भारत में सरकारी विभागों और निजी कंपनियों के लिए आर्टिफिशियल इंटेलिजेंस आधारित प्रणालियों की सुरक्षा को लेकर नए दिशा-निर्देश सामने आए हैं। भारतीय कंप्यूटर आपातकालीन प्रतिक्रिया दल यानी CERT-In ने 5 नवंबर 2026 को प्रकाशित जानकारी के अनुसार, एआई प्रणालियों से जुड़ी रिपोर्ट योग्य सुरक्षा घटनाओं की सूचना छह घंटे के भीतर देने की व्यवस्था पर जोर दिया है। नए ढांचे में जोखिम के आधार पर प्रणालियों का वर्गीकरण, स्वतंत्र सुरक्षा जांच, लगातार निगरानी और रिकॉर्ड सुरक्षित रखने जैसी शर्तें भी शामिल हैं। इसका असर उन संस्थाओं पर पड़ सकता है जो ग्राहक डेटा, भुगतान, स्वास्थ्य, सरकारी सेवाओं या कारोबारी फैसलों में एआई का उपयोग करती हैं।
नए दिशा-निर्देशों में छह घंटे की समय सीमा
छह घंटे के भीतर सूचना देने की बात पूरी तरह नई नहीं है। CERT-In के 2022 के साइबर सुरक्षा निर्देशों में भी कुछ तय प्रकार की घटनाओं की जानकारी छह घंटे में देने की शर्त थी। नए दिशा-निर्देश एआई प्रणालियों से जुड़े जोखिमों को अधिक स्पष्ट तरीके से शामिल करते हैं। कंपनियों को ऐसी घटना की पहचान, आकलन और सूचना देने के लिए पहले से जिम्मेदारी तय करनी होगी। केवल तकनीकी टीम को जिम्मेदार मानना पर्याप्त नहीं होगा। प्रबंधन, सुरक्षा अधिकारी, कानूनी विभाग और सेवा देने वाले बाहरी साझेदारों के बीच स्पष्ट व्यवस्था जरूरी होगी।
यह नियम उन स्थितियों में खास महत्व रखता है जहां कोई एआई प्रणाली अपने तय काम से आगे बढ़कर ऐसी जानकारी तक पहुंच जाए जिसकी उसे अनुमति नहीं थी। उदाहरण के लिए, किसी ग्राहक सेवा प्रणाली को केवल सवालों के जवाब देने की अनुमति हो, लेकिन वह गलती से निजी खाते या आंतरिक दस्तावेज तक पहुंच जाए। ऐसी घटना में कंपनी को यह समझना होगा कि कौन-सा डेटा प्रभावित हुआ, कितने लोगों पर असर पड़ा और क्या किसी बाहरी व्यक्ति ने उस जानकारी का उपयोग किया।
एआई प्रणालियों के चार जोखिम स्तर
नए ढांचे के तहत प्रणालियों को कम, मध्यम, उच्च और गंभीर जोखिम वाली श्रेणियों में रखा जाएगा। जोखिम तय करते समय देखा जाएगा कि प्रणाली कितनी स्वतंत्रता से काम करती है, उसके पास किस तरह का डेटा है, किसी गलती से कितना नुकसान हो सकता है और उस नुकसान को वापस ठीक करना कितना संभव है। जिस प्रणाली का असर लोगों की सुरक्षा, महत्वपूर्ण सेवाओं या संवेदनशील जानकारी पर अधिक हो सकता है, उसकी जांच और निगरानी भी अधिक मजबूत रखनी होगी।
इसका उद्देश्य हर छोटी प्रणाली पर एक जैसा बोझ डालना नहीं, बल्कि खतरे के स्तर के अनुसार सुरक्षा व्यवस्था तय करना है। उदाहरण के लिए, किसी वेबसाइट पर सामान्य सवालों के जवाब देने वाला साधारण सहायक और बैंकिंग लेनदेन से जुड़े फैसले लेने वाली प्रणाली एक जैसी नहीं मानी जा सकती। दूसरी प्रणाली में डेटा की गोपनीयता, गलत निर्णय और वित्तीय नुकसान का जोखिम अधिक हो सकता है। इसलिए उसकी जांच, मानव निगरानी और अनुमति व्यवस्था ज्यादा सख्त होनी चाहिए।
🛡️ नए सुरक्षा ढांचे की मुख्य बातें
- सूचना की समय सीमा: रिपोर्ट योग्य घटना के छह घंटे के भीतर
- जोखिम श्रेणियां: कम, मध्यम, उच्च और गंभीर
- जांच के क्षेत्र: नौ प्रमुख सुरक्षा क्षेत्र
- लॉग सुरक्षित रखने की अवधि: कम से कम 180 दिन
- जिम्मेदारी: प्रबंधन, तकनीकी टीम और बाहरी सेवा प्रदाता
- मुख्य उद्देश्य: घटना की पहचान और नुकसान सीमित करना
कंपनियों को नौ क्षेत्रों में जांच करनी होगी
दिशा-निर्देशों में सुरक्षा जांच के लिए नौ क्षेत्रों का उल्लेख है। इनमें संस्थागत जिम्मेदारी, डेटा प्रबंधन, निजी जानकारी की सुरक्षा, एआई मॉडल का जोखिम, पक्षपात और निष्पक्षता, प्रणाली के फैसलों को समझने की क्षमता और लगातार निगरानी जैसे विषय शामिल हैं। कंपनियों को यह दर्ज करना होगा कि प्रणाली किस काम के लिए बनाई गई है, वह किन सीमाओं में काम करेगी और उसके तकनीकी ढांचे में कौन-कौन से हिस्से शामिल हैं।
कम से कम 180 दिनों तक सुरक्षा रिकॉर्ड सुरक्षित रखने की बात भी कही गई है। रिकॉर्ड में समय की जानकारी एक जैसी और सही होनी चाहिए ताकि घटना के बाद जांच में यह पता लगाया जा सके कि किस समय कौन-सी गतिविधि हुई। प्रशिक्षण में इस्तेमाल किए गए डेटा, मॉडल की सेटिंग, दिए गए निर्देश और बाद में किए गए बदलावों का पता भी रखा जाना चाहिए। इससे किसी समस्या के कारण की पहचान करना और जिम्मेदारी तय करना आसान हो सकता है।
छोटे कारोबारों के सामने क्या चुनौती होगी?
बड़ी कंपनियों के पास अलग साइबर सुरक्षा विभाग और विशेषज्ञ हो सकते हैं, लेकिन छोटे कारोबार अक्सर बाहरी सेवा प्रदाताओं पर निर्भर रहते हैं। उन्हें यह सुनिश्चित करना होगा कि जिस कंपनी से एआई सेवा ली गई है, वह सुरक्षा और रिकॉर्ड से जुड़ी जरूरतें पूरी कर सकती है। सेवा समझौते में घटना की सूचना, डेटा की पहुंच, रिकॉर्ड उपलब्ध कराने और सुरक्षा जांच में सहयोग की शर्तें साफ होनी चाहिए। केवल सॉफ्टवेयर खरीद लेना पर्याप्त नहीं होगा।
छोटे कारोबार चरणबद्ध तरीके से तैयारी कर सकते हैं। सबसे पहले यह सूची बनानी चाहिए कि कौन-कौन सी एआई प्रणालियां इस्तेमाल हो रही हैं और उनमें कौन-सा डेटा जाता है। इसके बाद हर प्रणाली के लिए जिम्मेदार व्यक्ति तय करना, अनावश्यक अनुमति हटाना, पासवर्ड सुरक्षित रखना और घटना की सूचना देने की प्रक्रिया बनाना उपयोगी होगा। कर्मचारियों को भी यह समझाना जरूरी है कि संवेदनशील जानकारी किसी अनजान सेवा में न डालें।
🔎 कंपनियों के लिए तैयारी
- पहला कदम: इस्तेमाल हो रही एआई प्रणालियों की सूची बनाएं
- दूसरा कदम: हर प्रणाली का जोखिम स्तर तय करें
- तीसरा कदम: डेटा और पासवर्ड की पहुंच सीमित रखें
- चौथा कदम: लॉग और बदलावों का रिकॉर्ड रखें
- पांचवां कदम: घटना की सूचना देने का अभ्यास करें
- छठा कदम: बाहरी सेवा प्रदाताओं की जांच करें
एआई सुरक्षा के बारे में शुरुआती जानकारी के लिए साइबर सुरक्षा की पुस्तकें देखी जा सकती हैं। आधिकारिक दिशा-निर्देश और सलाह CERT-In की वेबसाइट पर उपलब्ध होते हैं।
आगे क्या बदल सकता है?
अब कंपनियों को अपनी प्रणालियों की जांच और रिकॉर्ड रखने की व्यवस्था मजबूत करनी पड़ सकती है। जिन संस्थाओं के पास पहले से साइबर सुरक्षा प्रक्रिया है, उन्हें उसमें एआई से जुड़े जोखिम शामिल करने होंगे। जिनके पास ऐसी व्यवस्था नहीं है, उन्हें विशेषज्ञों की मदद लेनी पड़ सकती है। नियमों का वास्तविक असर इस बात पर निर्भर करेगा कि संस्थाएं जोखिम वर्गीकरण और घटना की सूचना देने की प्रक्रिया को कितनी गंभीरता से लागू करती हैं।
अक्सर पूछे जाने वाले सवाल
1. CERT-In के नए दिशा-निर्देश किससे जुड़े हैं?
ये दिशा-निर्देश सरकारी और निजी संस्थाओं में इस्तेमाल होने वाली एआई प्रणालियों की सुरक्षा जांच, जोखिम आकलन, निगरानी और घटना की सूचना देने से जुड़े हैं। इनका उद्देश्य तकनीकी गलती या अनधिकृत पहुंच से होने वाले नुकसान को कम करना है।
2. एआई सुरक्षा घटना की सूचना कितने समय में देनी होगी?
रिपोर्ट योग्य एआई सुरक्षा घटना की सूचना छह घंटे के भीतर देने की बात कही गई है। कंपनियों को घटना पहचानने, उसकी गंभीरता समझने और संबंधित अधिकारियों तक जानकारी पहुंचाने की प्रक्रिया पहले से तैयार रखनी होगी।
3. एआई प्रणालियों को कितने जोखिम स्तरों में बांटा जाएगा?
प्रणालियों को कम, मध्यम, उच्च और गंभीर जोखिम की चार श्रेणियों में रखा जाएगा। वर्गीकरण प्रणाली की स्वतंत्रता, डेटा की संवेदनशीलता और संभावित नुकसान के आधार पर होगा।
4. सुरक्षा रिकॉर्ड कितने दिन तक रखना होगा?
दिशा-निर्देशों में कम से कम 180 दिनों तक सुरक्षा रिकॉर्ड सुरक्षित रखने की बात है। रिकॉर्ड में समय की जानकारी सही और एक जैसी होनी चाहिए ताकि बाद में घटना की जांच की जा सके।
5. छोटे कारोबार अभी क्या तैयारी करें?
छोटे कारोबार पहले इस्तेमाल हो रही एआई सेवाओं और उनमें जाने वाले डेटा की सूची बनाएं। इसके बाद जिम्मेदार व्यक्ति तय करें, पहुंच सीमित रखें, रिकॉर्ड सुरक्षित करें और सेवा देने वाली कंपनियों से सुरक्षा प्रक्रिया की जानकारी लें।
निष्कर्ष
नए दिशा-निर्देश एआई के बढ़ते उपयोग के साथ सुरक्षा और जवाबदेही को मजबूत करने की कोशिश हैं। कंपनियों के लिए समय पर सूचना, नियमित जांच और सुरक्षित रिकॉर्ड रखना जरूरी होगा। इससे भरोसेमंद डिजिटल सेवाओं की दिशा में मदद मिल सकती है।
अस्वीकरण: यह लेख सामान्य जानकारी के लिए है। नियमों के पालन हेतु संबंधित सरकारी अधिसूचना और विशेषज्ञ सलाह जरूर देखें।
