इंटरनल ऑडिट की डेडलाइन में दो हफ़्ते बचे हैं, और आप एक बिज़नेस लाइन के लिए जनरल डेटा प्रोटेक्शन रेगुलेशन (GDPR) की तैयारी से जुड़ी जानकारी तैयार करने वाले डेटा प्रोटेक्शन ऑफिसर (DPO) हैं। बिज़नेस के पास प्रोसेसिंग गतिविधियों का आर्टिकल 30 रिकॉर्ड ड्राफ़्ट, पॉलिसीज़ का एक फ़ोल्डर, और डेटा सब्जेक्ट के अनुरोधों के लिए टिकटिंग एक्सपोर्ट मौजूद है। आप इन चीज़ों को एक इंटरनल टूल के ज़रिए प्रोसेस करते हैं और एक AI गैप लिस्ट पाते हैं जिसमें प्रोसेसिंग के छूटे हुए मकसद, अधूरी रिसीपिएंट कैटेगरी और स्पष्ट न होने वाली रिटेंशन अवधि जैसी कमियाँ बताई गई हैं। यह आउटपुट इसलिए काम का है क्योंकि यह डॉक्यूमेंट खोजने के काम को एक तय दायरे वाली वैलिडेशन क्यू (validation queue) में बदल देता है, जिसे आप असाइन और ट्रैक कर सकते हैं।
AI गैप लिस्ट का अंश (पहला राउंड, अभी तक वैलिडेट नहीं किया गया)
- आर्टिकल 30 रिकॉर्ड में कई प्रोसेसिंग गतिविधियों के लिए कानूनी आधार नहीं बताया गया है
- रिटेंशन की अवधि नहीं बताई गई है या सिस्टम के बीच अलग-अलग है
- वेंडर डिस्क्लोज़र के लिए रिसीपिएंट कैटेगरी अधूरी हैं
- एक प्रोसेसर के लिए डेटा प्रोसेसिंग एग्रीमेंट (DPA) का लिंक गायब है
- दो प्रोसेसिंग गतिविधियों के लिए कोई ओनर नहीं बताया गया है
प्रोफेशनल स्टैंडर्ड जिनके तहत आप काम करते हैं
- योग्यता का कर्तव्य (Duty of competence): आपको यह अच्छी तरह समझना होगा कि AI आउटपुट क्या कर रहा है ताकि आप उसका मूल्यांकन कर सकें, और बिज़नेस या ऑडिटर्स को बताई गई अंतिम कंप्लायंस स्थिति के लिए आप ही ज़िम्मेदार हैं।
- गोपनीयता का कर्तव्य (Duty of confidentiality): आपको पर्सनल डेटा और गोपनीय बिज़नेस डेटा को सुरक्षित रखना होगा, और टूल चुनने या डेटा संभालने में गलती से डेटा एक्सपोज़ हो सकता है या रिपोर्टिंग की ज़रूरत पड़ सकती है।
- निगरानी का कर्तव्य (Duty to supervise): आपको सौंपे गए काम की निगरानी करनी होगी, जिसमें वेंडर टूल और AI आउटपुट का इस्तेमाल करने वाले जूनियर रिव्यूअर का काम भी शामिल है, और गलतियों की ज़िम्मेदारी उस प्रोग्राम पर ही आती है जिसने उन पर भरोसा किया था।
तैयारी के उस पल में व्यावहारिक सवाल यह नहीं है कि AI का इस्तेमाल किया जाए या नहीं। सवाल यह है कि AI आउटपुट कहाँ फ़ैसले लेने में मदद करते हैं, कहाँ वे सबूत के तौर पर मदद करते हैं, और कहाँ उन पर बिना कंट्रोल वाले वैलिडेशन स्टेप के भरोसा करना असुरक्षित है। इस कोर्स में, हम AI गैप लिस्ट को एक ऐसे टूल (triage artifact) के तौर पर देखते हैं जो आपके मौजूदा काम को तेज़ करता है, और फिर रिपोर्ट करने लायक दावा बनने से पहले हम उसके चारों ओर एक मज़बूत वैलिडेशन लेयर लगाते हैं। आइए एक छोटी AI गैप लिस्ट देखें और पहचानें कि आगे बढ़ने से पहले किन चीज़ों को वैलिडेट करना ज़रूरी है।
कंप्लायंस ऑपरेशन्स के काम करने के तरीके में, आप ज़रूरतों, कंट्रोल, सबूतों और अपवादों के बीच काम करते हैं। AI वहाँ काम आता है जहाँ बहुत ज़्यादा डेटा का वर्गीकरण (क्लासिफिकेशन), शुरुआती मैपिंग या सारांश बनाने का काम हो, जिससे आपको यह तय करने में मदद मिले कि आगे क्या चेक करना है। इसका मुख्य पैटर्न GDPR, UK GDPR, कैलिफ़ोर्निया कंज्यूमर प्राइवेसी एक्ट और कैलिफ़ोर्निया प्राइवेसी राइट्स एक्ट (CCPA/CPRA), हेल्थ इंश्योरेंस पोर्टेबिलिटी एंड अकाउंटेबिलिटी एक्ट (HIPAA), और फॉरेन करप्ट प्रैक्टिसेस एक्ट (FCPA) जैसे नियमों में एक जैसा रहता है। AI एक ड्राफ्ट मैपिंग या रिस्क फ़्लैग बनाता है, फिर कंप्लायंस ओनर यह कन्फर्म करता है कि क्या यह उस नियम के तहत असल में ज़रूरी है और क्या मौजूदा सबूत इसे पूरा करते हैं।
इनमें से हर आउटपुट की विश्वसनीयता की एक खास सीमा होती है। उदाहरण के लिए, AI पॉलिसी-टू-रिक्वायरमेंट मैप आपको यह पता लगाने में मदद कर सकता है कि पॉलिसी में कहाँ जानकारी नहीं है, लेकिन यह कंप्लायंस को सर्टिफ़ाई नहीं कर सकता। AI मॉनिटरिंग ट्राइएज शोर (बेकार के अलर्ट) को कम कर सकता है, लेकिन यह अहमियत (मटेरियलिटी) तय नहीं कर सकता। AI कंट्रोल नैरेटिव ड्राफ्ट डॉक्यूमेंटेशन को तेज़ कर सकता है, लेकिन यह प्रोसेस ओनर की पुष्टि की जगह नहीं ले सकता। आगे, हम छोटी टीम और एंटरप्राइज़ प्रोग्राम में इन ट्रेड-ऑफ़ (फ़ायदे-नुकसान के संतुलन) की तुलना करेंगे।