चॅटबॉट्स, कॉपीराइट आणि डच व युरोपियन युनियन कायद्यांतर्गत अनुपालन

नेदरलँड्समध्ये तैनात केलेला चॅटबॉट तीन कायद्यांच्या संगमावर येतो: कॉपीराइट (ऑटर्सवेट आणि ईयू कॉपीराइट निर्देश), डेटा संरक्षण (जीडीपीआर) आणि ईयू आर्टिफिशियल इंटेलिजन्स कायदा, रेग्युलेशन (ईयू) २०२४/१६८९. या प्रत्येक कायद्यानुसार, चॅटबॉट तयार करणाऱ्या डेव्हलपरवरच नव्हे, तर तो वापरकर्त्यांसमोर आणणाऱ्या संस्थेवरही काही कर्तव्ये निश्चित केली जातात. त्यामुळे, चॅटबॉट्स, कॉपीराइट आणि अनुपालन हे तीन विषयांऐवजी एकच विषय ठरतात, आणि या कामाची सुरुवात तुमचा चॅटबॉट काय करतो, त्याला कोणाच्या डेटावर प्रशिक्षित केले आहे, आणि त्याला स्वतःहून काय निर्णय घेण्याची परवानगी आहे, याच्या लेखी वर्गीकरणाने होते.

प्रत्येक चॅटबॉटला लागू होणाऱ्या तीन कायदेशीर व्यवस्था

नेदरलँड्समध्ये एआयसाठी कोणताही एकच कायदा नाही. त्याऐवजी, जनरेटिव्ह एआय सर्वसामान्य होण्यापूर्वी लिहिलेल्या नियमांचा एक संच अस्तित्वात आहे, आणि त्यासोबतच एक असा नियम आहे जो खास त्यासाठीच लिहिला गेला होता. नेदरलँड्समधील व्यवसायासाठी याचा व्यावहारिक परिणाम असा आहे की, तुम्ही केवळ एक मजकूर पाहून तुमचा चॅटबॉट कायदेशीर आहे की नाही या प्रश्नाचे उत्तर देऊ शकत नाही. तुम्हाला तीच प्रणाली तीन वेगवेगळ्या चाचण्यांमधून पार पाडावी लागते, आणि एका चाचणीत उत्तीर्ण झाल्याने इतरांबद्दल काहीही कळत नाही.

मॉडेलमध्ये वापरलेल्या आणि त्यातून निर्माण होणाऱ्या सामग्रीवर कॉपीराइट लागू होतो. DSM निर्देशाची अंमलबजावणी करण्यासाठी सुधारित केलेल्या डच 'ऑटर्सवेट'मध्ये (Auteurswet) मजकूर आणि डेटा मायनिंगसाठी एक विशिष्ट अपवाद आहे, आणि हाच अपवाद बहुतेक प्रशिक्षण-डेटा वादांचा मुख्य आधार आहे. चॅटबॉटमध्ये टाइप करणाऱ्या व्यक्तीबद्दल चॅटबॉट जे काही शिकतो, त्या सर्व गोष्टींवर डेटा संरक्षण लागू होते, आणि ज्या क्षणी एखादे संभाषण ओळखण्यायोग्य व्यक्तीपर्यंत पोहोचते, त्या क्षणी GDPR पूर्णपणे लागू होतो. AI कायदा स्वतः प्रणालीवर नियंत्रण ठेवतो: तिचा वापर कशासाठी केला जाऊ शकतो, काय उघड करणे आवश्यक आहे, कोणती कागदपत्रे अस्तित्वात असणे आवश्यक आहे आणि ती बंद करण्याचा अधिकार कोणाला असला पाहिजे.

या तीनही व्यवस्थांचे पर्यवेक्षक, निर्बंध आणि कालमर्यादा वेगवेगळ्या आहेत. हे ऐकायला वाटते त्यापेक्षा अधिक महत्त्वाचे आहे. गोपनीयतेच्या बाबतीत निर्दोष असलेला चॅटबॉटसुद्धा बेकायदेशीर ठरू शकतो, कारण त्याला वैध 'ऑप्ट-आउट'च्या अधीन असलेल्या स्क्रॅप केलेल्या सामग्रीवर प्रशिक्षित केले गेले होते; आणि स्वच्छ डेटा स्रोत असलेला चॅटबॉटसुद्धा एआय कायद्याचे उल्लंघन करू शकतो, जर त्याने वापरकर्त्याला आपण एक यंत्र आहोत हे कधीच सांगितले नाही.

प्रत्येक शासन तुमच्याकडून प्रत्यक्षात काय अपेक्षा करते

थोडक्यात सांगायचे झाल्यास, या तिन्हीपैकी प्रत्येकजण एक वेगळा प्रश्न विचारतो. कॉपीराइट विचारतो की, पुनरुत्पादनाच्या प्रत्येक कृतीसाठी तुमच्याकडे परवानगी होती का, किंवा वैधानिक अपवाद होता का. डेटा संरक्षण विचारते की, GDPR च्या कलम ६ अंतर्गत तुमच्याकडे कायदेशीर आधार आहे का, तुम्ही काय करत आहात हे तुम्ही डेटा धारकाला सांगितले होते का, आणि तुम्हाला आवश्यकतेपेक्षा जास्त माहिती गोळा केली नाही ना. AI कायदा विचारतो की, प्रणाली त्याच्या जोखमीच्या श्रेणीवर कोठे आहे आणि त्या स्तराशी संबंधित जबाबदाऱ्या पूर्ण केल्या गेल्या आहेत आणि त्यांचे दस्तऐवजीकरण केले गेले आहे का.

अंमलबजावणीपूर्वी त्या तीन प्रश्नांची लेखी उत्तरे देणे, हेच एका एआय प्रकल्पाला अनिश्चित जोखमीतून एका व्यवस्थापनीय प्रकल्पात रूपांतरित करते. तसेच, व्यवहारात, नियामक पाहण्यासाठी मागणारा हा पहिला दस्तऐवज असतो.

नेदरलँड्समधील एआय चॅटबॉट्ससमोरील प्रमुख कायदेशीर आव्हाने

चौथ्या ओळीबद्दल एक सावधगिरीचा इशारा देणे आवश्यक आहे, कारण तिचेच वर्णन बहुतेकदा चुकीचे केले जाते. युरोपियन आयोगाने आपला प्रस्तावित 'एआय दायित्व निर्देश' (AI Liability Directive) मागे घेतला आहे, त्यामुळे एआयमुळे होणाऱ्या नुकसानीसाठी कोणतीही सुसंगत युरोपियन दायित्व व्यवस्था दृष्टिपथात नाही. सदोष चॅटबॉट उत्तराविषयीचे दावे सामान्य डच दिवाणी कायद्यानुसार ठरवले जातील: तुमच्या ग्राहकाशी केलेला करार, कलम ६:१६२ बीडब्ल्यू (BW) मधील काळजी घेण्याचे सामान्य कर्तव्य आणि सुधारित उत्पादन दायित्व नियम. एआय-निर्मित सामग्रीमधील त्रुटींसाठीच्या दायित्वावरील आमच्या लेखात, हे प्रत्यक्षात कसे कार्य करते हे आम्ही मांडले आहे.

कॉपीराइट आणि ज्या डेटावर तुमच्या मॉडेलला प्रशिक्षित केले गेले होते

मोठ्या भाषिक मॉडेलला प्रशिक्षित करण्यामध्ये औद्योगिक स्तरावर संरक्षित साहित्यकृतींची नक्कल करणे समाविष्ट असते. डच कायद्यानुसार, ही नक्कल 'ऑटर्सवेट'च्या (Auteurswet) व्याख्येअंतर्गत एक पुनरुत्पादन मानली जाते आणि जोपर्यंत हक्कधारकाने परवानगी दिली नसेल किंवा एखादा वैधानिक अपवाद लागू होत नसेल, तोपर्यंत ते बेकायदेशीर आहे. अमेरिकन 'फेअर यूज' सिद्धांतासारखा कोणताही डच किंवा युरोपीय कायदा नाही, आणि अमेरिकेतील खटल्यांमधून घेतलेले युक्तिवाद डच न्यायालयात लागू होत नाहीत.

महत्त्वाचा अपवाद म्हणजे मजकूर आणि डेटा मायनिंग. 'ऑटर्सवेट'चे कलम १५एन संशोधन संस्था आणि सांस्कृतिक वारसा संस्थांना वैज्ञानिक संशोधनाच्या उद्देशाने, ज्या साहित्यकृतींवर त्यांना कायदेशीर प्रवेश आहे, त्यांचे मायनिंग करण्याची परवानगी देते. कलम १५ओ हे अधिक व्यापक आहे: ते कोणालाही कायदेशीररित्या उपलब्ध असलेल्या साहित्यकृतींवर मजकूर आणि डेटा मायनिंग करण्याची परवानगी देते, परंतु केवळ तेव्हाच जेव्हा हक्कधारकाने तो वापर स्पष्टपणे राखून ठेवलेला नसेल. हे आरक्षण, ज्याला सामान्यतः 'टीडीएम ऑप्ट-आउट' म्हटले जाते, ते योग्य पद्धतीने करणे आवश्यक आहे, आणि ऑनलाइन प्रकाशित साहित्यासाठी ते मशीन-वाचनीय असणे आवश्यक आहे.

व्यावहारिक परिणाम ही दोन-टप्प्यांची चाचणी आहे. प्रशिक्षकाला त्या सामग्रीवर कायदेशीर प्रवेश होता का, आणि हक्कधारकाने त्याचा वापर राखून ठेवला होता का? जर दुसऱ्या प्रश्नाचे उत्तर होय असेल आणि तरीही ती सामग्री मिळवली गेली असेल, तर अपवाद रद्द होतो आणि ते पुनरुत्पादन हक्कांचे उल्लंघन ठरते.

जेथे तैनात करणारा धोका उचलतो

व्यवसाय अनेकदा असे गृहीत धरतात की प्रशिक्षण-डेटाच्या समस्या डेव्हलपरची समस्या आहे. हे केवळ अर्धेच बरोबर आहे. जी संस्था चॅटबॉट तैनात करते आणि त्याने तयार केलेली माहिती प्रकाशित करते, ती स्वतःच पुनरुत्पादन आणि जनतेशी संवाद साधण्याचे कार्य करते, आणि तेही स्वतःच्या नावाने. यात तीन त्रुटी वारंवार आढळतात.

• वैध आधाराशिवाय प्रशिक्षण. हे मॉडेल TDM आरक्षणाने संरक्षित असलेल्या सामग्रीवर, किंवा अशा सामग्रीवर उभारले गेले होते, ज्यावर विकासकाला मुळातच कायदेशीर प्रवेश नव्हता. यातील जोखीम विकासकाची आहे, परंतु उत्पादनाच्या पुढील टप्प्यांवरही दावा केला जाऊ शकतो.
• संरक्षित कामाची पुनरावृत्ती करणारे आउटपुट. जर चॅटबॉटने परत केलेला मजकूर, कोड किंवा प्रतिमा ही एखाद्या संरक्षित कामाची स्पष्टपणे नक्कल असेल, तर ते प्रकाशित करणाऱ्या व्यक्तीकडून होणारे हे एक नवीन उल्लंघन ठरते. शैली संरक्षित नसते; परंतु एखाद्या ठोस कामाचा महत्त्वपूर्ण भाग संरक्षित असतो.
• असे करार ज्यात जोखीम परत येत नाही. अनेक एआय परवाने दायित्व वार्षिक शुल्कापुरते मर्यादित ठेवतात आणि तृतीय-पक्षाच्या बौद्धिक संपदा दाव्यांना पूर्णपणे वगळतात. विपणन साहित्य वाचण्यापूर्वी क्षतिपूर्ती कलम वाचा.

चॅटबॉट जे काही तयार करतो त्याच्या मालकीचा प्रश्न पुन्हा वेगळा आहे. डच कॉपीराइट अशा कलाकृतींना संरक्षण देतो ज्यांचे स्वतःचे, मूळ स्वरूप असते, ज्यावर निर्मात्याची वैयक्तिक छाप असते आणि ज्यासाठी मानवी सर्जनशील निवडींची आवश्यकता असते. केवळ मशीनद्वारे तयार केलेले आउटपुट, जे कोणत्याही अतिरिक्त मानवी सहभागाशिवाय केवळ एका सूचनेनुसार तयार केले जाते, त्याला कॉपीराइट मिळण्याची शक्यता अजिबात नसते. याचा अर्थ असा की, तुम्ही किंवा इतर कोणीही तुमच्या स्पर्धकाला त्याचा पुनर्वापर करण्यापासून रोखू शकत नाही. कॉपीराइट कायद्यानुसार एखादी सामग्री सार्वजनिक केव्हा मानली जाते, यावरील आमचे मार्गदर्शक यामागील मूलभूत तत्त्वे स्पष्ट करते.

वास्तविक निवारण हे तांत्रिक असण्याऐवजी करारात्मक आणि पुराव्यांवर आधारित आहे. विक्रेत्याला लेखी स्वरूपात विचारा की, कोणते डेटासेट वापरले गेले, TDM आरक्षणांचे पालन केले गेले का, आणि तृतीय-पक्षाच्या दाव्यांसाठी कोणती नुकसानभरपाई दिली जाते. मिळालेली उत्तरे जपून ठेवा. जो विक्रेता आपल्या डेटा सोर्सिंगचा उल्लेख करारात करत नाही, तो तुम्हाला त्याच्या स्वतःच्या आत्मविश्वासाविषयी काहीतरी सांगत असतो.

एआय कायदा चॅटबॉटचे वर्गीकरण कसे करतो

हे नियमन प्रणालींना चार स्तरांमध्ये विभागते. अस्वीकार्य स्तरावरील पद्धतींवर सरळ बंदी आहे: कलम ५ नुसार, इतर गोष्टींबरोबरच, वर्तनात लक्षणीय बदल घडवून आणणारी आणि मोठे नुकसान करणारी हेराफेरीची तंत्रे, वय किंवा अपंगत्वाशी संबंधित असुरक्षिततेचा गैरफायदा घेणे, सामाजिक गुणांकन, आणि कामाच्या ठिकाणी व शिक्षण क्षेत्रात भावना ओळखणे यावर बंदी आहे. या बंदी २ फेब्रुवारी २०२५ पासून लागू झाल्या आहेत आणि आम्ही आमच्या ' प्रतिबंधित एआय पद्धती' या लेखात त्यांची स्वतंत्रपणे चर्चा केली आहे.

उच्च-जोखमीचा स्तर हा अत्यंत नियमन केलेला असून त्याला परवानगी कायम आहे. जेव्हा चॅटबॉटचा वापर परिशिष्ट III मध्ये सूचीबद्ध केलेल्या क्षेत्रांपैकी एकामध्ये केला जातो, तेव्हा तो या स्तरावर येतो. या क्षेत्रांमध्ये भरती आणि निवड, पतपुरवठा किंवा लाभ यांसारख्या अत्यावश्यक खाजगी आणि सार्वजनिक सेवा मिळवण्याबाबतचे निर्णय, शिक्षण आणि कायद्याची अंमलबजावणी यांचा समावेश आहे. किंवा जेव्हा तो परिशिष्ट I मधील सुसूत्रीकरण कायद्यांतर्गत समाविष्ट असलेल्या उत्पादनाचा एक सुरक्षा घटक म्हणून कार्य करतो, तेव्हाही त्याचा या स्तरावर समावेश होतो. यानंतर येणारी कर्तव्ये आमच्या ' एआय कायद्यांतर्गत उच्च-जोखमीच्या एआय प्रणालींवरील मार्गदर्शिका' मध्ये नमूद केली आहेत.

बहुतेक ग्राहक-केंद्रित चॅटबॉट्स मर्यादित-जोखमीच्या स्तरावर येतात. यामध्ये अनुरूपता मूल्यांकन, नोंदणी किंवा अधिसूचित संस्था नसते, परंतु पारदर्शकतेचे कर्तव्य असते आणि ते अनिवार्य आहे. किमान-जोखमीच्या स्तरामध्ये इतर सर्व गोष्टींचा समावेश होतो आणि ऐच्छिक नियमावलीपलीकडे कोणतीही विशिष्ट बंधने नसतात.

आधीपासूनच लागू असलेले आणि पुढे ढकलण्यात आलेले नियम.

एआय कायदा १ ऑगस्ट २०२४ रोजी अंमलात आला आणि तो अनेक वर्षांमध्ये टप्प्याटप्प्याने लागू होणार आहे, आणि युरोपियन कमिशनच्या डिजिटल ऑम्निबस पॅकेजद्वारे या टप्प्यांची पद्धत बदलण्यात आली. आज तीन गोष्टी खऱ्या आहेत आणि त्या वारंवार चुकीच्या पद्धतीने सांगितल्या जातात.

पहिले, कलम ५ मधील प्रतिबंध आणि कलम ४ मधील एआय साक्षरतेचे कर्तव्य २ फेब्रुवारी २०२५ पासून लागू झाले आहेत. दुसरे, सर्वसाधारण-उद्देशीय एआय मॉडेल्ससाठीची बंधने, ज्या स्तरावर बहुतेक व्यावसायिक चॅटबॉट्स तयार केलेले आहेत, ती २ ऑगस्ट २०२५ पासून लागू झाली आहेत. तिसरे, कलम ५० मधील पारदर्शकतेची बंधने देखील लागू होतात. सर्वसमावेशक विधेयकाने केवळ उच्च-जोखीम प्रणाली पुढे ढकलली आणि दुसरे काहीही नाही: परिशिष्ट III प्रणालींसाठीचे नियम आता २ डिसेंबर २०२७ पासून, आणि परिशिष्ट I प्रणालींसाठीचे नियम २ ऑगस्ट २०२८ पासून सुरू होतात.

ही स्थगिती केवळ उच्च-जोखमीच्या नियमावलीला लागू होते. जर तुमचा चॅटबॉट प्रतिबंधित असेल, किंवा सर्वसाधारण मॉडेलच्या नियमांत मोडत असेल, किंवा तो एक मशीन आहे हे उघड करणे आवश्यक असेल, तर अंतिम मुदत आधीच निघून गेली आहे.

अंमलबजावणीला जागतिक वार्षिक उलाढालीच्या हिश्श्याच्या स्वरूपात व्यक्त केलेल्या दंडाच्या कमाल मर्यादेचे पाठबळ आहे: सर्वोच्च स्तर, जो प्रतिबंधांच्या उल्लंघनासाठी राखीव आहे, आणि इतर बहुतेक उल्लंघनांसाठी एक खालचा सामान्य स्तर. राष्ट्रीय पर्यवेक्षक त्या कमाल मर्यादेच्या आत प्रत्यक्ष रक्कम निश्चित करतात.

चॅटबॉट अनुप्रयोगांसाठी एआय कायद्याचे जोखीम स्तर

कलम ५० मधील पारदर्शकतेचे कर्तव्य

एआय कायद्याच्या कलम ५० नुसार, एआय प्रणालीशी संवाद साधणाऱ्या व्यक्तीला त्या वस्तुस्थितीची माहिती देणे आवश्यक आहे, जोपर्यंत ती गोष्ट त्या परिस्थितीत वाजवी माहिती असलेल्या वापरकर्त्याला स्पष्ट दिसत नाही. ही माहिती पहिल्या संवादाच्या क्षणी, स्पष्ट आणि वेगळ्या ओळखता येण्याजोग्या स्वरूपात दिली गेली पाहिजे. तीन क्लिकवर उपलब्ध असलेल्या गोपनीयता विवरणातील एक ओळ ही अट पूर्ण करत नाही.

त्याच कलमानुसार, कृत्रिम मजकूर, ऑडिओ, प्रतिमा किंवा व्हिडिओ तयार करणाऱ्या प्रणालींच्या पुरवठादारांना ते आउटपुट मशीन-वाचनीय पद्धतीने चिन्हांकित करणे आवश्यक आहे, आणि सार्वजनिक हिताच्या बाबींवर एआय-निर्मित मजकूर प्रकाशित करणाऱ्या वापरकर्त्यांना, तो कृत्रिमरित्या तयार केला गेला होता हे उघड करणे आवश्यक आहे, मात्र जर त्या मजकुराचे संपादकीय जबाबदारीसह मानवी पुनरावलोकन झाले नसेल तर. स्वतःच्या वेबसाइटवर चॅटबॉट चालवणाऱ्या व्यवसायासाठी व्यावहारिक तपासणी सूची छोटी आहे: संभाषणाच्या सुरुवातीला एक ठळक विधान, मानवापर्यंत पोहोचण्याचा एक स्पष्ट मार्ग, आणि वापरकर्ता एखाद्या विशिष्ट कर्मचाऱ्याशी बोलत आहे असे सूचित करणारी कोणतीही इंटरफेस रचना नसावी.

पारदर्शकतेला डच ग्राहक कायद्याचाही एक पैलू आहे. एआय कायद्याव्यतिरिक्त, एखाद्या मशीनला व्यक्ती म्हणून सादर करणे, किंवा विक्रेत्याला कायदेशीररित्या करता येणार नाहीत असे दावे चॅटबॉटला करू देणे, हे 'बर्गरलिक वेटबुक'च्या (Burgerlijk Wetboek) पुस्तक ६ मधील नियमांनुसार दिशाभूल करणारी व्यावसायिक कृती ठरू शकते.

संभाषणातील वैयक्तिक डेटा: GDPR स्तर

जेव्हा एखादा चॅटबॉट ओळखण्यायोग्य व्यक्तीशी संबंधित डेटावर प्रक्रिया करतो, तेव्हापासून GDPR लागू होतो, आणि संभाषणाचे लॉग जवळजवळ नेहमीच असे असतात. सर्वप्रथम कायदेशीर आधार निश्चित करणे आवश्यक आहे: कलम 6(1)(a) अंतर्गत संमती, कलम 6(1)(b) अंतर्गत कराराची पूर्तता, किंवा कलम 6(1)(f) अंतर्गत वैध हितसंबंध. या प्रत्येक आधाराचे, तुम्ही नंतर त्या प्रतिलिपीसोबत काय करू शकता यावर वेगवेगळे परिणाम होतात.

व्यवहारात तीन मुद्दे बहुतेक अडचणी निर्माण करतात. त्यापैकी एक म्हणजे जतन करणे: कोणीही कालावधी निश्चित न केल्यामुळे प्रतिलिपी (ट्रान्सक्रिप्ट्स) अनेकदा अनिश्चित काळासाठी ठेवल्या जातात, ज्यामुळे कलम ५(१)(इ) मधील साठवणूक मर्यादेच्या तत्त्वाचे उल्लंघन होते. दुसरा मुद्दा म्हणजे दुय्यम वापर: मॉडेलला अधिक अचूक करण्यासाठी थेट संभाषणांचा वापर करणे हा एक नवीन उद्देश आहे, ज्यासाठी स्वतंत्र मूल्यांकन आणि सामान्यतः स्वतंत्र माहिती सूचनेची आवश्यकता असते. तिसरा मुद्दा म्हणजे विशेष श्रेणीतील डेटा. आरोग्यसेवा, विमा किंवा मानव संसाधन (एचआर) क्षेत्रातील चॅटबॉट, तुम्ही तसे डिझाइन केले असो वा नसो, आरोग्य किंवा इतर संवेदनशील डेटा गोळा करेलच, आणि कलम ९ नुसार, एखादा विशिष्ट अपवाद लागू होत नसल्यास त्या प्रक्रियेवर बंदी आहे.

जेव्हा चॅटबॉट तृतीय-पक्ष प्लॅटफॉर्मवर चालतो, तेव्हा तो प्लॅटफॉर्म सामान्यतः एक प्रोसेसर असतो आणि कलम २८ अंतर्गत डेटा प्रक्रिया करार अनिवार्य असतो. भूमिका योग्यरित्या निश्चित करणे ही केवळ एक औपचारिकता नाही; यावरून हे ठरते की डेटा विषयकाच्या विनंतीला कोणी उत्तर दिले पाहिजे आणि उल्लंघनासाठी कोण जबाबदार असेल. GDPR अंतर्गत कंट्रोलर आणि प्रोसेसरच्या भूमिकांमधील फरक आणि डच व्यवसायात AI चा वापर यावरील आमच्या लेखांमध्ये याचे विश्लेषण मांडले आहे.

कलम ३५ अंतर्गत डेटा संरक्षण प्रभाव मूल्यांकन आवश्यक आहे, जिथे प्रक्रियेमुळे उच्च धोका निर्माण होण्याची शक्यता असते, आणि 'ऑटोरिटाइट पर्सून्सगेगेन्स'ने प्रकाशित केलेल्या सूचीवरून हे स्पष्ट होते की व्यक्तींचे मोठ्या प्रमाणावरील स्वयंचलित मूल्यांकन याच श्रेणीत येते. जर तुमचा चॅटबॉट वापरकर्त्यांचे प्रोफाइल तयार करत असेल, तर तुम्हाला त्याची आवश्यकता आहे असे समजा. GDPR चे पालन न केल्यास कलम ८३(५) अंतर्गत जागतिक वार्षिक उलाढालीच्या चार टक्क्यांपर्यंत दंड आकारला जातो, आणि ही कमाल मर्यादा बदललेली नाही.

मानवी दुर्लक्ष आणि अपारदर्शक मॉडेल्समधील समस्या

एखाद्या व्यक्तीने, मूल्यांकन न करता येणाऱ्या शिफारशीवर 'मंजूर करा' असे क्लिक करणे, हे कलम १४ च्या अर्थानुसार दुर्लक्ष नाही आणि त्यामुळे संस्थेचे संरक्षण होणार नाही. पर्यवेक्षकाकडे निर्णय रद्द करण्याचा अधिकार, न्यायनिवाडा करण्याची क्षमता आणि या दोन्हीसाठी आवश्यक असलेली माहिती असणे गरजेचे आहे. व्यवहारात याचा अर्थ असा होतो की, त्या भूमिकेला नाव देणे, त्या भूमिकेतील लोकांना प्रशिक्षण देणे, त्यांना एखाद्या निष्कर्षामागील तर्क समजून घेण्याची संधी देणे आणि त्यांनी हस्तक्षेप कधी केला याची नोंद ठेवणे.

जीडीपीआरमध्ये एक समांतर कर्तव्य आहे जे एआय कायद्याच्या स्तराची पर्वा न करता लागू होते. कलम २२ डेटा धारकाला केवळ स्वयंचलित प्रक्रियेवर आधारित अशा निर्णयाच्या अधीन न राहण्याचा अधिकार देते, ज्यामुळे कायदेशीर परिणाम होतात किंवा त्याचप्रमाणे त्यांच्यावर लक्षणीय परिणाम होतो. जर चॅटबॉटने पूर्णपणे स्वयंचलित आधारावर अर्ज नाकारला, सेवा नाकारली किंवा किंमत निश्चित केली, तर कलम २२ लागू होते आणि संस्थेने मानवी हस्तक्षेप, स्पष्टीकरण आणि आव्हान देण्याचा मार्ग उपलब्ध करून दिला पाहिजे.

स्वयंचलित निर्णयप्रक्रिया आणि अर्थपूर्ण मानवी देखरेख या वेगवेगळ्या साधनांअंतर्गत येणाऱ्या स्वतंत्र चाचण्या आहेत. एआय कायदा मंजूर केल्याने तुम्हाला जीडीपीआरच्या कलम २२ मधून सूट मिळत नाही आणि याउलटही लागू होते.

पक्षपात ही एक अशी त्रुटी आहे जी एका लहानशा चुकीला दायित्वात बदलते. ऐतिहासिक डेटावर प्रशिक्षित केलेले मॉडेल ऐतिहासिक नमुन्यांची पुनरावृत्ती करते, आणि जेव्हा हे नमुने एखाद्या संरक्षित वैशिष्ट्याशी जुळतात, तेव्हा त्यातून घेतलेले निर्णय 'अल्जेमेने वेट गेलिजे बेहांडेलिंग' (Algemene wet gelijke behandeling) कायद्यानुसार अप्रत्यक्ष भेदभाव ठरू शकतात. अंमलबजावणीपूर्वी याची चाचणी करणे आणि त्या चाचणीचे दस्तऐवजीकरण करणे, हाच एकमेव बचाव आहे जो नंतर प्रभावी ठरतो. आम्ही आमच्या 'अल्गोरिदममधील पक्षपातामुळे येणाऱ्या दायित्वा'वरील लेखात याच्या परिणामांवर चर्चा केली आहे.

डच पर्यवेक्षक काय करत आहेत

नेदरलँड्समधील एआय कायद्याच्या पर्यवेक्षणाची रचना अजूनही केली जात आहे. सरकारने एक असे प्रारूप प्रस्तावित केले आहे, ज्यात विद्यमान क्षेत्रीय नियामक आपापल्या कार्यक्षेत्रात एआयवर देखरेख ठेवतील, जिथे कोणताही स्पष्ट पर्यवेक्षक अस्तित्वात नाही ती क्षेत्रे 'ऑटोरिटाइट पर्सून्सगेगेवेन्स' (Autoriteit Persoonsgegevens) सांभाळेल आणि एक समर्पित एआय युनिट चालवेल, आणि 'राइक्सइन्स्पेक्टी डिजिटेल इन्फ्रास्ट्रक्चर' (Rijksinspectie Digitale Infrastructuur) त्याच्यासोबत समन्वयकाची भूमिका बजावेल. अंमलबजावणी कायदा, 'उइटफोरिंग्सवेट एआय-वेरॉर्डेनिंग' (Uitvoeringswet AI-verordening), एप्रिल २०२६ मध्ये सार्वजनिक विचारविनिमयासाठी मांडण्यात आला होता आणि तो अद्याप स्वीकारला गेलेला नाही, त्यामुळे अधिकार आणि दंडांचे औपचारिक निर्धारण अंतिम नाही.

याचा अर्थ असा नाही की अंमलबजावणी होत नाही. GDPR पूर्णपणे लागू आहे आणि ऑटोरिटाइट पर्सून्सगेगेन्सने अनेक वर्षांपासून AI उपयोजनांविरुद्ध त्याचा वापर केला आहे. डच अंमलबजावणी कायदा कधीही आला तरी, AI कायद्याच्या कलम ५ मधील प्रतिबंध हे थेट लागू होणारे कायदे आहेत.

एक प्रात्यक्षिक उदाहरण: मतदानाबाबत सल्ला देणारे चॅटबॉट्स

काय चुकते याचे सर्वात स्पष्ट डच उदाहरण खुद्द 'ऑटोरिटाइट पर्सून्सगेगेवेन्स' (Autoriteit Persoonsgegevens) कडूनच आले. फेब्रुवारी २०२५ च्या त्यांच्या 'एआय आणि अल्गोरिथमिक धोके' अहवालात, या पर्यवेक्षकाने मतदानाचा सल्ला देण्यासाठी वापरल्या जाणाऱ्या जनरेटिव्ह एआय चॅटबॉट्सची चाचणी केली आणि त्यांना निकाल अविश्वसनीय व पक्षपाती आढळले: दिलेल्या उत्तरांची पर्वा न करता, या प्रणालींनी वापरकर्त्यांना काही मोजक्या पक्षांकडे वळवले आणि बाकीच्या पक्षांकडे मोठ्या प्रमाणावर दुर्लक्ष केले. 'एपी'ने (AP) जनतेला निवडणुकीच्या निर्णयांसाठी असे चॅटबॉट्स न वापरण्याचा सल्ला दिला आणि निदर्शनास आणून दिले की निवडणुकांवर प्रभाव टाकण्यासाठी वापरलेला एआय हा 'एआय कायद्या'च्या (AI Act) उच्च-धोक्याच्या श्रेणीत येतो. हे निष्कर्ष 'एआय आणि अल्गोरिथमिक धोके' यावरील 'एपी'च्या अहवालात मांडले आहेत.

हा धडा राजकारणापलीकडेही लागू होतो. सोप्या इंटरफेसमध्ये गुंडाळलेले एक सर्वसाधारण मॉडेल, केवळ त्याच्या चालकाच्या हेतूमुळे तटस्थ बनत नाही. जिथे आउटपुट एखाद्या महत्त्वाच्या निर्णयावर प्रभाव टाकते, तिथे तटस्थतेची चाचणी घेणे आणि त्या चाचणीचे दस्तऐवजीकरण करणे आवश्यक आहे, कारण प्रणाली कार्यान्वित केल्यानंतर, ती सांगितल्याप्रमाणे काम करत होती हे सिद्ध करण्याची जबाबदारी ती कार्यान्वित करणाऱ्या संस्थेवर असते.

टिकून राहणारी एआय प्रशासकीय चौकट तयार करणे

प्रशासकीय चौकट तेव्हाच उपयुक्त ठरते, जेव्हा ती पुरावे सादर करते. काही चूक झाल्यावर नियामक, प्रतिपक्षी आणि न्यायालये हे सर्व एकच प्रश्न विचारतात: तुम्हाला काय माहीत होते, तुम्ही त्याचे मूल्यांकन केव्हा केले आणि तुम्ही काय लिहून ठेवले? चार घटक बहुतांश काम करतात.

• वर्गीकरणाचा आढावा घेण्यात आला. एआय कायद्यांतर्गत प्रत्येक एआय प्रणाली कोणत्या स्तरावर येते आणि का, याची नोंद ठेवा. जेव्हा जेव्हा वापराचे स्वरूप (use case) बदलेल, तेव्हा मूल्यांकनाची पुनरावृत्ती करा; उदाहरणार्थ, अर्जदारांची छाननी सुरू करणारा एखादा ग्राहक सेवा बॉट रातोरात स्तर बदलून दुसऱ्या स्तरावर गेला असेल.
• डेटा प्रशासन. प्रशिक्षण आणि पुनर्प्राप्ती डेटाचा स्रोत, त्यामागील परवाने आणि TDM आरक्षणे कशी तपासली गेली, याची नोंद करा. वैयक्तिक डेटाच्या बाबतीत, कायदेशीर आधार, धारणा कालावधी आणि प्रक्रिया करारांची नोंद करा.
• दस्तऐवजीकरण आणि लॉगिंग. मॉडेल आवृत्ती, सिस्टम प्रॉम्प्ट, चाचणी निकाल आणि संभाषण लॉग्स, GDPR चे पालन करणाऱ्या धारणा कालावधीसह जतन करून ठेवा. लॉग्सशिवाय, महत्त्वाच्या दिवशी सिस्टमने काय म्हटले होते हे तुम्ही पुन्हा तयार करू शकत नाही.
• देखरेख प्रोटोकॉल. जबाबदार व्यक्तींची नावे नमूद करा, त्यांनी केव्हा हस्तक्षेप केला पाहिजे हे निश्चित करा आणि त्यांना यंत्रणा थांबवण्याचा अधिकार द्या. केलेल्या हस्तक्षेपांची नोंद ठेवा.

बाकी सर्व गोष्टी करारांमध्येच असतात. तुमच्या एआय पुरवठादारासोबतच्या करारामध्ये डेटा सोर्सिंग, बौद्धिक संपदा नुकसानभरपाई, पुरवठादार आणि तैनातकर्ता यांच्यातील एआय कायद्यातील भूमिकांचे वाटप, सुरक्षा, ऑडिट अधिकार आणि बाहेर पडण्याच्या अटी यांचा समावेश असावा. हे सर्वसाधारण व्यावसायिक वाटाघाटीचे मुद्दे आहेत आणि एखादी घटना घडल्यानंतर जिंकण्यापेक्षा स्वाक्षरी करण्यापूर्वी ते जिंकणे खूप सोपे असते. आमच्या आयटी कायद्याच्या मार्गदर्शिकांमध्ये याच्याशी संबंधित कराराच्या क्षेत्राचा आढावा घेतला जातो.

चॅटबॉट्स, कॉपीराइट आणि अनुपालन ही काही एकदाच करायची बाब नाही. उच्च-जोखीम व्यवस्था २०२८ पर्यंत टप्प्याटप्प्याने लागू होईल, 'उइटव्होअरिंग्सवेट' (Uitvoeringswet) राष्ट्रीय प्रक्रिया आणि दंडांची भर घालेल, आणि एआयच्या आउटपुटवरील न्यायनिर्णयांची प्रक्रिया तर नुकतीच सुरू झाली आहे. दरवर्षी पुनरावलोकन होणारी आणि कायद्यात बदल झाल्यावर अद्ययावत होणारी चौकट, हीच एका समर्थनीय भूमिकेला आणि तात्पुरत्या भूमिकेला वेगळे ठरवते.

तुम्ही पुरवठादार आहात की तैनात करणारे?

एआय कायदा त्याच्या जवळपास सर्व जबाबदाऱ्या भूमिकेनुसार विभागतो, आणि चॅटबॉट खरेदी करणाऱ्या व्यवसायासाठी महत्त्वाच्या असलेल्या दोन भूमिका म्हणजे प्रदाता (प्रोवाइडर) आणि तैनातकर्ता (डिप्लॉयर). प्रदाता एक एआय प्रणाली विकसित करतो आणि ती स्वतःच्या नावाने बाजारात आणतो किंवा सेवेत दाखल करतो; तर तैनातकर्ता स्वतःच्या अधिकाराखाली तिचा वापर करतो. तयार चॅटबॉट विकत घेतल्याने तुम्ही तैनातकर्ता बनता, आणि ही जबाबदारी तुलनेने खूपच सोपी असते.

यात धोका असा आहे की, तैनात करणारा नकळतपणे प्रदाता बनू शकतो. नियमावलीच्या कलम २५ नुसार, जर तैनात करणारा एखाद्या उच्च-जोखमीच्या प्रणालीवर स्वतःचे नाव किंवा ट्रेडमार्क लावतो, त्यात मोठे बदल करतो, किंवा तिचा मूळ उद्देश अशा प्रकारे बदलतो की ज्यामुळे ती प्रणाली उच्च-जोखमीची बनते, तर तो त्या प्रणालीसाठी प्रदात्याच्या जबाबदाऱ्या स्वीकारतो. एखाद्या तृतीय-पक्षाच्या चॅटबॉटला स्वतःच्या ब्रँडखाली व्हाईट-लेबल करणे, किंवा नोकरीच्या अर्जांची छाननी करण्यासाठी सामान्य ग्राहक सेवा बॉटचा पुनर्वापर करणे, हे बदल घडवण्यासाठी पुरेसे आहे.

त्या पुनर्वितरणाचे वास्तविक परिणाम होतात. पुरवठादारावर अनुरूपता मूल्यांकन, तांत्रिक दस्तऐवजीकरण, गुणवत्ता व्यवस्थापन प्रणाली, ईयू डेटाबेसमध्ये नोंदणी आणि बाजारोत्तर देखरेख यांची जबाबदारी असते. करारातील एखाद्या कलमाद्वारे यापैकी कशाचीही जबाबदारी टाळता येत नाही, कारण ही कर्तव्ये पर्यवेक्षकाप्रती असलेली सार्वजनिक कायद्यानुसारची कर्तव्ये आहेत, प्रतिपक्षाप्रती असलेली खाजगी कर्तव्ये नाहीत. करार हा कराराच्या उल्लंघनाचा खर्च दुसऱ्यावर टाकू शकतो; पण तो कर्तव्य दुसऱ्यावर टाकू शकत नाही.

उच्च-जोखीम प्रणाली स्थापित करणाऱ्यांची स्वतःची एक यादी असते: सूचनांनुसार प्रणालीचा वापर करणे, सक्षम मानवी देखरेखेची नेमणूक करणे, प्रविष्ट केलेला डेटा सुसंगत असल्याची खात्री करणे, कार्यावर देखरेख ठेवणे, नोंदी ठेवणे, आणि कामाच्या ठिकाणी उच्च-जोखीम प्रणाली वापरण्यापूर्वी कामगार आणि त्यांच्या प्रतिनिधींना माहिती देणे. शेवटच्या मुद्द्याकडे सहज दुर्लक्ष होऊ शकते आणि नेमकी हीच एक चूक कामगार परिषद नक्कीच उपस्थित करेल.

गोपनीयता, व्यापार गुपिते आणि व्यावसायिक कर्तव्ये

तिन्ही नियामक प्रणालींच्या पलीकडचा आणि त्या सर्वांपेक्षा अधिक ठोस नुकसान करणारा एक धोका म्हणजे, कर्मचाऱ्यांनी सार्वजनिक चॅटबॉटमध्ये गोपनीय माहिती भरणे. ग्राहक एआय सेवेमध्ये प्रविष्ट केलेला ग्राहक डेटा, कराराचे मसुदे, सोर्स कोड आणि अप्रकाशित आर्थिक आकडेवारी संस्थेच्या नियंत्रणाबाहेर जाते आणि सेवेच्या अटींनुसार, ती माहिती राखून ठेवली जाऊ शकते किंवा पुढील प्रशिक्षणासाठी वापरली जाऊ शकते.

डच कायद्यानुसार, यामुळे व्यावसायिक करारातील गोपनीयतेच्या कलमाचे उल्लंघन होऊ शकते, 'वेट बेशरमिंग बेड्रिज्स्गेहेमेन' (Wet bescherming bedrijfsgeheimen) अंतर्गत व्यापार रहस्य म्हणून माहिती संरक्षित ठेवणाऱ्या वाजवी उपाययोजनांची आवश्यकता नष्ट होऊ शकते आणि नियंत्रित व्यवसायांमध्ये गोपनीयतेच्या वैधानिक कर्तव्याचे उल्लंघन होऊ शकते. तसेच, GDPR च्या कलम ३३ नुसार, हे वैयक्तिक माहितीचे उल्लंघन असू शकते, ज्याची माहिती मिळाल्यापासून बहात्तर तासांच्या आत 'ऑटोरिटाइट पर्सून्सगेगेवेन्स' (Autoriteit Persoonsgegevens) ला सूचित करणे आवश्यक आहे.

यावरचा उपाय साधा पण प्रभावी आहे: एक लिखित एआय वापर धोरण, ज्यात कोणती साधने मंजूर आहेत हे नमूद केलेले असते, मंजूर नसलेल्या साधनात काय कधीही टाकता येणार नाही हे स्पष्टपणे सांगितलेले असते, आणि ते रोजगार संबंधातच अंतर्भूत केलेले असते, जेणेकरून त्याचे उल्लंघन झाल्यास त्याचे परिणाम भोगावे लागतील. याला अशा एंटरप्राइझ व्यवस्थेसोबत जोडा, जी तुमच्या इनपुटवर प्रशिक्षण देण्यास करारानुसार वगळते, आणि त्यामुळे धोका मोठ्या प्रमाणात नाहीसा होतो.

लॉन्च करण्यापूर्वी काय करावे

चॅटबॉटवरील अनुपालनाचे काम क्रमवार असते आणि ते योग्य क्रमाने केल्याने बहुतांश खर्च वाचतो. एआय कायद्यांतर्गत प्रणालीचे वर्गीकरण करा आणि त्यामागील कारणांसह ते वर्गीकरण लिहून काढा. ती प्रणाली ज्या वैयक्तिक डेटावर प्रक्रिया करेल त्याचे मॅपिंग करा, त्याचा कायदेशीर आधार आणि तो किती काळ जपून ठेवायचा हे निश्चित करा, आणि जर प्रक्रियेसाठी गरज असेल तर डेटा संरक्षण प्रभाव मूल्यांकन करा. प्लॅटफॉर्मसोबत कलम २८ अंतर्गत प्रक्रिया करार लागू करा.

मग मॉडेलमागील डेटा तपासा: पुरवठादाराला विचारा की त्याला कशावर प्रशिक्षित केले होते, TDM आरक्षणांचे पालन केले गेले का, आणि कोणती नुकसानभरपाई देऊ केली आहे, आणि त्यांची उत्तरे नोंदवा. पारदर्शकतेची माहिती फुटरमध्ये देण्याऐवजी थेट इंटरफेसमध्येच समाविष्ट करा. देखरेखीसाठी जबाबदार असलेल्या व्यक्तीचे नाव द्या आणि त्यांनी केव्हा हस्तक्षेप करावा हे निश्चित करा. शेवटी, ज्या प्रकरणांची तुम्हाला सर्वाधिक भीती वाटते, त्यांच्या आधारे सिस्टीमची चाचणी घ्या, निकाल जपून ठेवा आणि संपूर्ण फाईलचे पुनरावलोकन करण्यासाठी एक तारीख निश्चित करा.

हे करणाऱ्या संस्थांना असे आढळून येते की ही प्रक्रिया मर्यादित आहे. एआय कायद्यातील अनिश्चितता खरी आहे, परंतु ती काही मोजक्या प्रश्नांपुरतीच मर्यादित आहे, विशेषतः प्रशिक्षण डेटा आणि आउटपुटच्या दायित्वाविषयी; आणि बाकीचे काम हे सामान्य अनुपालनाचे आहे, जे पूर्ण करून दाखल केले जाऊ शकते.

सतत विचारले जाणारे प्रश्न

चॅटबॉट तैनात करण्याबद्दलच्या जवळपास प्रत्येक पहिल्या संभाषणात खालील प्रश्न उपस्थित होतात. त्यांची उत्तरे येथे तत्त्वतः दिली आहेत; एखाद्या विशिष्ट प्रणालीचे विश्लेषण नेहमी ती काय करते आणि कोणासाठी करते यावर अवलंबून असते.

Law & More आम्ही नेदरलँड्समधील व्यवसायांना एआय (AI) उपयोजनाच्या कायदेशीर बाबींवर सल्ला देतो: एआय कायद्यांतर्गत वर्गीकरण, कॉपीराइट आणि डेटा सोर्सिंग, जीडीपीआर (GDPR) अनुपालन आणि डेटा प्रक्रिया करार, प्रशासकीय दस्तऐवज, आणि एआय पुरवठादारांसोबत करारांची वाटाघाटी. जर तुम्ही चॅटबॉट सुरू करण्याची तयारी करत असाल, किंवा आधीपासून लागू असलेल्या नियमांनुसार तुमच्या विद्यमान चॅटबॉटचे मूल्यांकन करून घेऊ इच्छित असाल, तर आम्हाला तुमच्यासोबत ते तपासायला आवडेल. तुमच्या परिस्थितीवर चर्चा करण्यासाठी कृपया आमच्याशी संपर्क साधा.