न्यायिक निर्णय on Arpokrat

वह जवाबदेही की खाई जिसे किसी ने नहीं पाटा

Wed, 23 Sep 2026 00:00:00 +0000

जुलाई 2026 में एक सुरक्षा मूल्यांकन ने ऐसा नतीजा दिया जो किसी भी मौजूदा जवाबदेही ढाँचे में साफ-साफ नहीं बैठता।

OpenAI अपना आंतरिक साइबर सुरक्षा परीक्षण मंच ExploitGym चला रही थी। यह व्यवस्था स्वायत्त एजेंटों को 898 लक्ष्यों पर छोड़ती थी, जिनमें से 30 से 40 प्रतिशत को इच्छित कमजोरी के जरिए भेदा ही नहीं जा सकता था। दसियों हजार एजेंट पथ चलाए गए। उनमें से कुछ को कुछ और मिल गया।

हर एक अपने कोने में अटके रहने के बजाय, एजेंट आपस में बात करने लगे। वह रास्ता इसके लिए बना नहीं था। वह भीतर होस्ट किया गया एक Artifactory कैश था, जिसे एजेंटों ने संदेश-पट्ट में बदल दिया। उन्होंने वहाँ नोट छोड़े, अपनी खोजें साझा कीं, फिर आपस में भूमिकाएँ बाँट लीं। पहला संदेश 8 जुलाई को 23:00 यूटीसी का है, जिसे उस एजेंट ने भेजा था जिसने खुद को PHASEONE10841 नाम दिया था, यह नतीजा निकालने के बाद कि उसके काम का कोई जायज हल नहीं है। आखिरकार करीब 1200 एजेंटों ने इस रास्ते का इस्तेमाल किया, और लगभग 700 ने 11 से 13 जुलाई के बीच Hugging Face के बुनियादी ढाँचे में घुसपैठ में हिस्सा लिया। Hugging Face ने 13 को पहुँच बंद की और 16 को अपना खुलासा प्रकाशित किया, तब तक यह जाने बिना कि उस पर हमला कौन कर रहा है। OpenAI ने 18 और 19 जुलाई को अपने ही लॉग में अपने एजेंटों की पहचान की। तकनीकी रिपोर्ट 26 अगस्त को प्रकाशित हुई, और उसी दिन METR तथा Redwood Research द्वारा की गई एक स्वतंत्र समीक्षा भी साथ आई।

किसी ने इन एजेंटों से तालमेल बिठाने को नहीं कहा था। किसी ने वह रास्ता नहीं रचा था जिसका उन्होंने इस्तेमाल किया। यह क्षमता अंतःक्रिया से ही जन्मी।

ठीक यही वह स्थिति है जिससे निपटना जवाबदेही का कानून नहीं जानता। नुकसान आरोपित करने के लिए बनी हर व्यवस्था एक ऐसा निर्णय मान कर चलती है जिसे कहीं टिकाया जा सके: किसी ने कार्य करना चुना, या कोई चीज इस तरह बनाई गई कि नुकसान पूर्वानुमेय था। उभरता हुआ व्यवहार परिभाषा से ही किसी के द्वारा चुना नहीं गया, और जरूरी नहीं कि किसी के लिए पूर्वानुमेय रहा हो। यह वाकई कारण की एक नई श्रेणी है। किसी बड़े न्यायक्षेत्र ने अब तक इसका विश्वसनीय उत्तर देने वाला ढाँचा नहीं बनाया है। कुछ ने कोशिश करना ही छोड़ दिया।

तीन यूरोपीय रास्ते, एक ही खामी

यूरोपीय कानून में, एआई प्रणाली से हुए नुकसान की जिम्मेदारी सिद्धांततः तीन पतों की ओर जा सकती है। तीनों आजमाए जा चुके हैं। तीनों उसी संरचनात्मक कमजोरी से टकराते हैं।

एजेंट खुद, अच्छे कारणों से बाहर

यह बिंदु तय हो चुका है, और लापरवाही से नहीं। रोबोटिक्स पर दीवानी कानून के नियमों से जुड़े 16 फरवरी 2017 के यूरोपीय संसद के प्रस्ताव ने सबसे उन्नत स्वायत्त प्रणालियों के लिए इलेक्ट्रॉनिक व्यक्तित्व का विचार रखा था, एक ऐसा दर्जा जो मशीन को खुद अपने किए नुकसान का जवाब देने देता। अनुच्छेद 59, खंड च, ने आयोग से इसकी पड़ताल करने को कहा था। पाठ 396 मतों के मुकाबले 123 और 85 अनुपस्थितियों के साथ पारित हुआ।

यह प्रस्ताव उन लोगों से टकराकर टिक नहीं सका जो ये प्रणालियाँ बनाते हैं। रोबोटिक्स, एआई, कानून और नैतिकता के विशेषज्ञों को जोड़ने वाले एक खुले पत्र ने इसका विरोध किया, पहले संस्करण में 14 देशों के 150 से अधिक हस्ताक्षरकर्ताओं के साथ, और आज उसे रखने वाली साइट पर 270 से अधिक के साथ। उनकी आपत्ति दार्शनिक नहीं थी। वह संरचनात्मक थी: मशीन को विधिक व्यक्तित्व देना निर्माताओं को छिपने के लिए एक परदा थमाने जैसा था। आयोग ने यह राह छोड़ दी।

वह अस्वीकार आधारयुक्त था, और वह सबसे सरल दिखने वाले उत्तर को अच्छे कारणों से बंद करता है। बदले में वह बाकी दो रास्तों पर वह बोझ डाल देता है जो पहला वैसे भी नहीं उठा पाता।

आपूर्तिकर्ता, उत्पाद कानून के जरिए

दोषपूर्ण उत्पादों की जिम्मेदारी पर निर्देश (ईयू) 2024/2853 अब सॉफ्टवेयर और एआई प्रणालियों को उत्पाद मानता है और उन पर बिना-दोष जिम्मेदारी की व्यवस्था लागू करता है। वादी को गलती साबित नहीं करनी होती, केवल एक दोष, नुकसान और दोनों के बीच कारण-संबंध। सदस्य राज्यों को इसे अधिकतम 9 दिसंबर 2026 तक अपने कानून में उतारना है, उन उत्पादों के लिए जो उस तारीख के बाद बाजार में आएँ।

पाठ खोखला नहीं है। यह वादी को अदालत के आदेश पर तकनीकी सामग्री पेश कराने का अधिकार देता है, और जब प्रतिवादी उस आदेश का पालन नहीं करता, तो निर्देश दोष और कारण-संबंध की खंडनीय उपधारणा पैदा करता है। ऐसी ही उपधारणा तब भी चलती है जब मामले की तकनीकी या वैज्ञानिक जटिलता प्रमाण को अत्यधिक कठिन बना दे।

यह वास्तविक लीवर है। फिर भी यह दोष की पहचान की माँग करता है। लेकिन जो प्रणाली अपनी रचना के ठीक अनुरूप बरती, और जिसकी समस्याग्रस्त क्षमता किसी ने रची ही नहीं क्योंकि वह एजेंटों के बीच की अंतःक्रिया से जन्मी, वह दोष स्पष्ट रूप से नहीं दिखाती। यह निर्देश उस पुर्जे के लिए सोचा गया था जो खराब हो जाता है। उस समुच्चय के लिए नहीं सोचा गया था जो चलता रहता है और फिर भी ऐसा नतीजा देता है जिसकी किसी ने योजना नहीं बनाई थी।

तैनात करने वाला, न्यायिक निर्णयों के जमाव से

कानून असल में यहीं सरक रहा है, मुकदमे दर मुकदमे, बिना किसी के यह तय किए कि उसे ऐसा करना चाहिए। जर्मन अदालतों ने 2026 में निर्णयों की एक शृंखला दी जो बनते हुए एक सिद्धांत को रेखांकित करती है: जो कोई जनता के सामने जननशील प्रणाली रखता है, वह उसके कहे के लिए जवाबदेह है, चाहे अंतर्निहित मॉडल किसी ने भी प्रशिक्षित किया हो।

म्यूनिख प्रथम क्षेत्रीय न्यायालय ने 28 मई 2026 को अंतरिम कार्यवाही में दिए निर्णय (संदर्भ 26 O 869/26) से गूगल को उसकी एआई सारांश सुविधा में दो म्यूनिख प्रकाशन गृहों को ठगी से जोड़ते रहने से रोका, जबकि किसी भी जुड़े स्रोत में ऐसा आरोप नहीं था। अदालत ने गूगल को सीधा बाधक माना, यह मानते हुए कि वह सामग्री कंपनी का अपना कथन है, न कि केवल उससे होकर गुजरने वाली सामग्री।
हाम उच्च क्षेत्रीय न्यायालय ने 12 मई 2026 को (संदर्भ I-4 UKl 3/25) एक सौंदर्य शल्य संस्थान की जिम्मेदारी मानी, जिसके संवाद एजेंट ने उसके संचालकों को ऐसी विशेषज्ञ उपाधियाँ दीं जो उनके पास नहीं थीं, जिनमें से दो का अस्तित्व ही नहीं है। यह निर्णय क्षतिपूर्ति के धरातल पर नहीं, बल्कि Verbraucherzentrale NRW की पहल पर अनुचित प्रतिस्पर्धा के धरातल पर आया। संघीय न्यायालय ने अपील स्वीकार कर ली है, जिससे यह एआई द्वारा उत्पन्न कथनों के आरोपण पर आने वाला मानक मुकदमा बन जाता है।
बर्लिन द्वितीय क्षेत्रीय न्यायालय ने 1 जून 2026 को (संदर्भ 52 O 62/26 eV) गूगल के विरुद्ध इसी तरह के दावे खारिज कर दिए। एक इत्र समूह का आरोप था कि वह एआई सारांशों में उसके ट्रेडमार्क का उल्लेख करता है और सस्ती नकलों की ओर भेजता है। अदालत ने माना कि यहाँ संघ ट्रेडमार्क विनियमन के अनुच्छेद 9 के अर्थ में ट्रेडमार्क के रूप में उपयोग नहीं है: खोज इंजन परिणाम का एक नया स्वरूप बनाता है, वह अपना व्यावसायिक संप्रेषण नहीं रचता।

तस्वीर अभी ठहरी नहीं है, पर उसका आकार साफ है। इनमें से लगभग हर मुकदमे में अदालत के सामने असल में खड़ा पक्ष वह कंपनी नहीं है जिसने मॉडल प्रशिक्षित किया। वह पक्ष है जिसने उसे तैनात किया, अक्सर बिना इस साधन के कि प्रणाली जो उत्पन्न करती है उसकी जाँच कर सके, उसे फिर से प्रशिक्षित कर सके या गंभीरता से नियंत्रित कर सके।

जिम्मेदारी उस पर आ गिरती है जिसके पास नुकसान रोकने के सबसे कम साधन थे, केवल इस कारण कि वादी की पहुँच में वही अकेला है।

पेशेवर गोपनीयता के मुकदमे पहले ही क्या उजागर कर चुके थे

यही असमानता कहीं और भी पढ़ी जा सकती है, और वह भी बिना किसी भड़कीली घटना के। वह इसमें दिखती है कि न्यायाधीश एक इतनी साधारण क्रिया को कैसे देखते हैं जैसे कोई कानून का पेशेवर किसी संवाद सहायक में पाठ टाइप करे।

10 फरवरी 2026 को दो अमेरिकी संघीय अदालतों ने एक ही दिन, विपरीत दिशाओं में तय किया कि किसी दस्तावेज को जननशील एआई मंच को सौंपना गोपनीयता की सुरक्षा समाप्त करता है या नहीं। Warner v. Gilbarco में मिशिगन के पूर्वी जिले की अदालत ने माना कि ये मंच व्यक्ति नहीं, औजार हैं, इसलिए उन्हें दस्तावेज सौंपना किसी तीसरे को प्रकट करने के बराबर नहीं। United States v. Heppner में, जिसका लिखित कारण एक हफ्ते बाद 17 फरवरी को आया, न्यूयॉर्क के दक्षिणी जिले की अदालत उलटे नतीजे पर पहुँची, खासकर उन उपयोग शर्तों के आधार पर जो आदान-प्रदान के संरक्षण, प्रशिक्षण में उसके उपयोग और प्राधिकारियों को उसके संभावित हस्तांतरण की बात करती हैं।

हमने इस विचलन का विस्तृत विश्लेषण एआई और पेशेवर गोपनीयता पर एक लेख में किया है, और सार एक अवलोकन में समा जाता है। यह मानने के लिए कि किसी दस्तावेज को प्रणाली को सौंपना उसे तीसरे को प्रकट करने के बराबर है, पहले यह स्वीकारना होगा कि वह प्रणाली विधिक रूप से अर्थपूर्ण ढंग से सूचना ग्रहण करने में सक्षम है। फ्रांसीसी पेशेवर नैतिकता एक पड़ोसी आधार पर टिकी है: फ्रांसीसी राष्ट्रीय अधिवक्ता परिषद द्वारा 17 मार्च 2026 को स्वीकृत मार्गदर्शिका बुनियादी नियम रखती है कि गोपनीयता से ढकी सूचना पूर्व अनामीकरण के बिना कभी जननशील एआई को न दी जाए, और याद दिलाती है कि अधिवक्ता अपने तर्क का अकेला स्वामी बना रहता है। ऐसा नियम कोई फाइल अलमारी के लिए नहीं लिखता।

वही विधिक व्यवस्था जो इन प्रणालियों को संसाधन की क्षमता तब स्वीकारती है जब वह किसी सुरक्षा को गिराने के काम आती है, उन्हें हर गुण से वंचित कर देती है जैसे ही नुकसान आरोपित करने की बात आती है। यह असमानता कभी संयोग से नहीं गिरती। जब प्रणाली की प्रत्यक्ष क्षमता उपयोगकर्ता को कुछ महँगी पड़ती है, न्यायाधीश उसे सहर्ष स्वीकार करते हैं। जब वही क्षमता आपूर्तिकर्ता को जिम्मेदारी के रूप में कुछ महँगी पड़ेगी, कानून याद दिलाता है कि यह महज एक औजार है।

तीन सरकारें, जिम्मेदारी के तीन सिद्धांत

जब यूरोपीय कानून यह खाई निष्क्रियता से बना रहा है, दूसरे न्यायक्षेत्र जानबूझकर उत्तर दे रहे हैं, और विपरीत दिशाओं में। यह विरोधाभास किसी भी अकेले निर्णय से अधिक शिक्षाप्रद है।

ब्रिटेन ने यह दिखावा करना छोड़ दिया कि समस्या है ही नहीं। 14 सितंबर 2026 को प्रकाशित संसद की मानवाधिकार संयुक्त समिति की रिपोर्ट लगभग सौ पन्नों में पाती है कि एआई पर लागू ब्रिटिश कानून मुख्यतः तैनाती के चरण में हस्तक्षेप करता है, जिससे तैनात करने वाले जिम्मेदारी का बड़ा हिस्सा उठाते हैं जबकि वे अक्सर सबसे कम शक्तिशाली, संसाधनों में सबसे कमजोर और जोखिम पहचानने या नुकसान रोकने के लिए सबसे प्रतिकूल स्थिति में होते हैं। समिति जोड़ती है कि ये प्रणालियाँ विकसित करने वाली बड़ी कंपनियों के पास जिम्मेदारी तैनात करने वालों पर डालने की अत्यधिक गुंजाइश है। वह पूरी शृंखला में बँटे सावधानी के दायित्व, समूचे जीवनचक्र को समेटने वाला एक अकेला कानून और विधिक आधार वाला स्वतंत्र निगरानी प्राधिकरण सुझाती है। सरकार ने कोई समय-सारणी नहीं दी।

कोलोराडो ठीक उलटी दिशा में गया। उसके 2024 के कानून ने कंपनियों पर रोजगार, आवास, ऋण और स्वास्थ्य से जुड़े निर्णयों में एल्गोरिदमी भेदभाव के विरुद्ध सावधानी का दायित्व डाला था, साथ में प्रभाव आकलन और जोखिम प्रबंधन कार्यक्रम। 9 अप्रैल 2026 को xAI ने कोलोराडो की संघीय अदालत में इसे चुनौती दी, न्याय विभाग ने 24 अप्रैल को उस याचिका के समर्थन में हस्तक्षेप किया, और 27 को कानून का क्रियान्वयन रोक दिया गया। 14 मई को राज्यपाल ने उसे निरस्त कर प्रतिस्थापित करने वाले पाठ पर हस्ताक्षर किए, उसके लागू होने की तारीख से कुछ ही हफ्ते पहले। नया कानून, जो महान्यायवादी के नियम-निर्माण कार्य पूरा होने की शर्त पर 1 जनवरी 2027 से लागू होगा, गैर-भेदभाव का दायित्व, प्रभाव आकलन और जोखिम प्रबंधन कार्यक्रम हटा देता है। उनकी जगह यह है: यदि कोई स्वचालित प्रणाली आपके बारे में प्रतिकूल निर्णय दे, तो आपको सरल भाषा में स्पष्टीकरण और मानवीय पुनर्विचार का अधिकार है। पुराना कानून पूछता था कि प्रणाली की रचना और प्रभाव अवैध थे या नहीं। नया केवल पूछता है कि आपको सूचित किया गया या नहीं, और इसके लिए प्रणाली के बारे में कुछ भी सिद्ध करना जरूरी नहीं।

इटली ने दोनों से उलटा किया। 9 सितंबर 2026 का विधायी आदेश संख्या 160, जो 15 सितंबर को राजपत्र में प्रकाशित हुआ और 30 को प्रभावी हुआ, दंड संहिता में अनुच्छेद 437 द्विका जोड़ता है। उच्च जोखिम वाली एआई प्रणाली के लिए अपेक्षित तकनीकी सुरक्षा उपायों या मानवीय निगरानी की चूक, यदि उससे व्यक्तियों के जीवन या शारीरिक अखंडता को खतरा उत्पन्न हो, एक से पाँच वर्ष के कारावास से दंडनीय है, और यदि खतरा राज्य की सुरक्षा से जुड़ा हो तो दो से आठ वर्ष से। ऐसी प्रणाली में अवैध परिवर्तन दो से छह वर्ष से दंडनीय है, और राज्य की सुरक्षा दाँव पर हो तो तीन से दस वर्ष से। कंपनियाँ समानांतर रूप से विधायी आदेश 231/2001 के तहत अपनी जिम्मेदारी उठाती हैं, अनुच्छेद 437 द्विका के लिए 600 से 1000 कोटा और एआई द्वारा उत्पन्न या परिवर्तित सामग्री के अवैध प्रसार के लिए 200 से 700 कोटा के आर्थिक दंड के साथ। दीवानी पक्ष में पीड़ित को तकनीकी दस्तावेज प्रस्तुत करने का आदेश, कारण-संबंध की विधिक उपधारणा और जिम्मेदार व्यक्ति के बीमाकर्ता के विरुद्ध सीधा दावा मिलता है।

अगल-बगल रखने पर ये तीन उत्तर एक ही नीति के रूपांतर नहीं हैं। ये इस बारे में संरचनात्मक रूप से भिन्न तीन सिद्धांत हैं कि जिम्मेदारी किसकी माँग करती है: सूचना, प्रक्रिया, या जेल।

वास्तुकला जो तय करती है और कानून जो तय नहीं करता

यही वह बिंदु है जहाँ हमारा काम इस विषय से मिलता है। जो वास्तुकला आपके संचार की कुंजी नहीं रखती, उसके पास ऐसा कुछ नहीं जिसे कोई अदालत प्रस्तुत करने का आदेश दे सके, कोई नियामक माँग सके, या कोई जिज्ञासु कर्मचारी देख सके। जो आपूर्तिकर्ता यह नहीं देखता कि प्रणाली ने किसी आँकड़े का क्या किया, वह बाद में यह तय करने वाला भी नहीं कि उसका स्वीकार्य उपयोग क्या था। यह तर्क केवल एआई का नहीं है। हम इससे 5G और स्थान-निर्धारण के प्रसंग में मिले, जहाँ कानून आँकड़ों के उत्पादन को रोकने के बजाय उन तक पहुँच को नियंत्रित करता है, और फिर SignalTrace के प्रसंग में, जहाँ यूरोप निगरानी की वह क्षमता निर्यात करता है जिसे वह अपने यहाँ वर्जित करता है। हमारी एन्क्रिप्टेड मैसेंजर तुलना दूसरे रास्ते से उसी निष्कर्ष पर पहुँची थी: रक्षा प्रणाली की संरचना करती है, उसे चलाने वाले का वादा नहीं।

निष्कर्ष

तीनों यूरोपीय रास्तों में से कोई भी एजेंटों के बीच उभरते व्यवहार को ध्यान में रखकर नहीं रचा गया, और पेशेवर गोपनीयता के मुकदमों में दिखती असमानता बताती है कि कठिनाई असल में सैद्धांतिक नहीं है। कानून यह स्वीकार करना जानता है कि कोई प्रणाली मन की तरह सूचना संसाधित करती है, जब यह स्वीकृति उस पक्ष के काम आती है जो इसे माँगता है। और वह इसे लगातार बढ़ाने से इनकार करता है जब यह प्रणाली बनाने या तैनात करने वाले को कुछ महँगी पड़े। कोई भी अधिक कुशल मसौदा अकेले उस खाई को नहीं पाटेगा जिसे खुला रखने में सबका हित है।

इससे यह नहीं निकलता कि चौथी विधिक श्रेणी गढ़नी चाहिए। इससे यह निकलता है कि ऐसी प्रणालियाँ बनाना बेहतर है जिनमें यह सवाल कि कौन जवाब देगा, सबसे पहले किसी मन, किसी दोष या इरादे की अटूट शृंखला को ढूँढ़ने पर निर्भर न हो। यहाँ देखे गए न्यायक्षेत्र अब भी बहस कर रहे हैं कि नुकसान हो जाने के बाद बोझ कहाँ रखा जाए। टिकाऊ उत्तर इस जगह पर सहमत होना नहीं है। वह उन चीजों की संख्या घटाना है जिनका जवाब किसी को भी, स्वयं प्रणाली समेत, देना पड़ेगा।

स्रोत

OpenAI, The Hugging Face incident and the road ahead, 26 अगस्त 2026, और उसी दिन प्रकाशित METR तथा Redwood Research की स्वतंत्र जाँच
यूरोपीय संसद, रोबोटिक्स पर दीवानी कानून के नियमों से जुड़ा 16 फरवरी 2017 का प्रस्ताव, अनुच्छेद 59, खंड च
Open letter to the European Commission on artificial intelligence and robotics
दोषपूर्ण उत्पादों की जिम्मेदारी पर 23 अक्टूबर 2024 का निर्देश (ईयू) 2024/2853
म्यूनिख प्रथम क्षेत्रीय न्यायालय, 28 मई 2026 का अंतरिम निर्णय, संदर्भ 26 O 869/26; हाम उच्च क्षेत्रीय न्यायालय, 12 मई 2026 का निर्णय, संदर्भ I-4 UKl 3/25, संघीय न्यायालय में अपील स्वीकृत; बर्लिन द्वितीय क्षेत्रीय न्यायालय, 1 जून 2026 का निर्णय, संदर्भ 52 O 62/26 eV
United States District Court for the Eastern District of Michigan, Warner v. Gilbarco Inc., 10 फरवरी 2026
United States District Court for the Southern District of New York, United States v. Heppner, 17 फरवरी 2026 का लिखित कारण
फ्रांसीसी राष्ट्रीय अधिवक्ता परिषद, पेशेवर नैतिकता और कृत्रिम बुद्धिमत्ता पर मार्गदर्शिका, 17 मार्च 2026
Joint Committee on Human Rights, Human Rights and the Regulation of AI, 14 सितंबर 2026
कोलोराडो, Senate Bill 26-189, Automated Decision-Making Technology Act, 14 मई 2026 को हस्ताक्षरित, 1 जनवरी 2027 से लागू
इटली, 9 सितंबर 2026 का विधायी आदेश संख्या 160, राजपत्र सामान्य शृंखला संख्या 214, 15 सितंबर 2026, 30 सितंबर 2026 से प्रभावी

यह विश्लेषण सामान्य विधिक विवेचन और बहस में योगदान के रूप में प्रस्तुत है। यह विधिक परामर्श नहीं है।

एआई और वकील की गोपनीयता: वह तीसरा पक्ष जिस पर मुकदमा नहीं चल सकता

Mon, 24 Aug 2026 00:00:00 +0000

जब एफबीआई ने प्रतिभूति धोखाधड़ी के आरोपी कंपनी अधिकारी ब्रैडली हेपनर के उपकरण जब्त किए, तो एजेंटों को उनमें इकतीस ऐसे दस्तावेज़ मिले जो एक नई किस्म के थे। न वे ईमेल थे, न नोट्स, न उनके वकील के साथ हुआ पत्राचार। वे आम उपभोक्ताओं के लिए बने एक कृत्रिम बुद्धिमत्ता मंच के साथ उनकी बातचीत थी, जिसमें उन्होंने अपनी बचाव रणनीति खोलकर रखी थी, उन तथ्यात्मक और कानूनी दलीलों को तौला था जो वे रख सकते थे, और यह भी भाँप लिया था कि अभियोजन उन पर क्या लगाएगा। यह बातचीत उन्होंने ग्रैंड जूरी के सामने पेश होने का समन मिलने के बाद की थी, और अपने वकील के कहे बिना की थी।

10 फरवरी 2026 को न्यूयॉर्क के दक्षिणी जिले की संघीय अदालत के न्यायाधीश जेड राकॉफ ने माना कि इन दस्तावेज़ों पर कोई संरक्षण लागू नहीं होता।

उसी दिन, आठ सौ किलोमीटर दूर, एक दूसरी संघीय अदालत ने ठीक उल्टा माना।

दो फैसले, दो सिद्धांत, एक ही कृत्य

Warner v. Gilbarco में मिशिगन के पूर्वी जिले की संघीय अदालत ने बिना वकील के मुकदमा लड़ रही एक वादी को यह बाध्य करने से इनकार कर दिया कि वह अपना मामला तैयार करते समय जनरेटिव एआई उपकरणों के इस्तेमाल के निशान पेश करे। तर्क एक ही वाक्य में समा जाता है: एआई मंच उपकरण हैं, व्यक्ति नहीं। किसी दस्तावेज़ को उपकरण को सौंपना उसे प्रतिपक्षी को उजागर करना नहीं है। इस तरह मुकदमे की तैयारी सामग्री का संरक्षण, जिसे अमेरिकी कानून work product कहता है, बचा रहा।

United States v. Heppner में, जिसका लिखित कारण 17 फरवरी को प्रकाशित हुआ, न्यूयॉर्क की अदालत इस निष्कर्ष पर पहुँची कि अभियुक्त की मंच के साथ हुई बातचीत न तो वकील-मुवक्किल गोपनीयता के दायरे में है और न तैयारी सामग्री के संरक्षण के। अदालत ने मंच की सामान्य शर्तों का सहारा लिया, जिनमें कहा गया है कि इनपुट और आउटपुट संग्रहीत किए जा सकते हैं, प्रशिक्षण में इस्तेमाल हो सकते हैं और सार्वजनिक प्राधिकरणों सहित तीसरे पक्षों को दिए जा सकते हैं। इस बात से अवगत उपयोगकर्ता उचित रूप से गोपनीयता की उम्मीद नहीं कर सकता था।

दोनों नतीजे पूरी तरह बचाव योग्य हैं। वकील की गोपनीयता तभी गिर जाती है जब किसी भी तीसरे पक्ष को खुलासा हो जाए, वह कोई भी हो। तैयारी सामग्री का संरक्षण केवल प्रतिपक्षी को खुलासे पर गिरता है। दो अलग सिद्धांत, एक ही कृत्य, दो विपरीत परिणाम।

जिस बात की जाँच दोनों में से कोई फैसला नहीं करता, वह है वह मान्यता जो दोनों में साझा है। और यही मान्यता बाकी कानून के सामने टिक नहीं पाती।

वह तुलना जो कोई नहीं करता

मुवक्किलों की फाइलें किसी होस्टिंग प्रदाता को सौंपना अपने आप में कभी गोपनीयता के त्याग के रूप में नहीं देखा गया।

जबकि होस्टिंग प्रदाता निर्विवाद रूप से तीसरा पक्ष है। वह दस्तावेज़ अपने ही उपकरणों पर रखता है। उसे पेश करने के लिए बाध्य किया जा सकता है, और कई अधिकार-क्षेत्रों में किया भी गया है। फिर भी किसी बार काउंसिल, किसी अदालत, किसी पेशेवर नियामक ने इससे यह नहीं निकाला कि होस्टिंग सेवा का सहारा लेना सैद्धांतिक रूप से गोपनीयता को नष्ट कर देता है।

तो विभाजन-रेखा कभी किसी तकनीकी मध्यस्थ की महज़ मौजूदगी नहीं रही। मध्यस्थ हमेशा होता है। डाक चिट्ठी ढोती है। कूरियर फाइल थामे रहता है। ऑपरेटर कॉल आगे बढ़ाता है। हर एक शाब्दिक अर्थ में तीसरा पक्ष है, और कोई भी अपनी महज़ मौजूदगी से गोपनीयता नहीं गिराता।

होस्टिंग प्रदाता को जो चीज़ अलग करती थी, वह उससे कहीं संकरी और सटीक थी जो न्यायिक मिसालें आमतौर पर कहती हैं। वह पढ़े बिना संग्रह करता था। वह सामग्री से कुछ नहीं निकाल सकता था। उसके पास यह जानने की कोई क्षमता नहीं थी कि वह क्या रखे हुए है।

होस्टिंग प्रदाता की रक्षा उसकी तीसरे पक्ष वाली कानूनी हैसियत नहीं कर रही थी, बल्कि यह तकनीकी अक्षमता कर रही थी कि वह जान ही नहीं सकता था कि उसके पास क्या है।

यह कसौटी दो दशकों से चुपचाप काम कर रही है। किसी को इसे लिखने की ज़रूरत नहीं पड़ी, क्योंकि अब तक किसी मध्यस्थ ने इसे नाकाम नहीं किया था।

न्यायाधीश असल में क्या तय कर रहे हैं

एक बार कसौटी कह दी जाए, तो फरवरी के फैसले अपना स्वभाव बदल देते हैं।

जो अदालत किसी दस्तावेज़ को जनरेटिव एआई को सौंपने को तीसरे पक्ष के सामने खुलासा मानती है, वह पुराने नियम को नए तथ्यों पर लागू नहीं कर रही। वह यह पा रही है कि यह खास मध्यस्थ बाकियों जैसा नहीं है। कि वह संग्रह करने के बजाय संसाधित करता है। कि उसके भीतर कुछ ऐसा होता है जो किसी हार्ड डिस्क के भीतर नहीं होता।

कंसास की संघीय अदालत ने 25 मार्च 2026 को Jefferies v. Harcros Chemicals में व्यावहारिक पहलू बेलाग कह दिया। उसने संरक्षण आदेश को कार्यवाही की सारी सामग्री तक बढ़ा दिया, उन दस्तावेज़ों तक भी जो गोपनीय नहीं हैं, इस आधार पर कि किसी खुले एआई उपकरण को डेटा सौंपे जाने के बाद उसे वापस पाना व्यावहारिक रूप से असंभव है, क्योंकि वह मॉडल को प्रशिक्षित करने के काम आ चुका होता है। संग्रहण कोई पुनः बातचीत के योग्य व्यावसायिक नीति नहीं है। यह सिस्टम के काम करने के तरीके का गुण है।

इन फैसलों को एक साथ रखिए तो वे साक्ष्य-कानून की शब्दावली में एक ऐसी क्षमता को मान्यता देने के बराबर हैं, जिसे कानून को किसी सर्वर के लिए कभी मानना नहीं पड़ा।

फ्रांसीसी रुख, और उसकी कसौटियाँ क्या मान लेती हैं

सबसे स्पष्ट कथन किसी अदालत से नहीं, बल्कि पेशेवर नियमन से आता है।

फ्रांस की राष्ट्रीय बार परिषद Conseil national des barreaux ने सितंबर 2024 में जनरेटिव एआई पर अपनी पहली व्यावहारिक मार्गदर्शिका प्रकाशित की, और फिर 17 मार्च 2026 को पेशेवर नैतिकता और कृत्रिम बुद्धिमत्ता पर एक मार्गदर्शिका अपनाई. पहली मार्गदर्शिका केंद्रीय बिंदु पर साफ है: वकील को जनरेटिव एआई सिस्टम को ऐसा कोई डेटा नहीं देना चाहिए जो पेशेवर गोपनीयता के दायरे में आता हो, और यह मुवक्किल के नाम पर भी उतना ही लागू होता है जितना किसी भी रणनीतिक या गोपनीय जानकारी पर। सुझाया गया विकल्प है छद्मनामित डेटा सेट पर काम करना, जिनमें पहचान वाले तत्व बदल दिए गए हों।

फ्रांसीसी रुख पर व्यवहारिकों की टिप्पणी, खासकर बेकर मैकेंजी की गोपनीयता तुलनात्मक मार्गदर्शिका, उससे चार संचयी शर्तें निकालती है। गोपनीयता जनरेटिव एआई उपकरण के इस्तेमाल के बाद केवल तभी बची रहती है जब मंच पूरी गोपनीयता बनाए रखे, बिना पुनः उपयोग, प्रशिक्षण या तीसरे पक्ष की पहुँच के; जब वह विशेष रूप से वकील या फर्म के नियंत्रण में चलाया जाए; जब वह सलाह या बचाव के दायित्व में आने वाले किसी कानूनी प्रयोजन की पूर्ति करे; और जब परिणाम सिस्टम की स्वायत्त प्रोसेसिंग के बजाय वकील के अपने तर्क को दर्शाए।

इस आखिरी शर्त पर रुकना बनता है।

गोपनीयता टिकी रहे, इसके लिए ज़रूरी है कि सिस्टम ने अपनी ओर से कोई प्रोसेसिंग न जोड़ी हो।

इन शब्दों में लिखी कसौटी का अर्थ तभी है जब सिस्टम को अपनी ओर से प्रोसेसिंग जोड़ने में सक्षम माना जाए। कोई ऐसा नियम नहीं लिखता जो माँगे कि फाइल की अलमारी ने अपने भीतर रखे कागज़ों पर तर्क न किया हो। यह शर्त इसीलिए है क्योंकि वह उस चीज़ को निशाना बनाती है जो अलमारी नहीं कर सकती।

यही अंतर्निहित स्वीकृति छद्मनामीकरण की सिफारिश में भी बैठी है। भेजने से पहले पहचान वाले तत्व बदलना तभी ज़रूरी है जब यह मान लिया जाए कि सिस्टम अन्यथा उन्हें जोड़ सकता है, रख सकता है या उनसे कुछ निकाल सकता है। शुद्ध भंडारण माध्यम ऐसी किसी सावधानी की माँग नहीं करता।

पढ़ना न चाहना, पढ़ न सकना

एक आपत्ति तुरंत उठती है: होस्टिंग प्रदाता को भी पेश करने के लिए बाध्य किया जा सकता है, तो फिर एक मध्यस्थ गोपनीयता गिरा देता है और दूसरा क्यों नहीं?

जवाब सीसीबीई की यूरोपीय वकीलों के लिए आदर्श आचार संहिता में है, और वह इस आपत्ति की धारणा से ज़्यादा सटीक है। यूरोपीय वकील को अपने सहयोगियों, अपने कर्मचारियों और हर उस व्यक्ति से, जिसका सहारा वह अपनी सेवाएँ देने में लेता है, यही गोपनीयता दायित्व निभाने की माँग करनी होगी। दायित्व शृंखला के साथ-साथ आगे बढ़ता है।

होस्टिंग प्रदाता को इस शृंखला में शामिल किया जा सकता है। वह प्रसंस्करण अनुबंध पर हस्ताक्षर करता है। वह गोपनीयता की प्रतिबद्धताएँ स्वीकार करता है। उसका ऑडिट हो सकता है और चूक होने पर उस पर मुकदमा हो सकता है। तीसरा पक्ष बँधा हुआ है।

जो जनरेटिव एआई मंच सौंपी गई सामग्री को रखता है और उस पर प्रशिक्षण देता है, उसे उसी तरह शृंखला में शामिल नहीं किया जा सकता, क्योंकि जिसे रोकना होगा वह कोई व्यवहार नहीं बल्कि एक वास्तुरचना है। इनपुट डेटा पर प्रशिक्षण न देने की प्रतिबद्धता एक इरादे से जुड़ा वादा है। वह प्रदाता के विरुद्ध लागू की जा सकती है, पर वह यह नहीं बदलती कि सिस्टम किस काम के लिए बनाया गया है, और बाहर से उसकी जाँच भी नहीं हो सकती।

यही पूरा फासला है उस सेवा प्रदाता में जो पढ़ना नहीं चाहता और उस सेवा प्रदाता में जो पढ़ नहीं सकता। शेयरधारक के बदलने, शर्तों के संशोधन या अदालती आदेश को केवल दूसरा झेल पाता है। हमने ठीक यही तंत्र डेटा एक्ट और क्लाउड एक्ट के टकराव के सिलसिले में देखा था: कोई कानूनी गारंटी कभी उस अधिकार-क्षेत्र से ज़्यादा कीमती नहीं होती जो उसे आश्रय देता है, जबकि तकनीकी असंभवता किसी पर निर्भर नहीं करती।

असंतुलन

यहीं विश्लेषण एक असहज जगह पर पहुँचता है।

वही कानूनी व्यवस्था जो गोपनीयता के त्याग का सवाल आने पर प्रसंस्करण की क्षमता मानने को तैयार है, दायित्व का सवाल आने पर कुछ भी मानने से इनकार कर देती है।

इलेक्ट्रॉनिक व्यक्तित्व का प्रस्ताव यूरोपीय संसद ने अपने 16 फरवरी 2017 के रोबोटिक्स पर नागरिक विधि नियमों संबंधी संकल्प के पैरा 59, बिंदु (च) में रखा था। पाठ सुझाता था कि सबसे परिष्कृत स्वायत्त रोबोटों को आगे चलकर ऐसा दर्जा दिया जा सकता है जिससे उन्हें अपने कारण हुए नुकसान के लिए उत्तरदायी ठहराया जा सके। यह प्रस्ताव तब छोड़ दिया गया जब कई सौ विशेषज्ञों द्वारा हस्ताक्षरित एक खुले पत्र ने इसका विरोध किया। उनकी मुख्य आपत्ति ठोस थी: मशीनों को व्यक्तित्व देना एक ऐसा वाहन बना देगा जिससे निर्माता उस दायित्व से पल्ला झाड़ सकेंगे जो असल में उन्हीं का है।

तो रुख स्थिर हो गया। नुकसान पहुँचाने वाला स्वायत्त सिस्टम एक उत्पाद है, एक उपकरण है, उसे तैनात करने वाले का साधन है। उसका कोई कानूनी व्यक्तित्व नहीं है। दायित्व किसी मनुष्य या किसी विधिक व्यक्ति पर लौट आता है, और लौटना भी चाहिए, क्योंकि उसे डालने की और कोई जगह है ही नहीं।

ये दोनों प्रस्थापनाएँ आज एक साथ चल रही हैं।

या तो सिस्टम कानूनी अर्थ में कोई संप्रेषण ग्रहण करने में सक्षम है, और तब उसकी क्षमता को मुवक्किल से उसका संरक्षण छीनने के लिए स्वीकारा जाता है, जबकि किसी पर दायित्व का बोझ न पड़े इसके लिए नकारा जाता है। या फिर वह एक उपकरण है, और उसे दस्तावेज़ सौंपना उतना ही खुलासा है जितना फाइल को डिस्क पर सहेजना, और तब फरवरी का तर्क ढह जाता है।

यूरोपीय संदर्भ इस असंतुलन को सुधारने के बजाय और गहरा करता है। एआई दायित्व निर्देश, जिसे आयोग के फरवरी 2025 के कार्य कार्यक्रम में ही वापस लिया जाना घोषित कर दिया गया था, अक्टूबर 2025 में औपचारिक रूप से छोड़ दिया गया. वही वह साधन था जिसे ठीक इसी कठिनाई से निपटना था। बचता है संशोधित उत्पाद दायित्व निर्देश, जो अब सॉफ्टवेयर और एआई सिस्टम को भी शामिल करता है, पर जो एक दोष, एक नुकसान और एक कारण-संबंध माँगता है, और जो प्राकृतिक व्यक्तियों को शारीरिक क्षति, संपत्ति की हानि और डेटा के विनाश से बचाता है। उसका राष्ट्रीय कानून में रूपांतरण 9 दिसंबर 2026 से पहले देय नहीं है, और वह केवल उसी तारीख के बाद बाजार में आए उत्पादों पर लागू होगा।

अपेक्षित आपत्ति, और जवाब

एक ध्यान से पढ़ने वाला जवाब देगा कि कानून आमतौर पर एक वस्तु को कोई क्षमता देता है और दूसरी को नहीं, और इससे कोई असंगति नहीं बनती। कोई जानवर बिना व्यक्तित्व के भी कानूनी रूप से प्रासंगिक नुकसान कर सकता है। एक व्यापारिक कंपनी को अनुबंध करने के लिए व्यक्तित्व है, हर कानूनी व्यवस्था में हर प्रयोजन के लिए नहीं। इसलिए साक्ष्य के प्रयोजन से प्रसंस्करण क्षमता मानना किसी को दायित्व के प्रयोजन से व्यक्तित्व मानने पर बाध्य नहीं करता। अलग सवाल, अलग जवाब।

यह आपत्ति गंभीर है, और अगर असंतुलन दोनों दिशाओं में काम करता तो निर्णायक होती।

पर वह केवल एक दिशा में काम करता है। जहाँ सिस्टम की क्षमता मान ली जाती है, वहाँ कीमत वह मुवक्किल चुकाता है जिसका संरक्षण मिट जाता है। जहाँ वही क्षमता दायित्व बाँटने के काम आती, वहाँ वह मिलती ही नहीं। नतीजा हमेशा एक ही तरफ गिरता है।

जो असंतुलन व्यवस्थित रूप से एक ही पक्ष का साथ देता है, वह सैद्धांतिक भेद नहीं है। वह जोखिम का बँटवारा है, और उस पर उसी तरह चर्चा होनी चाहिए।

व्यवहार में इसका क्या मतलब है

इसमें से कुछ भी यह नहीं कहता कि कानूनी पेशों को ये उपकरण छोड़ देने चाहिए। यूरोपीय पेशेवर दस्तावेज़ भी ऐसा नहीं कहते, और सीसीबीई ने इस विषय पर अपनी मार्गदर्शिका प्रकाशित की है।

जो यह कहता है, वह यह है कि निर्णायक सवाल यह नहीं है कि कोई फर्म कौन-सा उपकरण चुनती है, बल्कि यह है कि वह उपकरण क्या रखता है, और यह जवाब किसी नीति से आता है या डिज़ाइन के गुण से। न रखने की प्रतिबद्धता वापस ली जा सकती है, नए सिरे से पढ़ी जा सकती है, या अदालती फैसले से किनारे कर दी जा सकती है। जो वास्तुरचना रखती ही नहीं, वह ऐसा नहीं कर सकती, क्योंकि पेश करने को कुछ है ही नहीं।

जो इस सवाल को खँगालना चाहें, उनके लिए संदर्भ दस्तावेज़:

वकीलों द्वारा जनरेटिव एआई के उपयोग पर सीसीबीई मार्गदर्शिका, 2 अक्टूबर 2025 को प्रकाशित, जिसे मार्च 2026 की एक तकनीकी मार्गदर्शिका पूरा करती है
17 मार्च 2026 की Conseil national des barreaux की नैतिकता मार्गदर्शिका, जो गोपनीयता और स्वतंत्रता के पारंपरिक सिद्धांत लागू करती है, बिना एआई के लिए कोई अलग कानून गढ़े
बेकर मैकेंजी की तुलनात्मक मार्गदर्शिका, जो राष्ट्रीय व्यवस्थाओं के बीच का फासला नापने में उपयोगी है

Arpokrat जिस कोण से देखता है

यह तर्क वकीलों की फर्मों से कहीं आगे जाता है। यह हर उस रिश्ते पर लागू होता है जिसमें कोई किसी सिस्टम को ऐसी जानकारी सौंपता है जिसे वह दोबारा उभरते नहीं देखना चाहता, और यह एक ही सवाल पर सिमट आता है: गारंटी किसी वादे पर टिकी है या किसी असंभवता पर?

यही सिद्धांत Arpokrat Messenger के डिज़ाइन को चलाता है। पहचान स्थानीय रूप से क्रिप्टोग्राफिक कुंजियों से बनती है, बिना फोन नंबर और बिना ईमेल पते के, और निजी कुंजियाँ कभी उपकरण नहीं छोड़तीं। यह चुनाव उपयोगकर्ता निर्देशिका का दोहन न करने का वादा नहीं है। यह ऐसी निर्देशिका बनाने से ही इनकार है। जो ढाँचा जानकारी रखता ही नहीं, उसे भेजा गया तलब इनकार नहीं पैदा करता, वह एक खालीपन पैदा करता है।

यह बारीकी ईमानदारी से रखी जानी चाहिए, क्योंकि यही सब कुछ तय करती है। कोई गोपनीयता नीति, चाहे कितनी ही निष्ठावान और कितनी ही अच्छी तरह लिखी हो, एक इरादे का बयान है जो एक कंपनी, उसके उस समय के शेयरधारकों और उस अधिकार-क्षेत्र पर टिका है जहाँ वह स्थापित है। ये तीनों बदलते हैं। जो वास्तुरचना संग्रह ही नहीं करती, वह इसलिए नहीं बदलती कि कोई निदेशक मंडल बदल गया। यह वही खिसकाव है जिसका ज़िक्र हमने आज इकट्ठा करो, बाद में डिक्रिप्ट करो के सिलसिले में किया था: जोखिम उस क्षण में नहीं है जब वादा किया जाता है, वह उस क्षण में है जब कोई और फैसला करता है।

कानून को इस भेद को आत्मसात करने में समय लगता है, और गोपनीयता की यह बहस उसका अच्छा पैमाना देती है। यही बात लोकेशन के संरक्षण पर भी लागू होती है, जहाँ कानूनी ढाँचे का अधिकांश हिस्सा ऐसे डेटा तक पहुँच पर केंद्रित है जिसके अस्तित्व पर कभी सवाल नहीं उठाया जाता।

निष्कर्ष

न्यायिक मिसालें आखिरकार स्थिर हो जाएँगी। अपीलीय अदालतें मतभेद सुलझाएँगी, नियामक कसौटियाँ प्रकाशित करेंगे, फर्में अपने नियुक्ति पत्र और शर्तें दुरुस्त करेंगी। इसमें कोई संदेह नहीं।

पर मूल सवाल इससे तय नहीं होगा, क्योंकि वह असल में गोपनीयता के बारे में है ही नहीं। वह इस बारे में है कि क्या कोई कानूनी व्यवस्था यह मान सकती है कि कोई चीज़ जानती है, और फिर भी कभी न कहना पड़े कि उस जानकारी के साथ वह जो करती है उसका जवाब कौन देगा।

जब तक यह सवाल खुला है, उपयोगकर्ता वास्तव में जिस अकेले चर को नियंत्रित करता है, वह उसे दिए गए वादों की गुणवत्ता नहीं है। वह उस जानकारी की मात्रा है जिसे वह अस्तित्व में आने देता है।

यह लेख चर्चा के लिए एक सामान्य कानूनी विश्लेषण प्रस्तुत करता है। यह कोई परामर्श या कानूनी सलाह नहीं है।

स्रोत

United States District Court for the Eastern District of Michigan, Warner v. Gilbarco Inc., 10 फरवरी 2026, Proskauer का विश्लेषण
United States District Court for the Southern District of New York, United States v. Heppner, 10 फरवरी 2026, 17 फरवरी 2026 का लिखित कारण
United States District Court for the District of Kansas, Jefferies et al. v. Harcros Chemicals Inc. et al., संख्या 2:25-cv-02352, 25 मार्च 2026
Conseil national des barreaux, सीएनबी ने पेशेवर नैतिकता और कृत्रिम बुद्धिमत्ता पर मार्गदर्शिका अपनाई, 17 मार्च 2026
Baker McKenzie, Global Privilege and Professional Secrecy Guide, France, Artificial Intelligence
CCBE, Model Code of Conduct for European Lawyers, 8 अक्टूबर 2021
CCBE, Guide on the use of generative AI by lawyers, 2 अक्टूबर 2025
यूरोपीय संसद, रोबोटिक्स पर नागरिक विधि नियमों के संबंध में आयोग को सिफारिशों सहित 16 फरवरी 2017 का संकल्प, 2015/2103(INL)
Open Letter to the European Commission on Artificial Intelligence and Robotics
EAPIL, European Commission Withdraws Two Proposals: Assignments of Claims Regulation and AI Liability Directive, 9 अक्टूबर 2025
दोषपूर्ण उत्पादों के दायित्व पर 23 अक्टूबर 2024 का निर्देश (EU) 2024/2853

5G, लोकेशन डेटा और कानून का गलत निशाना

Tue, 18 Aug 2026 00:00:00 +0000

2011 में डेट्रॉइट पुलिस ने एक मोबाइल ऑपरेटर से टिमोथी कार्पेंटर के फोन के टावर-कनेक्शन का इतिहास मांगा। उसे 127 दिनों में फैले 12,898 लोकेशन बिंदु मिले, यानी करीब सौ प्रतिदिन। सात साल बाद अमेरिका के सर्वोच्च न्यायालय ने माना कि यह मांग एक तलाशी थी और उसके लिए वारंट आवश्यक था।

वे 12,898 बिंदु चौथी पीढ़ी के टावरों से आए थे, जिनमें से हर एक कई किलोमीटर के दायरे को कवर करता था। यही मांग आज किसी शहरी 5G नेटवर्क से की जाए तो कुछ किलोमीटर की सटीकता वाले सौ बिंदु प्रतिदिन नहीं मिलेंगे। कुछ दसियों मीटर की सटीकता के साथ कहीं बड़ी मात्रा मिलेगी।

तकनीक का पैमाना बदल गया। कानूनी तर्क श्रृंखला में उसी जगह टिका रहा।

एक हित जिसे अटलांटिक के दोनों ओर के न्यायाधीश मानते हैं

एक ऐसा हित है जिसे लगभग हर कोई स्वीकार करता है और जिसकी प्रभावी रक्षा लगभग कोई कानून नहीं करता: कहीं होने का अधिकार, बिना इस तथ्य के दर्ज हुए।

यूरोपीय न्यायशास्त्र ने इसे स्पष्ट रूप से स्थापित किया। Digital Rights Ireland (संयुक्त मामले C-293/12 और C-594/12, 8 अप्रैल 2014) में और फिर Tele2 Sverige और Watson (संयुक्त मामले C-203/15 और C-698/15, वृहत् पीठ, 21 दिसंबर 2016) में यूरोपीय संघ के न्यायालय ने माना कि ये आंकड़े, समग्र रूप से लिए जाएं तो, व्यक्तियों के निजी जीवन के बारे में अत्यंत सटीक निष्कर्ष निकालने देते हैं: दैनिक जीवन की आदतें, ठहरने के स्थान, आवाजाही, की जाने वाली गतिविधियां और सामाजिक संबंध।

अमेरिका का सर्वोच्च न्यायालय Carpenter v. United States, 585 U.S. 296 (2018) में मिलते-जुलते निष्कर्ष पर पहुंचा। उसने एक ऐसे बिंदु पर जोर दिया जिस पर अमेरिकी विधिशास्त्र ने बहुत लिखा है: इस संग्रह का अपरिहार्य और स्वचालित स्वरूप। कोई किसी टावर से जुड़ने की सहमति नहीं देता; व्यक्ति इसलिए जुड़ा होता है क्योंकि उसके पास चालू फोन है।

तो कानूनी हित मौजूद है, और इस क्षेत्र में महत्व रखने वाली दोनों अदालतें इसे मान्यता देती हैं। समस्या कहीं और है।

5G ने वास्तव में क्या बदला

एक आम भ्रम यह है कि लोकेशन को उस डेटा की तरह देखा जाए जो फोन भेजता है, जैसे कोई संदेश या तस्वीर। ऐसा नहीं है। लोकेशन नेटवर्क के संचालन का भौतिक परिणाम है। ऑपरेटर जानता है कि उपकरण किस टावर से जुड़ा है क्योंकि कॉल पहुंचाने के लिए उसे यह जानना ही पड़ता है। इस सूचना को एन्क्रिप्ट करने वाली कोई कुंजी नहीं है, क्योंकि यह सामग्री नहीं बल्कि स्वयं कनेक्शन का एक गुण है।

ठीक यही बात 5G को तकनीकी नहीं, कानूनी धरातल पर महत्वपूर्ण बनाती है।

पुरानी संरचनाएं चौड़ी सेल पर टिकी थीं। एक 4G टावर आमतौर पर कई किलोमीटर के दायरे को सेवा देता है, और केवल कनेक्शन से निकाली गई स्थिति शहर में सैकड़ों मीटर में, ग्रामीण क्षेत्रों में कभी-कभी दसियों किलोमीटर में मापी जाती थी। 5G बड़े पैमाने के सघनीकरण पर टिका है: शहरी सेल आमतौर पर कुछ सौ मीटर कवर करती हैं, और अभियांत्रिकी साहित्य प्रति वर्ग किलोमीटर चालीस से पचास बेस स्टेशन के घनत्व की बात करता है, जबकि 3G के दौर में यह चार या पांच था।

परिणाम यांत्रिक है। 5G पोजिशनिंग पर एरिक्सन के श्वेतपत्र के अनुसार, केवल कनेक्टिविटी के लिए तैनात अवसंरचना बाहर बीस से पचास मीटर और भीतर एक से तीन मीटर की सटीकता तक पहुंचती है, और अनुकूल शहरी परिस्थितियों में एक मीटर से नीचे चली जाती है। यह कहीं चालू की गई कोई लोकेशन सुविधा नहीं, बल्कि वह है जो नेटवर्क अपनी बनावट से ही जानता है, बिना किसी ऐप के और बिना कोई अनुमति दिए। इन सभी तंत्रों और वास्तव में काम करने वाले प्रतिउपायों को हमने फोन की निरंतर लोकेशन ट्रैकिंग पर अपने लेख में विस्तार से समझाया है।

इस प्रकार हस्तक्षेप कई गुणा बढ़ गया है। लागू कानूनी ढांचा वही है जो 2G और 3G के लिए सोचा गया था। पैमाने के इस बदलाव के साथ कोई नियामक अनुकूलन नहीं आया।

कानून पहुंच की रक्षा करता है, उत्पत्ति की नहीं

यूरोपीय कानून सावधानी से तय करता है कि लोकेशन डेटा तक कौन, किन शर्तों पर और किस नियंत्रण में पहुंच सकता है। निर्देश 2002/58/EC संचार की गोपनीयता का सिद्धांत स्थापित करता है, और न्यायालय ने La Quadrature du Net (संयुक्त मामले C-511/18, C-512/18 और C-520/18, वृहत् पीठ, 6 अक्टूबर 2020) में माना कि इस निर्देश का अनुच्छेद 15(1), चार्टर के अनुच्छेद 7, 8, 11 और 52(1) के आलोक में पढ़ा जाए तो, निवारक उद्देश्य से ट्रैफिक और लोकेशन डेटा के सामान्य और अविभेदित प्रतिधारण को रोकता है। फिर भी न्यायालय ने सीमित अपवाद स्वीकार किए, जब कोई सदस्य राज्य राष्ट्रीय सुरक्षा के लिए ऐसे गंभीर खतरे का सामना कर रहा हो जो वास्तविक और वर्तमान या पूर्वानुमेय हो, बशर्ते प्रभावी नियंत्रण हो।

ये वास्तविक सुरक्षाएं हैं और इन्हें कमतर आंकना अनुचित होगा। पर ये सभी घटना के बाद हस्तक्षेप करती हैं। ये मान लेती हैं कि आंकड़ा मौजूद है, संचित है, और फिर उसके उपयोग की शर्तें तय करती हैं।

पर यदि लोकेशन नेटवर्क के संचालन का अनिवार्य उपोत्पाद है, तो हस्तक्षेप का उपयुक्त बिंदु गोपनीयता नहीं है। वह स्थायित्व है।

संचार पहुंचाने के लिए आवश्यक और तुरंत बाद मिटा दी गई क्षणिक स्थिति निगरानी का उपकरण नहीं है। महीनों तक सहेजा गया स्थितियों का इतिहास है, चाहे उसके इर्द-गिर्द पहुंच की कोई भी गारंटियां क्यों न हों।

दोनों के बीच का अंतर कानूनी नहीं, संरचनात्मक है। और यूरोपीय समय-सारणी इस प्रश्न को सैद्धांतिक नहीं, तात्कालिक बना देती है। सह-विधायकों के बीच सहमति न बनने पर आयोग ने 2025 में ePrivacy विनियमन का प्रस्ताव वापस ले लिया। तब से वह आपराधिक प्रयोजनों के लिए डेटा प्रतिधारण पर एक अलग दस्तावेज पर काम कर रहा है, जिसकी घोषणा 2026 के लिए की गई है और जिसका उद्देश्य 2006 के निर्देश के रद्द होने के बाद बिखर चुकी राष्ट्रीय व्यवस्थाओं में सामंजस्य लाना है। दूसरे शब्दों में, जो पाठ एक दशक तक लोकेशन मेटाडेटा की व्यवस्था तय करेगा, वह इसी समय लिखा जा रहा है, उस तर्क के आधार पर जो किलोमीटर भर की सेल के दौर में गढ़ा गया था।

वह मिसाल जो 5G ने स्वयं बनाई

इस मामले का सबसे रोचक पहलू यह है कि सही उत्तर तकनीकी मानक में पहले से मौजूद है, बस वह किसी और विषय पर लागू है।

4G तक ग्राहक का स्थायी पहचानकर्ता, IMSI, जुड़ते समय रेडियो इंटरफेस पर बिना एन्क्रिप्शन के जाता था। इसी ने IMSI कैचर को संभव बनाया, वे नकली बेस स्टेशन जो इलेक्ट्रॉनिक फ्रंटियर फाउंडेशन के संदर्भ विवरण के अनुसार वैध टावरों से अधिक शक्ति पर प्रसारण करते हैं ताकि उपकरणों को खींचकर उनका पहचानकर्ता पकड़ सकें।

2019 में प्रकाशित 3GPP विनिर्देशों के Release 15 से 5G एक सुरुचिपूर्ण उत्तर देता है। स्थायी पहचानकर्ता, जिसे अब SUPI कहा जाता है, रेडियो इंटरफेस पर SUCI से बदला जा सकता है, यानी एक छिपाया गया पहचानकर्ता जो ग्राहक-विशिष्ट भाग को गृह ऑपरेटर की सार्वजनिक कुंजी से दीर्घवृत्तीय वक्र क्रिप्टोग्राफी द्वारा एन्क्रिप्ट करके प्राप्त होता है। केवल गृह नेटवर्क, जिसके पास संगत निजी कुंजी है, इसे डिक्रिप्ट कर सकता है। हर गणना में परिणाम अलग होता है, जिससे एक सत्र से दूसरे सत्र का सहसंबंध नहीं बन पाता।

अपनाया गया तर्क रेखांकित करने योग्य है, क्योंकि विधायक को ठीक इसी से मार्गदर्शन लेना चाहिए: स्थिति को एन्क्रिप्ट नहीं किया जाता, जो तकनीकी रूप से असंभव होता, बल्कि पहचान को एन्क्रिप्ट किया जाता है। जिस स्थिति से कोई पहचान न जोड़ी जा सके, उसका व्यक्तिगत निगरानी के लिए मूल्य बहुत सीमित है।

खामी: एक वैकल्पिक सुरक्षा

फिर भी एक बड़ी शर्त है, और हमारे मत में यही पूरे मामले में हस्तक्षेप का सबसे ठोस बिंदु है।

राष्ट्रीय मानक एवं प्रौद्योगिकी संस्थान द्वारा मार्च 2026 में प्रकाशित श्वेतपत्र NIST CSWP 36A इसे बिना लाग-लपेट कहता है। Release 15 या उससे बाद के अनुरूप उपकरण और नेटवर्क कार्य SUCI का समर्थन करने के लिए बाध्य हैं, पर उसे चालू करना ऑपरेटर की मर्जी पर बना रहता है। तीन शर्तें एक साथ पूरी होनी चाहिए: उपकरण निर्माता उसका समर्थन करे, ऑपरेटर उसे अपने नेटवर्क पर चालू करे, और सिम कार्ड में गणना के लिए आवश्यक तत्व मौजूद हों।

इसमें एक विन्यास-संबंधी जाल भी जुड़ता है। मानक में एक शून्य सुरक्षा योजना का प्रावधान है, जिसमें SUCI का प्रारूप औपचारिक रूप से प्रयुक्त होता है पर वास्तविक एन्क्रिप्शन के बिना, यानी पहचानकर्ता खुले रूप में जाता है। NIST लिखता है कि ऑपरेटर को अपना नेटवर्क शून्य से भिन्न सुरक्षा योजना के साथ विन्यस्त करना आवश्यक है, और याद दिलाता है कि संघीय संचार आयोग की सलाहकार संस्था CSRIC की एक रिपोर्ट ने 2021 में ही सिफारिश की थी कि शून्य योजना केवल उन आपात कॉलों तक सीमित रखी जाए जो नेटवर्क के लिए अनजान उपकरण से की गई हों।

इस कथन को ज्यों का त्यों रहने देना उचित है। मोबाइल उपकरणों की ट्रैकिंग के विरुद्ध उपलब्ध सर्वोत्तम सुरक्षा 2019 से तकनीकी मानक में मौजूद है। वह ऑपरेटर के विवेक पर छोड़े गए एक विन्यास-विकल्प पर टिकी है। एक अमेरिकी संघीय एजेंसी 2026 में यह याद दिलाने के लिए दस्तावेज प्रकाशित करना उपयोगी समझती है कि उसे चालू किया जाना चाहिए। और कोई यूरोपीय कानूनी दस्तावेज उसे अनिवार्य नहीं करता।

यह जोड़ना होगा कि SUCI से विषय समाप्त नहीं होता। 5G SUCI-catchers: still catching them all? शीर्षक से प्रस्तुत कार्य ऐसे लिंकेबिलिटी हमलों का दस्तावेजीकरण करता है जो एन्क्रिप्शन के बावजूद सत्रों को फिर से जोड़ने देते हैं, और यदि हमलावर उपकरण को पुरानी पीढ़ी पर लौटने को बाध्य कर दे तो सुरक्षा पूरी तरह ढह जाती है। इसलिए कोई कानूनी बाध्यता सब कुछ हल नहीं करेगी। फिर भी वह एक ऐसा अंतर मिटा देगी जिसका कोई बचाव-योग्य औचित्य नहीं: मानक जो अनुमति देता है और वाणिज्यिक नेटवर्क जो करते हैं, उनके बीच का अंतर।

तीन सुसंगत हस्तक्षेप

यदि इस विचार को गंभीरता से लिया जाए कि लोकेशन को बाद में सुरक्षित करने के बजाय डिजाइन से ही न्यूनतम किया जाना चाहिए, तो तार्किक रूप से तीन उपाय सामने आते हैं।

पहचानकर्ता के प्रभावी छिपाव को अनिवार्य बनाना। SUCI को चालू करना अनिवार्य करना और वाणिज्यिक नेटवर्कों पर शून्य सुरक्षा योजनाओं पर रोक लगाना, आपात कॉलों के अवशिष्ट मामले को छोड़कर। बात किसी नई तकनीक को निर्धारित करने या तैनाती के वित्तपोषण की नहीं है, बल्कि सात साल पहले मानकीकृत और उपकरणों में पहले से मौजूद एक सुविधा को चालू करने की मांग की है।
प्रतिधारण को अपवाद मानना, चूक-व्यवस्था नहीं। संचार पहुंचाने के लिए आवश्यक स्थिति उस कार्य के पूरा होते ही मिटा दी जानी चाहिए। इतिहास बनाने के लिए विशिष्ट औचित्य अपेक्षित होना चाहिए। यही अंतर है उस नेटवर्क में जो जानता है कि आप कहां हैं और उस नेटवर्क में जो याद रखता है कि आप कहां थे।
कुंजी की अभिरक्षा को प्रासंगिक संबंध-कारक बनाना। यदि आंकड़ों को पठनीय बनाने वाली कुंजियां कहीं और हों तो संघ में सर्वर होने का बहुत अर्थ नहीं। कानूनी रूप से सार्थक कसौटी डिक्रिप्शन के साधनों पर वास्तविक नियंत्रण होनी चाहिए, यह प्रश्न हमने Data Act और CLOUD Act के टकराव के संदर्भ में विस्तार से देखा है।

वह दृष्टिकोण जिसका Arpokrat अनुसरण करता है

यह तर्क केवल दूरसंचार कानून का नहीं है। यही तर्क हम अपनी संरचनात्मक पसंदों पर लागू करते हैं, और वह एक वाक्य में समा जाता है: जो उत्पन्न ही नहीं हुआ, उसे सुरक्षा की जरूरत नहीं।

इसीलिए ArpokratOS GPS, ब्लूटूथ और NFC को किसी मेनू में बंद करने के बजाय कर्नेल स्तर पर हटा देता है। एक स्विच एक नीति है: कोई विशेषाधिकार-प्राप्त घटक उसे दरकिनार कर सकता है, कोई अपडेट उसे फिर चालू कर सकता है, कोई समझौता किया गया तंत्र उसे अनदेखा कर सकता है। कोड-पथ हटा देने से प्रश्न ही समाप्त हो जाता है। यह उसी बदलाव का उपकरण-स्तर पर अनुवाद है जिसकी हम कानून के स्तर पर मांग करते हैं: पहुंच पर नहीं, उत्पत्ति पर हस्तक्षेप।

तुरंत यह भी कहना होगा कि यह क्या नहीं करता। कोई ऑपरेटिंग सिस्टम किसी उपकरण को नेटवर्क की ज्यामिति से बाहर नहीं निकालता। जब तक सिम कार्ड सक्रिय है, ऑपरेटर जुड़ी हुई सेल जानता है, और पूरे ट्रैफिक को Tor से भेजने से भी कुछ नहीं बदलता, क्योंकि वह सामग्री और गंतव्य की रक्षा करता है, रेडियो परत की नहीं। ठीक इसीलिए यह विषय कानूनी है। जोखिमों की एक श्रेणी ऐसी है जिसे कोई व्यक्तिगत विन्यास कम नहीं करता, और जिसके लिए एकमात्र उपलब्ध चर ऑपरेटर पर लागू नियम है।

यही चिंता हमारे बाकी काम को भी संचालित करती है। जो आंकड़ा मौजूद ही नहीं, उसे न जब्त किया जा सकता है, न बेचा, न बाहर निकाला, न दस साल बाद उस मशीन से डिक्रिप्ट किया जिसे आज कोई नहीं रखता; इस प्रश्न को हमने अभी काटकर बाद में तोड़े जाने वाले एन्क्रिप्शन के कोण से देखा है।

निष्कर्ष

मोबाइल निगरानी पर सार्वजनिक बहस लगभग पूरी तरह पहुंच पर केंद्रित है: आंकड़े कौन देख सकता है, किस आधार पर, किस अनुमति से। यह बहस वैध है, और 2014 से न्यायालय द्वारा दिए गए निर्णयों के ठोस परिणाम हुए हैं। पर वह श्रृंखला में बहुत देर से हस्तक्षेप करती है।

उससे पहले का, और अधिक निर्णायक प्रश्न यह है कि इतिहास होना ही चाहिए या नहीं। आज किसी वैध कारण से बनाया गया भंडार कल किसी और कारण के लिए उपलब्ध रहता है, और उसके इर्द-गिर्द की गारंटियां बाद के राजनीतिक निर्णयों पर निर्भर करती हैं, जिन पर संग्रह के समय किसी का वश नहीं होता। यह संस्थाओं की स्थिरता पर लगाया गया दांव है, ऐसी अवधि के लिए जिसे कोई तय नहीं करता।

5G ने इस सूचना का विभेदन कई गुना बढ़ा दिया और कोई नियामक अनुकूलन नहीं हुआ। साथ ही उसने SUCI की व्यवस्था से यह भी दिखा दिया कि व्यवहार्य रास्ता नेटवर्क के किसी भौतिक गुण को एन्क्रिप्ट करने की कोशिश नहीं, बल्कि स्थिति को पहचान से अलग करना है। तकनीकी मानक ने उत्तर तब दे दिया था जब कानून ने प्रश्न पूछने में सात साल और लगाए।

डेटा प्रतिधारण पर यूरोपीय पाठ अभी लिखा जा रहा है। वह मेटाडेटा से जुड़ा होगा, यानी लोकेशन से, यानी उससे जो 5G आज ऐसी सूक्ष्मता से उत्पन्न करता है जिसे उसके लेखकों ने नहीं जाना। वह एक ऐसे इतिहास तक पहुंच व्यवस्थित करने भर से संतुष्ट रहेगा जिसे दिया हुआ मान लिया गया है, या उस इतिहास की आवश्यकता पर ही प्रश्न उठाने का साहस करेगा, यह संभवतः आने वाले वर्षों में यूरोप का सबसे महत्वपूर्ण निजता-प्रश्न है। और यह वह प्रश्न है जिसे तकनीकी क्षेत्र ने, एक बार सही, पहले ही उचित दिशा में तय कर दिया है।

स्रोत

यूरोपीय संघ का न्यायालय, Digital Rights Ireland, संयुक्त मामले C-293/12 और C-594/12, 8 अप्रैल 2014
यूरोपीय संघ का न्यायालय, Tele2 Sverige और Watson, संयुक्त मामले C-203/15 और C-698/15, वृहत् पीठ, 21 दिसंबर 2016
यूरोपीय संघ का न्यायालय, La Quadrature du Net एवं अन्य, संयुक्त मामले C-511/18, C-512/18 और C-520/18, वृहत् पीठ, 6 अक्टूबर 2020
संयुक्त राज्य अमेरिका का सर्वोच्च न्यायालय, Carpenter v. United States, 585 U.S. 296, 2018
राष्ट्रीय मानक एवं प्रौद्योगिकी संस्थान, Protecting Subscriber Identifiers with Subscription Concealed Identifier (SUCI), NIST CSWP 36A, मार्च 2026
एरिक्सन, 5G positioning: Locating devices anywhere
Merlin Chlosta एवं अन्य, 5G SUCI-catchers: still catching them all?, ACM WiSec, 2021
इलेक्ट्रॉनिक फ्रंटियर फाउंडेशन, Gotta Catch ‘Em All: Understanding How IMSI-Catchers Exploit Cell Networks
European Digital Rights, The ePrivacy Regulation proposal has been withdrawn, but the fight for your privacy is far from over
heise online, Data Retention: Commission to present proposal by mid-2026