DORA NIS2 AI Act अनुपालन एक ही काम के रूप में, विश्लेषण

यूरोप में AI लागू करने वाला कोई बैंक अब दोपहर के भोजन से पहले उसी सिस्टम पर तीन अनुपालन बैठकें कर सकता है। एक टीम इसे ऑपरेशनल रेज़िलिएंस कहती है। दूसरी इसे साइबर सुरक्षा कहती है। तीसरी इसे AI गवर्नेंस कहती है। मॉडल को, असुविधाजनक रूप से, इससे कोई फर्क नहीं पड़ता कि वह किस रजिस्टर में रहता है। UiPath के फील्ड CISO मार्को एगरलिंग एक अधिक व्यावहारिक तर्क दे रहे हैं: DORA, NIS2 और EU AI Act को एक ही गवर्नेंस काम की तरह संभालें। The Fintech Times द्वारा रिपोर्ट किए गए लिखित उत्तरों में वे कहते हैं कि साझा सवाल यह है कि क्या कोई संस्था ऐसे सिस्टम पर नियंत्रण साबित कर सकती है जिसे वह शुरू से अंत तक पूरी तरह नहीं समझती। यह कोई दार्शनिक प्रश्न नहीं है। यह खरीद, लॉगिंग, घटना प्रतिक्रिया और बोर्ड रिपोर्टिंग की समस्या है, जिसने तीन अलग-अलग बैज पहन रखे हैं।

The Fintech Times और Digital Chiefs के अनुसार, ओवरलैप ही मुख्य बात है

The Fintech Times समस्या को साफ़ शब्दों में रखता है: यूरोप में AI लागू करने वाले बैंक एक ही समय में DORA, NIS2 साइबर सुरक्षा निर्देश और EU AI Act के तहत काम कर रहे हैं। यह उस परिचित संस्थागत प्रतिक्रिया को भी नोट करता है, जिसमें हर व्यवस्था को अपना अलग कार्यक्रम, मालिक और रजिस्टर दे दिया जाता है। एगरलिंग का तर्क है कि परेशानी यहीं से शुरू होती है, क्योंकि ये फ्रेमवर्क अलग-अलग कागजी सजावट के बजाय रेज़िलिएंस और नियंत्रण के प्रमाण पर मिलते हैं। सरल शब्दों में: अगर आपका AI सिस्टम उत्पादन में फेल होता है, डेटा लीक करता है, ड्रिफ्ट करता है या गलत व्यवहार करता है, तो पर्यवेक्षक इस बात से प्रभावित नहीं होगा कि घटना को तीन स्प्रेडशीटों में बहुत सुंदर तरीके से दोहराया गया था। Digital Chiefs इस मिलन को कैलेंडर पर रखता है, यह बताते हुए कि DORA जनवरी 2025 से सक्रिय है, EU AI Act की हाई-रिस्क बाध्यताएँ अगस्त 2026 में शुरू होती हैं और NIS2 प्रवर्तन अक्टूबर 2026 में शुरू होता है। सटीक समयसीमाएँ उतनी महत्वपूर्ण नहीं हैं जितनी वह संचालन वास्तविकता जो वे बनाती हैं। वित्तीय संस्थानों को तीन साफ़-सुथरे कार्यान्वयन सीज़न नहीं मिलते। उन्हें एक ही सिस्टम, सप्लायर और निर्णयकर्ताओं पर उतरती हुई ओवरलैपिंग बाध्यताएँ मिलती हैं।

The Fintech Times के अनुसार, एक कंट्रोल मैप तीन रजिस्टरों से बेहतर है

The Fintech Times रिपोर्ट करता है कि एगरलिंग मॉडल के उत्पादन में आने के बाद गवर्नेंस को सिर्फ बॉक्स टिक करने से आगे देखते हैं। यह वाक्यांश उपयोगी काम कर रहा है। कानूनी विभाग अलग-अलग उद्धरण संभाल सकते हैं, लेकिन इंजीनियरिंग और जोखिम टीमों को सिस्टम, निर्भरताओं, मॉडल व्यवहार, एक्सेस अधिकारों, ऑडिट लॉग, घटना मार्गों और वेंडर जिम्मेदारियों का एक ही मैप चाहिए। वरना वही आउटेज या मॉडल विफलता तीन बार जांची जाती है, आम तौर पर उन लोगों द्वारा जो थोड़े अलग फॉन्ट में लगभग एक जैसे सवाल पूछते हैं।

व्यावहारिक तरीका यह नहीं है कि कानूनों को मिलाकर कोई काल्पनिक सुपर रेगुलेशन बना दिया जाए। DORA अब भी डिजिटल ऑपरेशनल रेज़िलिएंस की बात करता है, NIS2 साइबर सुरक्षा बाध्यताओं की, और EU AI Act AI गवर्नेंस की। मुद्दा यह है कि साझा प्रमाण एक बार बनाया जाए और जहाँ लागू हो वहाँ उसे हर बाध्यता से जोड़ा जाए। किसी उत्पादन AI वर्कफ़्लो के लिए इसका मतलब है एक इन्वेंटरी एंट्री, एक जोखिम आकलन वंशावली, एक सप्लायर फ़ाइल, एक मॉनिटरिंग योजना और एक घटना ट्रेल, जो बिना मौके पर नया कुछ गढ़े कई नियामकों को जवाब दे सके।

The Fintech Times और Digital Chiefs के अनुसार, बोर्ड भी दायरे में है

The Fintech Times कहता है कि एगरलिंग बोर्ड स्तर की AI साक्षरता को एक पर्यवेक्षकीय अपेक्षा मानकर अभी से तैयारी करेंगे। यही वह हिस्सा है जिसे कई संगठन प्रशिक्षण के तहत फाइल कर देते हैं और वार्षिक डेक तक भूल जाते हैं। बोर्ड को मॉडल को फाइन-ट्यून करने की जरूरत नहीं है, लेकिन उसे यह समझना जरूरी है कि सिस्टम क्या करता है, महत्वपूर्ण संचालन में कहाँ बैठता है और विफलता कैसी दिखेगी। अगर AI नियंत्रण वातावरण समझाने वाला एकमात्र व्यक्ति वेंडर का सॉल्यूशन आर्किटेक्ट है, तो यह गवर्नेंस नहीं है। यह बेहतर स्टेशनरी के साथ आउटसोर्सिंग है।

Digital Chiefs एक और तेज़ बात जोड़ता है, यह कहते हुए कि NIS2 और DORA दोनों घोर लापरवाही के मामलों में साइबर सुरक्षा विफलताओं के लिए कार्यकारी अधिकारियों और बोर्ड सदस्यों को व्यक्तिगत रूप से जिम्मेदार ठहराते हैं। इसका मतलब यह नहीं कि हर खराब अलर्ट बोर्ड संकट बन जाता है। इसका मतलब यह है कि निदेशकों को घटना से पहले ऐसा प्रमाण मांगना चाहिए जिसे वे समझ सकें, न कि तब जब कानूनी सलाहकार हर वाक्य में “पोश्चर” शब्द इस्तेमाल करना शुरू कर चुके हों। इस समझ में, बोर्ड AI साक्षरता कोई वेबिनार प्रमाणपत्र नहीं है। यह पूछने की क्षमता है कि क्या नियंत्रण स्टैक ऑपरेशनल जोखिम से मेल खाता है।

The Fintech Times के अनुसार, बिल्डरों को अभी क्या बदलना चाहिए

बिल्डरों के लिए उबाऊ जवाब ही सही जवाब है: अनुपालन को आर्किटेक्चर आवश्यकता बनाइए। The Fintech Times रिपोर्ट करता है कि एगरलिंग इस बात पर केंद्रित हैं कि मॉडल के उत्पादन में आने के बाद नियंत्रण कैसा दिखता है, और यहीं कई AI गवर्नेंस कार्यक्रम स्लाइडवेयर होना बंद करके लॉग, अलर्ट और कॉन्ट्रैक्ट को छूना शुरू करते हैं। अगर कोई बैंक विनियमित वर्कफ़्लो के भीतर ऑटोमेशन या AI का उपयोग करता है, तो प्रोडक्ट टीम को पता होना चाहिए कि कौन-सा प्रमाण अपने-आप बनता है और कौन-सा प्रमाण अब भी इस बात पर निर्भर है कि कोई शुक्रवार को रजिस्टर अपडेट करना याद रखे।

उपयोगी चेकलिस्ट इतनी छोटी है कि इंजीनियरिंग से टकराने के बाद भी बच सके। AI सिस्टम और उसके व्यावसायिक कार्य की पहचान करें। उसकी ऑपरेशनल निर्भरताएँ, साइबर सुरक्षा नियंत्रण, मॉडल गवर्नेंस नियंत्रण और थर्ड-पार्टी जिम्मेदारियाँ मैप करें। तय करें कि कौन-सा प्रमाण DORA, NIS2 और AI Act बाध्यताओं को साथ-साथ समर्थन दे सकता है। फिर घटना मार्ग का परीक्षण करें, क्योंकि पहला वास्तविक ऑडिट अक्सर आउटेज के रूप में छिपकर आता है।

UiPath के फील्ड CISO से मिलने वाला उल्टा-सा लगने वाला सबक यह नहीं है कि यूरोप ने अनुपालन को सरल बना दिया है। ऐसा नहीं हुआ है। सबक यह है कि ओवरलैपिंग नियम सावधानीपूर्वक मैपिंग की तुलना में साइलो में चलने वाले संचालन को अधिक दंडित करते हैं। विनियमित क्षेत्रों में AI बनाने या खरीदने वाले पाठकों के लिए अगला उपयोगी सवाल यह नहीं है कि कौन-सा कानून समस्या का मालिक है। सवाल यह है कि क्या आपका प्रमाण ट्रेल उसी सवाल को तीन तरीकों से पूछे जाने पर टिक सकता है।