Whalesbook
AI डेटा लीक्स: भारतीय कंपनियों के लिए बढ़ता 'अंधा धब्बा'
भारतीय उद्यम 2026 तक सूचना सुरक्षा (information security) में $3.4 अरब खर्च करने की तैयारी में हैं, जो AI से जुड़े खतरों और नियमों के कारण 11.7% की बढ़ोतरी का संकेत है। लेकिन, जहाँ यह खर्च फायरवॉल और घुसपैठ डिटेक्शन जैसे बाहरी सुरक्षा उपायों पर हो रहा है, वहीं एक बड़ा अंदरूनी खतरा अनछुआ रह गया है। कर्मचारी अनजाने में ही संवेदनशील डेटा और अपनी कंपनियों की बौद्धिक संपदा (intellectual property) को पब्लिक AI टूल्स में डालकर लीक कर रहे हैं। यह 'शैडो डेटा ट्रांसफर' पारंपरिक सुरक्षा घेरों को चकमा दे रहा है और कंपनियों को सीधे तौर पर डिजिटल पर्सनल डेटा प्रोटेक्शन एक्ट, 2023 (DPDPA) के तहत कानूनी कार्रवाई के दायरे में ला रहा है। रैंसमवेयर हमलों के विपरीत, यह अंदरूनी रिसाव अक्सर अदृश्य होता है, लेकिन इसके नियामक और IP से जुड़े परिणाम गंभीर हो सकते हैं।
DPDPA के जुर्माने और IP का नुकसान मंडरा रहा है
डिजिटल पर्सनल डेटा प्रोटेक्शन एक्ट, 2023 (DPDPA) के तहत, कंपनियों को पर्सनल डेटा के उल्लंघनों को रोकने के लिए उचित सुरक्षा उपाय लागू करने होंगे। ऐसा न करने पर ₹250 करोड़ तक का जुर्माना लग सकता है। इसके अलावा, किसी भी उल्लंघन की सूचना डेटा प्रोटेक्शन बोर्ड ऑफ इंडिया और प्रभावित व्यक्तियों को तुरंत देनी होगी, जिसकी गैर-अनुपालन (non-compliance) पर ₹200 करोड़ तक के जुर्माने का प्रावधान है। जब कर्मचारी संवेदनशील जानकारी पब्लिक AI टूल्स में पेस्ट करते हैं, तो यह डेटा कंपनी के नियंत्रण से बाहर चला जाता है, जो सीधे तौर पर इन प्रावधानों का उल्लंघन है। सिर्फ जुर्माने ही नहीं, प्रॉपरिटरी एल्गोरिदम और व्यापार रहस्य (trade secrets) जैसी बौद्धिक संपदा भी स्थायी रूप से खतरे में पड़ सकती है और प्रतिस्पर्धियों के लिए उपलब्ध हो सकती है। प्रोफेशनल सर्विस फर्मों के लिए यह और भी बड़ा खतरा है, क्योंकि वे ऐसे खुलासों से क्लाइंट की गोपनीयता समझौतों का उल्लंघन कर सकती हैं।
पारंपरिक सुरक्षा उपाय AI लीक्स के सामने क्यों फेल हो जाते हैं?
भारत एंटरप्राइज AI ट्रैफिक का एक बड़ा हब है, जहाँ AI/ML ट्रांजैक्शन में 309.9% की जबरदस्त सालाना वृद्धि देखी जा रही है। रिपोर्ट्स बताती हैं कि ChatGPT जैसे पब्लिक टूल्स पहले ही लाखों डेटा लॉस प्रिवेंशन (DLP) उल्लंघनों का कारण बन चुके हैं, और कोडिंग असिस्टेंट भी डेटा लीक की घटनाओं में शामिल हो रहे हैं। ईमेल और USB ड्राइव के लिए बनाए गए पारंपरिक DLP टूल्स, वेब ब्राउज़र के ज़रिए एक्सेस किए जाने वाले एडवांस्ड AI चैटबॉट्स और LLMs की निगरानी करने में सक्षम नहीं हैं। भले ही 79% यूज़र्स एंटरप्राइज-अप्रूव्ड AI टूल्स को प्राथमिकता देते हैं, लेकिन 15% अभी भी पर्सनल और वर्क अकाउंट के बीच स्विच करते हैं, जो लीकेज के रास्ते खोलता है। स्टार्ट-अप्स और छोटे से मध्यम आकार के बिज़नेस (SMEs), जो अक्सर तेजी से प्रोडक्टिविटी बढ़ाना चाहते हैं, इस खतरे के प्रति विशेष रूप से संवेदनशील हैं।
छिपा हुआ ख़तरा: AI मॉडल में एम्बेडेड डेटा
सबसे चिंताजनक बात यह है कि कर्मचारी AI का यह इस्तेमाल काफी हद तक अदृश्य रूप से होता है। पब्लिक AI मॉडल में अपलोड किया गया डेटा लगभग अप्राप्य (unrecoverable) होता है, और यह प्रोवाइडर के एल्गोरिदम में समा जाता है, जिसका इस्तेमाल अक्सर ट्रेनिंग के लिए होता है। यह बौद्धिक संपदा के लिए एक गंभीर खतरा पैदा करता है। 2021 में एयर इंडिया या 2022 में भारतपे जैसे पिछले डेटा उल्लंघनों के विपरीत, यह डेटा स्वेच्छा से, हालांकि अनजाने में, साझा किया जाता है और थर्ड-पार्टी सिस्टम में एकीकृत हो जाता है। DPDPA के पेनल्टी स्ट्रक्चर के तहत, सुरक्षा विफलताओं के लिए ₹250 करोड़ और नोटिफिकेशन की चूक के लिए ₹200 करोड़ तक का जुर्माना लगाया जा सकता है, जो प्रति लीकेज इंस्टेंस लागू हो सकता है, जिससे देनदारियां असीमित हो जाती हैं। यह साबित करना बेहद मुश्किल है कि 'उचित सुरक्षा उपाय' मौजूद थे, खासकर जब खतरा किसी परिष्कृत हमले के बजाय नियमित कर्मचारी गतिविधि से आता है। स्पष्ट AI मॉडल उपयोग की सूची (inventory) की कमी के कारण कई संगठन अपने जोखिम की सीमा को भी नहीं जानते होंगे।
AI डेटा लीक्स से बचाव के उपाय
इस भेद्यता (vulnerability) को दूर करने के लिए तकनीकी नियंत्रण और सांस्कृतिक परिवर्तन के मिले-जुले दृष्टिकोण की आवश्यकता है। AI खुद सख्त डेटा हैंडलिंग के साथ एंटरप्राइज-ग्रेड प्लेटफॉर्म, संवेदनशील डेटा को ब्लॉक करने वाले ब्राउज़र एक्सटेंशन और AI ट्रैफिक की नेटवर्क मॉनिटरिंग के माध्यम से दुरुपयोग से निपटने का एक टूल बन रहा है। कर्मचारियों को विशिष्ट जोखिमों के बारे में शिक्षित करना, अनुमोदित AI विकल्प प्रदान करना और नई स्थितियों के लिए स्पष्ट प्रक्रियाएं स्थापित करना समान रूप से महत्वपूर्ण है। संगठनों को आंतरिक प्रणालियों का ऑडिट करना चाहिए और उत्पादकता तथा आवश्यक सुरक्षा व अनुपालन को संतुलित करने वाले अनुकूलित दिशानिर्देश बनाने चाहिए। साइबर सुरक्षा निवेश का सफलतापूर्वक प्रबंधन अब इस अंदरूनी AI डेटा लीकेज के 'अंधे धब्बे' को बंद करने पर निर्भर करता है।