নিয়ন্ত্রিত খাতে ডেটা সার্বভৌমত্ব ও AI কমপ্লায়েন্স
ফার্মা ও ব্যাংকিং সিস্টেমে ভ্যালিডেশন ও অডিটের অধীনে আমি বছরের পর বছর কাজ করেছি, যেখানে প্রমাণ করতে হয় ডেটা কোথায়, কে স্পর্শ করেছে আর কেন। AI সরাসরি সেই জগতে ঢুকে একটি কঠিন প্রশ্ন তুলেছে: আপনার ডেটা যখন একটি AI সিস্টেমে যায়, তা কোথায় যায়, আর আপনি কি এখনও তার নিয়ন্ত্রণ প্রমাণ করতে পারেন? নিয়ন্ত্রিত খাতে এটি ভুল করা প্রযুক্তিগত অসুবিধা নয় - এটি কমপ্লায়েন্স ব্যর্থতা। নিয়ম না ভেঙে কীভাবে AI গ্রহণ করা যায়, তা নিয়েই এই লেখা।
মূল কথাগুলো
- AI যখন নিয়ন্ত্রিত ডেটা স্পর্শ করে, সেই ডেটা কোথায় যায় তা কেবল IT বিষয় নয় - কমপ্লায়েন্স প্রশ্ন হয়ে ওঠে।
- ডেটা রেসিডেন্সি (ডেটা কোন দেশে থাকে) ও ডেটা কন্ট্রোল (কে অ্যাক্সেস করতে পারে) দুটোই GDPR, HIPAA ও স্থানীয় আইনে আইনি গুরুত্ব বহন করে।
- নিয়ন্ত্রিত ডেটা পাবলিক AI API-তে পাঠানো মানে রেগুলেটরের প্রয়োজনীয় দৃশ্যমানতা ও অডিট ট্রেইল হারানো হতে পারে।
- বাস্তব সমাধান ডেটা শ্রেণিবিন্যাস: কোন শ্রেণি কখনও বাইরে যাবে না তা ঠিক করে সেগুলো নিজের নিয়ন্ত্রণে রাখা।
- অডিট ট্রেইল, অ্যাক্সেস লগ ও AI সিদ্ধান্তে মানবিক তদারকিই 'আমরা সতর্ক' কে 'আমরা প্রমাণ করতে পারি' তে পরিণত করে।
- ব্যাংক, ফার্মা ও হেলথকেয়ারে সংবেদনশীল কাজ on-premise রাখা প্রায়ই কমপ্লায়েন্ট AI-এর সবচেয়ে পরিষ্কার পথ।
AI কেন কমপ্লায়েন্সের সঙ্গে সংঘর্ষে এলো
নিয়ন্ত্রিত খাত একটি সহজ শৃঙ্খলায় চলে: আপনাকে ডেটার নিয়ন্ত্রণ প্রমাণ করতে হবে। ফার্মায় আমি computer system validation ও 21 CFR Part 11 প্রত্যাশার অধীনে কাজ করেছি, যেখানে অডিট ট্রেইল ঐচ্ছিক নয় - সেই জগৎ নিয়ে লিখেছি ফার্মায় Oracle ডেটাবেজের জন্য CSV লেখায়। ব্যাংকিং ও হেলথকেয়ারের নিজস্ব সমতুল্য নিয়ম আছে।
AI এর সঙ্গে সংঘর্ষে এলো কারণ AI ডেটার জন্য ক্ষুধার্ত, আর সবচেয়ে সহজ AI থাকে অন্যের ক্লাউডে। এই দুটি মিলিয়ে একটি সদিচ্ছার টিমও একটিমাত্র ইন্টিগ্রেশনে নিয়ন্ত্রিত রেকর্ড এমন অবকাঠামো দিয়ে পাঠাতে পারে যা প্রতিষ্ঠান নিয়ন্ত্রণ বা পূর্ণ অডিট করতে পারে না। সেই মুহূর্তেই একটি প্রোডাক্টিভিটি টুল কমপ্লায়েন্স ঝুঁকিতে পরিণত হয়।
ডেটা রেসিডেন্সি বনাম ডেটা কন্ট্রোল
দুটি সম্পর্কিত ধারণা এর কেন্দ্রে, আলাদা করে দেখা ভালো। ডেটা রেসিডেন্সি - আপনার ডেটা শারীরিকভাবে কোথায় থাকে, কোন দেশে, কোন আইনের অধীনে। ডেটা কন্ট্রোল - যেখানেই থাকুক, কে তা অ্যাক্সেস ও ব্যবহার করতে পারে।
দুটোই আইনি গুরুত্ব বহন করে। EU-এর GDPR সীমান্ত পেরিয়ে ব্যক্তিগত ডেটা সরানো সীমাবদ্ধ করে ও প্রক্রিয়াকরণের জবাবদিহি দাবি করে। যুক্তরাষ্ট্রে HIPAA রোগীর ডেটার জন্য একই কাজ করে। AI প্রবাহে ঢুকলে একটি নিয়ন্ত্রিত প্রতিষ্ঠানকে এখনও দুটি প্রশ্নের উত্তর দিতে ও প্রমাণ করতে হবে - ডেটা কোথায়, আর কে স্পর্শ করতে পারে।
সুবিধাজনক একটি API কলে লুকিয়ে থাকা ঝুঁকি
যখন একটি অ্যাপ পাবলিক AI সার্ভিস কল করে, সেই অনুরোধের ডেটা প্রতিষ্ঠান ছেড়ে যায়। সার্ভিস ও চুক্তি অনুযায়ী তা অন্য এখতিয়ারে প্রক্রিয়াজাত হতে পারে, কিছুকাল রাখা হতে পারে, বা এমনভাবে সামলানো হতে পারে যা আপনি পুরো দেখতে পান না। অ-সংবেদনশীল কনটেন্টে তা ঠিক আছে। নিয়ন্ত্রিত ডেটায় তা রেসিডেন্সি ভাঙতে পারে, গোপনীয়তা নষ্ট করতে পারে, বা রেগুলেটরের প্রত্যাশিত অডিট ট্রেইল দিতে অক্ষম করে ফেলতে পারে।
যে অস্বস্তিকর প্যাটার্ন আমি দেখি তা হলো প্রতিষ্ঠান AI গ্রহণ করছে দ্রুত, গভর্ন করছে ধীরে। টুলগুলো সহজে জুড়ে দেওয়া গেছে, আর ডেটা-প্রবাহের প্রশ্ন পরে এসেছে - কখনও কখনও অডিটর জিজ্ঞেস করার পরই। নিয়ন্ত্রিত পরিবেশে "পরে" চিন্তা করা ব্যয়বহুল জায়গা।
ডেটা শ্রেণিবিন্যাস দিয়ে শুরু করুন
সবচেয়ে দরকারি পদক্ষেপটি নীরসভাবে ব্যবহারিক: কোনো AI তাক করার আগে ডেটাকে সংবেদনশীলতা অনুযায়ী শ্রেণিবদ্ধ করুন। বেশিরভাগ প্রতিষ্ঠান তিনটি স্তরে কাজ করতে পারে।
- পাবলিক - প্রকাশিত বা মার্কেটিং উপকরণ। যেকোনো AI সার্ভিসে ঠিক আছে।
- ইন্টারনাল - অপারেশনাল ডেটা যা ভেতরে থাকা উচিত কিন্তু কঠোরভাবে নিয়ন্ত্রিত নয়।
- রেস্ট্রিক্টেড - ব্যক্তিগত, আর্থিক, স্বাস্থ্য বা অন্যথায় নিয়ন্ত্রিত ডেটা যা আপনার নিয়ন্ত্রণ ছাড়তে পারবে না।
একবার স্তরে ভাগ হলে নিয়ম প্রায় নিজেই লেখা হয়: রেস্ট্রিক্টেড ডেটা কেবল আপনার নিয়ন্ত্রণে থাকা অবকাঠামোতে যাবে; পাবলিক ডেটা যা সুবিধাজনক তাতে যেতে পারে। এটি একটি অস্পষ্ট দুশ্চিন্তাকে এমন নীতিতে বদলে দেয় যা IT প্রয়োগ করতে পারে ও অডিটর বুঝতে পারে।
কমপ্লায়েন্ট AI-এর জন্য যা লাগে
সঠিক জায়গায় সঠিক ডেটা রাখার বাইরে, নিয়ন্ত্রিত AI-এর একই প্রমাণ-শৃঙ্খলা লাগে যা যেকোনো ভ্যালিডেটেড সিস্টেমের:
- অ্যাক্সেস লগ - কে AI কে কী জিজ্ঞেস করল, কখন।
- সিদ্ধান্তের রেকর্ড - যেখানে AI নিয়ন্ত্রিত সিদ্ধান্তে প্রভাব ফেলে, ইনপুট ও আউটপুটের ট্রেইল রাখুন।
- মানবিক তদারকি - রোগী, অর্থ বা নিরাপত্তায় প্রভাব ফেলে এমন AI আউটপুটে একজন দায়বদ্ধ মানুষ। AI চূড়ান্ত কর্তৃপক্ষ নয়, সিদ্ধান্তের প্রার্থী।
- চেঞ্জ কন্ট্রোল - মডেল ও প্রম্পটের পরিবর্তন ভ্যালিডেটেড সিস্টেমের যেকোনো পরিবর্তনের মতোই ব্যবস্থাপনা করুন।
ভ্যালিডেটেড ডেটাবেজ চালিয়েছেন এমন কারও কাছে এর কিছুই অচেনা নয়। এটি একই গভর্ন্যান্স মানসিকতা নতুন এক ধরনের সিস্টেমে প্রয়োগ, আর তা শক্ত সিকিউরিটি হার্ডেনিং-এর ওপর গড়ে ওঠে।
কেন on-premise প্রায়ই পরিষ্কার উত্তর
রেস্ট্রিক্টেড ডেটার জন্য AI-কে আপনার নিয়ন্ত্রণে থাকা অবকাঠামোতে রাখলে একসঙ্গে অনেক কমপ্লায়েন্স প্রশ্ন মিটে যায়। ডেটা যদি পরিবেশ না ছাড়ে, রেসিডেন্সি পূরণ হয়, অডিট ট্রেইল আপনার নিচেই থাকে, আর অ্যাক্সেস আপনার নিয়ন্ত্রিত সিস্টেমে চলে। এ কারণেই ব্যাংক, ফার্মা ও হেলথকেয়ার ক্লায়েন্টে আমি প্রায়ই একটি on-premise, sovereign পদ্ধতিতে পৌঁছাই - মতাদর্শ থেকে নয়, বরং এটিই প্রমাণযোগ্যভাবে কমপ্লায়েন্ট হওয়ার সহজতম পথ। এর ডিজাইন ভাবনা হেলথকেয়ার ERP ডিজাইনের মতোই।
একটি AI টুল গ্রহণের আগে যে প্রশ্নগুলো
- এই টুল আসলে কোন ডেটা প্রতিষ্ঠানের বাইরে পাঠাবে, আর কোথায়?
- আমাদের কোন ডেটা শ্রেণি রেস্ট্রিক্টেড আর কখনও বাইরে যাওয়া উচিত নয়?
- অডিটর যদি প্রমাণ চান এই AI স্পর্শ করলে ডেটা কোথায় যায়, আমরা কি পারব?
- আমরা কি AI-এর ব্যবহার ও সিদ্ধান্তের লগ ও অডিট ট্রেইল রাখি?
- নিয়ন্ত্রিত ফলাফলে প্রভাব ফেলা AI আউটপুটে কি দায়বদ্ধ কোনো মানুষ আছে?
সাধারণ জিজ্ঞাসা (FAQ)
নিয়ন্ত্রিত খাতে AI-এর ক্ষেত্রে ডেটা সার্বভৌমত্ব মানে কী?
এর মানে AI সিস্টেম ডেটা প্রক্রিয়া করার পরও ডেটা কোথায় থাকে ও কে অ্যাক্সেস করতে পারে তার নিয়ন্ত্রণ রাখা। ব্যাংকিং, ফার্মা ও হেলথকেয়ারে সেই নিয়ন্ত্রণ একটি কমপ্লায়েন্স প্রয়োজন - AI জড়িত থাকলেও রেসিডেন্সি ও অ্যাক্সেস প্রমাণ করতে এবং অডিট ট্রেইল দিতে হবে।
নিয়ন্ত্রিত ডেটায় পাবলিক ক্লাউড AI ব্যবহার কেন ঝুঁকিপূর্ণ?
পাবলিক AI সার্ভিসে পাঠানো ডেটা অন্য এখতিয়ারে প্রক্রিয়াজাত, সংরক্ষিত বা এমনভাবে সামলানো হতে পারে যা আপনি পুরো অডিট করতে পারেন না - যা GDPR-এর মতো রেসিডেন্সি বা HIPAA-এর মতো গোপনীয়তা নিয়ম ভাঙতে পারে, বা প্রত্যাশিত অডিট ট্রেইল দিতে অক্ষম করে। অ-সংবেদনশীল কনটেন্টে ঠিক, নিয়ন্ত্রিত ডেটায় প্রকৃত ঝুঁকি।
ডেটা-সুরক্ষা নিয়ম না ভেঙে কীভাবে AI গ্রহণ করব?
ডেটাকে পাবলিক, ইন্টারনাল ও রেস্ট্রিক্টেড স্তরে ভাগ করে রেস্ট্রিক্টেড ডেটা নিজের নিয়ন্ত্রণে থাকা অবকাঠামোতে রাখুন। অ্যাক্সেস লগ, সিদ্ধান্তের রেকর্ড, নিয়ন্ত্রিত ফলাফলে মানবিক তদারকি ও মডেল-প্রম্পটের চেঞ্জ কন্ট্রোল যোগ করুন। এতে ডেটার নিয়ন্ত্রণ প্রমাণ রেখেই AI ব্যবহার করা যায়।
কমপ্লায়েন্সের জন্য কি on-premise AI আবশ্যক?
সবসময় নয়, তবে রেস্ট্রিক্টেড ডেটার জন্য প্রায়ই সবচেয়ে পরিষ্কার পথ। AI যদি আপনার নিয়ন্ত্রণে থাকা অবকাঠামোতে চলে ও ডেটা না ছাড়ে, রেসিডেন্সি পূরণ হয়, অডিট ট্রেইল ভেতরে থাকে, আর অ্যাক্সেস আপনার সিস্টেমে চলে - একসঙ্গে অনেক প্রশ্ন মিটে যায়।
AI নিয়ন্ত্রিত ডেটা স্পর্শ করলে কোন রেকর্ড রাখা উচিত?
কে কখন AI কে প্রশ্ন করল তার অ্যাক্সেস লগ, নিয়ন্ত্রিত সিদ্ধান্তে প্রভাব ফেললে ইনপুট-আউটপুটের সিদ্ধান্ত রেকর্ড, বড় ঝুঁকির ফলাফলে মানবিক তদারকির প্রমাণ, আর মডেল-প্রম্পট আপডেটের চেঞ্জ কন্ট্রোল। এটি যেকোনো ভ্যালিডেটেড সিস্টেমের একই প্রমাণ-শৃঙ্খলা।
নিয়ন্ত্রিত পরিবেশে AI গ্রহণ করছেন?
আমি ব্যাংক, ফার্মা ও হেলথকেয়ার প্রতিষ্ঠানকে কমপ্লায়েন্ট উপায়ে AI গ্রহণে সাহায্য করি - ডেটা শ্রেণিবিন্যাস, on-premise ডিপ্লয়মেন্ট, আর রেগুলেটরের প্রত্যাশিত অডিট শৃঙ্খলা। বাংলাদেশ ও বিশ্বজুড়ে।
