यूरोपीय संघ के एआई अधिनियम में प्रशिक्षण डेटा के बारे में संस्थापकों को क्या नहीं बताया गया है

अनुच्छेद 50 यूरोपीय संघ के एआई अधिनियम के अनुसार, एक एआई प्रणाली को यह बताने की आवश्यकता है कि एक व्यक्ति मशीन से बात कर रहा है। यह बताता है कि जब यह खुलासा किया जाता है, तो उस बातचीत के साथ क्या होता है, इसके बारे में कुछ नहीं कहता है।

संस्थापक जो एक फाउंडेशन मॉडल के शीर्ष पर उत्पाद बना रहे हैं, वे सटीकता और मूल्य पर ध्यान केंद्रित करते हैं। यह प्रश्न कि जब उनके उपयोगकर्ता का डेटा उनके उत्पाद से बाहर निकलता है और एक तीसरे पक्ष के मॉडल द्वारा संसाधित किया जाता है, तो इसके साथ क्या होता है, यह दुर्लभ है कि विक्रेता चयन के दौरान आता है।

यह नियम 2 अगस्त, 2026 को लागू हुआ, और गैर-अनुपालन के लिए जुर्माना €15 मिलियन या 3% वार्षिक वैश्विक कारोबार तक हो सकता है, जो भी अधिक हो। डेटा प्रतिधारण और प्रशिक्षण पूरी तरह से इसके दायरे से बाहर हैं। यदि आपका अनुप्रयोग उपयोगकर्ता बातचीत को एक तीसरे पक्ष के मॉडल के माध्यम से भेजता है, तो उस प्रदाता की डेटा प्रथाएं आपके उत्पाद का हिस्सा बन जाती हैं, चाहे आपने उन्हें चुना हो या नहीं।

उद्योग में डिफ़ॉल्ट प्रशिक्षण है, न कि पूछताछ

स्टैनफोर्ड के मानव-केंद्रित एआई संस्थान के शोधकर्ताओं ने छह प्रमुख अमेरिकी एआई डेवलपर्स की गोपनीयता नीतियों की समीक्षा की, जिनमें अमेज़ॅन, एंथ्रोपिक, गूगल, मेटा, माइक्रोसॉफ्ट और ओपनएआई शामिल हैं, और पाया कि उनमें से प्रत्येक ने ग्राहक चैट डेटा का उपयोग अपने मॉडल को प्रशिक्षित करने के लिए किया, कुछ ने उस डेटा को अनिश्चितकालीन रूप से बनाए रखा। लीड रिसर्चर जेनिफर किंग ने स्पष्ट रूप से कहा कि एआई चैट प्रणाली के उपयोगकर्ताओं को अपनी गोपनीयता के बारे में चिंतित होना चाहिए, “बिल्कुल हाँ”। इसलिए, प्रदाता के दस्तावेज़ में अन्यथा कहा जाना चाहिए, तब तक प्रशिक्षण को डिफ़ॉल्ट धारणा के रूप में माना जाना चाहिए। हालांकि, विवरण एक प्रदाता से दूसरे प्रदाता में भिन्न होते हैं और विक्रेता को चुनने से पहले करीब से ध्यान देने के योग्य हैं।

एक बार इसकी गोपनीयता-सचेत दृष्टिकोण के लिए प्रशंसा की गई, एंथ्रोपिक ने अपने उपभोक्ता शर्तों को बदल दिया ताकि अब क्लाउड के साथ बातचीत प्रशिक्षण के लिए डिफ़ॉल्ट रूप से उपयोग की जाती है, उपयोगकर्ता ऑप्ट-आउट कर सकते हैं। यह दिखाता है कि एक विक्रेता की प्रशिक्षण नीति कितनी जल्दी बदल सकती है, यहां तक कि जब गोपनीयता इसके मूल पिच का हिस्सा थी।

अन्य मॉडल में, ऑप्ट-आउट पूरी तरह से काम नहीं करता है। गूगल जेमिनी बातचीत को मानव अनोटेटर द्वारा तीन साल तक समीक्षा की जाती है, और जेमिनी ऐप्स एक्टिविटी सेटिंग को बंद करने से यह नहीं रोकता है। एक बार जब एक बातचीत को मानव समीक्षा के लिए चिह्नित किया जाता है, तो यह गूगल की प्रणालियों में एक अलग प्रतिधारण ट्रैक पर रहता है, चाहे उपयोगकर्ता बाद में कुछ भी करें।

चरित्र.एआई ने उपयोगकर्ता बातचीत पर डिफ़ॉल्ट रूप से प्रशिक्षित किया और केवल ईईए और यूके के उपयोगकर्ताओं के लिए ऑप्ट-आउट की पेशकश की, जो इसे शामिल किए गए डेटा प्रथाओं के अधिक अनुमति देने वाले छोर पर रखता है। अलग से, कंपनी ने कानूनी और प्रतिष्ठा चुनौतियों का सामना किया है। जनवरी 2026 में, चरित्र.एआई और गूगल ने एक समूह के मुकदमों को निपटाने के लिए सिद्धांत रूप से सहमति व्यक्त की जो छोटे बच्चों के साथ चैटबॉट इंटरैक्शन से होने वाले नुकसान का आरोप लगाते हैं, जो इसकी डेटा-प्रशिक्षण नीति से संबंधित नहीं है। गूगल को एक सह-मुल्जाम के रूप में नामित किया गया था क्योंकि इसका चरित्र.एआई के संस्थापकों से संबंध था, और जबकि कोई दायित्व स्वीकार नहीं किया गया था और शर्तें प्रकट नहीं की गई थीं, मामला दिखाता है कि एक एआई विक्रेता से जुड़े कानूनी जोखिम विक्रेता को पीछे छोड़ सकते हैं।

प्रतिधारण खिड़कियां, मानव समीक्षा ट्रिगर, और सबकॉन्ट्रैक्टर एक्सेस शायद ही कभी एक गोपनीयता नीति के फाइन प्रिंट के बाहर दिखाई देते हैं। ये एपीआई एकत्रित करने वाली कंपनियों को अक्सर यह पता लगाने के लिए जांच करनी पड़ती है कि उपयोगकर्ता डेटा कितनी देर तक समीक्षा में रहता है या कौन और देख सकता है। लगभग इस विवरण का कोई हिस्सा कभी भी अंतिम उपयोगकर्ताओं तक नहीं पहुंचता है, जिसका अर्थ है कि एक कंपनी एक विक्रेता की डेटा प्रथाओं को विरासत में मिल सकती है और उसी जोखिम को दूसरी तरफ पारित कर सकती है बिना दोनों पक्षों को यह एहसास हो कि ऐसा हुआ है।

यह एक संस्थापक समस्या है, न कि केवल नीति बहस

यदि आपका उत्पाद एक फाउंडेशन मॉडल के माध्यम से उपयोगकर्ता बातचीत को रूट करता है जिसमें डिफ़ॉल्ट प्रशिक्षण सक्षम है, तो आपने अपने उपयोगकर्ताओं की ओर से एक डेटा नीति स्वीकार कर ली है, भले ही आपने ऐसा करने का इरादा न किया हो। अनुच्छेद 50 आपको यह निर्णय बताने की आवश्यकता नहीं है क्योंकि यह केवल इतना ही कवर करता है कि वे एआई से बात कर रहे हैं।

तीसरे पक्ष की पहुंच इस जोखिम को और बढ़ा देती है। मॉडल प्रदाता नियमित रूप से डेटा एनोटेशन और सुरक्षा समीक्षा को सबकॉन्ट्रैक्टर्स को आउटसोर्स करते हैं। मई 2026 में, टेक्सास के अटॉर्नी जनरल केन पैक्सटन ने मेटा के एआई चश्मे की जांच शुरू की क्योंकि केन्या स्थित एक सबकॉन्ट्रैक्टर सामा में डेटा एनोटेटर्स ने कथित तौर पर कहा कि वे उपयोगकर्ताओं के निजी पलों की फुटेज तक पहुंच सकते हैं, जिसमें बाथरूम के दौरे शामिल हैं। मेटा ने दावा किया कि यह उनकी प्रथाओं का पूरा चित्र नहीं दर्शाता है, और जांच जारी है। जबकि उदाहरण में पहनने योग्य कैमरे शामिल हैं, यह मुद्दा संवादात्मक एआई पर भी लागू हो सकता है। एक कंपनी का यह वादा कि यह आपका डेटा नहीं बेचती है, यह नहीं कहती है कि कौन और आंतरिक रूप से इसे पढ़ सकता है इससे पहले कि यह कभी एक प्रशिक्षण पाइपलाइन तक पहुंचे।

विक्रेता चुनने से पहले जांचने के लिए क्या

एक फाउंडेशन मॉडल को वास्तविक उपयोगकर्ता डेटा से जोड़ने से पहले, कई प्रश्न हैं जिन्हें हर संस्थापक को उत्तर देना चाहिए।

डेटा प्रसंस्करण समझौता एक जगह है जहां से शुरू करना है। यह समझौता वह दस्तावेज है जो यह नियंत्रित करता है कि आपके उपयोगकर्ताओं का डेटा कैसे संभाला जाता है, और इसके लिए पूरी तरह से पढ़ने योग्य है।

स्वयं अनुबंध को उतना ही ध्यान देने की आवश्यकता है। विक्रेता अक्सर उपभोक्ता चैट उत्पादों की तुलना में उद्यम या एपीआई अनुबंधों पर सख्त नो-प्रशिक्षण शर्तें प्रदान करते हैं, इसलिए लिखित में पुष्टि करें कि कौन सी शर्तें आपके विशिष्ट एकीकरण पर लागू होती हैं। कई कंपनियां अक्सर यह गलत धारणा बनाती हैं कि उद्यम-ग्रेड गोपनीयता भाषा उन्हें डिफ़ॉल्ट रूप से कवर करती है।

ऑप्ट-आउट प्रावधानों की भी जांच की जानी चाहिए। गूगल की जेमिनी सेटिंग्स दिखाती हैं कि क्यों यह मॉडल में गतिविधि ट्रैकिंग को अक्षम करने से मानव समीक्षा रोकने में विफल रहता है। एक विक्रेता को स्पष्ट रूप से बताने में सक्षम होना चाहिए कि क्या एक ऑप्ट-आउट प्रशिक्षण, मानव समीक्षा, या दोनों को रोकता है।

अंत में, विक्रेता के नीचे डेटा का मानचित्र तैयार करें। एनोटेशन और सुरक्षा समीक्षा अक्सर आउटसोर्स की जाती है, और एक विक्रेता के स्वयं के गोपनीयता वादे स्वचालित रूप से उस श्रृंखला में हर सबकॉन्ट्रैक्टर तक नहीं बढ़ते हैं।

इनमें से कोई भी प्रश्न एक बार के अभ्यास के रूप में नहीं माना जाना चाहिए। विक्रेता की शर्तें बदलती हैं, कभी-कभी जल्दी, और जिस विक्रेता के साथ आपने पिछले साल हस्ताक्षर किए थे, वह आज समान नियमों के तहत काम नहीं कर सकता है।

बाजार नियमन के बिना एक मानक निर्धारित कर सकता है

अनुच्छेद 50 यूरोपीय संघ द्वारा एआई डेटा शासन के बारे में अंतिम शब्द होने की संभावना नहीं है, और संस्थापकों को नियामक के अगले दौर की प्रतीक्षा नहीं करनी चाहिए जो इसे पीछे छोड़ दिया है। कंपनियां उस अंतर को अभी पूरा कर सकती हैं जो नियमन के बिना अपने स्वयं के उपयोगकर्ता डेटा पर प्रशिक्षण के लिए एक स्पष्ट और दृश्यमान ऑप्ट-इन बनाकर। एक मॉडल में सुधार करने और उपयोगकर्ता विश्वास पर चुपचाप कैशिंग करने के बीच एक वास्तविक रेखा है। अभी भी कई एआई सेवाएं हैं जो बिना स्पष्ट, सूचित सहमति के बातचीत का उपयोग प्रशिक्षण के लिए करती हैं। जो संस्थापक अभी इस रेखा को खुद बनाते हैं, उन्हें बाद में अनुपालन को रेट्रोफिट करने की आवश्यकता नहीं होगी।

यह एक ऐसा कदम है जिसका पूर्व उदाहरण है। एन्क्रिप्टेड मैसेजिंग ऐप्स और पासवर्ड मैनेजर ने मजबूत डिफ़ॉल्ट मानक बनाने के लिए नियामकों की प्रतीक्षा नहीं की। उन्होंने स्वयं उन निर्णयों को लिया और उन्हें एक बाजार स्थिति में बदल दिया। एआई उत्पादों के पास भी यही अवसर है। जो संस्थापक अनिवार्य होने से पहले इस रेखा को खींचते हैं, वे अपने उपयोगकर्ताओं के साथ अगली संवेदनशील बातचीत पर विश्वास करेंगे।