নিয়ন্ত্রিত খাতে ডেটা সার্বভৌমত্ব ও AI কমপ্লায়েন্স

ফার্মা ও ব্যাংকিং সিস্টেমে ভ্যালিডেশন ও অডিটের অধীনে আমি বছরের পর বছর কাজ করেছি, যেখানে প্রমাণ করতে হয় ডেটা কোথায়, কে স্পর্শ করেছে আর কেন। AI সরাসরি সেই জগতে ঢুকে একটি কঠিন প্রশ্ন তুলেছে: আপনার ডেটা যখন একটি AI সিস্টেমে যায়, তা কোথায় যায়, আর আপনি কি এখনও তার নিয়ন্ত্রণ প্রমাণ করতে পারেন? নিয়ন্ত্রিত খাতে এটি ভুল করা প্রযুক্তিগত অসুবিধা নয় - এটি কমপ্লায়েন্স ব্যর্থতা। নিয়ম না ভেঙে কীভাবে AI গ্রহণ করা যায়, তা নিয়েই এই লেখা।

AI কেন কমপ্লায়েন্সের সঙ্গে সংঘর্ষে এলো

নিয়ন্ত্রিত খাত একটি সহজ শৃঙ্খলায় চলে: আপনাকে ডেটার নিয়ন্ত্রণ প্রমাণ করতে হবে। ফার্মায় আমি computer system validation ও 21 CFR Part 11 প্রত্যাশার অধীনে কাজ করেছি, যেখানে অডিট ট্রেইল ঐচ্ছিক নয় - সেই জগৎ নিয়ে লিখেছি ফার্মায় Oracle ডেটাবেজের জন্য CSV লেখায়। ব্যাংকিং ও হেলথকেয়ারের নিজস্ব সমতুল্য নিয়ম আছে।

AI এর সঙ্গে সংঘর্ষে এলো কারণ AI ডেটার জন্য ক্ষুধার্ত, আর সবচেয়ে সহজ AI থাকে অন্যের ক্লাউডে। এই দুটি মিলিয়ে একটি সদিচ্ছার টিমও একটিমাত্র ইন্টিগ্রেশনে নিয়ন্ত্রিত রেকর্ড এমন অবকাঠামো দিয়ে পাঠাতে পারে যা প্রতিষ্ঠান নিয়ন্ত্রণ বা পূর্ণ অডিট করতে পারে না। সেই মুহূর্তেই একটি প্রোডাক্টিভিটি টুল কমপ্লায়েন্স ঝুঁকিতে পরিণত হয়।

ডেটা রেসিডেন্সি বনাম ডেটা কন্ট্রোল

দুটি সম্পর্কিত ধারণা এর কেন্দ্রে, আলাদা করে দেখা ভালো। ডেটা রেসিডেন্সি - আপনার ডেটা শারীরিকভাবে কোথায় থাকে, কোন দেশে, কোন আইনের অধীনে। ডেটা কন্ট্রোল - যেখানেই থাকুক, কে তা অ্যাক্সেস ও ব্যবহার করতে পারে।

দুটোই আইনি গুরুত্ব বহন করে। EU-এর GDPR-এর মতো ফ্রেমওয়ার্ক সীমান্ত পেরিয়ে ব্যক্তিগত ডেটা সরানো সীমাবদ্ধ করে ও প্রক্রিয়াকরণের জবাবদিহি দাবি করে। যুক্তরাষ্ট্রে HIPAA-এর মতো হেলথকেয়ার গোপনীয়তা নিয়ম রোগীর ডেটার জন্য একই কাজ করে। AI প্রবাহে ঢুকলে একটি নিয়ন্ত্রিত প্রতিষ্ঠানকে এখনও দুটি প্রশ্নের উত্তর দিতে ও প্রমাণ করতে হবে - ডেটা কোথায়, আর কে স্পর্শ করতে পারে।

সুবিধাজনক একটি API কলে লুকিয়ে থাকা ঝুঁকি

যখন একটি অ্যাপ পাবলিক AI সার্ভিস কল করে, সেই অনুরোধের ডেটা প্রতিষ্ঠান ছেড়ে যায়। সার্ভিস ও চুক্তি অনুযায়ী তা অন্য এখতিয়ারে প্রক্রিয়াজাত হতে পারে, কিছুকাল রাখা হতে পারে, বা এমনভাবে সামলানো হতে পারে যা আপনি পুরো দেখতে পান না। অ-সংবেদনশীল কনটেন্টে তা ঠিক আছে। নিয়ন্ত্রিত ডেটায় তা রেসিডেন্সি ভাঙতে পারে, গোপনীয়তা নষ্ট করতে পারে, বা রেগুলেটরের প্রত্যাশিত অডিট ট্রেইল দিতে অক্ষম করে ফেলতে পারে।

যে অস্বস্তিকর প্যাটার্ন আমি দেখি তা হলো প্রতিষ্ঠান AI গ্রহণ করছে দ্রুত, গভর্ন করছে ধীরে। টুলগুলো সহজে জুড়ে দেওয়া গেছে, আর ডেটা-প্রবাহের প্রশ্ন পরে এসেছে - কখনও কখনও অডিটর জিজ্ঞেস করার পরই। নিয়ন্ত্রিত পরিবেশে "পরে" চিন্তা করা ব্যয়বহুল জায়গা।

ডেটা শ্রেণিবিন্যাস দিয়ে শুরু করুন

সবচেয়ে দরকারি পদক্ষেপটি নীরসভাবে ব্যবহারিক: কোনো AI তাক করার আগে ডেটাকে সংবেদনশীলতা অনুযায়ী শ্রেণিবদ্ধ করুন। বেশিরভাগ প্রতিষ্ঠান তিনটি স্তরে কাজ করতে পারে।

• পাবলিক - প্রকাশিত বা মার্কেটিং উপকরণ। যেকোনো AI সার্ভিসে ঠিক আছে।
• ইন্টারনাল - অপারেশনাল ডেটা যা ভেতরে থাকা উচিত কিন্তু কঠোরভাবে নিয়ন্ত্রিত নয়। একটি বিবেচনার বিষয়।
• রেস্ট্রিক্টেড - ব্যক্তিগত, আর্থিক, স্বাস্থ্য বা অন্যথায় নিয়ন্ত্রিত ডেটা যা আপনার নিয়ন্ত্রণ ছাড়তে পারবে না।

একবার স্তরে ভাগ হলে নিয়ম প্রায় নিজেই লেখা হয়: রেস্ট্রিক্টেড ডেটা কেবল আপনার নিয়ন্ত্রণে থাকা অবকাঠামোতে যাবে; পাবলিক ডেটা যা সুবিধাজনক তাতে যেতে পারে। এটি একটি অস্পষ্ট দুশ্চিন্তাকে এমন নীতিতে বদলে দেয় যা IT প্রয়োগ করতে পারে ও অডিটর বুঝতে পারে।

কমপ্লায়েন্ট AI-এর জন্য আসলে যা লাগে

সঠিক জায়গায় সঠিক ডেটা রাখার বাইরে, নিয়ন্ত্রিত AI-এর একই প্রমাণ-শৃঙ্খলা লাগে যা যেকোনো ভ্যালিডেটেড সিস্টেমের:

• অ্যাক্সেস লগ - কে AI কে কী জিজ্ঞেস করল, কখন।
• সিদ্ধান্তের রেকর্ড - যেখানে AI নিয়ন্ত্রিত সিদ্ধান্তে প্রভাব ফেলে, ইনপুট ও আউটপুটের ট্রেইল রাখুন।
• মানবিক তদারকি - রোগী, অর্থ বা নিরাপত্তায় প্রভাব ফেলে এমন AI আউটপুটে একজন দায়বদ্ধ মানুষ। AI চূড়ান্ত কর্তৃপক্ষ নয়, সিদ্ধান্তের প্রার্থী।
• চেঞ্জ কন্ট্রোল - মডেল ও প্রম্পটের পরিবর্তন ভ্যালিডেটেড সিস্টেমের যেকোনো পরিবর্তনের মতোই ব্যবস্থাপনা করুন।

ভ্যালিডেটেড ডেটাবেজ চালিয়েছেন এমন কারও কাছে এর কিছুই অচেনা নয়। এটি একই গভর্ন্যান্স মানসিকতা নতুন এক ধরনের সিস্টেমে প্রয়োগ, আর তা স্বাভাবিকভাবে গড়ে ওঠে শক্ত সিকিউরিটি হার্ডেনিং-এর ওপর।

কেন on-premise প্রায়ই পরিষ্কার উত্তর

রেস্ট্রিক্টেড ডেটার জন্য AI-কে আপনার নিয়ন্ত্রণে থাকা অবকাঠামোতে রাখলে একসঙ্গে অনেক কমপ্লায়েন্স প্রশ্ন মিটে যায়। ডেটা যদি আপনার পরিবেশ না ছাড়ে, রেসিডেন্সি পূরণ হয়, অডিট ট্রেইল আপনার ছাদের নিচেই থাকে, আর অ্যাক্সেস আপনার নিয়ন্ত্রিত সিস্টেমে চলে। এ কারণেই ব্যাংক, ফার্মা ও হেলথকেয়ার ক্লায়েন্টে আমি প্রায়ই একটি on-premise, sovereign পদ্ধতিতে পৌঁছাই - মতাদর্শ থেকে নয়, বরং এটিই প্রমাণযোগ্যভাবে কমপ্লায়েন্ট হওয়ার সহজতম পথ।

এটি এই প্রতিষ্ঠানগুলো সংবেদনশীল সিস্টেম নিয়ে এমনিতেই যেভাবে ভাবে তার সঙ্গেও মেলে। হাসপাতাল বা ব্যাংক তার মূল ডেটা কাছে রাখতে অভ্যস্ত; AI-ও একইভাবে চালানো একটি স্বাভাবিক সম্প্রসারণ, কোনো লাফ নয়। এর ডিজাইন ভাবনা হেলথকেয়ার ERP ডিজাইনের ভাবনাগুলোরই প্রতিফলন।

ভেন্ডরের সই পাওয়ার আগে ডেটা প্রবাহের মানচিত্র আঁকুন

কোনো AI চুক্তি সই হওয়ার আগে আমি এক পাতার একটি অনুশীলনে জোর দিই - এতে এক বিকেল লাগে, আর মাসের পর মাসের ঝামেলা এড়ায়। AI টুলটি যে-যে সিস্টেম স্পর্শ করবে সবগুলো আঁকুন, তারপর ডেটা যেখানে যেখানে সরে তার প্রতিটির জন্য একটি তীর আঁকুন - আর প্রতিটি তীরে লেবেল দিন কোন ডেটা বহন করছে ও কোন দেশে গিয়ে নামছে।

পাতাটি ইচ্ছা করেই ছোট। প্রবাহ যদি এক পাতায় না ধরে, টিম আসলে এখনও তা বোঝেনি - আর সেটিই নিজে একটি ফাইন্ডিং।

যতবার আমি এই অনুশীলন চালিয়েছি, অন্তত একটি তীর কাউকে না কাউকে অবাক করেছে। একটি transcription ধাপ যা অডিও তৃতীয় কোনো দেশ দিয়ে ঘুরিয়ে পাঠায়। একটি "logging" ফিচার যা পুরো প্রম্পট ভেন্ডরের analytics প্ল্যাটফর্মে কপি করে। কেউ প্রকিউর করেনি এমন একটি ব্রাউজার প্লাগইন যা পাতার কনটেন্ট - সেই পাতার কাস্টমার রেকর্ডসহ - এমন এক সার্ভিসে পাঠায় যার নাম সিকিউরিটি টিম কখনও শোনেনি।

সম্পূর্ণ পাতাটি একসঙ্গে তিনটি জিনিস হয়ে ওঠে: আপনার ডেটা-শ্রেণিবিন্যাস সিদ্ধান্তের ইনপুট, যে অ্যানেক্স ধরে আইনজীবীরা চুক্তি যাচাই করেন, আর "ডেটা কোথায় যায়" জিজ্ঞেস করা অডিটরের হাতে তুলে দেওয়ার ডায়াগ্রাম। এক বিকেল, তিনটি ডেলিভারেবল।

অডিটর যা জিজ্ঞেস করেন, আর চুক্তিতে যার উত্তর থাকতে হবে

বছরের পর বছর অডিটে উত্তর দেওয়ার পাশে বসে বলতে পারি, AI নিয়ে প্রশ্নগুলো অনুমানযোগ্য। অডিটররা বরাবর যে প্রমাণ দাবি করে এসেছেন, এগুলো তারই রকমফের - কেবল নতুন এক ধরনের সিস্টেমের দিকে তাক করা।

এগুলো আশা করুন: এই সিস্টেম যে-যে বাইরের সার্ভিসে ডেটা পাঠায় সবগুলো দেখান। গত কোয়ার্টারে কে এটি ব্যবহার করেছে তার লগ দেখান। এই মডেল সংস্করণ কে অনুমোদন করেছেন, আর পরিবর্তনের রেকর্ড কোথায়? কোনো গ্রাহক তার ডেটা মুছতে বললে AI পাইপলাইন থেকে - retrieval index-সহ - তা কীভাবে বের করবেন? এর কোনোটিই ফাঁদ-প্রশ্ন নয়, কিন্তু অডিট রুমে বসে প্রথমবার ভাবলে সবগুলোই কষ্টদায়ক।

চুক্তিই সেই জায়গা যেখানে আপনি ওই উত্তরগুলো সম্ভব করে তোলেন, আর চারটি ধারাই বেশিরভাগ কাজ সারে।

• রিটেনশন: ভেন্ডর আপনার প্রম্পট ও আউটপুট ঠিক কতদিন রাখে - একটি সংখ্যা দিয়ে, "as needed for service improvement" নয়।
• ট্রেনিং ব্যবহার: স্পষ্ট ঘোষণা যে আপনার ডেটা কখনও ভেন্ডরের মডেল ট্রেন বা উন্নত করতে ব্যবহৃত হবে না। ভেন্ডর লিখিতভাবে দিতে রাজি না হলে সেই নীরবতাই আপনার উত্তর।
• ডিলিশন: চুক্তি শেষে কী মুছে ফেলা হয়, কত দ্রুত, আর আপনি কী লিখিত নিশ্চয়তা পান।
• সাব-প্রসেসর ও অবস্থান: আর কে ডেটা স্পর্শ করে, কোন কোন দেশে, আর সেই তালিকা বদলানোর আগে নোটিশ পাওয়ার আপনার অধিকার।

একটি রিভিউ আমার মনে গেঁথে আছে। এক ক্লায়েন্টের AI ভেন্ডরের সঙ্গে চমৎকারভাবে খসড়া করা চুক্তি ছিল - আর এমন একটি ডেটা প্রবাহ যা চুপচাপ সেটিকে পাশ কাটাত, কারণ একটি ইন্টিগ্রেশন রেকর্ড পাঠাত এমন এক কম্পোনেন্টে যা ভিন্ন, দুর্বলতর শর্তের অধীনে ছিল। চুক্তি ঠিক ছিল; আর্কিটেকচার চুক্তির সঙ্গে মিলত না। এ কারণেই এক-পাতার প্রবাহ-মানচিত্র আর ধারা-পর্যালোচনা একসঙ্গে করতে হবে, এমন মানুষদের দিয়ে যারা পরস্পরের সঙ্গে কথা বলেন।

আমার পরামর্শ হলো প্রমাণ প্রস্তুত করুন ধারাবাহিকভাবে, অডিটের আগে নয়। অ্যাক্সেস লগ, মডেল ও প্রম্পটের চেঞ্জ রেকর্ড, হালনাগাদ ডেটা-প্রবাহ পাতা - এগুলোকে জীবন্ত নথি রাখুন, স্বাভাবিক অপারেশনের অংশ হিসেবে আপডেট করুন। নিয়ন্ত্রিত টিমগুলো তাদের ডেটাবেজের জন্য এমনিতেই এটা করে; অভ্যাসটি AI সিস্টেমে বাড়ালে খরচ সামান্য, আর অডিট সপ্তাহ ছোটাছুটি থেকে একটি রিভিউতে বদলে যায়।

একটি AI টুল গ্রহণের আগে যে প্রশ্নগুলো

1. এই টুল আসলে কোন ডেটা প্রতিষ্ঠানের বাইরে পাঠাবে, আর কোথায়?
2. আমাদের কোন ডেটা শ্রেণি রেস্ট্রিক্টেড আর কখনও বাইরে যাওয়া উচিত নয়?
3. অডিটর যদি প্রমাণ চান এই AI স্পর্শ করলে ডেটা কোথায় যায়, আমরা কি পারব?
4. আমরা কি AI-এর ব্যবহার ও সিদ্ধান্তের লগ ও অডিট ট্রেইল রাখি?
5. নিয়ন্ত্রিত ফলাফলে প্রভাব ফেলা AI আউটপুটে কি দায়বদ্ধ কোনো মানুষ আছে?

শেষ কথা

নিয়ন্ত্রিত প্রতিষ্ঠানের আগে AI গ্রহণ করে পরে গভর্ন করার বিলাসিতা নেই। আবার এত দরকারি একটি প্রযুক্তি থেকে দূরে বসে থাকার সামর্থ্যও নেই। পথ হলো প্রথম দিন থেকেই ডেটা সার্বভৌমত্ব ও AI গভর্ন্যান্সকে গ্রহণ-পরিকল্পনার অংশ করা - ডেটা শ্রেণিবদ্ধ করুন, সংবেদনশীল অংশ ভেতরে রাখুন, সিদ্ধান্ত লগ ও তদারক করুন, আর নিয়ন্ত্রণ প্রমাণ করুন। তা করলে AI আর কমপ্লায়েন্স ঝুঁকি থাকে না - এমন কিছু হয়ে ওঠে যা আপনি আত্মবিশ্বাসে গ্রহণ করতে পারেন।

যেখানে টিমগুলোকে ভুল করতে দেখি

যে ব্যর্থতাগুলো ঠিক করতে আমাকে ডাকা হয়, সেগুলো খুব কমই খারাপ উদ্দেশ্য থেকে আসে। আসে গতি গভর্ন্যান্সকে ছাড়িয়ে যাওয়া থেকে।

সবচেয়ে সাধারণটি হলো একটি টিম তাৎক্ষণিক সমস্যা সমাধানের জন্য সুবিধাজনক একটি AI টুল নিয়ন্ত্রিত রেকর্ডে ভরা সিস্টেমে জুড়ে দেয় - কেউ জিজ্ঞেস করে না ওই রেকর্ডগুলো কোথায় ভ্রমণ করে বা প্রবাহটি অডিটযোগ্য কি না। এটি কাজ করে, সাহায্য করে, আর চুপচাপ এমন এক ঝুঁকি তৈরি করে যা প্রকাশ পায় তখনই যখন অডিটর এমন প্রশ্ন করেন যার উত্তর প্রতিষ্ঠান দিতে পারে না।

দ্বিতীয়টি হলো AI গভর্ন্যান্সকে চলমান শৃঙ্খলার বদলে এককালীন সই-অনুমোদন হিসেবে দেখা। প্রতি কোয়ার্টারে নতুন টুল যোগ হয়, আর প্রতিটিই একটি নতুন ডেটা-প্রবাহ সিদ্ধান্ত। স্থায়ী রিভিউ ছাড়া নীতিটি কয়েক মাসের মধ্যেই পুরোনো হয়ে যায়।

দুটোরই সমাধান একই, আর তা মোটেই জাঁকজমকপূর্ণ নয়: নতুন কোনো AI টুল বা ইন্টিগ্রেশন প্রস্তাবিত হলেই একটি ছোট, স্ট্যান্ডার্ড চেক - এটি কোন ডেটা স্পর্শ করে, সেই ডেটা কোথায় যায়, কোন সংবেদনশীলতা স্তরে পড়ে। রেস্ট্রিক্টেড ডেটা স্পর্শ করা যেকোনো কিছু ডিফল্টেই নিয়ন্ত্রিত পথে যাবে। এটিকে অভ্যাস করুন, তাহলে গভর্ন্যান্স গ্রহণের পেছনে পড়ে না থেকে সমান তালে চলবে।

রেগুলেটররা AI-এর বিপক্ষে নন, আমিও নই। তাঁরা যা প্রত্যাশা করেন - ভ্যালিডেটেড সিস্টেমে আমাকে বরাবর যা দিতে হয়েছে - তা হলো নিয়ন্ত্রণের প্রমাণ। শুরু থেকেই AI-তে সেই একই প্রমাণ-শৃঙ্খলা আনুন, সংবেদনশীল ডেটা এমন জায়গায় রাখুন যেখানে তার অবস্থান প্রমাণ করতে পারেন - তাহলে পরের অডিট নিয়ে চাপা উদ্বেগ নয়, প্রকৃত আত্মবিশ্বাস নিয়েই এই টুলগুলো গ্রহণ করতে পারবেন।

সাধারণ জিজ্ঞাসা (FAQ)

নিয়ন্ত্রিত খাতে AI-এর ক্ষেত্রে ডেটা সার্বভৌমত্ব মানে কী?

এর মানে AI সিস্টেম ডেটা প্রক্রিয়া করার পরও ডেটা কোথায় থাকে ও কে অ্যাক্সেস করতে পারে তার নিয়ন্ত্রণ রাখা। ব্যাংকিং, ফার্মা ও হেলথকেয়ারে সেই নিয়ন্ত্রণ একটি কমপ্লায়েন্স প্রয়োজন - AI জড়িত থাকলেও রেসিডেন্সি ও অ্যাক্সেস প্রমাণ করতে এবং অডিট ট্রেইল দিতে হবে।

নিয়ন্ত্রিত ডেটায় পাবলিক ক্লাউড AI ব্যবহার কেন ঝুঁকিপূর্ণ?

পাবলিক AI সার্ভিসে পাঠানো ডেটা অন্য এখতিয়ারে প্রক্রিয়াজাত, সংরক্ষিত বা এমনভাবে সামলানো হতে পারে যা আপনি পুরো অডিট করতে পারেন না - যা GDPR-এর মতো রেসিডেন্সি বা HIPAA-এর মতো গোপনীয়তা নিয়ম ভাঙতে পারে, বা প্রত্যাশিত অডিট ট্রেইল দিতে অক্ষম করে। অ-সংবেদনশীল কনটেন্টে ঠিক, নিয়ন্ত্রিত ডেটায় প্রকৃত ঝুঁকি।

ডেটা-সুরক্ষা নিয়ম না ভেঙে কীভাবে AI গ্রহণ করব?

ডেটাকে পাবলিক, ইন্টারনাল ও রেস্ট্রিক্টেড স্তরে ভাগ করে রেস্ট্রিক্টেড ডেটা নিজের নিয়ন্ত্রণে থাকা অবকাঠামোতে রাখুন। অ্যাক্সেস লগ, সিদ্ধান্তের রেকর্ড, নিয়ন্ত্রিত ফলাফলে মানবিক তদারকি ও মডেল-প্রম্পটের চেঞ্জ কন্ট্রোল যোগ করুন। এতে ডেটার নিয়ন্ত্রণ প্রমাণ রেখেই AI ব্যবহার করা যায়।

কমপ্লায়েন্সের জন্য কি on-premise AI আবশ্যক?

সবসময় নয়, তবে রেস্ট্রিক্টেড ডেটার জন্য প্রায়ই সবচেয়ে পরিষ্কার পথ। AI যদি আপনার নিয়ন্ত্রণে থাকা অবকাঠামোতে চলে ও ডেটা না ছাড়ে, রেসিডেন্সি পূরণ হয়, অডিট ট্রেইল ভেতরে থাকে, আর অ্যাক্সেস আপনার সিস্টেমে চলে - একসঙ্গে অনেক প্রশ্ন মিটে যায়।

AI নিয়ন্ত্রিত ডেটা স্পর্শ করলে কোন রেকর্ড রাখা উচিত?

কে কখন AI কে প্রশ্ন করল তার অ্যাক্সেস লগ, নিয়ন্ত্রিত সিদ্ধান্তে প্রভাব ফেললে ইনপুট-আউটপুটের সিদ্ধান্ত রেকর্ড, বড় ঝুঁকির ফলাফলে মানবিক তদারকির প্রমাণ, আর মডেল-প্রম্পট আপডেটের চেঞ্জ কন্ট্রোল। এটি যেকোনো ভ্যালিডেটেড সিস্টেমের একই প্রমাণ-শৃঙ্খলা।