، کون ذمہ دار ہے؟
4
ڈیٹا کی درجہ بندی اور استعمال کے اصول
کون سا ڈیٹا کس ٹول میں داخل کیا جا سکتا ہے؟
5
منظور شدہ گاڑیاں اور منظوری کا عمل
کون سی گاڑیاں مفت ہیں، نئی گاڑی کی منظوری کیسے دی گئی؟
6
ممنوعہ استعمال
کسی بھی حالت میں کیا نہیں کرنا چاہیے؟
7
انسانی معائنہ اور تصدیق
آؤٹ پٹ کو کیسے کنٹرول کیا جائے، کون ذمہ دار ہے؟
8
خلاف ورزی، منظوری اور نفاذ
اگر قاعدہ ٹوٹ جاتا ہے تو کیا ہوتا ہے، دستاویز کب اپ ڈیٹ ہوتی ہے؟
مشورہ: پہلے ان آٹھ عنوانات کے ساتھ پالیسی کو ایک صفحے پر فٹ کرنے کا مقصد بنائیں۔ پوسٹ لنک جیسا کہ تفصیل شامل کرتا ہے (منظور شدہ گاڑیوں کی فہرست، درجہ بندی گائیڈ)۔ مرکزی متن جتنا چھوٹا ہوگا، اتنا ہی زیادہ پڑھنے کے قابل ہوگا۔
دل: چار سطحی ڈیٹا کی درجہ بندی
پالیسی کا سب سے اہم حصہ ڈیٹا کی درجہ بندی ہے، جو اس بات کا تعین کرتا ہے کہ کس قسم کا ڈیٹا کس AI ٹول میں داخل کیا جا سکتا ہے۔ چار درجے عام اور کافی ہیں:
سطح
نمونہ ڈیٹا
AI میں استعمال کا اصول
کھلا (عوامی)
شائع شدہ بروشر، پریس ریلیز
مفت؛ کوئی بھی منظور شدہ گاڑی داخل ہو سکتی ہے۔
گھر میں
داخلی طریقہ کار، میٹنگ نوٹ (ذاتی/غیر رازدارانہ)
صرف کارپوریٹ (معاہدہ) گاڑیوں پر
رازدارانہ
گاہک کی فہرست، معاہدہ، مالیاتی ڈیٹا
منظور شدہ کارپوریٹ گاڑی + صرف ماسکنگ؛ ذاتی گاڑیوں پر پابندی
خصوصی/تنقیدی
صحت، نسل، مذہب، بائیو میٹرکس، مجرمانہ ڈیٹا
ایک اصول کے طور پر، یہ داخل نہیں ہے؛ صرف خصوصی منظوری اور قانونی بنیادوں کے ساتھ
خصوصی ذاتی ڈیٹا حساس ڈیٹا کا وہ زمرہ ہے جس کے لیے KVKK اضافی تحفظ فراہم کرتا ہے: صحت، جنسی زندگی، نسل، نسل، سیاسی رائے، فلسفیانہ عقیدہ، مذہب، فرقہ، لباس، ایسوسی ایشن/فاؤنڈیشن/یونین کی رکنیت، مجرمانہ سزا اور بائیو میٹرک/جینیاتی ڈیٹا۔ اس ڈیٹا کی پروسیسنگ بہت سخت شرائط کے ساتھ مشروط ہے۔ AI ٹول کو توڑنے کے لیے تقریباً ہمیشہ خصوصی قانونی غور و فکر کی ضرورت ہوتی ہے۔
تین چھوٹے کیسز: درجہ بندی کے فیصلے
کیس 1 - پے رول۔ HR ماہر 120 ملازمین کا پے رول ایک AI کو دینا چاہتا ہے تاکہ وہ "تنخواہ کی عدم مساوات کی رپورٹ کا تجزیہ کر سکے"۔ پے رول دونوں رازدارانہ ہے اور ذاتی ڈیٹا پر مشتمل ہے کیونکہ اس میں نام اور کنیت شامل ہے۔ درست فیصلہ: ڈیٹا کو گمنام کریں (کوڈ نام جیسے "Employee-001"، محکمہ محفوظ کریں)، صرف منظور شدہ کارپوریٹ ٹول میں درج کریں۔ گمنام 120 لائنوں کا تجزیہ اعتماد کے ساتھ کیا جاتا ہے۔ خام تنخواہ کبھی ذاتی گاڑی میں نہیں جاتی۔
کیس 2 - مریض کی تاریخ۔ صحت کی دیکھ بھال کی سہولت میں ایک نرس مریض کی تاریخ کا خلاصہ کرنے کے لیے AI کا استعمال کرنا چاہتی ہے۔ یہ خاص کوالٹی ڈیٹا ہے۔ پالیسی کے مطابق، ذاتی گاڑی میں اس قسم کا ڈیٹا سختی سے ممنوع ہے۔ تاہم، اس پر صرف ادارے کی طرف سے منظور شدہ نظام میں کارروائی کی جا سکتی ہے، جس میں صحت کے ڈیٹا کے لیے خصوصی معاہدہ اور قانونی بنیاد موجود ہے۔ درجہ بندی کا جدول اس فرق کو ایک نظر میں دکھاتا ہے۔
کیس 3 - پریس ریلیز۔ مارکیٹنگ AI کو "سوشل میڈیا کے 5 مختلف ورژنز میں تبدیل" کے لیے ایک شائع شدہ پریس ریلیز دیتی ہے۔ چونکہ ڈیٹا کھلا ہے، کوئی پابندی نہیں ہے۔ ملازم بغیر کسی ہچکچاہٹ کے منظور شدہ گاڑی میں کام کرتا ہے۔ ایک اچھی درجہ بندی غیر ضروری رگڑ کو بھی ختم کرتی ہے: یہ کھلے ڈیٹا کے لیے "نہیں" نہیں کہتا، یہ نجی ڈیٹا کے لیے واضح "اسٹاپ" کہتا ہے۔
دھیان دیں: ڈیٹا کی درجہ بندی کرتے وقت، "کیا اس میں ذاتی ڈیٹا کا ایک ٹکڑا بھی ہے؟" اور "کیا اس سے ادارے کو نقصان پہنچے گا؟" اپنے سوالات ایک ساتھ پوچھیں۔ اگر کوئی دستاویز کاروباری نقطہ نظر سے واضح ہے لیکن اس میں صارف کا نام ہے، تو اس دستاویز میں اب ذاتی ڈیٹا ہوتا ہے اور اسے اپ گریڈ کیا جاتا ہے۔
ممنوعہ استعمال کا سیکشن
پالیسی کا سب سے زیادہ پڑھا جانے والا حصہ عام طور پر پابندی ہے۔ یہ ٹھوس اور مثالی ہونا چاہیے۔ عام پابندیاں:
- بغیر منظوری کے گاڑی میں حساس ذاتی ڈیٹا (صحت، بائیو میٹرکس وغیرہ) داخل کرنا۔
- انفرادی/ذاتی AI اکاؤنٹس میں خفیہ ڈیٹا یا کمپنی کا راز درج کرنا۔
- بغیر تصدیق کیے AI آؤٹ پٹ کو قانونی، طبی، مالیاتی فیصلوں کے طور پر استعمال کرنا۔
- لوگوں کو متاثر کرنے والے فیصلوں کو چھوڑنا، جیسے کہ بھرتی، پروموشن اور کریڈٹ، صرف اور صرف AI پر۔
- کسی شخص کی نقالی کرنے، غلط مواد یا گمراہ کن معلومات تیار کرنے کے لیے AI کا استعمال کرنا۔
- بغیر اجازت کاپی رائٹ شدہ مواد تیار کرنا اور شائع کرنا۔
کاپی کرنے کے قابل ٹیمپلیٹس
ٹیمپلیٹ 1 - مقصد اور دائرہ کار سیکشن کا خاکہ: "کسی [انڈسٹری] کمپنی کے لیے AI پالیسی کا 'مقصد اور دائرہ کار' سیکشن لکھیں۔ یہ واضح کریں: پالیسی کس کا احاطہ کرتی ہے (تمام ملازمین، کنسلٹنٹس) اور کون سے ٹولز (جنریٹیو AI، کوڈ اسسٹنٹس)؛ مقصد بیان کریں بطور 'ذمہ دارانہ اور تعمیل استعمال کو فعال کریں۔' 150 الفاظ یا اس سے کم، سادہ زبان۔"
ٹیمپلیٹ 2 — ڈیٹا کی درجہ بندی کا جدول بنائیں: "مندرجہ ذیل ڈیٹا کی اقسام کو عوامی / آن پریمیسس / رازدارانہ / ملکیتی کے طور پر درجہ بندی کریں اور ہر ایک کے لیے AI استعمال کا اصول تجویز کریں: [ڈیٹا کی قسموں کی فہرست]۔ آؤٹ پٹ کو 3 کالم ٹیبل بنائیں: ڈیٹا کی قسم، کلاس، AI اصول۔ ایک '*قانونی تصدیق' کا نشان لگائیں جس کے بارے میں آپ کو یقین نہیں ہے۔"
ٹیمپلیٹ 3 - ممنوعہ استعمالات کی فہرست: "KVKK کے تابع ادارے کے لیے 'ممنوعہ استعمال' سیکشن آئٹم کو آئٹم کے لحاظ سے لکھیں۔ ہر آئٹم میں ایک ٹھوس مثال ('مثال کے طور پر: ...') شامل ہونی چاہیے۔ کم از کم 8 آئٹمز۔ ٹون: واضح اور ضروری، لیکن استدلال۔"
ٹیمپلیٹ 4 — ملازم کا خلاصہ (ایک صفحہ): "ملازمین کے ڈیسک پر لٹکانے کے لیے اس 20 صفحات کی AI پالیسی کو ایک صفحے کے خلاصے میں کم کریں: 'آپ کر سکتے ہیں' اور 'آپ نہیں کر سکتے' کالم + 5 سنہری اصول + سوالات پوچھنے کے لیے شخص۔ سادہ، بصری، یادگار۔"
کمزور فوری / مضبوط اشارہ
کمزور: "میری کمپنی کے لیے ایک AI پالیسی لکھیں، اس میں ہر چیز کا احاطہ کرنا چاہیے۔"-> ماڈل 15 صفحات پر مشتمل عام متن تیار کرتا ہے جسے کوئی نہیں پڑھتا اور نہ ہی تنظیم کے لیے موزوں ہوتا ہے۔ ڈیٹا کلاسز اور منظوری کا عمل غیر واضح ہے۔ مضبوط: "ہم 80 لوگوں پر مشتمل ایک ای کامرس کمپنی ہیں، جو کسٹمر کے ایڈریس اور آرڈر کے ڈیٹا پر کارروائی کرتے ہیں۔ 4 سطحی ڈیٹا کی درجہ بندی کا ٹیبل، 6 ممنوعہ اشیاء اور AI پالیسی کا ایک صفحہ ملازم کا خلاصہ تیار کریں۔ ذاتی ڈیٹا کے لیے ماسکنگ کا اصول شامل کریں۔ ان قانونی نکات پر نشان لگائیں جن کے بارے میں آپ کو یقین نہیں ہے، مجھے فیصلہ کرنے دیں۔" -> ماڈل جامع، قابل اطلاق، سیاق و سباق اور قابل تصدیق آؤٹ پٹ دیتا ہے۔
پالیسی کو نافذ کرنے کے اقدامات
تحریر اس کا نصف ہے۔ اصل کام پالیسی کو ایک زندہ اصول میں بدلنا ہے۔ مراحل:
- مسودہ: آٹھ ابواب مکمل کریں، ضمیمہ تیار کریں۔
- اسٹیک ہولڈر کی رائے: قانونی، IT، HR اور کاروباری اکائیوں سے تحریری رائے حاصل کریں۔
- قانونی منظوری: KVKK اور قانون سازی کی تعمیل کے لیے قانونی/ تعمیل کے دستخط۔
- سینئر مینجمنٹ کی منظوری: دستخط جو دستاویز کو ایک سرکاری کارپوریٹ پالیسی بناتا ہے۔
- اعلان اور تعلیم: سب کے لیے ایک مختصر سیشن؛ ایک صفحے کا خلاصہ تقسیم کریں۔
- منظوری کا ریکارڈ: سسٹم میں ملازمین کی "میں نے پڑھا ہے، میں سمجھتا ہوں" کی منظوری رکھیں۔
- شیڈول کا جائزہ لیں: کم از کم ہر 6 ماہ بعد اپ ڈیٹ کی تاریخ مقرر کریں۔
مشورہ: پالیسی کے آخری صفحہ پر ایک "ورژن اور تاریخ" باکس لگائیں۔ AI اور قانون سازی بہت تیزی سے بدل جاتی ہے۔ یہ جاننا کہ کون سا ورژن درست ہے آڈٹ میں جان بچاتا ہے۔
عام غلطیاں
- پالیسی کو بہت لمبی اور قانونی زبان میں لکھنا اور اسے ناقابل مطالعہ بنانا۔
- ڈیٹا کی درجہ بندی کو چھوڑنا اور "محتاط رہو" جیسے مبہم جملے میں گزرنا۔
- عام خفیہ ڈیٹا کے ساتھ خاص قسم کے ڈیٹا کو الجھانا۔
- منظور شدہ گاڑیوں کی فہرست اور منظوری کے عمل کے بغیر تحریری پابندی۔
- ٹھوس مثالوں کے بغیر ممنوعات کو خلاصہ لکھنا۔
- ملازمین کی تربیت اور منظوری کے اندراج کے مرحلے کو چھوڑنا اور یہ کہنا کہ "میں نے ای میل کے ذریعے اس کا اعلان کیا ہے۔"
- جائزہ کا شیڈول ترتیب نہ دینا اور پالیسی کو ایک بار لکھنا اور اس کے بارے میں بھول جانا۔
خلاصہ میں
- ایک اچھی پالیسی آٹھ معیاری حصوں پر مشتمل ہوتی ہے۔ یہ مختصر، مثالی اور عمل پر مبنی ہونا چاہیے۔
- اس کا دل چار سطحی ڈیٹا کی درجہ بندی ہے جو اس بات کا تعین کرتا ہے کہ کون سا ڈیٹا کس ٹول میں جاتا ہے۔
- ذاتی ڈیٹا کے خصوصی زمرے (صحت، بائیو میٹرکس، وغیرہ) سخت ترین اصول کے تابع ہیں؛ ایک اصول کے طور پر، AI شامل نہیں ہے۔
- ممنوعہ استعمال کنکریٹ اور مثالی ہونا چاہیے؛ اس کی تعریف منظور شدہ ٹولز اور منظوری کے عمل کے ساتھ کی جانی چاہیے۔
- پالیسی لکھنے کے بعد، اسے اسٹیک ہولڈر کی رائے، قانونی اور انتظامی منظوری، تربیت اور باقاعدہ جائزہ کے ذریعے زندہ رکھا جاتا ہے۔
درخواست کا کام
اپنی پسند کے ادارے کے لیے آٹھ سیکشن والے اسکیلیٹن (مقصد اور دائرہ کار، ڈیٹا کی درجہ بندی، ممنوعہ استعمال) کے کم از کم تین حصوں کو ٹھوس طریقے سے پُر کریں۔ ڈیٹا کی درجہ بندی کی میز کو چار سطحوں کے ساتھ ترتیب دیں اور اس میں کم از کم آٹھ اصل ڈیٹا کی قسمیں رکھیں جو آپ کی تنظیم عمل کرتی ہے۔ ہر ایک کے لیے AI اصول لکھیں۔ پھر ان تین حصوں کو ایک صفحے کے "آپ کر سکتے ہیں/آپ نہیں کر سکتے" کے خلاصے میں ابالیں جو ملازمین کے ڈیسک پر پوسٹ کیا جا سکتا ہے۔ آخر میں، نوٹ کریں کہ پالیسی کے نفاذ کے کون سے دو مراحل آپ کو اپنی تنظیم کے لیے سب سے مشکل لگتے ہیں اور آپ ان پر کیسے قابو پائیں گے۔
چیک لسٹ
- میں نے آٹھ حصوں کے فریم ورک کو اپنے ادارے میں ڈھال لیا۔
- میں نے چار سطحی ڈیٹا کی درجہ بندی کی میز کو پُر کیا۔
- [ ] میں نے خصوصی ڈیٹا کو ایک الگ اور سخت ترین اصول کا پابند کیا ہے۔
- میں نے ممنوعہ استعمال کو ٹھوس مثالوں کے ساتھ لکھا۔
- میں نے منظور شدہ ٹولز اور منظوری کے عمل کو بیان کیا۔
- میں نے ملازم کا ایک صفحہ کا خلاصہ تیار کیا۔
- میں نے قانونی منظوری اور نظرثانی کے شیڈول کا منصوبہ بنایا۔