انٹرنل آڈٹ کی ڈیڈ لائن میں دو ہفتے باقی ہیں، اور آپ بطور ڈیٹا پروٹیکشن آفیسر (DPO) کاروبار کے ایک شعبے کے لیے ‘جنرل ڈیٹا پروٹیکشن ریگولیشن’ (GDPR) کی تیاری کی رپورٹ (readiness readout) کی خاطر شواہد اکٹھے کر رہے ہیں۔ کاروبار کے پاس پروسیسنگ کی سرگرمیوں کا ‘آرٹیکل 30’ ریکارڈ (مسودے کی شکل میں)، پالیسیوں کا ایک فولڈر، اور ڈیٹا کے متعلقہ افراد (data subjects) کی درخواستوں کا ٹکٹنگ ڈیٹا موجود ہے۔ آپ ان دستاویزات کو ایک اندرونی ٹول کے ذریعے گزارتے ہیں اور AI کی جانب سے ‘خامیوں کی فہرست’ (gap list) حاصل کرتے ہیں جو پروسیسنگ کے مقاصد کے فقدان، وصول کنندگان کی نامکمل کیٹیگریز، اور ڈیٹا کو محفوظ رکھنے کی غیر واضح مدت (retention periods) کی نشاندہی کرتی ہے۔ یہ آؤٹ پٹ اس لیے مفید ہے کیونکہ یہ دستاویزات کی تلاش کے عمل کو ایک منظم ‘تصدیقی سلسلے’ (validation queue) میں بدل دیتا ہے جسے آپ تفویض اور ٹریک کر سکتے ہیں۔
AI کی جانب سے نشاندہی کردہ خامیوں کی فہرست کا اقتباس (ابتدائی جائزہ، ابھی تصدیق شدہ نہیں)
- آرٹیکل 30 کے ریکارڈ میں پروسیسنگ کی کئی سرگرمیوں کے لیے قانونی بنیاد (lawful basis) کا فقدان
- ڈیٹا محفوظ رکھنے کی مدت (retention periods) کا ذکر نہ ہونا یا مختلف سسٹمز میں تضاد
- وینڈر کو معلومات کی فراہمی (disclosures) کے لیے وصول کنندگان کی کیٹیگریز کا نامکمل ہونا
- ایک پروسیسر کے لیے ‘ڈیٹا پروسیسنگ ایگریمنٹ’ (DPA) کے لنک کا غائب ہونا
- پروسیسنگ کی دو سرگرمیوں کے لیے کسی ذمہ دار (مالک) کا تعین نہ ہونا
وہ پیشہ ورانہ معیارات جن کے تحت آپ کام کرتے ہیں
- اہلیت کی ذمہ داری (Duty of competence): آپ کو AI کے آؤٹ پٹ کو اتنی اچھی طرح سمجھنا ہوگا کہ اس کا جائزہ لے سکیں، اور کاروبار یا آڈیٹرز کے سامنے پیش کی جانے والی حتمی تعمیلی پوزیشن (compliance position) کے لیے آپ ہی ذمہ دار ہیں۔
- رازداری کی ذمہ داری (Duty of confidentiality): آپ کو ذاتی ڈیٹا اور کاروباری رازوں کو محفوظ رکھنا ہوگا؛ ٹول کا غلط انتخاب یا ڈیٹا ہینڈلنگ کی غلطی ڈیٹا کے افشا (exposure) کا باعث بن سکتی ہے یا رپورٹنگ کی ذمہ داریوں کو متحرک کر سکتی ہے۔
- نگرانی کی ذمہ داری (Duty to supervise): آپ کو تفویض کردہ کام کی نگرانی کرنی ہوگی، بشمول وینڈر ٹولز اور AI آؤٹ پٹ استعمال کرنے والے جونیئر جائزہ لینے والوں کے کام کی؛ اور غلطیوں کی ذمہ داری بہرحال اسی پروگرام پر عائد ہوتی ہے جس نے ان پر انحصار کیا تھا۔
تیاری کے اس مرحلے پر عملی سوال یہ نہیں ہے کہ آیا AI استعمال کیا جائے یا نہیں۔ بلکہ سوال یہ ہے کہ AI کا آؤٹ پٹ کہاں فیصلہ سازی میں معاون ہے، کہاں شواہد کی فراہمی میں مددگار ہے، اور کہاں اس پر کنٹرولڈ تصدیقی عمل کے بغیر انحصار کرنا غیر محفوظ ہے۔ اس کورس میں، ہم AI کی جانب سے نشاندہی کردہ خامیوں کی فہرست کو ایک ایسے ابتدائی جائزے (triage) کے آلے کے طور پر دیکھتے ہیں جو آپ کے موجودہ کام کو تیز کرتا ہے، اور پھر اسے رپورٹ کے قابل دعویٰ بننے سے پہلے ایک قابلِ دفاع تصدیقی مرحلے سے گزارتے ہیں۔ آئیے AI کی جانب سے نشاندہی کردہ خامیوں کی ایک مختصر فہرست کا جائزہ لیں اور ان نکات کی نشاندہی کریں جن کی تصدیق ہونا ضروری ہے۔
تعمیلی امور کے فعال ورک فلو میں، آپ تقاضوں (requirements)، کنٹرولز، شواہد اور استثنیٰ (exceptions) کے درمیان کام کرتے ہیں۔ AI وہاں کارآمد ثابت ہوتا ہے جہاں کام کی نوعیت بڑے پیمانے پر درجہ بندی، ابتدائی سطح کی میپنگ (first-pass mapping)، یا خلاصہ سازی کی ہو، جس سے آپ کو یہ فیصلہ کرنے میں مدد ملتی ہے کہ آگے کیا جانچنا ہے۔ اس کا بنیادی طریقہ کار مختلف ضوابط جیسے کہ GDPR، UK GDPR، CCPA/CPRA، HIPAA، اور FCPA میں یکساں رہتا ہے۔ AI ایک ابتدائی میپنگ یا رسک فلیگ (خطرے کی نشاندہی) تیار کرتا ہے، اور پھر تعمیلی امور کا ذمہ دار (compliance owner) اس بات کی تصدیق کرتا ہے کہ آیا یہ متعلقہ ضابطے کے تحت کوئی حقیقی ذمہ داری ہے اور آیا موجودہ شواہد اس کی تعمیل کو ثابت کرتے ہیں۔
ان میں سے ہر نتیجے (output) کی قابلِ اعتماد ہونے کی ایک مخصوص حد ہے۔ مثال کے طور پر، AI کا پالیسی-تا-تقاضا میپ آپ کو یہ بتانے میں مدد کر سکتا ہے کہ پالیسی کہاں خاموش ہے، لیکن یہ تعمیل کی تصدیق نہیں کر سکتا۔ AI مانیٹرنگ ٹریاج غیر ضروری معلومات (noise) کو کم کر سکتا ہے، لیکن یہ ‘اہمیت’ (materiality) کا فیصلہ نہیں کر سکتا۔ AI کنٹرول نیریٹو ڈرافٹ دستاویز سازی کو تیز کر سکتا ہے، لیکن یہ پروسیس کے ذمہ دار کی تصدیق کا متبادل نہیں بن سکتا۔ آگے، ہم اس بات کا موازنہ کریں گے کہ چھوٹی ٹیم اور انٹرپرائز سطح کے پروگرام میں ان عوامل کا توازن کیسے مختلف ہوتا ہے۔