एआई नीति और वास्तविक दुनिया में उसके प्रवर्तन के बीच बढ़ती खाई

एआई के लिए कोई एक नियम-पुस्तिका नहीं है

एआई को उद्योगों और विभिन्न अनुप्रयोगों में इतनी तेज़ी से लागू किया जा रहा है कि उसकी निगरानी के लिए ज़रूरी नीतियाँ और शासन-ढाँचे उतनी तेज़ी से परिपक्व नहीं हो पा रहे। पहले, एआई अनुप्रयोगों पर मुख्य रूप से उपभोक्ता संरक्षण, निजता और उद्योग-विशिष्ट मौजूदा नियमों के साथ-साथ कंपनियों की अपनी आंतरिक नीतियों के तहत निगरानी रखी जाती थी। अब सरकारें एआई-विशिष्ट आवश्यकताएँ लागू कर रही हैं, लेकिन वे अब भी बिखरी हुई हैं और अक्सर इस बारे में सीमित मार्गदर्शन देती हैं कि प्रणालियों को वास्तव में कैसे काम करना चाहिए। इसलिए कंपनियों को बाहरी आवश्यकताओं का अपनी जोखिम-सहनशीलता, उत्पाद उद्देश्यों और परिचालन की वास्तविकताओं के साथ तालमेल बिठाना पड़ता है।

यूरोपीय संघ अब एआई अधिनियम के कुछ हिस्सों को सक्रिय रूप से लागू कर रहा है, जबकि अमेरिका की संघीय नीति स्पष्ट रूप से कम बोझ वाले राष्ट्रीय ढाँचे को प्राथमिकता देती है। कार्यकारी आदेश 14365 का उद्देश्य परस्पर विरोधी राज्य-स्तरीय आवश्यकताओं को सीमित करना है, जबकि राज्यों ने 2025 में एआई से जुड़े 1,000 से अधिक उपाय पेश किए। इनमें से हर प्राधिकरण एक अलग लक्ष्य बताता है, और इन सबके बीच तालमेल बिठाने का काम उन कंपनियों पर आ पड़ा है जो इन प्रणालियों का निर्माण और इस्तेमाल करती हैं।

लेकिन नियामकीय आवश्यकताएँ तय करना चुनौती का केवल एक हिस्सा है। जैसे-जैसे एआई का इस्तेमाल अधिक अनुप्रयोगों और संदर्भों में हो रहा है, कंपनियों को व्यापक आवश्यकताओं और आंतरिक नीतियों को परिचालन नियंत्रणों और एआई के हर निर्णय में ढालना पड़ता है। कोई भी नियामकीय ढाँचा हर अनुप्रयोग, संदर्भ या समझौते का पहले से अनुमान नहीं लगा सकता। इसलिए संगठनों को नियामक आवश्यकताओं और आंतरिक नीतियों से लेकर प्रणाली के व्यवहार, मापे जा सकने वाले नतीजों और लेखा-परीक्षा या समीक्षा तक की कड़ी स्थापित करनी होती है। NIST का एआई जोखिम प्रबंधन ढाँचा भी इसी तरह की सोच अपनाता है: यह शासन को केवल अनुपालन की एक अलग कवायद मानने के बजाय निरंतर मापन और प्रबंधन पर ज़ोर देता है। आवश्यकताएँ ऊपर से नीचे आती हैं और साक्ष्य नीचे से ऊपर पहुँचते हैं: नियामक और अधिकारी अपेक्षित नतीजे तय कर सकते हैं, लेकिन संगठनों को यह दिखाना होता है कि उनकी प्रणालियाँ वास्तव में वे नतीजे दे रही हैं या नहीं।

इसका मतलब है कि एआई शासन की व्यावहारिक ज़िम्मेदारी का बड़ा हिस्सा इन प्रणालियों को लागू करने वाले संगठनों पर है।

कार्यान्वयन के स्तर पर शासन मुश्किल हो जाता है

नियम और शासन-ढाँचे आम तौर पर सिद्धांत, दायित्व और अपेक्षित नतीजे तय करते हैं। लेकिन वास्तविक उत्पादन प्रणालियों को इन्हें अलग-अलग निर्णयों में ढालना पड़ता है, और यहीं शासन कठिन हो जाता है। कोई नीति भेदभाव रोकने, उपयोगकर्ताओं की रक्षा करने, पारदर्शिता देने या सार्थक मानवीय समीक्षा की अनुमति देने की बात कह सकती है। फिर भी, किसी परिचालन प्रणाली को कहीं अधिक विशिष्ट सवालों के जवाब देने होते हैं: वह किस सीमा पर कार्रवाई करे, किन साक्ष्यों के आधार पर और कितने भरोसे के साथ; मानवीय समीक्षा कब ज़रूरी हो; क्या दर्ज किया जाए; और जब प्रणाली अनिश्चित हो तो क्या किया जाए?

नियामक पहले से ही इन सवालों के जवाब चाहते हैं। FTC, DOJ, CFPB और EEOC ने संयुक्त रूप से कहा कि वे स्वचालित प्रणालियों पर अपने मौजूदा अधिकारों के तहत कार्रवाई करेंगे। इसका मतलब है कि देर-सबेर कोई कंपनी से यह समझाने को कहेगा कि उसकी प्रणाली फ़ैसले कैसे करती है।

एक ऐसे मंच की कल्पना करें जिसकी उत्पीड़न के ख़िलाफ़ स्पष्ट नीति है। गाली-गलौज वाला कोई संदेश दोस्तों के बीच बेफ़िक्र मज़ाक हो सकता है, जबकि ऊपर से निरापद दिखने वाला संदेश किसी दूसरे उपयोगकर्ता को निशाना बनाने के लंबे अभियान का हिस्सा हो सकता है। प्रणाली को तय करना होता है कि वह किस संदर्भ पर भरोसे के साथ विचार कर सकती है, हस्तक्षेप करने के लिए कितना साक्ष्य पर्याप्त है और कौन-सा कदम उचित होगा: संदेश रोकना, भेजने वाले को चेतावनी देना, मानवीय समीक्षा के लिए मामला आगे भेजना या कोई कार्रवाई न करना। पहचान की सीमा नीचे रखने से अधिक हानिकारक व्यवहार पकड़ा जा सकता है, लेकिन वैध बातचीत भी दब सकती है। मानवीय समीक्षा अनिवार्य करने से निर्णय बेहतर हो सकता है, लेकिन हस्तक्षेप में देरी हो सकती है। उत्पीड़न पर रोक लगाने वाली कोई सामान्य नीति इन फैसलों में से किसी को पहले से तय नहीं करती, फिर भी ये सभी मिलकर तय करते हैं कि उस नीति को वास्तव में कैसे लागू किया जाएगा।

कोई नीतिगत दस्तावेज़ इन समझौतों को पहले से तय नहीं कर सकता, इसलिए कंपनी के भीतर किसी को इनके बारे में फ़ैसला लेना, उन्हें दर्ज करना और उनकी फिर से समीक्षा करना पड़ता है। संगठनात्मक ढाँचे में उसका पद कुछ भी हो, वह प्रभावी रूप से नीति बना रहा होता है।

ज़िम्मेदार एआई के लिए वास्तव में क्या ज़रूरी है

अगर किसी प्रणाली को लागू करने वाले लोग ही प्रभावी रूप से नीति बना रहे हैं, तो ज़िम्मेदार एआई को केवल इरादे के बयान के रूप में नहीं देखा जा सकता, क्योंकि उसे हर दिन प्रणाली के व्यवहार में दिखना चाहिए। इसका मतलब है कि समय के साथ एआई के इस्तेमाल, मापन और सुधार का प्रबंधन करना—सिर्फ़ किसी नीति को मंज़ूरी देना या शुरुआती मूल्यांकन में सफल होना नहीं। व्यवहार में तीन विचार सबसे अहम हैं और इनमें से हर एक ऊपर बताए गए समझौतों से निकलता है:

• शासन के उपाय संभावित नतीजों के अनुपात में होने चाहिए। ऐसा एआई सिस्टम जो लिखने के लिए सामग्री सुझाता है, ऋण मंज़ूर करता है, सुरक्षा संबंधी ख़तरे की पहचान करता है या किसी चिकित्सकीय निर्णय में मदद करता है, हर स्थिति में अलग-अलग जोखिम पैदा करता है। संभावित नतीजों के आधार पर संगठनों को तय करना चाहिए कि कहाँ अधिक कड़े नियंत्रण, समीक्षा और निगरानी की ज़रूरत है।
• केवल सटीकता पर्याप्त नहीं है। अलग-अलग ग़लतियों की क़ीमत अलग होती है। सामग्री की निगरानी में गलत सकारात्मक नतीजे से वैध अभिव्यक्ति दब सकती है, जबकि ऋण, स्वास्थ्य सेवा या सुरक्षा में हुई ग़लती के कहीं गंभीर नतीजे हो सकते हैं। शासन में किसी निर्णय के वास्तविक दुनिया पर पड़ने वाले असर को ध्यान में रखना चाहिए, न कि केवल मॉडल के प्रदर्शन को।
• निरंतर मूल्यांकन और फ़ीडबैक ज़रूरी हैं। मानवीय हस्तक्षेप, अपील, घटनाएँ, असामान्य मामले और आगे चलकर सामने आने वाले नतीजे—इन सभी को निरंतर मूल्यांकन में शामिल किया जाना चाहिए।

आंतरिक एआई शासन के लिए एक व्यावहारिक रूपरेखा

इन सिद्धांतों को व्यवहार में लाने के लिए ज़रूरी है कि एआई प्रणालियों के डिज़ाइन, तैनाती और प्रबंधन में शासन को शामिल किया जाए। चार प्रथाएँ विशेष रूप से महत्वपूर्ण हैं:

• शुरुआत से ही शासन-संबंधी आवश्यकताओं को उत्पाद और प्रणाली की आवश्यकताओं के रूप में लें। तैनाती के बाद जोड़े गए अनुपालन नियंत्रण अक्सर महँगे और कमज़ोर साबित होते हैं। गोपनीयता, पारदर्शिता, लेखापरीक्षा-योग्यता और समीक्षा की व्यवस्थाओं को बाद में जोड़ने की तुलना में प्रणाली के डिज़ाइन में शुरू से शामिल करना कहीं आसान है।
• नीति से निर्णय तक लेखापरीक्षा-योग्य कड़ी बनाएँ। संगठनों को लागू नियंत्रण और उससे निकले निर्णय को नियंत्रित करने वाली आवश्यकता या आंतरिक नीति से जोड़ पाने में सक्षम होना चाहिए। उन्हें उस निर्णय का मूल्यांकन करने के लिए ज़रूरी साक्ष्य भी चाहिए।
• ज़िम्मेदारी और जवाबदेही स्पष्ट रूप से तय करें। परिभाषित करें कि नीति की ज़िम्मेदारी किसकी है, स्वीकार्य जोखिम कौन तय करता है और प्रदर्शन की निगरानी कौन करता है। प्रणाली इन सीमाओं से बाहर व्यवहार करे, तो हस्तक्षेप करने का अधिकार भी किसी के पास होना चाहिए।
• साझा और अनुकूलनीय शासन-अवसंरचना बनाएँ। डेटा नियंत्रण, लेखापरीक्षा रिकॉर्ड, कॉन्फ़िगर की जा सकने वाली नीतियाँ, समीक्षा की कार्यप्रणालियाँ और मापन—इन सबको कई नियामक आवश्यकताओं और उपयोग के मामलों का समर्थन करना चाहिए। नियंत्रणों और सीमाओं को अधिकार-क्षेत्र, अनुप्रयोग और जोखिम के अनुसार अनुकूलित किया जा सकना चाहिए, ताकि संगठन अपनी प्रणालियों को दोबारा बनाए बिना बदलती आवश्यकताओं के अनुरूप काम कर सकें।

शासन को व्यवहार में कारगर होना चाहिए

नियमन दायित्वों और सिद्धांतों को परिभाषित कर सकता है, लेकिन कंपनियों को फिर भी उन्हें ऐसे तंत्रों में ढालना पड़ता है जो बड़े पैमाने पर वास्तविक निर्णय लें। इसलिए आंतरिक शासन केवल अनुपालन की कवायद नहीं, बल्कि संचालन की ज़िम्मेदारी है। बड़े पैमाने पर एआई तैनात करने वाली हर कंपनी अपनी सीमाओं, समीक्षा के नियमों और मामले को आगे बढ़ाने की प्रक्रियाओं के ज़रिए पहले से ही नीति बना रही है। एकमात्र खुला सवाल यह है कि क्या वह ऐसा सोच-समझकर करती है।

नियामक उन नतीजों को परिभाषित करते रहेंगे जिन्हें वे हासिल करना चाहते हैं, और वे हमेशा एकमत नहीं होंगे। इसलिए कंपनी को तय करना होगा कि उन अपेक्षाओं को नियंत्रणों में कैसे बदला जाए और फिर साक्ष्यों के साथ दिखाना होगा कि ये नियंत्रण कारगर हैं। जो कंपनियाँ अभी स्पष्ट ज़िम्मेदारियाँ, मापने योग्य नियंत्रण, लेखापरीक्षा-योग्यता और अनुकूलनीय अवसंरचना तैयार करेंगी, वे नियमन के लगातार विकसित होने के साथ बेहतर स्थिति में होंगी।

मैंने इस समस्या को कई अलग-अलग संदर्भों में देखा है: साइबर सुरक्षा के क्षेत्र में, जोखिम मॉडल बनाते समय और अब बड़े पैमाने पर एआई प्रणालियाँ संचालित करते हुए। हर संदर्भ में सबक लगभग एक-सा है: कोई रूपरेखा तभी कारगर होती है, जब उसे स्पष्ट निर्णयों में बदला जा सके, व्यवहार में मापा जा सके और वास्तविकता से सामने आई कमियों के आधार पर सुधारा जा सके।