فائدہ:
- AI ٹول خریدنے سے پہلے تشخیصی معیار کا اطلاق کریں۔
- ڈیٹا پروسیسنگ معاہدے (DPA) اور ماڈل کارڈ میں تلاش کرنے کے لیے آئٹمز کو پہچاننا
- منظور شدہ گاڑیوں کی فہرست اور وینڈر رسک اسکورنگ بنائیں
آپ کیا کرتے ہیں جب کوئی کاروباری یونٹ آپ کے دروازے پر آتا ہے اور کہتا ہے کہ "ہم اس نئے AI ٹول کو استعمال کرنا چاہتے ہیں، یہ بہت مفید ہو گا"؟ "کوئی راستہ نہیں" کہنا سایہ AI کو کھلاتا ہے؛ "ٹھیک ہے" کہنے سے بے قابو خطرہ کھل جاتا ہے۔ صحیح جواب گاڑی کی تشخیص کا عمل چلانا ہے۔ اس یونٹ میں ہم سیکھیں گے کہ AI گاڑی خریدنے/سرٹیفیکیشن سے پہلے کون سے سوالات پوچھے جائیں، ڈیٹا پروسیسنگ ایگریمنٹ (DPA) اور ماڈل کارڈ میں کیا تلاش کرنا چاہیے، اور ان سب کو ایک منظور شدہ گاڑی کی فہرست اور وینڈر رسک سکور میں کیسے ڈسٹل کرنا ہے۔
تشخیص کیوں ضروری ہے؟
ہر AI ٹول ڈیٹا پروسیسر ہوتا ہے: یہ تنظیم کے ڈیٹا پر کارروائی کرتا ہے۔ غلط ٹول کو منظور کرنے کا مطلب یہ ہے کہ تنظیم کا ذاتی ڈیٹا کسی تیسرے فریق (اور اکثر بیرون ملک) کو بے قابو طریقے سے حوالے کرنا ہے۔ ٹول کو منظور کرنے سے پہلے جواب دینے کے لیے بنیادی سوالات:
- یہ ڈیٹا کہاں پروسیس اور اسٹور کرتا ہے (کون سا ملک)؟
- کیا یہ ہمارے ڈیٹا کو ماڈل ٹریننگ میں استعمال کرتا ہے؟ کیا اسے آف کیا جا سکتا ہے (آپٹ آؤٹ)؟
- کیا یہ ڈیٹا پروسیسنگ معاہدہ (DPA) پیش کرتا ہے؟
- کیا حفاظتی سرٹیفیکیشنز ہیں (جیسے ISO 27001)؟
- چیٹ کی تاریخ کتنی دیر تک رکھی جاتی ہے اور کیا اسے حذف کیا جا سکتا ہے؟
- کیا سیکورٹی کی خلاف ورزی ہونے پر ہمیں مطلع کرنے کا عہد ہے؟
ڈیٹا پروسیسنگ معاہدہ (DPA)
ڈیٹا پروسیسنگ ایگریمنٹ (DPA) ڈیٹا کنٹرولر (ادارہ) اور ڈیٹا پروسیسر (AI فراہم کنندہ) کے درمیان دستخط کردہ ایک معاہدہ ہے جو یہ بتاتا ہے کہ ڈیٹا پر کس طرح کارروائی کی جائے گی۔ KVKK اور GDPR بڑے پیمانے پر اس کا حکم دیتے ہیں۔ DPA میں تلاش کرنے کے لیے اشیاء:
معاملہ
اسے کیا فراہم کرنا چاہئے؟
دائرہ کار اور پروسیسنگ کا مقصد
فراہم کنندہ کو صرف ہماری ہدایات پر کام کرنے دیں۔
سب پروسیسرز
کس کو منتقل کیا جاتا ہے؟ کیا یہ پہلے سے مطلع ہے؟
منتقلی کی یقین دہانی
معیاری معاہدے کی شقیں یا مساوی
حفاظتی اقدامات
خفیہ کاری، رسائی کنٹرول، ISO 27001
خلاف ورزی کی اطلاع
خلاف ورزی کی صورت میں ایک مخصوص مدت کے اندر ہمیں مطلع کرنا
حذف کرنا/واپسی
معاہدے کے اختتام پر ڈیٹا کو حذف/واپس کرنے کا عہد
آڈٹ کا حق
فراہم کنندہ کا آڈٹ کرنے یا رپورٹیں وصول کرنے کی صلاحیت
خبردار: زیادہ تر "مفت" اور "انفرادی" AI منصوبے DPA پیش نہیں کرتے ہیں اور ماڈل ٹریننگ کے لیے ڈیٹا استعمال کر سکتے ہیں۔ کارپوریٹ استعمال کے لیے، کارپوریٹ/کاروباری منصوبوں کو ترجیح دی جانی چاہیے جو DPA پیش کرتے ہیں اور تعلیم سے آپٹ آؤٹ کی ضمانت دیتے ہیں۔ مفت منصوبہ اکثر وہ منصوبہ ہوتا ہے جہاں ڈیٹا کو "ادائیگی" کی جاتی ہے۔
ماڈل کارڈ اور شفافیت
ماڈل کارڈ ایک دستاویز ہے جو بتاتی ہے کہ AI ماڈل کس کے لیے ڈیزائن کیا گیا ہے، اسے کس ڈیٹا کے ساتھ تربیت دی جاتی ہے، اس کی حدود اور معلوم خطرات۔ ایک اچھا فراہم کنندہ اس کا اشتراک کرتا ہے۔ ماڈل کارڈ میں تلاش کرنے کی چیزیں: ماڈل کا مطلوبہ استعمال، معلوم حدود اور تعصب کے خطرات، استعمال کی سفارش نہیں کی گئی، اور کارکردگی/سیکیورٹی نوٹس۔ اگر ماڈل کارڈ غائب ہے یا بہت مبہم ہے، تو یہ بذات خود ایک انتباہی علامت ہے۔
تین چھوٹے مقدمات
کیس 1 - مفت پلان کی قیمت۔ ایک اکاؤنٹنگ ٹیم مفت AI ٹول کے ساتھ کسٹمر کے مالیاتی ڈیٹا پر کارروائی شروع کرتی ہے۔ یہ ٹول ڈی پی اے کی پیشکش نہیں کرتا ہے اور اپنی شرائط میں بتاتا ہے کہ یہ ڈیٹا کو ماڈل ٹریننگ کے لیے استعمال کر سکتا ہے۔ تعمیل افسر نے اس کا نوٹس لیا اور ایک کارپوریٹ متبادل کو منظور کرتے ہوئے ٹول پر پابندی لگا دی جو DPA پیش کرتا ہے۔ فرق: لائسنس وغیرہ کے لیے ماہانہ چند سو TL۔ لاکھوں پاؤنڈ کے ممکنہ جرمانے۔
کیس 2 - سب پروسیسر سرپرائز۔ ایک کمپنی کو مہینوں بعد ایک آڈٹ میں پتہ چلتا ہے کہ AI ٹول نے تین مختلف ممالک میں سب پروسیسرز کو ڈیٹا منتقل کرنے کی منظوری دی۔ چونکہ DPA میں "سب پروسیسرز کو پیشگی اطلاع دی جائے گی" کی کوئی شق نہیں ہے، اس لیے کمپنی کو اس کا علم نہیں تھا۔ سبق: DPA میں ایک شق جو سب پروسیسر چین کو مرئی بناتی ہے۔
کیس 3 - اسکورنگ کے ذریعے فیصلہ۔ ایک تنظیم تین AI ٹولز (DPA، ڈیٹا لوکیشن، ٹریننگ آپٹ آؤٹ، ISO 27001، خلاف ورزی کی اطلاع، حذف کرنے، پیٹرن کارڈ، قیمت) کا موازنہ کرنے کے لیے 8-معیار وینڈر رسک سکور ٹیبل قائم کرتی ہے۔ درجہ بندی کا نتیجہ اس ٹول کو نمایاں کرتا ہے جو سب سے زیادہ مقبول نہیں ہے، لیکن سب سے زیادہ مطابقت رکھتا ہے۔ فیصلہ موضوعی "مجھے یہ پسند آیا" کے بجائے دستاویزی اسکور پر مبنی ہے۔
مشورہ: منظور شدہ گاڑیوں کی فہرست کو "وائٹ لسٹ" کے طور پر منظم کریں: صرف ان گاڑیوں کی اجازت دیں جو فہرست میں ہیں۔ بلیک لسٹ کو ہر نئے ٹول کے ساتھ اپ ڈیٹ کرنا پڑتا ہے اور ہمیشہ ایک قدم پیچھے رہتا ہے۔ وائٹ لسٹنگ بطور ڈیفالٹ محفوظ ہے۔
باہر نکلنا اور نشے کا خطرہ
گاڑی کی منظوری دیتے وقت اکثر ایجنسیاں جو سوال چھوڑ دیتی ہیں وہ یہ ہے: "اگر ہم اس گاڑی سے باہر نکلنا چاہیں تو کیا ہوگا؟" ایک اچھی تشخیص باہر نکلنے کے ساتھ ساتھ داخلے کو بھی سمجھتی ہے۔ دو خطرات سامنے آتے ہیں۔ پہلا ڈیٹا پورٹیبلٹی ہے: جب آپ فراہم کنندہ کو چھوڑ دیتے ہیں، کیا آپ اپنے ڈیٹا اور کنفیگریشن کو معیاری شکل میں واپس حاصل کر سکتے ہیں، یا ڈیٹا فراہم کنندہ میں بند ہے؟ دوسرا وینڈر لاک اِن ہے: کاروباری عمل کسی ایک ٹول سے اس قدر منسلک ہو سکتے ہیں کہ جب فراہم کنندہ قیمتیں بڑھاتا ہے یا سروس میں خلل ڈالتا ہے تو باہر نکلنے کی لاگت ناقابل برداشت ہو جاتی ہے۔
اسی لیے تصدیقی ریکارڈ میں "ایگزٹ پلان" لائن کو بھی شامل کرنا اچھا عمل ہے: ہم ڈیٹا کو کیسے واپس حاصل کریں، متبادل ٹول کیا ہے، منتقلی میں کتنا وقت لگتا ہے۔ یہاں تک کہ اگر فراہم کنندہ ایک دن سروس بند کردے تو تنظیم تیار ہوجائے گی۔
احتیاط: صرف اس وجہ سے کہ کوئی گاڑی مقبول یا سستی ہے اس کا مطلب یہ نہیں ہے کہ یہ پائیدار ہے۔ چھوٹے فراہم کنندگان بند ہو سکتے ہیں، حاصل کیے جا سکتے ہیں، یا اچانک اپنی پالیسیاں تبدیل کر سکتے ہیں۔ کسی اہم عمل کو کسی ایک ٹول سے مربوط کرنے سے پہلے، باہر نکلنے کے منظر نامے پر غور کریں۔
کاپی کرنے کے قابل ٹیمپلیٹس
ٹیمپلیٹ 1 — وینڈر کی تشخیص کا سوال سیٹ: "ایک نئے AI ٹول کو منظور کرنے سے پہلے وینڈر سے پوچھنے کے لیے تشخیصی سوالات تیار کریں۔ شامل کریں: ڈیٹا لوکیشن، ماڈل ٹریننگ میں استعمال اور آپٹ آؤٹ، DPA کی موجودگی، سیکیورٹی سرٹیفکیٹس، برقرار رکھنے کی مدت، خلاف ورزی کی اطلاع، ذیلی پروسیسرز، حذف کرنے کا عہد۔ ہر ایک سوال کا متوقع جواب شامل کریں۔"
ٹیمپلیٹ 2 — DPA شق کی چیک لسٹ: "مندرجہ ذیل شقوں کے لیے ذیل میں ڈی پی اے ڈرافٹ [پیسٹ ٹیکسٹ] کو چیک کریں: پروسیسنگ کا دائرہ کار، ذیلی پروسیسرز، منتقلی کی یقین دہانی، حفاظتی اقدامات، نوٹیفکیشن کی خلاف ورزی، حذف/واپسی، آڈٹ کا حق۔ ہر ایک ایپ کے لیے 'موجودہ/لاپتہ/غیر یقینی' کو نشان زد کریں، اس قانونی شق کو دوبارہ بنانے کی ضرورت نہیں ہے۔"
ٹیمپلیٹ 3 — وینڈر رسک اسکور بورڈ: "3 AI ٹولز کا موازنہ کرنے کے لیے ایک 8 معیار والے رسک اسکور بورڈ مرتب کریں: DPA، ڈیٹا لوکیشن، ٹریننگ آپٹ آؤٹ، ISO 27001، بریک نوٹیفکیشن، ڈیلیٹ کرنا، پیٹرن کارڈ، لاگت۔ ہر کسوٹی کو 0-3 پوائنٹس ہونے دیں، کل اور سفارشی کالم شامل کریں، ٹیمپلیٹ میں اسے پُر کریں۔"
ٹیمپلیٹ 4 — منظور شدہ ٹول لسٹ کا اندراج: "منظور شدہ AI ٹول لسٹ میں ایک نئی اندراج کا مسودہ تیار کریں: ٹول کا نام، منظور شدہ مطلوبہ استعمال، کونسی ڈیٹا کلاسز کی اجازت ہے (عوامی/اندرونی/خفیہ)، ممنوعہ ڈیٹا کی اقسام، ذمہ دار یونٹ، منظوری کی تاریخ، جائزہ کی تاریخ۔ سنگل لائن ریکارڈ فارمیٹ میں۔"
کمزور فوری / مضبوط اشارہ
کمزور: "کیا یہ AI ٹول محفوظ ہے؟" -> ماڈل ٹول کے مارکیٹنگ کے وعدے کو دہرایا جاتا ہے۔ یہ ٹھوس معیار جیسے ڈی پی اے، ڈیٹا لوکیشن، ٹریننگ کے استعمال کی جانچ نہیں کرتا۔ مضبوط: "میں انٹرپرائز کے استعمال کے لیے اس AI ٹول کی جانچ کروں گا۔ مجھے مندرجہ ذیل 8 معیارات (DPA، ڈیٹا لوکیشن، ٹریننگ آپٹ آؤٹ، ISO 27001، خلاف ورزی کی اطلاع، اسٹوریج، سب پروسیسر، ماڈل کارڈ) کی بنیاد پر فراہم کنندہ سے کون سی معلومات کی درخواست کرنی چاہیے اور ہر ایک معیار کی جانچ پڑتال کی شیٹ میں 'قابل قبول' حد کیا ہونی چاہیے؟" -> ماڈل ایک ٹھوس، قابل تصدیق تشخیصی فریم ورک تیار کرتا ہے۔
عام غلطیاں
- کارپوریٹ ڈیٹا کے ساتھ مفت/انفرادی منصوبوں کا استعمال؛ یہ نہ سمجھنا کہ کوئی DPA اور آپٹ آؤٹ نہیں ہے۔
- مارکیٹنگ کے وعدے کی بنیاد پر ٹول کو منظور کرنا، ڈیٹا لوکیشن اور تعلیمی استعمال کے بارے میں نہیں پوچھنا۔
- ڈی پی اے پر دستخط کیے بغیر یا سب پروسیسر شق کو چیک کیے بغیر ڈیٹا کا اشتراک کرنا۔
- بغیر کسی سوال کے بغیر/غیر یقینی ماڈل کارڈ والی گاڑی کو منظور کرنا۔
- وائٹ لسٹ کے بجائے پابندی کی فہرست رکھنا اور ہر نئی گاڑی کے ساتھ پیچھے رہنا۔
- منظوری کے بعد دوبارہ گاڑی کا جائزہ نہ لینا (حالات میں تبدیلی)۔
- وینڈر کے انتخاب کو موضوعی ترجیح پر مبنی کرنا، نہ کہ قابل تصدیق سکور۔
خلاصہ میں
- ہر AI ٹول ڈیٹا پروسیسر ہے۔ منظوری سے پہلے منظم تشخیص ضروری ہے۔
- ڈیٹا پروسیسنگ معاہدہ (DPA) بنیادی دستاویز ہے جو ڈیٹا کو پابند کرتی ہے۔ اس میں دائرہ کار، سب پروسیسر، سیکورٹی، خلاف ورزی اور حذف کرنے کی شقیں شامل ہونی چاہئیں۔
- مفت/انفرادی منصوبے اکثر DPA پیش نہیں کرتے اور تربیت کے لیے ڈیٹا استعمال کرتے ہیں۔ کارپوریٹ منصوبوں کو ترجیح دی جانی چاہئے۔
- ماڈل کارڈ ماڈل کی حدود اور خطرات کو ظاہر کرتا ہے۔ اس کی عدم موجودگی ایک انتباہی علامت ہے۔
- منظور شدہ ٹولز کا انتظام وائٹ لسٹ کے طور پر کیا جانا چاہیے، اور وینڈرز کو قابل دستاویزی رسک سکور کے ساتھ منظم کیا جانا چاہیے۔
درخواست کا کام
تین حقیقی AI ٹولز کا انتخاب کریں جنہیں آپ کی تنظیم استعمال کرنا چاہتی ہے۔ آٹھ معیارات (DPA، ڈیٹا لوکیشن، ٹریننگ آپٹ آؤٹ، سیکورٹی سرٹیفیکیشن، خلاف ورزی کی اطلاع، برقرار رکھنے، ماڈل کارڈ، لاگت) کے ساتھ ایک وینڈر رسک اسکور ٹیبل مرتب کریں اور ان معیارات کی بنیاد پر ہر گاڑی کو 0-3 سے اسکور کریں۔ پھر سب سے زیادہ اسکور کرنے والی گاڑی کے لیے ایک منظور شدہ گاڑی کی فہرست میں اندراج لکھیں: منظور شدہ مطلوبہ استعمال، اجازت شدہ ڈیٹا کلاسز، ممنوعہ ڈیٹا کی قسمیں، ذمہ دار ادارہ، اور جائزہ کی تاریخ۔ آخر میں، پانچ آئٹمز نوٹ کریں جو آپ یقینی طور پر گاڑی کے DPA میں دیکھنا چاہیں گے اور ہر ایک کیوں اہم ہے۔
چیک لسٹ
- میں نے ٹول کو منظور کرنے سے پہلے تشخیصی سوالات پوچھے۔
- میں نے ماڈل ٹریننگ میں ڈیٹا لوکیشن اور استعمال کیس کو واضح کیا۔
- [ ] میں نے DPA کے وجود اور اس کی اہم اشیاء کی جانچ کی۔
- میں نے ماڈل کارڈ کی جانچ کی۔ میں نے حدود اور خطرات کو دیکھا۔
- [ ] میں نے وینڈر کو قابل دستاویزی رسک سکور کے ساتھ جانچا۔
- میں نے اجازت شدہ ڈیٹا کلاسز کے ساتھ وائٹ لسٹ میں ٹول شامل کیا۔
- میں نے جائزہ لینے کی تاریخ مقرر کی ہے۔