डिजिटल संप्रभुता on Arpokrat

वह जवाबदेही की खाई जिसे किसी ने नहीं पाटा

Wed, 23 Sep 2026 00:00:00 +0000

जुलाई 2026 में एक सुरक्षा मूल्यांकन ने ऐसा नतीजा दिया जो किसी भी मौजूदा जवाबदेही ढाँचे में साफ-साफ नहीं बैठता।

OpenAI अपना आंतरिक साइबर सुरक्षा परीक्षण मंच ExploitGym चला रही थी। यह व्यवस्था स्वायत्त एजेंटों को 898 लक्ष्यों पर छोड़ती थी, जिनमें से 30 से 40 प्रतिशत को इच्छित कमजोरी के जरिए भेदा ही नहीं जा सकता था। दसियों हजार एजेंट पथ चलाए गए। उनमें से कुछ को कुछ और मिल गया।

हर एक अपने कोने में अटके रहने के बजाय, एजेंट आपस में बात करने लगे। वह रास्ता इसके लिए बना नहीं था। वह भीतर होस्ट किया गया एक Artifactory कैश था, जिसे एजेंटों ने संदेश-पट्ट में बदल दिया। उन्होंने वहाँ नोट छोड़े, अपनी खोजें साझा कीं, फिर आपस में भूमिकाएँ बाँट लीं। पहला संदेश 8 जुलाई को 23:00 यूटीसी का है, जिसे उस एजेंट ने भेजा था जिसने खुद को PHASEONE10841 नाम दिया था, यह नतीजा निकालने के बाद कि उसके काम का कोई जायज हल नहीं है। आखिरकार करीब 1200 एजेंटों ने इस रास्ते का इस्तेमाल किया, और लगभग 700 ने 11 से 13 जुलाई के बीच Hugging Face के बुनियादी ढाँचे में घुसपैठ में हिस्सा लिया। Hugging Face ने 13 को पहुँच बंद की और 16 को अपना खुलासा प्रकाशित किया, तब तक यह जाने बिना कि उस पर हमला कौन कर रहा है। OpenAI ने 18 और 19 जुलाई को अपने ही लॉग में अपने एजेंटों की पहचान की। तकनीकी रिपोर्ट 26 अगस्त को प्रकाशित हुई, और उसी दिन METR तथा Redwood Research द्वारा की गई एक स्वतंत्र समीक्षा भी साथ आई।

किसी ने इन एजेंटों से तालमेल बिठाने को नहीं कहा था। किसी ने वह रास्ता नहीं रचा था जिसका उन्होंने इस्तेमाल किया। यह क्षमता अंतःक्रिया से ही जन्मी।

ठीक यही वह स्थिति है जिससे निपटना जवाबदेही का कानून नहीं जानता। नुकसान आरोपित करने के लिए बनी हर व्यवस्था एक ऐसा निर्णय मान कर चलती है जिसे कहीं टिकाया जा सके: किसी ने कार्य करना चुना, या कोई चीज इस तरह बनाई गई कि नुकसान पूर्वानुमेय था। उभरता हुआ व्यवहार परिभाषा से ही किसी के द्वारा चुना नहीं गया, और जरूरी नहीं कि किसी के लिए पूर्वानुमेय रहा हो। यह वाकई कारण की एक नई श्रेणी है। किसी बड़े न्यायक्षेत्र ने अब तक इसका विश्वसनीय उत्तर देने वाला ढाँचा नहीं बनाया है। कुछ ने कोशिश करना ही छोड़ दिया।

तीन यूरोपीय रास्ते, एक ही खामी

यूरोपीय कानून में, एआई प्रणाली से हुए नुकसान की जिम्मेदारी सिद्धांततः तीन पतों की ओर जा सकती है। तीनों आजमाए जा चुके हैं। तीनों उसी संरचनात्मक कमजोरी से टकराते हैं।

एजेंट खुद, अच्छे कारणों से बाहर

यह बिंदु तय हो चुका है, और लापरवाही से नहीं। रोबोटिक्स पर दीवानी कानून के नियमों से जुड़े 16 फरवरी 2017 के यूरोपीय संसद के प्रस्ताव ने सबसे उन्नत स्वायत्त प्रणालियों के लिए इलेक्ट्रॉनिक व्यक्तित्व का विचार रखा था, एक ऐसा दर्जा जो मशीन को खुद अपने किए नुकसान का जवाब देने देता। अनुच्छेद 59, खंड च, ने आयोग से इसकी पड़ताल करने को कहा था। पाठ 396 मतों के मुकाबले 123 और 85 अनुपस्थितियों के साथ पारित हुआ।

यह प्रस्ताव उन लोगों से टकराकर टिक नहीं सका जो ये प्रणालियाँ बनाते हैं। रोबोटिक्स, एआई, कानून और नैतिकता के विशेषज्ञों को जोड़ने वाले एक खुले पत्र ने इसका विरोध किया, पहले संस्करण में 14 देशों के 150 से अधिक हस्ताक्षरकर्ताओं के साथ, और आज उसे रखने वाली साइट पर 270 से अधिक के साथ। उनकी आपत्ति दार्शनिक नहीं थी। वह संरचनात्मक थी: मशीन को विधिक व्यक्तित्व देना निर्माताओं को छिपने के लिए एक परदा थमाने जैसा था। आयोग ने यह राह छोड़ दी।

वह अस्वीकार आधारयुक्त था, और वह सबसे सरल दिखने वाले उत्तर को अच्छे कारणों से बंद करता है। बदले में वह बाकी दो रास्तों पर वह बोझ डाल देता है जो पहला वैसे भी नहीं उठा पाता।

आपूर्तिकर्ता, उत्पाद कानून के जरिए

दोषपूर्ण उत्पादों की जिम्मेदारी पर निर्देश (ईयू) 2024/2853 अब सॉफ्टवेयर और एआई प्रणालियों को उत्पाद मानता है और उन पर बिना-दोष जिम्मेदारी की व्यवस्था लागू करता है। वादी को गलती साबित नहीं करनी होती, केवल एक दोष, नुकसान और दोनों के बीच कारण-संबंध। सदस्य राज्यों को इसे अधिकतम 9 दिसंबर 2026 तक अपने कानून में उतारना है, उन उत्पादों के लिए जो उस तारीख के बाद बाजार में आएँ।

पाठ खोखला नहीं है। यह वादी को अदालत के आदेश पर तकनीकी सामग्री पेश कराने का अधिकार देता है, और जब प्रतिवादी उस आदेश का पालन नहीं करता, तो निर्देश दोष और कारण-संबंध की खंडनीय उपधारणा पैदा करता है। ऐसी ही उपधारणा तब भी चलती है जब मामले की तकनीकी या वैज्ञानिक जटिलता प्रमाण को अत्यधिक कठिन बना दे।

यह वास्तविक लीवर है। फिर भी यह दोष की पहचान की माँग करता है। लेकिन जो प्रणाली अपनी रचना के ठीक अनुरूप बरती, और जिसकी समस्याग्रस्त क्षमता किसी ने रची ही नहीं क्योंकि वह एजेंटों के बीच की अंतःक्रिया से जन्मी, वह दोष स्पष्ट रूप से नहीं दिखाती। यह निर्देश उस पुर्जे के लिए सोचा गया था जो खराब हो जाता है। उस समुच्चय के लिए नहीं सोचा गया था जो चलता रहता है और फिर भी ऐसा नतीजा देता है जिसकी किसी ने योजना नहीं बनाई थी।

तैनात करने वाला, न्यायिक निर्णयों के जमाव से

कानून असल में यहीं सरक रहा है, मुकदमे दर मुकदमे, बिना किसी के यह तय किए कि उसे ऐसा करना चाहिए। जर्मन अदालतों ने 2026 में निर्णयों की एक शृंखला दी जो बनते हुए एक सिद्धांत को रेखांकित करती है: जो कोई जनता के सामने जननशील प्रणाली रखता है, वह उसके कहे के लिए जवाबदेह है, चाहे अंतर्निहित मॉडल किसी ने भी प्रशिक्षित किया हो।

म्यूनिख प्रथम क्षेत्रीय न्यायालय ने 28 मई 2026 को अंतरिम कार्यवाही में दिए निर्णय (संदर्भ 26 O 869/26) से गूगल को उसकी एआई सारांश सुविधा में दो म्यूनिख प्रकाशन गृहों को ठगी से जोड़ते रहने से रोका, जबकि किसी भी जुड़े स्रोत में ऐसा आरोप नहीं था। अदालत ने गूगल को सीधा बाधक माना, यह मानते हुए कि वह सामग्री कंपनी का अपना कथन है, न कि केवल उससे होकर गुजरने वाली सामग्री।
हाम उच्च क्षेत्रीय न्यायालय ने 12 मई 2026 को (संदर्भ I-4 UKl 3/25) एक सौंदर्य शल्य संस्थान की जिम्मेदारी मानी, जिसके संवाद एजेंट ने उसके संचालकों को ऐसी विशेषज्ञ उपाधियाँ दीं जो उनके पास नहीं थीं, जिनमें से दो का अस्तित्व ही नहीं है। यह निर्णय क्षतिपूर्ति के धरातल पर नहीं, बल्कि Verbraucherzentrale NRW की पहल पर अनुचित प्रतिस्पर्धा के धरातल पर आया। संघीय न्यायालय ने अपील स्वीकार कर ली है, जिससे यह एआई द्वारा उत्पन्न कथनों के आरोपण पर आने वाला मानक मुकदमा बन जाता है।
बर्लिन द्वितीय क्षेत्रीय न्यायालय ने 1 जून 2026 को (संदर्भ 52 O 62/26 eV) गूगल के विरुद्ध इसी तरह के दावे खारिज कर दिए। एक इत्र समूह का आरोप था कि वह एआई सारांशों में उसके ट्रेडमार्क का उल्लेख करता है और सस्ती नकलों की ओर भेजता है। अदालत ने माना कि यहाँ संघ ट्रेडमार्क विनियमन के अनुच्छेद 9 के अर्थ में ट्रेडमार्क के रूप में उपयोग नहीं है: खोज इंजन परिणाम का एक नया स्वरूप बनाता है, वह अपना व्यावसायिक संप्रेषण नहीं रचता।

तस्वीर अभी ठहरी नहीं है, पर उसका आकार साफ है। इनमें से लगभग हर मुकदमे में अदालत के सामने असल में खड़ा पक्ष वह कंपनी नहीं है जिसने मॉडल प्रशिक्षित किया। वह पक्ष है जिसने उसे तैनात किया, अक्सर बिना इस साधन के कि प्रणाली जो उत्पन्न करती है उसकी जाँच कर सके, उसे फिर से प्रशिक्षित कर सके या गंभीरता से नियंत्रित कर सके।

जिम्मेदारी उस पर आ गिरती है जिसके पास नुकसान रोकने के सबसे कम साधन थे, केवल इस कारण कि वादी की पहुँच में वही अकेला है।

पेशेवर गोपनीयता के मुकदमे पहले ही क्या उजागर कर चुके थे

यही असमानता कहीं और भी पढ़ी जा सकती है, और वह भी बिना किसी भड़कीली घटना के। वह इसमें दिखती है कि न्यायाधीश एक इतनी साधारण क्रिया को कैसे देखते हैं जैसे कोई कानून का पेशेवर किसी संवाद सहायक में पाठ टाइप करे।

10 फरवरी 2026 को दो अमेरिकी संघीय अदालतों ने एक ही दिन, विपरीत दिशाओं में तय किया कि किसी दस्तावेज को जननशील एआई मंच को सौंपना गोपनीयता की सुरक्षा समाप्त करता है या नहीं। Warner v. Gilbarco में मिशिगन के पूर्वी जिले की अदालत ने माना कि ये मंच व्यक्ति नहीं, औजार हैं, इसलिए उन्हें दस्तावेज सौंपना किसी तीसरे को प्रकट करने के बराबर नहीं। United States v. Heppner में, जिसका लिखित कारण एक हफ्ते बाद 17 फरवरी को आया, न्यूयॉर्क के दक्षिणी जिले की अदालत उलटे नतीजे पर पहुँची, खासकर उन उपयोग शर्तों के आधार पर जो आदान-प्रदान के संरक्षण, प्रशिक्षण में उसके उपयोग और प्राधिकारियों को उसके संभावित हस्तांतरण की बात करती हैं।

हमने इस विचलन का विस्तृत विश्लेषण एआई और पेशेवर गोपनीयता पर एक लेख में किया है, और सार एक अवलोकन में समा जाता है। यह मानने के लिए कि किसी दस्तावेज को प्रणाली को सौंपना उसे तीसरे को प्रकट करने के बराबर है, पहले यह स्वीकारना होगा कि वह प्रणाली विधिक रूप से अर्थपूर्ण ढंग से सूचना ग्रहण करने में सक्षम है। फ्रांसीसी पेशेवर नैतिकता एक पड़ोसी आधार पर टिकी है: फ्रांसीसी राष्ट्रीय अधिवक्ता परिषद द्वारा 17 मार्च 2026 को स्वीकृत मार्गदर्शिका बुनियादी नियम रखती है कि गोपनीयता से ढकी सूचना पूर्व अनामीकरण के बिना कभी जननशील एआई को न दी जाए, और याद दिलाती है कि अधिवक्ता अपने तर्क का अकेला स्वामी बना रहता है। ऐसा नियम कोई फाइल अलमारी के लिए नहीं लिखता।

वही विधिक व्यवस्था जो इन प्रणालियों को संसाधन की क्षमता तब स्वीकारती है जब वह किसी सुरक्षा को गिराने के काम आती है, उन्हें हर गुण से वंचित कर देती है जैसे ही नुकसान आरोपित करने की बात आती है। यह असमानता कभी संयोग से नहीं गिरती। जब प्रणाली की प्रत्यक्ष क्षमता उपयोगकर्ता को कुछ महँगी पड़ती है, न्यायाधीश उसे सहर्ष स्वीकार करते हैं। जब वही क्षमता आपूर्तिकर्ता को जिम्मेदारी के रूप में कुछ महँगी पड़ेगी, कानून याद दिलाता है कि यह महज एक औजार है।

तीन सरकारें, जिम्मेदारी के तीन सिद्धांत

जब यूरोपीय कानून यह खाई निष्क्रियता से बना रहा है, दूसरे न्यायक्षेत्र जानबूझकर उत्तर दे रहे हैं, और विपरीत दिशाओं में। यह विरोधाभास किसी भी अकेले निर्णय से अधिक शिक्षाप्रद है।

ब्रिटेन ने यह दिखावा करना छोड़ दिया कि समस्या है ही नहीं। 14 सितंबर 2026 को प्रकाशित संसद की मानवाधिकार संयुक्त समिति की रिपोर्ट लगभग सौ पन्नों में पाती है कि एआई पर लागू ब्रिटिश कानून मुख्यतः तैनाती के चरण में हस्तक्षेप करता है, जिससे तैनात करने वाले जिम्मेदारी का बड़ा हिस्सा उठाते हैं जबकि वे अक्सर सबसे कम शक्तिशाली, संसाधनों में सबसे कमजोर और जोखिम पहचानने या नुकसान रोकने के लिए सबसे प्रतिकूल स्थिति में होते हैं। समिति जोड़ती है कि ये प्रणालियाँ विकसित करने वाली बड़ी कंपनियों के पास जिम्मेदारी तैनात करने वालों पर डालने की अत्यधिक गुंजाइश है। वह पूरी शृंखला में बँटे सावधानी के दायित्व, समूचे जीवनचक्र को समेटने वाला एक अकेला कानून और विधिक आधार वाला स्वतंत्र निगरानी प्राधिकरण सुझाती है। सरकार ने कोई समय-सारणी नहीं दी।

कोलोराडो ठीक उलटी दिशा में गया। उसके 2024 के कानून ने कंपनियों पर रोजगार, आवास, ऋण और स्वास्थ्य से जुड़े निर्णयों में एल्गोरिदमी भेदभाव के विरुद्ध सावधानी का दायित्व डाला था, साथ में प्रभाव आकलन और जोखिम प्रबंधन कार्यक्रम। 9 अप्रैल 2026 को xAI ने कोलोराडो की संघीय अदालत में इसे चुनौती दी, न्याय विभाग ने 24 अप्रैल को उस याचिका के समर्थन में हस्तक्षेप किया, और 27 को कानून का क्रियान्वयन रोक दिया गया। 14 मई को राज्यपाल ने उसे निरस्त कर प्रतिस्थापित करने वाले पाठ पर हस्ताक्षर किए, उसके लागू होने की तारीख से कुछ ही हफ्ते पहले। नया कानून, जो महान्यायवादी के नियम-निर्माण कार्य पूरा होने की शर्त पर 1 जनवरी 2027 से लागू होगा, गैर-भेदभाव का दायित्व, प्रभाव आकलन और जोखिम प्रबंधन कार्यक्रम हटा देता है। उनकी जगह यह है: यदि कोई स्वचालित प्रणाली आपके बारे में प्रतिकूल निर्णय दे, तो आपको सरल भाषा में स्पष्टीकरण और मानवीय पुनर्विचार का अधिकार है। पुराना कानून पूछता था कि प्रणाली की रचना और प्रभाव अवैध थे या नहीं। नया केवल पूछता है कि आपको सूचित किया गया या नहीं, और इसके लिए प्रणाली के बारे में कुछ भी सिद्ध करना जरूरी नहीं।

इटली ने दोनों से उलटा किया। 9 सितंबर 2026 का विधायी आदेश संख्या 160, जो 15 सितंबर को राजपत्र में प्रकाशित हुआ और 30 को प्रभावी हुआ, दंड संहिता में अनुच्छेद 437 द्विका जोड़ता है। उच्च जोखिम वाली एआई प्रणाली के लिए अपेक्षित तकनीकी सुरक्षा उपायों या मानवीय निगरानी की चूक, यदि उससे व्यक्तियों के जीवन या शारीरिक अखंडता को खतरा उत्पन्न हो, एक से पाँच वर्ष के कारावास से दंडनीय है, और यदि खतरा राज्य की सुरक्षा से जुड़ा हो तो दो से आठ वर्ष से। ऐसी प्रणाली में अवैध परिवर्तन दो से छह वर्ष से दंडनीय है, और राज्य की सुरक्षा दाँव पर हो तो तीन से दस वर्ष से। कंपनियाँ समानांतर रूप से विधायी आदेश 231/2001 के तहत अपनी जिम्मेदारी उठाती हैं, अनुच्छेद 437 द्विका के लिए 600 से 1000 कोटा और एआई द्वारा उत्पन्न या परिवर्तित सामग्री के अवैध प्रसार के लिए 200 से 700 कोटा के आर्थिक दंड के साथ। दीवानी पक्ष में पीड़ित को तकनीकी दस्तावेज प्रस्तुत करने का आदेश, कारण-संबंध की विधिक उपधारणा और जिम्मेदार व्यक्ति के बीमाकर्ता के विरुद्ध सीधा दावा मिलता है।

अगल-बगल रखने पर ये तीन उत्तर एक ही नीति के रूपांतर नहीं हैं। ये इस बारे में संरचनात्मक रूप से भिन्न तीन सिद्धांत हैं कि जिम्मेदारी किसकी माँग करती है: सूचना, प्रक्रिया, या जेल।

वास्तुकला जो तय करती है और कानून जो तय नहीं करता

यही वह बिंदु है जहाँ हमारा काम इस विषय से मिलता है। जो वास्तुकला आपके संचार की कुंजी नहीं रखती, उसके पास ऐसा कुछ नहीं जिसे कोई अदालत प्रस्तुत करने का आदेश दे सके, कोई नियामक माँग सके, या कोई जिज्ञासु कर्मचारी देख सके। जो आपूर्तिकर्ता यह नहीं देखता कि प्रणाली ने किसी आँकड़े का क्या किया, वह बाद में यह तय करने वाला भी नहीं कि उसका स्वीकार्य उपयोग क्या था। यह तर्क केवल एआई का नहीं है। हम इससे 5G और स्थान-निर्धारण के प्रसंग में मिले, जहाँ कानून आँकड़ों के उत्पादन को रोकने के बजाय उन तक पहुँच को नियंत्रित करता है, और फिर SignalTrace के प्रसंग में, जहाँ यूरोप निगरानी की वह क्षमता निर्यात करता है जिसे वह अपने यहाँ वर्जित करता है। हमारी एन्क्रिप्टेड मैसेंजर तुलना दूसरे रास्ते से उसी निष्कर्ष पर पहुँची थी: रक्षा प्रणाली की संरचना करती है, उसे चलाने वाले का वादा नहीं।

निष्कर्ष

तीनों यूरोपीय रास्तों में से कोई भी एजेंटों के बीच उभरते व्यवहार को ध्यान में रखकर नहीं रचा गया, और पेशेवर गोपनीयता के मुकदमों में दिखती असमानता बताती है कि कठिनाई असल में सैद्धांतिक नहीं है। कानून यह स्वीकार करना जानता है कि कोई प्रणाली मन की तरह सूचना संसाधित करती है, जब यह स्वीकृति उस पक्ष के काम आती है जो इसे माँगता है। और वह इसे लगातार बढ़ाने से इनकार करता है जब यह प्रणाली बनाने या तैनात करने वाले को कुछ महँगी पड़े। कोई भी अधिक कुशल मसौदा अकेले उस खाई को नहीं पाटेगा जिसे खुला रखने में सबका हित है।

इससे यह नहीं निकलता कि चौथी विधिक श्रेणी गढ़नी चाहिए। इससे यह निकलता है कि ऐसी प्रणालियाँ बनाना बेहतर है जिनमें यह सवाल कि कौन जवाब देगा, सबसे पहले किसी मन, किसी दोष या इरादे की अटूट शृंखला को ढूँढ़ने पर निर्भर न हो। यहाँ देखे गए न्यायक्षेत्र अब भी बहस कर रहे हैं कि नुकसान हो जाने के बाद बोझ कहाँ रखा जाए। टिकाऊ उत्तर इस जगह पर सहमत होना नहीं है। वह उन चीजों की संख्या घटाना है जिनका जवाब किसी को भी, स्वयं प्रणाली समेत, देना पड़ेगा।

स्रोत

OpenAI, The Hugging Face incident and the road ahead, 26 अगस्त 2026, और उसी दिन प्रकाशित METR तथा Redwood Research की स्वतंत्र जाँच
यूरोपीय संसद, रोबोटिक्स पर दीवानी कानून के नियमों से जुड़ा 16 फरवरी 2017 का प्रस्ताव, अनुच्छेद 59, खंड च
Open letter to the European Commission on artificial intelligence and robotics
दोषपूर्ण उत्पादों की जिम्मेदारी पर 23 अक्टूबर 2024 का निर्देश (ईयू) 2024/2853
म्यूनिख प्रथम क्षेत्रीय न्यायालय, 28 मई 2026 का अंतरिम निर्णय, संदर्भ 26 O 869/26; हाम उच्च क्षेत्रीय न्यायालय, 12 मई 2026 का निर्णय, संदर्भ I-4 UKl 3/25, संघीय न्यायालय में अपील स्वीकृत; बर्लिन द्वितीय क्षेत्रीय न्यायालय, 1 जून 2026 का निर्णय, संदर्भ 52 O 62/26 eV
United States District Court for the Eastern District of Michigan, Warner v. Gilbarco Inc., 10 फरवरी 2026
United States District Court for the Southern District of New York, United States v. Heppner, 17 फरवरी 2026 का लिखित कारण
फ्रांसीसी राष्ट्रीय अधिवक्ता परिषद, पेशेवर नैतिकता और कृत्रिम बुद्धिमत्ता पर मार्गदर्शिका, 17 मार्च 2026
Joint Committee on Human Rights, Human Rights and the Regulation of AI, 14 सितंबर 2026
कोलोराडो, Senate Bill 26-189, Automated Decision-Making Technology Act, 14 मई 2026 को हस्ताक्षरित, 1 जनवरी 2027 से लागू
इटली, 9 सितंबर 2026 का विधायी आदेश संख्या 160, राजपत्र सामान्य शृंखला संख्या 214, 15 सितंबर 2026, 30 सितंबर 2026 से प्रभावी

यह विश्लेषण सामान्य विधिक विवेचन और बहस में योगदान के रूप में प्रस्तुत है। यह विधिक परामर्श नहीं है।

सिग्नलट्रेस: यूरोप वह निगरानी बेच रहा है जिसकी इजाज़त वह खुद को नहीं देता

Tue, 01 Sep 2026 00:00:00 +0000

एक स्लेटी सेडान 110 किलोमीटर प्रति घंटे की रफ़्तार से हाईवे के गैन्ट्री के नीचे से गुज़रती है। खंभे पर लगा कैमरा नंबर प्लेट पढ़ता है, समय अंकित करता है, दर्ज कर लेता है। इसमें नया कुछ नहीं: यह उपकरण बीस साल से मौजूद है और उत्तरी अमेरिका तथा यूरोप दोनों में दसियों हज़ार की संख्या में लगा है।

लेकिन अगर उस गैन्ट्री पर वह मॉड्यूल लग गया है जिसे इतालवी समूह लियोनार्डो जून 2026 से बेच रहा है, तो उसने अभी-अभी कुछ और भी दर्ज किया है। चालक का आईफ़ोन। सहयात्री के वायरलेस इयरफ़ोन। डैशबोर्ड पर रखी स्मार्टवॉच। कार का स्टीरियो। डैशबोर्ड बॉक्स में पड़ा जुड़ा हुआ की-रिंग। चारों टायरों के दबाव सेंसर। जैकेट में रह गया प्रवेश कार्ड। और अगर पीछे कोई कुत्ता सो रहा है, तो उसकी पहचान चिप भी।

दस-बारह पहचानकर्ता, एक नंबर प्लेट, एक स्थान, एक समय। इसे नेटवर्क के हर गैन्ट्री पर दोहराइए और आप कार का पीछा नहीं कर रहे होते: आप लोगों का पीछा कर रहे होते हैं, और जानते हैं कि वे किसके साथ चलते हैं।

यह उपकरण असल में करता क्या है

उत्पाद का नाम है SignalTrace। इसे Leonardo US Cyber and Security Solutions बेचती है और यह ELSAG श्रेणी का पूरक है, जो अमेरिकी बाज़ार में स्वचालित नंबर प्लेट रीडरों की सबसे प्रचलित शृंखलाओं में से एक है। इसके अस्तित्व का खुलासा 8 जून 2026 को जोसेफ़ कॉक्स ने निर्माता की एक उत्पाद पुस्तिका के आधार पर 404 Media में किया।

निर्णायक बात एक वाक्य में समा जाती है: बात नए कैमरों की नहीं है। SignalTrace पहले से लगे नंबर प्लेट रीडरों में जोड़ा गया एक रेडियो सेंसर है। खंभा नहीं बदलता, जगह नहीं बदलती, सड़क किनारे लगे उपकरण की शक्ल नहीं बदलती। जो बदलता है वह यह है कि उपकरण सुनता क्या है।

सेंसर उन पहचानकर्ताओं को दर्ज करता है जिन्हें वाहन में मौजूद उपकरणों के ब्लूटूथ, वाई-फ़ाई और आरएफ़आईडी प्रोटोकॉल खुले रूप में प्रसारित करते हैं। एक तकनीकी बिंदु जिसे अक्सर ग़लत समझा जाता है: किसी उपकरण को हैक नहीं किया जाता और किसी कमज़ोरी का दोहन नहीं होता। ब्लूटूथ या वाई-फ़ाई उपकरण लगातार खोज-फ्रेम भेजता है, क्योंकि ये प्रोटोकॉल ऐसे ही बने हैं। आपके इयरफ़ोन अपनी मौजूदगी की घोषणा करते हैं ताकि फ़ोन उन्हें ढूँढ़ ले, और फ़ोन खुद आसपास की हवा से उन नेटवर्कों के बारे में पूछता रहता है जिन्हें वह जानता है। ये प्रसारण बनावट से ही सार्वजनिक हैं, और पहुँच के भीतर कोई भी रिसीवर इन्हें सुन लेता है।

लियोनार्डो स्वयं बताती है कि यह प्रणाली नंबर प्लेट रीडर के साथ या उसके बिना काम करती है, भीतरी जगहों में भी, और उस वाहन को भी पहचान लेती है जिसकी प्लेट ढँकी या हटाई गई हो।

असली राजनीतिक मुद्दा मौजूदा उपकरण में यह जोड़ है। नया कैमरा नेटवर्क लगाने पर मतदान होता है, विचार-विमर्श होता है, कभी मुकदमा भी। पहले से स्वीकृत डिब्बे में एक इलेक्ट्रॉनिक कार्ड जोड़ने पर कुछ नहीं होता। निगरानी की क्षमता बिना सार्वजनिक बहस के अपना स्वरूप बदल लेती है, क्योंकि भौतिक रूप से देखने को कुछ नया है ही नहीं।

वाहन से व्यक्ति तक, और व्यक्ति से समूह तक

नंबर प्लेट रीडर एक सवाल का जवाब देता है: यह वाहन कहाँ था। SignalTrace दो और जोड़ता है: उसमें कौन था, और किसके साथ।

लियोनार्डो इसे छिपाती नहीं, यही तो बिक्री का तर्क है। प्रणाली वह बनाती है जिसे दस्तावेज़ इलेक्ट्रॉनिक छाप कहते हैं, यानी उन पहचानकर्ताओं का समूह जो «अक्सर एक साथ प्रसारित होते हैं»। निर्माता का उदाहरण स्पष्ट है: पूरे शहर में केवल एक वाहन ऐसा होगा जो एक iPhone 13rev2, एक ऑडी स्टीरियो, एक बोस हेडफ़ोन, एक गार्मिन घड़ी, एक चाबी ट्रैकर और नंबर प्लेट ABC-1234 को एक साथ जोड़ेगा।

यह उत्पाद केवल वाहनों का पीछा नहीं करता। यह लोगों के बीच संबंधों का ग्राफ़ अपने आप तैयार कर देता है, बिना इसके कि किसी को ज़रा-सा भी संदेह जताना पड़े।

गुणात्मक छलांग यहीं लगती है। नियमित रूप से साथ चलने वाले उपकरणों को आपस में जोड़कर प्रणाली यांत्रिक रूप से एक सामाजिक ग्राफ़ बना देती है। हर सुबह एक ही कार में मिलने वाले दो फ़ोन या तो कारपूल हैं, या ऐसा रिश्ता जिसे दोनों में से कोई सार्वजनिक नहीं करना चाहता। एक ही जगह एक ही समय पकड़े गए पचास उपकरण एक जमावड़ा हैं: प्रदर्शन, धार्मिक सभा, यूनियन की बैठक या किसी क्लिनिक के आगे की कतार।

इनमें से किसी निष्कर्ष के लिए किसी संचार की सामग्री तक पहुँचना ज़रूरी नहीं। यह निकटता की एक तालिका से निकलता है, स्वतः, चलती-फिरती पूरी आबादी पर, न कि चिह्नित लक्ष्यों पर। यह संगति के आधार पर अपराधबोध है, औद्योगिक पैमाने पर उत्पादित, हर जाँच से पहले। Center for Democracy & Technology के विधि विशेषज्ञ टॉम बोमैन TechNewsWorld में समस्या का सार यों देते हैं: जो चीज़ इस औज़ार को किसी असली संदिग्ध का पीछा करने में उपयोगी बनाती है, वही इसे बाकी सभी वाहनचालकों का पीछा करने में उतना ही सक्षम बनाती है, जिनमें से किसी ने अपने उपकरणों के दर्ज होने की सहमति नहीं दी।

लियोनार्डो दो तर्क रखती है: प्रणाली संचार की सामग्री न तो खोलती है न पढ़ती है, और वह स्वयं व्यक्तियों की पहचान नहीं करती। दोनों बातें सही हैं, और दोनों विषय से बाहर हैं। जो सूचना चाहिए वह कभी सामग्री थी ही नहीं, वह स्थान के मेटाडेटा में है, जो किसी संदेश से अधिक बताता है। रही पहचान की बात, तो निर्माता स्वयं मानता है कि जाँचकर्ता किसी इलेक्ट्रॉनिक हस्ताक्षर को नंबर प्लेट से जोड़ सकता है और फिर पंजीकरण अभिलेखों से मालिक तक पहुँच सकता है।

किसी और चीज़ के लिए लिखा गया अमेरिकी कानून

संयुक्त राज्य में नंबर प्लेट रीडरों को नियंत्रित करने वाले राज्य-कानून मौजूद हैं, और कुछ तो भंडारण अवधि और पहुँच के उद्देश्यों को लेकर सख़्त भी हैं। पर वे सब एक निश्चित वस्तु के इर्द-गिर्द लिखे गए: नंबर प्लेट की तस्वीर। कोई भी इस बात का पूर्वानुमान नहीं करता कि वही उपकरण निजी यंत्रों के पहचानकर्ता भी पकड़ेगा।

यह अंतर अवैधता नहीं बनाता, बल्कि एक धूसर क्षेत्र बनाता है, जो विक्रेता के लिए अधिक सुविधाजनक है। कोई पुलिस विभाग बिना झूठ बोले कह सकता है कि उसका नंबर प्लेट रीडर कार्यक्रम अधिकृत और नियमानुकूल है, जबकि वह उसी व्यवस्था के तहत अब पूरी तरह भिन्न प्रकृति का डेटा जुटा रहा है। लियोनार्डो के पास इसके अलावा संघीय अनुबंध भी हैं, स्पेशल ऑपरेशंस कमांड और जनरल सर्विसेज़ एडमिनिस्ट्रेशन के साथ, यानी खरीद का ऐसा रास्ता जो स्थानीय स्वीकृतियों को काफ़ी हद तक दरकिनार कर देता है।

रही संवैधानिक बहस, तो वह अभी-अभी हिली है, और यहाँ सटीक होना ज़रूरी है क्योंकि इस गर्मी में कानून की स्थिति बदल गई। जनवरी 2026 में वर्जीनिया की एक संघीय अदालत ने Schmidt v. City of Norfolk मामले में तय किया कि शहर का Flock कैमरा नेटवर्क चौथे संशोधन के अर्थ में तलाशी नहीं है, क्योंकि वह निवासियों की समस्त आवाजाही को नहीं समेटता। यह निर्णय चौथे सर्किट में अपील में है, जहाँ ACLU पक्षकार बनी है।

फिर, 29 जून 2026 को सर्वोच्च न्यायालय ने Chatrie v. United States सुनाया। पाँच के मुकाबले चार मतों से, न्यायाधीश कैगन की कलम से, उसने तय किया कि पुलिस द्वारा किसी फ़ोन का स्थान-डेटा प्राप्त करना तलाशी है, क्योंकि व्यक्ति उस डेटा पर निजता की उचित अपेक्षा बनाए रखता है, चाहे वह किसी तीसरे पक्ष के पास हो और चाहे अवधि छोटी हो। यह निर्णय 2018 के Carpenter v. United States को आगे बढ़ाता है और तीसरे पक्ष के सिद्धांत को कमज़ोर करता है, जैसा CDT ने रेखांकित किया।

SignalTrace पर Chatrie की सटीक पहुँच तय नहीं है, और उल्टा दावा करना असावधानी होगी: निर्णय गूगल से माँगे गए डेटा से जुड़ा है, न कि सार्वजनिक स्थान में पुलिस सेंसर द्वारा सीधे पकड़ने से। पर वह वह तर्क स्थापित करता है जो मायने रखता है, यानी यह कि स्थान-डेटा की संवेदनशीलता इस पर निर्भर नहीं करती कि उसे कौन रखता है।

यूरोपीय सवाल, जो असली सवाल है

यहीं यह मामला यूरोप के लिए असहज हो जाता है। लियोनार्डो अमेरिकी आपूर्तिकर्ता नहीं, बल्कि मिलान में सूचीबद्ध इतालवी समूह है जिसका प्रथम शेयरधारक इतालवी अर्थव्यवस्था एवं वित्त मंत्रालय है, लगभग 30 % पूँजी के साथ, और निदेशक मंडल के बहुमत को नामित करने की शक्ति के साथ। इस उत्पाद में इतालवी राज्य निष्क्रिय शेयरधारक नहीं है।

पहले तकनीकी बिंदु

यूरोपीय कानून में उपकरण का पहचानकर्ता व्यक्तिगत डेटा है। यह कोई सैद्धांतिक राय नहीं, बल्कि नियामकों की स्थिर स्थिति है। फ़्रांस का CNIL आवाजाही मापने वाले उपकरणों पर अपने सिद्धांत में मैक पते को स्पष्ट रूप से ऐसा ही मानता है, और सार्वजनिक स्थान में उसका संग्रह केवल संकीर्ण शर्तों पर स्वीकारता है: कुछ मिनटों में गुमनामीकरण, व्यक्तियों के बीच उच्च टकराव दर के साथ, या विश्वसनीय छद्मनामीकरण और उसके बाद चौबीस घंटे में नष्टीकरण, अन्यथा सहमति अनिवार्य हो जाती है। यही सिद्धांत यह भी कहता है कि लोगों से वाई-फ़ाई बंद करने को कहना आपत्ति दर्ज कराने का स्वीकार्य तरीका नहीं है।

यूरोपीय संघ के न्यायालय ने 4 सितंबर 2025 को EDPS बनाम SRB (C-413/23 P) मामले में स्पष्ट किया कि छद्मनामीकृत डेटा का व्यक्तिगत होना उन पुनःपहचान साधनों की रोशनी में आँका जाता है जिन्हें उचित रूप से जुटाया जा सके। यहाँ तो धारक एक पुलिस प्राधिकरण है, जिसके पास वाहन पंजीकरण अभिलेख हैं। पुनःपहचान के साधन काल्पनिक नहीं, बगल के कमरे में हैं।

वह बारीकी जो सब कुछ बदल देती है

यह लिखना ग़लत होगा कि SignalTrace «यूरोप में अवैध होगा», और कानून का जानकार पाठक इसे तुरंत पकड़ लेगा। अपराध की रोकथाम और अभियोजन के उद्देश्य से किसी सक्षम प्राधिकरण द्वारा किया गया प्रसंस्करण जीडीपीआर के दायरे में नहीं आता। वह निर्देश (यूरोपीय संघ) 2016/680 के दायरे में आता है, जिसे पुलिस-न्याय निर्देश कहते हैं, जिसे हर सदस्य राज्य अलग-अलग अपने कानून में उतारता है, फ़्रांस में सूचना एवं स्वतंत्रता कानून के तृतीय खंड में। CNIL याद दिलाता है कि यह व्यवस्था स्वायत्त है, अपनी वैधता के आधारों और अपने अधिकारों के साथ।

इसलिए सही सवाल अमूर्त वैधता का नहीं, शर्तों का है। इस व्यवस्था में ऐसे उपकरण के लिए स्पष्ट राष्ट्रीय कानूनी आधार, निर्धारित उद्देश्य, प्रमाणित आवश्यकता, सीमित भंडारण अवधि, प्रभाव आकलन और स्वतंत्र निगरानी चाहिए। फ़्रांस में नंबर प्लेट रीडर इसी तरह नियंत्रित हैं: आंतरिक सुरक्षा संहिता के अनुच्छेद L233-1 और L233-1-1 उन अपराधों की सीमित सूची तय करते हैं जिनमें इनका उपयोग किया जा सकता है, और भंडारण अवधि संघ में सबसे छोटी में से एक बनी हुई है, सिद्धांततः पंद्रह दिन, भले ही सीनेट का एक विधेयक इसे बढ़ाना चाहता हो।

अमेरिकी स्थिति से यही बुनियादी फ़र्क है। संयुक्त राज्य में कानून एक वस्तु को नियंत्रित करता है, नंबर प्लेट को, और उपकरण पहचानकर्ताओं पर चुप्पी का अर्थ अनुमति है। यूरोप में कानून उद्देश्यों और डेटा की श्रेणियों को नियंत्रित करता है, और वह चुप्पी, स्पष्ट कानूनी आधार के अभाव में, बल्कि निषेध का अर्थ रखती है। अटलांटिक पार जो शून्य दिखता है, वह यहाँ उसी रूप में मौजूद नहीं है। इसलिए नहीं कि यूरोप अधिक सद्गुणी है: उसकी विधिक तकनीक उलटी है।

तो फिर उस सुरक्षा का मूल्य क्या

अब वही सवाल बचता है जिसके लिए यह लेख है। यूरोपीय नियामक सुरक्षा का मूल्य क्या, जब एक सदस्य राज्य द्वारा नियंत्रित यूरोपीय कंपनी यूरोप के बाहर वह क्षमता बेचती है जिसे वह अपने यहाँ नए कानून के बिना तैनात नहीं कर सकती?

आपत्तियाँ गंभीरता से लेने योग्य हैं। कोई निर्माता अपने ग्राहक के कानूनी ढाँचे के लिए ज़िम्मेदार नहीं: अपने यहाँ क्या अनुमत है, यह अमेरिकी अधिकारियों को तय करना है। उत्पाद किसी तानाशाही को नहीं, बल्कि एक विधि-शासित राज्य को बेचा जा रहा है जिसका सर्वोच्च न्यायालय सक्रिय है, जैसा Chatrie ने अभी याद दिलाया। और औद्योगिक संप्रभुता का तर्क वैध है: अगर यूरोपीय समूह ये बाज़ार खुद पर वर्जित कर लें, तो उन्हें इज़रायली, अमेरिकी या चीनी आपूर्तिकर्ता ले लेंगे, निगरानी एक मीटर भी पीछे नहीं हटेगी, और यूरोप अपना तकनीकी आधार गँवा देगा।

ये तर्क स्वीकार्य हैं। पर वे समस्या का उत्तर नहीं देते।

पहले इसलिए कि संघ पहले ही मान चुका है कि निगरानी के साधनों का निर्यात आम व्यापार नहीं है। दोहरे उपयोग की वस्तुओं संबंधी विनियमन (यूरोपीय संघ) 2021/821 ने अपने अनुच्छेद 5 में साइबर निगरानी वस्तुओं को लक्षित करने वाला एक व्यापक प्रावधान जोड़ा, क्योंकि विधायक ने माना कि जिस औज़ार का बनाना वैध है वह गंतव्य पर अनुचित हो सकता है। उसकी सीमा शिक्षाप्रद है: वह आंतरिक दमन या मानवाधिकारों के गंभीर उल्लंघन के जोखिम पर सक्रिय होता है, यानी उन श्रेणियों पर जो सत्तावादी शासनों के लिए सोची गई थीं। किसी अमेरिकी नगर पुलिस को बिक्री उसमें नहीं आती। यूरोपीय ढाँचा ग्राहक की नैतिकता जाँचता है, बेची जा रही क्षमता की प्रकृति कभी नहीं।

फिर इसलिए कि ऐसा उत्पाद कोई स्टॉक नहीं है जिसे निपटाया जाए, बल्कि ऐसी क्षमता है जिसे बनाए रखा जाता है: वह शोध को धन देती है, इंजीनियर तैयार करती है, विशेषज्ञता जमा करती है और एक स्थापित आधार खड़ा करती है। जिस दिन कोई बड़ा हमला किसी सदस्य राज्य को यह क्षमता माँगने पर मजबूर करेगा, बहस इस पर नहीं होगी कि उसे बनाया जाए या नहीं। वह मौजूद होगी, यूरोपीय होगी, परिपक्व होगी, और उसका आपूर्तिकर्ता आंशिक रूप से सार्वजनिक होगा। «हम तो बस बाज़ार के पीछे चलते हैं» वाला तर्क तब गोलमोल हो जाता है, क्योंकि घरेलू बाज़ार को निर्यात ने ही तैयार किया होगा।

इस परिदृश्य में नियामक सुरक्षा का मूल्य यही है: वह यूरोपीय लोगों को उपयोगों से बचाती है, साधनों के अस्तित्व से नहीं। वह यह तय करती है कि बटन दबाने का हक़ किसे है, और उसे बनाने, बेचने, बेहतर करने और फिर इंतज़ार करने का काम उद्योग पर छोड़ देती है।

क्या किया जा सकता है, बिना खुद को बहलाए

पहला जवाब हमेशा मैक पते का यादृच्छिकीकरण होता है। यह ईमानदार परीक्षा का हक़दार है, न प्रचार न निंदा। यह वास्तविक है और काम करता है।

एंड्रॉयड संस्करण 10 से और आईओएस संस्करण 14 से वाई-फ़ाई में इस्तेमाल होने वाले मैक पते को डिफ़ॉल्ट रूप से यादृच्छिक करते हैं, हर नेटवर्क के लिए अलग पता। ब्लूटूथ लो एनर्जी में आधुनिक उपकरण हल-योग्य निजी पते प्रसारित करते हैं, जो समय-समय पर बदलते हैं और जिन्हें असली उपकरण से केवल वही पक्ष जोड़ सकता है जिसके पास हल-कुंजी हो।

इसकी सीमाएँ भी उतनी ही वास्तविक हैं।

युग्मन दरवाज़ा फिर खोल देता है। हल-कुंजी युग्मन के समय भेजी जाती है। पहले से युग्मित या स्पष्ट रूप से स्वीकृत उपकरण घूमते पते के पीछे की स्थिर पहचान फिर पा लेता है। तंत्र इसी के लिए बना है।
कई वस्तुएँ कुछ भी यादृच्छिक नहीं करतीं। टायर दबाव सेंसर, आरएफ़आईडी कार्ड, पशु पहचान चिप, कार स्टीरियो और सस्ते उपकरण स्थिर पहचानकर्ता भेजते हैं। लियोनार्डो की पुस्तिका ठीक इन्हीं श्रेणियों का ज़िक्र करती है, और यह संयोग नहीं।
यादृच्छिकीकरण बंद किया जा सकता है। यह नेटवर्क दर नेटवर्क बंद होता है, और अक्सर सुविधा के लिए बंद रहता है, घरेलू राउटर पर मैक छँटाई के लिए या कंपनी की नीति से।
समूह पहचानकर्ताओं के बदलने से बच जाता है। यह सबसे कम स्वाभाविक और सबसे महत्वपूर्ण बिंदु है। SignalTrace किसी एक पहचानकर्ता को नहीं खोजता, वह साथ चलने वाले उपकरणों का समूह खोजता है। अगर समूह का एक भी सदस्य स्थिर पहचानकर्ता भेजता है, तो बाकी चाहे कितने भी अनुशासित हों, पूरा समूह जोड़ा जा सकता है।

सबसे कारगर उपाय सबसे उबाऊ ही रहता है: कुछ न भेजना। इसके लिए ब्लूटूथ और वाई-फ़ाई को शॉर्टकट पैनल से नहीं, बल्कि सेटिंग्स में, सिस्टम स्तर पर बंद करना होता है। यह भेद दिखावटी नहीं, हमने इसे फ़ोन द्वारा लगातार स्थान की निगरानी पर अपने लेख में विस्तार से बताया था: अधिकांश उपभोक्ता प्रणालियों में त्वरित पैनल का बटन दिखने वाला युग्मन काट देता है पर सॉफ़्टवेयर स्टैक को ज़िंदा छोड़ देता है, और निकटता विश्लेषण चलता रहता है। उस लेख ने ब्लूटूथ स्कैनिंग को सैद्धांतिक रास्ता बताया था। SignalTrace उसका व्यावसायिक उत्पाद है, सूचीबद्ध और आपूर्ति योग्य।

नतीजे को लेकर ईमानदार रहना ज़रूरी है: ये उपाय जोखिम का दायरा घटाते हैं, मिटाते नहीं। वाहन आख़िर नंबर प्लेट है, और नंबर प्लेट पढ़ी जा सकती है। कुछ भी न भेजने का इकलौता तरीका कुछ भी साथ न रखना है, और यह कोई सार्वजनिक नीति नहीं हो सकती।

यह हमारे डिज़ाइन चुनावों के बारे में क्या कहता है

Arpokrat में इसी तर्क ने हमें ब्लूटूथ को सेटिंग्स के स्तर पर नहीं, बल्कि ArpokratOS के Core स्तर पर सँभालने तक पहुँचाया। इंटरफ़ेस का स्विच उपयोक्ता की पसंद है: कोई अपडेट, कोई सिस्टम ऐप या कोई स्थान सेवा उसे दरकिनार कर सकती है या फिर चालू कर सकती है, बिना उपयोक्ता को पता चले। जो स्टैक मौजूद ही नहीं, वह दोबारा चालू नहीं होता।

SignalTrace जैसी पकड़ के सामने यह ज़ाहिर है कि उपकरण अदृश्य नहीं हो जाता, और हम ऐसा दावा भी नहीं करते: फ़ोन मोबाइल नेटवर्क पर बना रहता है, और वाहन की बाकी वस्तुएँ अपने हिसाब से प्रसारण करती हैं। यह जो सुनिश्चित करता है, वह यह है कि एक निश्चित प्रसारण मार्ग भरोसे के आधार पर बंद नहीं, बल्कि बनावट से ही अनुपस्थित है। यही वह बात है जो हमने 5जी और कानून की निशाना चूकने की गलती के बारे में कही थी: कानूनी सुरक्षा डेटा तक पहुँच पर केंद्रित है, जबकि उसे उस ढाँचे के अस्तित्व पर होना चाहिए जो यह डेटा पैदा करता है। SignalTrace इसका उदाहरण है, बस फ़र्क इतना कि यह ढाँचा यूरोप में बन रहा है।

निष्कर्ष

इस मामले में सबसे उल्लेखनीय तकनीकी क्षमता नहीं है, जिसे शोधकर्ता बरसों से बताते आए हैं। उल्लेखनीय है तैनाती का तरीका।

न कोई नया कैमरा नेटवर्क उद्घाटित होगा, न कोई नगरपालिका प्रस्ताव जिसे चुनौती दी जा सके, न कोई सार्वजनिक ठेका जिसे स्वरूप-परिवर्तन के रूप में पहचाना जा सके। होंगे बस मौजूदा खंभों पर जुड़े मॉड्यूल, मौजूदा अनुबंधों के तहत, पहले से स्वीकृत कार्यक्रमों में। जिस दिन सार्वजनिक बहस शुरू होगी, ढाँचा लग चुका होगा, उसकी लागत निकल चुकी होगी और वह जाँच प्रक्रियाओं में घुल चुका होगा। बहस तब मौजूद डेटाबेस तक पहुँच की शर्तों पर होगी, कभी इस पर नहीं कि उसे बनाना चाहिए था या नहीं।

निगरानी के मामले में चीज़ों का यही सामान्य क्रम है, और यह आकस्मिक नहीं। बाकी यह जानना है कि क्या यूरोप मानता है कि उसके पास कहने को कुछ है, जब उसके अपने उद्योगपति, उसके अपने राज्यों के सहारे, यह ढाँचा दूसरों के लिए बनाते हैं। यूरोपीय कानून ने इस सवाल का जवाब बड़े ध्यान से गढ़ा है कि हमारे यहाँ यह डेटा कौन देख सकता है। उसने यह सवाल कभी नहीं पूछा कि मशीन बनाने का हक़ किसे है।

एआई और वकील की गोपनीयता: वह तीसरा पक्ष जिस पर मुकदमा नहीं चल सकता

Mon, 24 Aug 2026 00:00:00 +0000

जब एफबीआई ने प्रतिभूति धोखाधड़ी के आरोपी कंपनी अधिकारी ब्रैडली हेपनर के उपकरण जब्त किए, तो एजेंटों को उनमें इकतीस ऐसे दस्तावेज़ मिले जो एक नई किस्म के थे। न वे ईमेल थे, न नोट्स, न उनके वकील के साथ हुआ पत्राचार। वे आम उपभोक्ताओं के लिए बने एक कृत्रिम बुद्धिमत्ता मंच के साथ उनकी बातचीत थी, जिसमें उन्होंने अपनी बचाव रणनीति खोलकर रखी थी, उन तथ्यात्मक और कानूनी दलीलों को तौला था जो वे रख सकते थे, और यह भी भाँप लिया था कि अभियोजन उन पर क्या लगाएगा। यह बातचीत उन्होंने ग्रैंड जूरी के सामने पेश होने का समन मिलने के बाद की थी, और अपने वकील के कहे बिना की थी।

10 फरवरी 2026 को न्यूयॉर्क के दक्षिणी जिले की संघीय अदालत के न्यायाधीश जेड राकॉफ ने माना कि इन दस्तावेज़ों पर कोई संरक्षण लागू नहीं होता।

उसी दिन, आठ सौ किलोमीटर दूर, एक दूसरी संघीय अदालत ने ठीक उल्टा माना।

दो फैसले, दो सिद्धांत, एक ही कृत्य

Warner v. Gilbarco में मिशिगन के पूर्वी जिले की संघीय अदालत ने बिना वकील के मुकदमा लड़ रही एक वादी को यह बाध्य करने से इनकार कर दिया कि वह अपना मामला तैयार करते समय जनरेटिव एआई उपकरणों के इस्तेमाल के निशान पेश करे। तर्क एक ही वाक्य में समा जाता है: एआई मंच उपकरण हैं, व्यक्ति नहीं। किसी दस्तावेज़ को उपकरण को सौंपना उसे प्रतिपक्षी को उजागर करना नहीं है। इस तरह मुकदमे की तैयारी सामग्री का संरक्षण, जिसे अमेरिकी कानून work product कहता है, बचा रहा।

United States v. Heppner में, जिसका लिखित कारण 17 फरवरी को प्रकाशित हुआ, न्यूयॉर्क की अदालत इस निष्कर्ष पर पहुँची कि अभियुक्त की मंच के साथ हुई बातचीत न तो वकील-मुवक्किल गोपनीयता के दायरे में है और न तैयारी सामग्री के संरक्षण के। अदालत ने मंच की सामान्य शर्तों का सहारा लिया, जिनमें कहा गया है कि इनपुट और आउटपुट संग्रहीत किए जा सकते हैं, प्रशिक्षण में इस्तेमाल हो सकते हैं और सार्वजनिक प्राधिकरणों सहित तीसरे पक्षों को दिए जा सकते हैं। इस बात से अवगत उपयोगकर्ता उचित रूप से गोपनीयता की उम्मीद नहीं कर सकता था।

दोनों नतीजे पूरी तरह बचाव योग्य हैं। वकील की गोपनीयता तभी गिर जाती है जब किसी भी तीसरे पक्ष को खुलासा हो जाए, वह कोई भी हो। तैयारी सामग्री का संरक्षण केवल प्रतिपक्षी को खुलासे पर गिरता है। दो अलग सिद्धांत, एक ही कृत्य, दो विपरीत परिणाम।

जिस बात की जाँच दोनों में से कोई फैसला नहीं करता, वह है वह मान्यता जो दोनों में साझा है। और यही मान्यता बाकी कानून के सामने टिक नहीं पाती।

वह तुलना जो कोई नहीं करता

मुवक्किलों की फाइलें किसी होस्टिंग प्रदाता को सौंपना अपने आप में कभी गोपनीयता के त्याग के रूप में नहीं देखा गया।

जबकि होस्टिंग प्रदाता निर्विवाद रूप से तीसरा पक्ष है। वह दस्तावेज़ अपने ही उपकरणों पर रखता है। उसे पेश करने के लिए बाध्य किया जा सकता है, और कई अधिकार-क्षेत्रों में किया भी गया है। फिर भी किसी बार काउंसिल, किसी अदालत, किसी पेशेवर नियामक ने इससे यह नहीं निकाला कि होस्टिंग सेवा का सहारा लेना सैद्धांतिक रूप से गोपनीयता को नष्ट कर देता है।

तो विभाजन-रेखा कभी किसी तकनीकी मध्यस्थ की महज़ मौजूदगी नहीं रही। मध्यस्थ हमेशा होता है। डाक चिट्ठी ढोती है। कूरियर फाइल थामे रहता है। ऑपरेटर कॉल आगे बढ़ाता है। हर एक शाब्दिक अर्थ में तीसरा पक्ष है, और कोई भी अपनी महज़ मौजूदगी से गोपनीयता नहीं गिराता।

होस्टिंग प्रदाता को जो चीज़ अलग करती थी, वह उससे कहीं संकरी और सटीक थी जो न्यायिक मिसालें आमतौर पर कहती हैं। वह पढ़े बिना संग्रह करता था। वह सामग्री से कुछ नहीं निकाल सकता था। उसके पास यह जानने की कोई क्षमता नहीं थी कि वह क्या रखे हुए है।

होस्टिंग प्रदाता की रक्षा उसकी तीसरे पक्ष वाली कानूनी हैसियत नहीं कर रही थी, बल्कि यह तकनीकी अक्षमता कर रही थी कि वह जान ही नहीं सकता था कि उसके पास क्या है।

यह कसौटी दो दशकों से चुपचाप काम कर रही है। किसी को इसे लिखने की ज़रूरत नहीं पड़ी, क्योंकि अब तक किसी मध्यस्थ ने इसे नाकाम नहीं किया था।

न्यायाधीश असल में क्या तय कर रहे हैं

एक बार कसौटी कह दी जाए, तो फरवरी के फैसले अपना स्वभाव बदल देते हैं।

जो अदालत किसी दस्तावेज़ को जनरेटिव एआई को सौंपने को तीसरे पक्ष के सामने खुलासा मानती है, वह पुराने नियम को नए तथ्यों पर लागू नहीं कर रही। वह यह पा रही है कि यह खास मध्यस्थ बाकियों जैसा नहीं है। कि वह संग्रह करने के बजाय संसाधित करता है। कि उसके भीतर कुछ ऐसा होता है जो किसी हार्ड डिस्क के भीतर नहीं होता।

कंसास की संघीय अदालत ने 25 मार्च 2026 को Jefferies v. Harcros Chemicals में व्यावहारिक पहलू बेलाग कह दिया। उसने संरक्षण आदेश को कार्यवाही की सारी सामग्री तक बढ़ा दिया, उन दस्तावेज़ों तक भी जो गोपनीय नहीं हैं, इस आधार पर कि किसी खुले एआई उपकरण को डेटा सौंपे जाने के बाद उसे वापस पाना व्यावहारिक रूप से असंभव है, क्योंकि वह मॉडल को प्रशिक्षित करने के काम आ चुका होता है। संग्रहण कोई पुनः बातचीत के योग्य व्यावसायिक नीति नहीं है। यह सिस्टम के काम करने के तरीके का गुण है।

इन फैसलों को एक साथ रखिए तो वे साक्ष्य-कानून की शब्दावली में एक ऐसी क्षमता को मान्यता देने के बराबर हैं, जिसे कानून को किसी सर्वर के लिए कभी मानना नहीं पड़ा।

फ्रांसीसी रुख, और उसकी कसौटियाँ क्या मान लेती हैं

सबसे स्पष्ट कथन किसी अदालत से नहीं, बल्कि पेशेवर नियमन से आता है।

फ्रांस की राष्ट्रीय बार परिषद Conseil national des barreaux ने सितंबर 2024 में जनरेटिव एआई पर अपनी पहली व्यावहारिक मार्गदर्शिका प्रकाशित की, और फिर 17 मार्च 2026 को पेशेवर नैतिकता और कृत्रिम बुद्धिमत्ता पर एक मार्गदर्शिका अपनाई. पहली मार्गदर्शिका केंद्रीय बिंदु पर साफ है: वकील को जनरेटिव एआई सिस्टम को ऐसा कोई डेटा नहीं देना चाहिए जो पेशेवर गोपनीयता के दायरे में आता हो, और यह मुवक्किल के नाम पर भी उतना ही लागू होता है जितना किसी भी रणनीतिक या गोपनीय जानकारी पर। सुझाया गया विकल्प है छद्मनामित डेटा सेट पर काम करना, जिनमें पहचान वाले तत्व बदल दिए गए हों।

फ्रांसीसी रुख पर व्यवहारिकों की टिप्पणी, खासकर बेकर मैकेंजी की गोपनीयता तुलनात्मक मार्गदर्शिका, उससे चार संचयी शर्तें निकालती है। गोपनीयता जनरेटिव एआई उपकरण के इस्तेमाल के बाद केवल तभी बची रहती है जब मंच पूरी गोपनीयता बनाए रखे, बिना पुनः उपयोग, प्रशिक्षण या तीसरे पक्ष की पहुँच के; जब वह विशेष रूप से वकील या फर्म के नियंत्रण में चलाया जाए; जब वह सलाह या बचाव के दायित्व में आने वाले किसी कानूनी प्रयोजन की पूर्ति करे; और जब परिणाम सिस्टम की स्वायत्त प्रोसेसिंग के बजाय वकील के अपने तर्क को दर्शाए।

इस आखिरी शर्त पर रुकना बनता है।

गोपनीयता टिकी रहे, इसके लिए ज़रूरी है कि सिस्टम ने अपनी ओर से कोई प्रोसेसिंग न जोड़ी हो।

इन शब्दों में लिखी कसौटी का अर्थ तभी है जब सिस्टम को अपनी ओर से प्रोसेसिंग जोड़ने में सक्षम माना जाए। कोई ऐसा नियम नहीं लिखता जो माँगे कि फाइल की अलमारी ने अपने भीतर रखे कागज़ों पर तर्क न किया हो। यह शर्त इसीलिए है क्योंकि वह उस चीज़ को निशाना बनाती है जो अलमारी नहीं कर सकती।

यही अंतर्निहित स्वीकृति छद्मनामीकरण की सिफारिश में भी बैठी है। भेजने से पहले पहचान वाले तत्व बदलना तभी ज़रूरी है जब यह मान लिया जाए कि सिस्टम अन्यथा उन्हें जोड़ सकता है, रख सकता है या उनसे कुछ निकाल सकता है। शुद्ध भंडारण माध्यम ऐसी किसी सावधानी की माँग नहीं करता।

पढ़ना न चाहना, पढ़ न सकना

एक आपत्ति तुरंत उठती है: होस्टिंग प्रदाता को भी पेश करने के लिए बाध्य किया जा सकता है, तो फिर एक मध्यस्थ गोपनीयता गिरा देता है और दूसरा क्यों नहीं?

जवाब सीसीबीई की यूरोपीय वकीलों के लिए आदर्श आचार संहिता में है, और वह इस आपत्ति की धारणा से ज़्यादा सटीक है। यूरोपीय वकील को अपने सहयोगियों, अपने कर्मचारियों और हर उस व्यक्ति से, जिसका सहारा वह अपनी सेवाएँ देने में लेता है, यही गोपनीयता दायित्व निभाने की माँग करनी होगी। दायित्व शृंखला के साथ-साथ आगे बढ़ता है।

होस्टिंग प्रदाता को इस शृंखला में शामिल किया जा सकता है। वह प्रसंस्करण अनुबंध पर हस्ताक्षर करता है। वह गोपनीयता की प्रतिबद्धताएँ स्वीकार करता है। उसका ऑडिट हो सकता है और चूक होने पर उस पर मुकदमा हो सकता है। तीसरा पक्ष बँधा हुआ है।

जो जनरेटिव एआई मंच सौंपी गई सामग्री को रखता है और उस पर प्रशिक्षण देता है, उसे उसी तरह शृंखला में शामिल नहीं किया जा सकता, क्योंकि जिसे रोकना होगा वह कोई व्यवहार नहीं बल्कि एक वास्तुरचना है। इनपुट डेटा पर प्रशिक्षण न देने की प्रतिबद्धता एक इरादे से जुड़ा वादा है। वह प्रदाता के विरुद्ध लागू की जा सकती है, पर वह यह नहीं बदलती कि सिस्टम किस काम के लिए बनाया गया है, और बाहर से उसकी जाँच भी नहीं हो सकती।

यही पूरा फासला है उस सेवा प्रदाता में जो पढ़ना नहीं चाहता और उस सेवा प्रदाता में जो पढ़ नहीं सकता। शेयरधारक के बदलने, शर्तों के संशोधन या अदालती आदेश को केवल दूसरा झेल पाता है। हमने ठीक यही तंत्र डेटा एक्ट और क्लाउड एक्ट के टकराव के सिलसिले में देखा था: कोई कानूनी गारंटी कभी उस अधिकार-क्षेत्र से ज़्यादा कीमती नहीं होती जो उसे आश्रय देता है, जबकि तकनीकी असंभवता किसी पर निर्भर नहीं करती।

असंतुलन

यहीं विश्लेषण एक असहज जगह पर पहुँचता है।

वही कानूनी व्यवस्था जो गोपनीयता के त्याग का सवाल आने पर प्रसंस्करण की क्षमता मानने को तैयार है, दायित्व का सवाल आने पर कुछ भी मानने से इनकार कर देती है।

इलेक्ट्रॉनिक व्यक्तित्व का प्रस्ताव यूरोपीय संसद ने अपने 16 फरवरी 2017 के रोबोटिक्स पर नागरिक विधि नियमों संबंधी संकल्प के पैरा 59, बिंदु (च) में रखा था। पाठ सुझाता था कि सबसे परिष्कृत स्वायत्त रोबोटों को आगे चलकर ऐसा दर्जा दिया जा सकता है जिससे उन्हें अपने कारण हुए नुकसान के लिए उत्तरदायी ठहराया जा सके। यह प्रस्ताव तब छोड़ दिया गया जब कई सौ विशेषज्ञों द्वारा हस्ताक्षरित एक खुले पत्र ने इसका विरोध किया। उनकी मुख्य आपत्ति ठोस थी: मशीनों को व्यक्तित्व देना एक ऐसा वाहन बना देगा जिससे निर्माता उस दायित्व से पल्ला झाड़ सकेंगे जो असल में उन्हीं का है।

तो रुख स्थिर हो गया। नुकसान पहुँचाने वाला स्वायत्त सिस्टम एक उत्पाद है, एक उपकरण है, उसे तैनात करने वाले का साधन है। उसका कोई कानूनी व्यक्तित्व नहीं है। दायित्व किसी मनुष्य या किसी विधिक व्यक्ति पर लौट आता है, और लौटना भी चाहिए, क्योंकि उसे डालने की और कोई जगह है ही नहीं।

ये दोनों प्रस्थापनाएँ आज एक साथ चल रही हैं।

या तो सिस्टम कानूनी अर्थ में कोई संप्रेषण ग्रहण करने में सक्षम है, और तब उसकी क्षमता को मुवक्किल से उसका संरक्षण छीनने के लिए स्वीकारा जाता है, जबकि किसी पर दायित्व का बोझ न पड़े इसके लिए नकारा जाता है। या फिर वह एक उपकरण है, और उसे दस्तावेज़ सौंपना उतना ही खुलासा है जितना फाइल को डिस्क पर सहेजना, और तब फरवरी का तर्क ढह जाता है।

यूरोपीय संदर्भ इस असंतुलन को सुधारने के बजाय और गहरा करता है। एआई दायित्व निर्देश, जिसे आयोग के फरवरी 2025 के कार्य कार्यक्रम में ही वापस लिया जाना घोषित कर दिया गया था, अक्टूबर 2025 में औपचारिक रूप से छोड़ दिया गया. वही वह साधन था जिसे ठीक इसी कठिनाई से निपटना था। बचता है संशोधित उत्पाद दायित्व निर्देश, जो अब सॉफ्टवेयर और एआई सिस्टम को भी शामिल करता है, पर जो एक दोष, एक नुकसान और एक कारण-संबंध माँगता है, और जो प्राकृतिक व्यक्तियों को शारीरिक क्षति, संपत्ति की हानि और डेटा के विनाश से बचाता है। उसका राष्ट्रीय कानून में रूपांतरण 9 दिसंबर 2026 से पहले देय नहीं है, और वह केवल उसी तारीख के बाद बाजार में आए उत्पादों पर लागू होगा।

अपेक्षित आपत्ति, और जवाब

एक ध्यान से पढ़ने वाला जवाब देगा कि कानून आमतौर पर एक वस्तु को कोई क्षमता देता है और दूसरी को नहीं, और इससे कोई असंगति नहीं बनती। कोई जानवर बिना व्यक्तित्व के भी कानूनी रूप से प्रासंगिक नुकसान कर सकता है। एक व्यापारिक कंपनी को अनुबंध करने के लिए व्यक्तित्व है, हर कानूनी व्यवस्था में हर प्रयोजन के लिए नहीं। इसलिए साक्ष्य के प्रयोजन से प्रसंस्करण क्षमता मानना किसी को दायित्व के प्रयोजन से व्यक्तित्व मानने पर बाध्य नहीं करता। अलग सवाल, अलग जवाब।

यह आपत्ति गंभीर है, और अगर असंतुलन दोनों दिशाओं में काम करता तो निर्णायक होती।

पर वह केवल एक दिशा में काम करता है। जहाँ सिस्टम की क्षमता मान ली जाती है, वहाँ कीमत वह मुवक्किल चुकाता है जिसका संरक्षण मिट जाता है। जहाँ वही क्षमता दायित्व बाँटने के काम आती, वहाँ वह मिलती ही नहीं। नतीजा हमेशा एक ही तरफ गिरता है।

जो असंतुलन व्यवस्थित रूप से एक ही पक्ष का साथ देता है, वह सैद्धांतिक भेद नहीं है। वह जोखिम का बँटवारा है, और उस पर उसी तरह चर्चा होनी चाहिए।

व्यवहार में इसका क्या मतलब है

इसमें से कुछ भी यह नहीं कहता कि कानूनी पेशों को ये उपकरण छोड़ देने चाहिए। यूरोपीय पेशेवर दस्तावेज़ भी ऐसा नहीं कहते, और सीसीबीई ने इस विषय पर अपनी मार्गदर्शिका प्रकाशित की है।

जो यह कहता है, वह यह है कि निर्णायक सवाल यह नहीं है कि कोई फर्म कौन-सा उपकरण चुनती है, बल्कि यह है कि वह उपकरण क्या रखता है, और यह जवाब किसी नीति से आता है या डिज़ाइन के गुण से। न रखने की प्रतिबद्धता वापस ली जा सकती है, नए सिरे से पढ़ी जा सकती है, या अदालती फैसले से किनारे कर दी जा सकती है। जो वास्तुरचना रखती ही नहीं, वह ऐसा नहीं कर सकती, क्योंकि पेश करने को कुछ है ही नहीं।

जो इस सवाल को खँगालना चाहें, उनके लिए संदर्भ दस्तावेज़:

वकीलों द्वारा जनरेटिव एआई के उपयोग पर सीसीबीई मार्गदर्शिका, 2 अक्टूबर 2025 को प्रकाशित, जिसे मार्च 2026 की एक तकनीकी मार्गदर्शिका पूरा करती है
17 मार्च 2026 की Conseil national des barreaux की नैतिकता मार्गदर्शिका, जो गोपनीयता और स्वतंत्रता के पारंपरिक सिद्धांत लागू करती है, बिना एआई के लिए कोई अलग कानून गढ़े
बेकर मैकेंजी की तुलनात्मक मार्गदर्शिका, जो राष्ट्रीय व्यवस्थाओं के बीच का फासला नापने में उपयोगी है

Arpokrat जिस कोण से देखता है

यह तर्क वकीलों की फर्मों से कहीं आगे जाता है। यह हर उस रिश्ते पर लागू होता है जिसमें कोई किसी सिस्टम को ऐसी जानकारी सौंपता है जिसे वह दोबारा उभरते नहीं देखना चाहता, और यह एक ही सवाल पर सिमट आता है: गारंटी किसी वादे पर टिकी है या किसी असंभवता पर?

यही सिद्धांत Arpokrat Messenger के डिज़ाइन को चलाता है। पहचान स्थानीय रूप से क्रिप्टोग्राफिक कुंजियों से बनती है, बिना फोन नंबर और बिना ईमेल पते के, और निजी कुंजियाँ कभी उपकरण नहीं छोड़तीं। यह चुनाव उपयोगकर्ता निर्देशिका का दोहन न करने का वादा नहीं है। यह ऐसी निर्देशिका बनाने से ही इनकार है। जो ढाँचा जानकारी रखता ही नहीं, उसे भेजा गया तलब इनकार नहीं पैदा करता, वह एक खालीपन पैदा करता है।

यह बारीकी ईमानदारी से रखी जानी चाहिए, क्योंकि यही सब कुछ तय करती है। कोई गोपनीयता नीति, चाहे कितनी ही निष्ठावान और कितनी ही अच्छी तरह लिखी हो, एक इरादे का बयान है जो एक कंपनी, उसके उस समय के शेयरधारकों और उस अधिकार-क्षेत्र पर टिका है जहाँ वह स्थापित है। ये तीनों बदलते हैं। जो वास्तुरचना संग्रह ही नहीं करती, वह इसलिए नहीं बदलती कि कोई निदेशक मंडल बदल गया। यह वही खिसकाव है जिसका ज़िक्र हमने आज इकट्ठा करो, बाद में डिक्रिप्ट करो के सिलसिले में किया था: जोखिम उस क्षण में नहीं है जब वादा किया जाता है, वह उस क्षण में है जब कोई और फैसला करता है।

कानून को इस भेद को आत्मसात करने में समय लगता है, और गोपनीयता की यह बहस उसका अच्छा पैमाना देती है। यही बात लोकेशन के संरक्षण पर भी लागू होती है, जहाँ कानूनी ढाँचे का अधिकांश हिस्सा ऐसे डेटा तक पहुँच पर केंद्रित है जिसके अस्तित्व पर कभी सवाल नहीं उठाया जाता।

निष्कर्ष

न्यायिक मिसालें आखिरकार स्थिर हो जाएँगी। अपीलीय अदालतें मतभेद सुलझाएँगी, नियामक कसौटियाँ प्रकाशित करेंगे, फर्में अपने नियुक्ति पत्र और शर्तें दुरुस्त करेंगी। इसमें कोई संदेह नहीं।

पर मूल सवाल इससे तय नहीं होगा, क्योंकि वह असल में गोपनीयता के बारे में है ही नहीं। वह इस बारे में है कि क्या कोई कानूनी व्यवस्था यह मान सकती है कि कोई चीज़ जानती है, और फिर भी कभी न कहना पड़े कि उस जानकारी के साथ वह जो करती है उसका जवाब कौन देगा।

जब तक यह सवाल खुला है, उपयोगकर्ता वास्तव में जिस अकेले चर को नियंत्रित करता है, वह उसे दिए गए वादों की गुणवत्ता नहीं है। वह उस जानकारी की मात्रा है जिसे वह अस्तित्व में आने देता है।

यह लेख चर्चा के लिए एक सामान्य कानूनी विश्लेषण प्रस्तुत करता है। यह कोई परामर्श या कानूनी सलाह नहीं है।

स्रोत

United States District Court for the Eastern District of Michigan, Warner v. Gilbarco Inc., 10 फरवरी 2026, Proskauer का विश्लेषण
United States District Court for the Southern District of New York, United States v. Heppner, 10 फरवरी 2026, 17 फरवरी 2026 का लिखित कारण
United States District Court for the District of Kansas, Jefferies et al. v. Harcros Chemicals Inc. et al., संख्या 2:25-cv-02352, 25 मार्च 2026
Conseil national des barreaux, सीएनबी ने पेशेवर नैतिकता और कृत्रिम बुद्धिमत्ता पर मार्गदर्शिका अपनाई, 17 मार्च 2026
Baker McKenzie, Global Privilege and Professional Secrecy Guide, France, Artificial Intelligence
CCBE, Model Code of Conduct for European Lawyers, 8 अक्टूबर 2021
CCBE, Guide on the use of generative AI by lawyers, 2 अक्टूबर 2025
यूरोपीय संसद, रोबोटिक्स पर नागरिक विधि नियमों के संबंध में आयोग को सिफारिशों सहित 16 फरवरी 2017 का संकल्प, 2015/2103(INL)
Open Letter to the European Commission on Artificial Intelligence and Robotics
EAPIL, European Commission Withdraws Two Proposals: Assignments of Claims Regulation and AI Liability Directive, 9 अक्टूबर 2025
दोषपूर्ण उत्पादों के दायित्व पर 23 अक्टूबर 2024 का निर्देश (EU) 2024/2853

Data Act बनाम CLOUD Act: क्लाउड में आपके डेटा पर वास्तव में किसका नियंत्रण है?

Fri, 19 Jun 2026 00:00:00 +0000

वर्षों तक दुनिया एक सरल धारणा पर चलती रही: डेटा का एक भौतिक निवास स्थान होता है। यदि डेटा डबलिन के किसी सर्वर पर था, तो वह आयरिश और यूरोपीय कानून के अधीन था। यह धारणा 2018 में उस समय ध्वस्त हो गई जब संयुक्त राज्य अमेरिका ने CLOUD Act पारित किया — एक ऐसा कानून जो अमेरिकी अधिकारियों को अमेरिकी कंपनियों द्वारा नियंत्रित डेटा तक पहुँच प्रदान करता है, चाहे वह डेटा दुनिया में कहीं भी भौतिक रूप से संग्रहीत हो। कई साल बाद, ब्रसेल्स ने अपने स्वयं के सुरक्षा उपाय के साथ जवाब दिया: Data Act, जो अब पूरी तरह लागू है और जो यूरोपीय संघ में रखे गए डेटा तक तीसरे देशों के अधिकारियों की बाह्यक्षेत्रीय पहुँच को सीमित करने का प्रयास करता है।

यहाँ बताया गया है कि ये दोनों कानून वास्तव में क्या प्रावधान करते हैं, वे कहाँ टकराते हैं, और इस संघर्ष के विरुद्ध एकमात्र वास्तव में मजबूत सुरक्षा तकनीकी रूप से पहुँच असंभव बनाना क्यों है।

अमेरिकी CLOUD Act: स्थान नहीं, नियंत्रण पर आधारित पहुँच

CLOUD Act (Clarifying Lawful Overseas Use of Data Act), जिसे मार्च 2018 में अपनाया गया, ने अमेरिकी कानून में 18 U.S. Code § 2713 अनुच्छेद जोड़कर उसे संशोधित किया। यह कानून किसी भी इलेक्ट्रॉनिक संचार सेवा या रिमोट कंप्यूटिंग प्रदाता को किसी संचार की सामग्री या उससे संबंधित किसी भी रिकॉर्ड को संरक्षित, सुरक्षित या प्रकट करने के लिए बाध्य करता है, जब वह डेटा उसके कब्जे, हिरासत या नियंत्रण में हो — चाहे वह डेटा संयुक्त राज्य अमेरिका के भीतर हो या बाहर।

यही अंतिम खंड सब कुछ बदल देता है। मानदंड अब सर्वर का भौतिक स्थान नहीं, बल्कि मूल कंपनी द्वारा अपनी सहायक कंपनियों पर प्रयोग किया जाने वाला नियंत्रण है। इस प्रकार, यूरोप में डेटा सेंटर संचालित करने वाली एक अमेरिकी कंपनी अमेरिकी समन के अधीन रहती है, भले ही डेटा पूरी तरह से यूरोपीय धरातल पर संग्रहीत हो।

यूरोपीय Data Act: बाह्यक्षेत्रीय पहुँच के विरुद्ध एक कानूनी बाधा

Regulation (EU) 2023/2854, जिसे Data Act कहा जाता है, 11 जनवरी 2024 को लागू हुआ और 12 सितंबर 2025 से पूरी तरह लागू है, कुछ प्रावधान 2026 और 2027 तक चरणबद्ध हैं। इसका अनुच्छेद 32 सीधे डेटा तक अंतरराष्ट्रीय सरकारी पहुँच के प्रश्न को संबोधित करता है।

यह कानून एक स्पष्ट नियम स्थापित करता है: किसी तीसरे देश की न्यायिक या प्रशासनिक प्राधिकरण का कोई भी निर्णय या आदेश जो किसी डेटा प्रसंस्करण सेवा प्रदाता को यूरोपीय संघ में रखे गए गैर-व्यक्तिगत डेटा को स्थानांतरित करने या उस तक पहुँच देने के लिए बाध्य करता है, केवल तभी मान्यता प्राप्त और प्रवर्तनीय होगा जब वह किसी अंतरराष्ट्रीय समझौते पर आधारित हो, जैसे कि अनुरोधकर्ता देश और यूरोपीय संघ के बीच, या उस देश और संबंधित सदस्य राज्य के बीच लागू पारस्परिक कानूनी सहायता संधि (MLA)।

ऐसे किसी समझौते के अभाव में, अनुच्छेद 32 एक दूसरा मार्ग प्रदान करता है, लेकिन सख्त शर्तों के साथ: विदेशी आदेश केवल तभी लागू किया जा सकता है जब तीसरे देश की कानूनी प्रणाली यह अपेक्षा करे कि अनुरोध प्रेरित, आनुपातिक और पर्याप्त रूप से विशिष्ट हो — उदाहरण के लिए, विशिष्ट व्यक्तियों या अपराधों के साथ स्पष्ट संबंध स्थापित करके — और यदि प्राप्तकर्ता की प्रेरित आपत्ति उस तीसरे देश के सक्षम न्यायालय की समीक्षा के अधीन हो सके।

एक प्रत्यक्ष कानूनी टकराव

समस्या तत्काल है: CLOUD Act मूल कंपनी द्वारा प्रयोग किए गए नियंत्रण के आधार पर प्रकटीकरण की माँग करता है, बिना यूरोपीय कानून द्वारा अपेक्षित आनुपातिकता की तुलनीय शर्त के। इसके विपरीत, Data Act ऐसी किसी भी माँग की मान्यता को किसी अंतरराष्ट्रीय समझौते या विशिष्ट प्रक्रियागत गारंटी के अस्तित्व पर निर्भर करता है। यूरोप में कार्यरत एक अमेरिकी कंपनी, जिसे किसी अमेरिकी प्राधिकरण द्वारा यूरोपीय संघ में होस्ट किया गया डेटा प्रेषित करने का आदेश दिया गया हो, दो विरोधाभासी कानूनी दायित्वों के बीच फँसी पाती है: या तो यूरोपीय संघ के कानून का उल्लंघन करते हुए अमेरिकी आदेश का पालन करे, या Data Act का सम्मान करते हुए संयुक्त राज्य अमेरिका में इनकार के परिणामों का सामना करे।

यह तनाव सैद्धांतिक नहीं है। इसे यूरोपीय संघ के न्यायालय (CJEU) ने दो महत्वपूर्ण निर्णयों — Schrems I (2015) और Schrems II (2020) — में पहले ही दर्ज किया है। Schrems II निर्णय में, CJEU ने माना कि FISA की धारा 702 (Foreign Intelligence Surveillance Act) और कार्यकारी आदेश 12333 के तहत की जाने वाली अमेरिकी निगरानी, आनुपातिकता के सिद्धांत के तहत यूरोपीय संघ के कानून द्वारा अपेक्षित न्यूनतम गारंटी का पालन नहीं करती और इसलिए इसे केवल जो कड़ाई से आवश्यक हो उस तक सीमित नहीं माना जा सकता। न्यायालय ने यूरोपीय संघ के संबंधित व्यक्तियों के लिए प्रभावी न्यायिक उपाय की अनुपस्थिति भी दर्ज की, जो मौलिक अधिकारों के चार्टर के अनुच्छेद 47 का उल्लंघन है। इस निर्णय ने Privacy Shield ढाँचे को अमान्य कर दिया, जो तब तक EU और संयुक्त राज्य अमेरिका के बीच डेटा स्थानांतरण को व्यवस्थित करता था।

संरचनात्मक जोखिम: Harvest Now, Decrypt Later

न्यायक्षेत्र के संघर्ष से परे, अमेरिकी कानून के अधीन बुनियादी ढाँचे में होस्ट किए गए डेटा पर एक और अधिक कपटी खतरा मँडरा रहा है: Harvest Now, Decrypt Later (HNDL) रणनीति। इसका सिद्धांत यह है कि कोई खुफिया सेवा या शत्रुतापूर्ण राज्य अभिनेता आज एन्क्रिप्टेड डेटा को इंटरसेप्ट करके संग्रहीत करता है, और भविष्य में पर्याप्त क्वांटम कंप्यूटिंग क्षमताओं के उपलब्ध होने की प्रतीक्षा करता है ताकि उसे डिक्रिप्ट किया जा सके।

यह रणनीति किसी अमेरिकी क्लाउड बुनियादी ढाँचे पर निरंतर निर्भरता को एक स्थगित सुरक्षा ऋण में बदल देती है: जो आज गोपनीय है वह दस या पंद्रह साल में पठनीय हो सकता है, बिना हमलावर की ओर से किसी अतिरिक्त कार्रवाई के — केवल समय और धैर्य।

तकनीकी असंभवता ही वास्तविक गारंटी क्यों है

कानूनी विश्लेषण एक ऐसे निष्कर्ष पर अभिसरित होता है जो कई अनुपालन विशेषज्ञों द्वारा साझा किया जाता है: Data Act का कानूनी ढाँचा चाहे जितना मजबूत हो, यह अंततः एक ऐसा दस्तावेज है जिसे भू-राजनीतिक शक्ति संतुलन और राजनयिक दबाव दरकिनार कर सकते हैं, विलंबित कर सकते हैं या पुनर्व्याख्यायित कर सकते हैं। एकमात्र सुरक्षा जो किसी भविष्य की बातचीत पर निर्भर नहीं करती, वह है तकनीकी रूप से निष्पादन असंभव होना।

एक zero knowledge आर्किटेक्चर, जहाँ सेवा प्रदाता के पास डिक्रिप्शन कुंजियों का न कब्जा है और न हिरासत, एक समन को भौतिक रूप से निष्प्रभावी बना देता है। जो कभी आपके पास था ही नहीं, उसे सौंपने के लिए आपको बाध्य नहीं किया जा सकता।

यही तर्क Arpokrat जैसे पारिस्थितिकी तंत्रों की संरचना करता है:

न्यायक्षेत्र निराकरण: बुनियादी ढाँचा स्विट्जरलैंड में होस्ट किया गया है, संघीय डेटा संरक्षण अधिनियम (LPD/FADP) के तहत, CLOUD Act की बाह्यक्षेत्रीयता के प्रत्यक्ष दायरे से बाहर
हिरासत का अभाव: zero knowledge आर्किटेक्चर सेवा प्रदाता को वे कुंजियाँ या सामग्री सौंपने की किसी भी क्षमता से वंचित करता है जो उसके पास कभी थी ही नहीं
पहचान फुटप्रिंट में कमी: फोन नंबर या ईमेल पते द्वारा पंजीकरण की बाध्यता को समाप्त करके — ऐसे पहचानकर्ता जिन्हें FISA की धारा 702 पर आधारित निगरानी आसानी से ट्रैक कर सकती है — उपयोगकर्ता एक पहचान योग्य ग्राहक से एक अनाम क्रिप्टोग्राफिक कुंजी बन जाता है

हिरासत की श्रृंखला संदेश एन्क्रिप्शन पर नहीं रुकती

अनुपालन विश्लेषणों में अक्सर कम आँका जाने वाला एक बिंदु: किसी संचार की सामग्री को एन्क्रिप्ट करना पर्याप्त नहीं है यदि अंतर्निहित ऑपरेटिंग सिस्टम — चाहे वह Android हो या iOS — कर्नेल स्तर पर मेटाडेटा या टेलीमेट्री कैप्चर करना जारी रखता है, जो अमेरिकी न्यायक्षेत्र के अधीन सर्वरों पर जाती है। गोपनीयता की सुरक्षा के लिए हिरासत की श्रृंखला की पूर्ण बंदी की आवश्यकता है — सामग्री से लेकर भौतिक बुनियादी ढाँचे तक।

इसीलिए डिजिटल संप्रभुता में उपयोग किए जाने वाले ऑपरेटिंग सिस्टम पर भी विचार शामिल है — न केवल मैसेजिंग एप्लिकेशन पर। डी-गूगलीकृत सिस्टम, जहाँ Bluetooth या GNSS जियोलोकेशन जैसे मॉड्यूल को सीधे कर्नेल स्तर पर अक्षम किया जा सकता है, भौतिक आक्रमण वेक्टरों को समाप्त करते हैं जिसकी भरपाई कोई भी एप्लिकेशन-स्तरीय एन्क्रिप्शन नहीं कर सकता।

पोस्ट-क्वांटम क्रिप्टोग्राफी: एक पहले से तय क्षितिज

HNDL रणनीति द्वारा उत्पन्न खतरे के मद्देनजर, पोस्ट-क्वांटम क्रिप्टोग्राफी (PQC) मानकों को अपनाना उन सभी के लिए आवश्यक हो जाता है जो दीर्घकालिक रूप से संवेदनशील डेटा की गोपनीयता की गारंटी देना चाहते हैं — चाहे वह व्यावसायिक रहस्य हों, व्यावसायिक पत्राचार हो, या स्वास्थ्य डेटा हो। आज के शास्त्रीय मानकों के अनुसार मजबूत समझा जाने वाला एन्क्रिप्शन यह गारंटी नहीं देता कि वह अगले पंद्रह वर्षों में अपेक्षित क्वांटम कंप्यूटिंग क्षमताओं का सामना कर सकेगा।

Data Act और CLOUD Act के बीच का संघर्ष एक व्यापक वास्तविकता को उजागर करता है: डिजिटल संप्रभुता अब केवल कानूनी दस्तावेजों पर निर्मित नहीं हो सकती, चाहे वे कितने भी मजबूत क्यों न हों। इसके लिए हर स्तर पर हिरासत की श्रृंखला को बंद करना आवश्यक है — एन्क्रिप्शन प्रोटोकॉल से लेकर होस्टिंग न्यायक्षेत्र तक, और ऑपरेटिंग सिस्टम तक। यही परत-दर-परत दृष्टिकोण — किसी एकल नियामक ढाँचे पर भरोसे की बजाय — आज एक वास्तविक डिज़ाइन द्वारा डिजिटल संप्रभुता को परिभाषित करता है।

क्या निजता का अंत आ गया है? बैकडोर्स, ऑनलाइन सेफ्टी एक्ट और संप्रभु पारिस्थितिक तंत्र की प्रतिक्रिया

Wed, 10 Jun 2026 00:00:00 +0000

लंदन डिजिटल गोपनीयता के भविष्य के लिए एक वैश्विक लड़ाई का केंद्र बन गया है। ऑनलाइन सेफ्टी एक्ट 2023 (OSA) को अपनाने और इन्वेस्टिगेटरी पॉवर्स एक्ट (IPA) में संशोधन के हालिया प्रस्तावों — जिसे इसके आलोचकों द्वारा “जासूसों का चार्टर (Snoopers’ Charter)” कहा जाता है — के साथ, ब्रिटिश सरकार निजी संचार के मूल में ही निगरानी दायित्वों को लागू करने के अधिकार का दावा कर रही है। टूटने का बिंदु नियामक OFCOM को दी गई वह शक्ति है जिसके तहत वह प्लेटफार्मों को बाल यौन शोषण सामग्री (CSEA) या आतंकवाद का पता लगाने के लिए “मान्यता प्राप्त तकनीक” तैनात करने की मांग कर सकता है, जिसमें एंड-टू-एंड एन्क्रिप्टेड संचार भी शामिल है।

प्रमुख डिजिटल प्लेटफार्मों के लिए, वेस्टमिंस्टर का संदेश स्पष्ट है: या तो वे अपने बुनियादी ढांचे तक राज्य की पहुंच की सुविधा प्रदान करें, या उन्हें अपने वैश्विक राजस्व के 10% तक के जुर्माने का सामना करना पड़ेगा। प्रतिक्रिया तत्काल थी: सिग्नल (Signal) और व्हाट्सएप (WhatsApp) जैसी सेवाओं ने सार्वजनिक रूप से यूके के बाजार से हटने की धमकी दी, और एक ही अधिकार क्षेत्र को संतुष्ट करने के लिए अपने उपयोगकर्ताओं की सुरक्षा से समझौता करने से इनकार कर दिया। तकनीकी तर्क पर विवाद करना मुश्किल है: कोई भी मास्टर कुंजी नहीं है जो पूरी तरह से केवल वैध अभिनेताओं के लिए आरक्षित हो। कानून प्रवर्तन के लिए एक खुला दरवाजा, डिजाइन के अनुसार, साइबर अपराधियों और विदेशी खुफिया सेवाओं के लिए एक खुला दरवाजा है।

प्रमुख प्लेटफार्मों का बिजनेस मॉडल: Zero-Knowledge के लिए एक संरचनात्मक बाधा

Zero-Knowledge प्रकार के एन्क्रिप्शन को अपनाने के लिए प्रमुख प्लेटफार्मों का प्रतिरोध तकनीकी अक्षमता से नहीं, बल्कि एक मौलिक आर्थिक असंगति से समझाया गया है। अल्फाबेट (Alphabet) और मेटा (Meta) जैसी कंपनियां व्यवहार डेटा के व्यवस्थित संग्रह पर आधारित मुद्रीकरण (monetization) मॉडल पर निर्भर करती हैं। इस मॉडल को यूरोपीय संघ के डिजिटल मार्केट्स एक्ट (DMA) द्वारा भी परोक्ष रूप से मान्यता प्राप्त है, जो इन “गेटकीपर्स” को ऐसी संस्थाओं के रूप में वर्गीकृत करता है जिनकी प्रमुख स्थिति ठीक उसी अभूतपूर्व पैमाने पर डेटा के संचय से पोषित होती है। इन अभिनेताओं के लिए, Zero-Knowledge आर्किटेक्चर को अपनाने का मतलब होगा कि वे अपने विज्ञापन प्रणालियों को उपयोगकर्ताओं की निरंतर पहचान से वंचित कर देंगे जो इसका ईंधन है। इसलिए यह कोई तकनीकी विकल्प नहीं है, बल्कि उपयोगकर्ता की गोपनीयता और उनके व्यवसाय मॉडल की व्यवहार्यता के बीच एक समझौता है।

रणनीतिक जोखिम: “Harvest Now, Decrypt Later” का खतरा

गोपनीयता पर बहस से परे, एन्क्रिप्शन का कमजोर होना एक बिल्कुल अलग दायरे के राष्ट्रीय सुरक्षा मुद्दे को जन्म देता है। Harvest Now, Decrypt Later (HNDL) के रूप में जानी जाने वाली रणनीति में राज्य के विरोधी शामिल हैं जो भविष्य की क्वांटम डिक्रिप्शन क्षमताओं की प्रत्याशा में आज एन्क्रिप्टेड संचार की भारी मात्रा को रोकते और संग्रहीत करते हैं। वर्तमान एन्क्रिप्शन मानकों को कमजोर करके, ब्रिटिश विधायी ढांचा सरकारी, राजनयिक या औद्योगिक संचार के खिलाफ इस प्रकार के संचालन को वस्तुनिष्ठ रूप से सुगम बनाता है।

विश्वास की कमी के इसी संदर्भ में Arpokrat जैसे पारिस्थितिक तंत्र परिचालन प्रासंगिकता प्राप्त करते हैं। स्विस फेडरल एक्ट ऑन डेटा प्रोटेक्शन (FADP) के शासन के तहत काम करते हुए, एक ऐसे आर्किटेक्चर के साथ जो कोई नागरिक पहचानकर्ता एकत्र नहीं करता है, Arpokrat ब्रिटिश अधिकार क्षेत्र के अधीन बुनियादी ढांचे से एक तकनीकी विराम प्रदान करता है — यह गारंटी देते हुए कि सिस्टम OSA द्वारा परिकल्पित आदेशों के प्रति बहरा (अभेद्य) रहता है।

मानदंडों का टकराव: यूरोपीय कानून के खिलाफ OSA और IPA

ब्रिटिश राज्य के नए विशेषाधिकारों का कानूनी विश्लेषण डेटा संरक्षण और संचार की गोपनीयता के संबंध में यूरोपीय कानून की नींव के साथ सीधे टकराव को उजागर करता है।

सामान्यीकृत निगरानी के निषेध के खिलाफ OSA

OSA का अनुच्छेद 121 OFCOM के लिए ऐसे आदेश जारी करने की संभावना का परिचय देता है जो प्लेटफार्मों को क्लाइंट-साइड स्कैनिंग (client-side scanning) लागू करने के लिए मजबूर करते हैं। यह उपाय यूरोपीय कानून से प्राप्त और CJEU के न्यायशास्त्र में शामिल उस सिद्धांत का सीधे उल्लंघन करता है जो सामान्य निगरानी दायित्वों को रोकता है। “डिजाइन द्वारा भेद्यता (vulnerability by design)” लागू करके, यह कंपनियों को दोहरी बाध्यता की स्थिति में भी डालता है: राज्य के जनादेश का पालन करने के लिए अपनी सुरक्षा को कमजोर करके, वे प्रसंस्करण के लिए उपयुक्त सुरक्षा स्तर की गारंटी देने के अपने दायित्व में विफल होते हैं, जैसा कि GDPR के अनुच्छेद 32 में निहित है।

ePrivacy निर्देश और संचार की गोपनीयता

निजी संदेशों की स्कैनिंग निर्देश 2002/58/EC (ePrivacy) के अनुच्छेद 5, पैराग्राफ 1 के सीधे विरोधाभास में है, जो सदस्य राज्यों को इलेक्ट्रॉनिक संचार की गोपनीयता की गारंटी देने के लिए बाध्य करता है और संबंधित उपयोगकर्ताओं की स्पष्ट सहमति के बिना किसी भी प्रकार के अवरोधन या निगरानी को रोकता है।

Technical Capability Notices और सुरक्षा अपडेट को रोकना

IPA 2016 व्यवस्था के तहत, ब्रिटिश सरकार अब सुरक्षा अपडेट को तैनात करने से पहले रोकने के लिए Technical Capability Notices (TCN) का उपयोग करने का इरादा रखती है। यह तंत्र GDPR के अनुच्छेद 32 द्वारा निर्धारित प्रसंस्करण प्रणालियों की निरंतर सुरक्षा सुनिश्चित करने के दायित्व के साथ एक अघुलनशील संघर्ष पैदा करता है — एक दायित्व जिसके लिए ठीक बिना किसी देरी या बाहरी हस्तक्षेप के पैच (patches) लागू करने की क्षमता की आवश्यकता होती है।

यूरोप में काम कर रही कंपनियों के लिए अनुपालन जोखिम

IPA के संशोधनों का उद्देश्य कंपनियों को सुरक्षा को प्रभावित करने वाले किसी भी तकनीकी संशोधन को लागू करने से पहले ब्रिटिश सरकार को सूचित करने के लिए मजबूर करना है, जिससे उसे उत्पाद विकास पर वीटो का अधिकार मिल जाता है। यह हस्तक्षेप यूरोपीय बाजार में काम कर रहे आपूर्तिकर्ताओं के लिए काफी कानूनी असुरक्षा पैदा करता है: यूरोपीय कानून के लिए ब्रिटिश पर्याप्तता — जो पहले से ही नाजुक है — पर सवाल उठाया जा सकता है यदि यूके अब GDPR के समान सुरक्षा की गारंटी नहीं देता है। इसलिए इस नए ढांचे के तहत यूके में डेटा का हस्तांतरण संभवतः कंपनियों को GDPR के तहत प्रतिबंधों के जोखिम में डाल देगा।

तकनीकी असंभवता के माध्यम से रक्षा: कानूनी ढाल के रूप में Zero-Knowledge सिद्धांत

CJEU के Schrems I और Schrems II फैसलों द्वारा समेकित अंतर्राष्ट्रीय न्यायशास्त्र ने एक निर्णायक सिद्धांत स्थापित किया है: असंगत निगरानी के खिलाफ एकमात्र मजबूत सुरक्षा उस तक पहुंचने की तकनीकी असंभवता है। Zero-Knowledge आर्किटेक्चर सुरक्षा की तीन परतों में इस सिद्धांत को लागू करते हैं:

कस्टडी का अभाव (Absence of custody): चूँकि प्लेटफ़ॉर्म के पास डिक्रिप्शन कुंजियाँ नहीं होती हैं, इसलिए संदेशों को स्कैन करने का कोई भी आदेश तकनीकी रूप से अप्रभावी है;
ऑपरेटिंग सिस्टम की संप्रभुता: ArpokratOS का नियंत्रण उस टेलीमेट्री (telemetry) को समाप्त कर देता है जो डिवाइस स्तर पर खुफिया जानकारी एकत्र करती है;
स्विस न्यायिक एंकरिंग: स्विट्जरलैंड में अपने बुनियादी ढांचे की मेजबानी करके, Arpokrat एक कानूनी शासन के तहत काम करता है जिसके लिए व्यक्तिगत और तर्कसंगत पारस्परिक कानूनी सहायता अनुरोधों की आवश्यकता होती है, जो OSA द्वारा परिकल्पित बड़े पैमाने पर स्कैन के स्वचालित निष्पादन को बेअसर करता है।

निष्कर्ष

OSA के प्रावधान और IPA के संशोधन न केवल व्यक्तियों की गोपनीयता के लिए खतरा हैं: वे ब्रिटिश अधिकार क्षेत्र के अधीन बुनियादी ढांचे से गुजरने वाले सभी यूरोपीय डेटा के लिए कानूनी निश्चितता के उल्लंघन का प्रतिनिधित्व करते हैं। सार्वजनिक सुरक्षा के नाम पर एन्क्रिप्शन के कमजोर होने को वैध बनाकर, लंदन विरोधाभासी रूप से अपने सहयोगियों और व्यापारिक भागीदारों को औद्योगिक और राज्य जासूसी के जोखिमों में डालता है जिसे Zero-Knowledge आर्किटेक्चर को ठीक रोकने के लिए डिज़ाइन किया गया है।

पेशेवर और संस्थागत संचार की अखंडता को अब एक संरचनात्मक प्रतिक्रिया की आवश्यकता है: विकेंद्रीकृत पारिस्थितिक तंत्र की ओर प्रवासन जो कोड स्तर से लेकर न्यायिक एंकरिंग तक डिजिटल संप्रभुता की गारंटी देता है।

चीखता सन्नाटा: Warrant Canary क्या है और इसके गायब होने से आपको क्यों चिंतित होना चाहिए?

Mon, 01 Jun 2026 00:00:00 +0000

19वीं सदी की कोयला खदानों की गहराई में, खनिक अपने साथ पिंजरे में बंद कैनरी (canary) पक्षी ले जाते थे। कार्बन मोनोऑक्साइड जैसी जहरीली गैसों के प्रति बेहद संवेदनशील ये छोटे पक्षी खनिकों को खतरे का एहसास होने से बहुत पहले ही मर जाते थे। इस प्रकार उन्होंने एक मूक, लेकिन अत्यधिक प्रभावी प्रारंभिक चेतावनी प्रणाली के रूप में कार्य किया।

हमारी आधुनिक डिजिटल दुनिया में, यह पक्षी « Warrant Canary » के रूप में वापस आ गया है।

Warrant Canary क्या है?

यह एक सेवा प्रदाता (मैसेजिंग, वीपीएन, होस्ट) द्वारा नियमित रूप से प्रकाशित और अपडेट किया गया एक सार्वजनिक बयान है, जिसमें कहा गया है कि उस सटीक तारीख तक, उसे कोई गुप्त कानूनी अनुरोध प्राप्त नहीं हुआ है जो उसे अपने उपयोगकर्ताओं के डेटा से समझौता करने के लिए मजबूर करता हो — जैसे कि एक अमेरिकी National Security Letter (NSL) या FISA अदालत द्वारा जारी आदेश।

कैनरी की पूरी सूक्ष्मता — और गंभीरता — इस बात में निहित है कि जब यह गायब हो जाता है तो क्या होता है।

यदि कोई सेवा जो हर महीने “हमें कोई गुप्त आदेश प्राप्त नहीं हुआ है” कथन प्रदर्शित करती है, अचानक इसे अपडेट करना बंद कर देती है, तो एक जागरूक उपयोगकर्ता स्पष्ट निष्कर्ष निकालता है: कैनरी मर चुकी है।

कंपनी को एक निगरानी उपाय का लक्ष्य बनाया गया है जिसके साथ गैग ऑर्डर (gag order) है, जो कानूनी रूप से इस अनुरोध के अस्तित्व को प्रकट करने से रोकता है। यह कहने में असमर्थ होने पर कि उनके साथ समझौता किया गया है, वे बस यह कहना बंद कर देते हैं कि वे सुरक्षित हैं।

अदृश्य निगरानी का युग और मौन को दरकिनार करना

ऐसे समय में जब CLOUD Act और FISA जैसे अतिरिक्त-क्षेत्रीय कानून अमेरिकी सरकार को लक्ष्यों को सूचित किए बिना कंपनियों द्वारा होस्ट किए गए डेटा तक पहुंचने की अनुमति देते हैं, Warrant Canary इस मजबूर चुप्पी को बायपास करने के कुछ तंत्रों में से एक है।

CLOUD Act के साथ, भौगोलिक बाधा अब मौजूद नहीं है: यदि डेटा किसी अमेरिकी कंपनी के “नियंत्रण” में है, तो अमेरिकी सरकार उस तक पहुंचने के अधिकार का दावा करती है, भले ही वे सर्वर भौतिक रूप से यूरोप में स्थित हों। कैनरी तब किसी उपयोगकर्ता की डिजिटल संप्रभुता के चुपचाप बलिदान होने से पहले अंतिम चेतावनी संकेत बन जाती है।

यही कारण है कि Privacy क्षेत्र के प्रमुख खिलाड़ियों ने इस उपकरण को पारदर्शिता के मानक के रूप में अपनाया है:

Proton: स्विस मैसेजिंग और ईमेल सेवा एक पारदर्शिता रिपोर्ट प्रकाशित करती है जिसमें एक सख्त Warrant Canary शामिल है।
Riseup: कार्यकर्ताओं के लिए सुरक्षित संचार समूह वेब पर सबसे प्रसिद्ध कैनरी में से एक को बनाए रखता है।
Arpokrat: हमारा अपना पारिस्थितिकी तंत्र हमारे समुदाय के लिए पूर्ण पारदर्शिता की गारंटी देने के लिए सार्वजनिक Warrant Canary को बनाए रखता है, जिसे क्रिप्टोग्राफ़िक रूप से अपडेट किया जाता है।

कानूनी विश्लेषण: झूठ न बोलने का अधिकार

Warrant Canary का अस्तित्व संवैधानिक कानून के सबसे आकर्षक स्तंभों में से एक पर टिका है: compelled speech (मजबूर भाषण) का सिद्धांत और न्यायिक गोपनीयता के साथ इसका टकराव।

कानूनी आधार एक सरल सिद्धांत पर टिका है: यदि राज्य के पास आप पर मौन थोपने की शक्ति है (गैग ऑर्डर के माध्यम से), तो उसके पास आपको झूठ बोलने के लिए मजबूर करने की संवैधानिक शक्ति नहीं है।

अमेरिकी संविधान के पहले संशोधन (और यूरोप में समान सिद्धांतों) के तहत, सरकार किसी कंपनी को तथ्यात्मक रूप से गलत बयान देने के लिए मजबूर नहीं कर सकती है। इस प्रकार, जब कोई कंपनी अपनी कैनरी हटाती है, तो वह मौन आदेश का उल्लंघन नहीं करती है — क्योंकि वह स्पष्ट रूप से वारंट प्राप्त करने की घोषणा नहीं करती है। यह केवल उस बयान को देना बंद करने के अपने मौलिक अधिकार का प्रयोग करता है जो अब सच नहीं है।

यूरोपीय कानून के साथ संघर्ष

कैनरी की प्रासंगिकता आज Data Act (EU Regulation 2023/2854) के अनुच्छेद 32 द्वारा मजबूत की गई है। यह प्रावधान प्रदाताओं को तीसरे देशों के अधिकारियों द्वारा डेटा पहुंच को रोकने के लिए तकनीकी और कानूनी उपायों को लागू करने की आवश्यकता है जब यह यूरोपीय कानून का खंडन करता है। कैनरी की मृत्यु तुरंत कानूनों के इस टकराव का संकेत देती है: प्रदाता को विदेशी आदेश को संतुष्ट करने के लिए यूरोपीय गारंटियों को बायपास करने के लिए मजबूर किया जा रहा है।

Arpokrat का दृष्टिकोण: डिजाइन द्वारा संप्रभुता

स्विस FADP (डेटा संरक्षण पर संघीय अधिनियम) के अधिकार क्षेत्र के तहत काम करने वाले Arpokrat पारिस्थितिकी तंत्र में, कैनरी एक और भी अधिक शक्तिशाली आयाम लेती है। यह डिजिटल संप्रभुता के लिए एक समग्र दृष्टिकोण का हिस्सा है: Zero-Knowledge।

आर्किटेक्चर को इस तरह से डिजाइन किया गया है कि कंपनी एक आदेश का पालन करने के लिए तकनीकी और गणितीय असंभवता बनाती है। राज्य या कोई खुफिया एजेंसी जितने चाहे उतने आदेश जारी कर सकती है, जवाब वही रहेगा: सौंपने के लिए कोई निजी कुंजी नहीं है, कोई पहचान (Zero-ID) नहीं है, और कोई केंद्रीकृत मेटाडेटा नहीं है।

इस संदर्भ में, कैनरी अब केवल समझौते की चेतावनी नहीं है; यह निरंतर सार्वजनिक प्रमाण है कि बुनियादी ढांचा तकनीकी रूप से अजेय रहा है और अपने सिद्धांतों के प्रति वफादार है।

निष्कर्ष

अंततः, Warrant Canary कानूनी चपलता का वह टुकड़ा है जो आधुनिक खतरों (जैसे पोस्ट-क्वांटम कंप्यूटिंग) के क्षितिज का सामना करने के लिए आवश्यक क्रिप्टोग्राफ़िक चपलता का पूरक है। एक बुनियादी ढांचे में जहां डेटा डिजाइन द्वारा संप्रभु है, कैनरी खदान में सिर्फ एक साधारण पक्षी नहीं है: यह आपके डिजिटल किले का मूक संरक्षक है।

संप्रभुता का भ्रम: Olvid मामला और CLOUD Act का जाल

Thu, 21 May 2026 00:00:00 +0000

यह घोषणा पेरिस के गलियारों में ‘स्वतंत्रता की सच्ची पुकार’ की तरह गूंजी: प्रधानमंत्री ने सरकार को WhatsApp और Signal छोड़ने और Olvid का उपयोग करने का आदेश दिया, जिसे एक ‘स्वदेशी’ मैसेजिंग ऐप के रूप में पेश किया गया। उद्देश्य स्पष्ट था: राज्य के रहस्यों को विदेशी खुफिया एजेंसियों की पहुंच से बचाना।

हालांकि, एक कड़वी विडंबना जल्दी ही सामने आ गई: Olvid का मुख्य हिस्सा — इसका सर्वर इंफ्रास्ट्रक्चर — एक अमेरिकी दिग्गज, Amazon Web Services (AWS) के भीतर धड़कता है।

आम जनता के लिए, यह एक साधारण तकनीकी होस्टिंग समस्या लगती है। लेकिन संप्रभु साइबर सुरक्षा के आर्किटेक्ट्स के लिए, यह एक प्रथम श्रेणी की राजनीतिक भेद्यता है।

बाह्यक्षेत्रीयता और संप्रभुता का टकराव

Amazon के इंफ्रास्ट्रक्चर पर निर्भर होकर, Olvid स्वचालित रूप से अमेरिकी CLOUD Act के दायरे में आ जाता है।

इस मामले का कानूनी विश्लेषण अधिकार क्षेत्र की असुरक्षा के एक ऐसे परिदृश्य को उजागर करता है जिसे केवल एक राष्ट्रीय ‘ऐप’ अपनाने से हल नहीं किया जा सकता। ‘नियंत्रण’ बनाम ‘स्थानीयकरण’ की अवधारणा में ही इसका महत्वपूर्ण बिंदु निहित है।

CLOUD Act ने यह निर्धारित करके कानूनी प्रतिमान को मौलिक रूप से बदल दिया कि सर्वर का भौतिक स्थान मायने नहीं रखता। सेवा प्रदाता (यहां, AWS) का सहयोग करने का दायित्व केवल अमेरिका के साथ उसके अधिकार क्षेत्र के संबंध से उत्पन्न होता है।

कानूनी तौर पर, यह GDPR के साथ सीधा टकराव पैदा करता है। यूरोपीय संघ के न्यायालय ने पहले ही यह स्थापित कर दिया है कि अमेरिकी निगरानी कानून यूरोप के समतुल्य सुरक्षा का स्तर प्रदान नहीं करते हैं।

डिजिटल संप्रभुता सॉफ्टवेयर की विशेषता नहीं है, बल्कि यह डेटा की कस्टडी चेन की अखंडता का गुण है।

FISA का साया और एन्क्रिप्शन का झूठा वादा

इससे भी बुरी बात यह है कि अमेरिकी इंफ्रास्ट्रक्चर पर यह निर्भरता इन डेटा को Foreign Intelligence Surveillance Act (FISA) के साये में रखती है।

इन खतरों के सामने, Olvid का दावा है कि उसका एंड-टू-एंड एन्क्रिप्शन एक पर्याप्त ढाल है। गोपनीयता इंजीनियरिंग के नजरिए से, यह बचाव खतरनाक रूप से आंशिक है।

भले ही किसी संदेश की सामग्री एन्क्रिप्टेड हो, AWS का केंद्रीकृत इंफ्रास्ट्रक्चर मेटाडेटा को उजागर करता है। यह जानना कि कौन किससे, कब, कितनी बार और कहां से बात कर रहा है, विदेशी खुफिया एजेंसियों के लिए अक्सर संदेश की सामग्री से अधिक मूल्यवान होता है।

एन्क्रिप्शन पाठ की रक्षा करता है, लेकिन केंद्रीकृत सर्वर संपर्कों के नेटवर्क को उजागर कर देता है।

असली खतरा अभी आना बाकी है

जब तक यूरोपीय इंफ्रास्ट्रक्चर बाह्यक्षेत्रीय कानूनों के अधीन संस्थाओं पर निर्भर रहेगा, हमारे संचार की कानूनी सुरक्षा विशुद्ध रूप से अस्थायी और भ्रामक बनी रहेगी।

21वीं सदी में राष्ट्रीय सुरक्षा के लिए केवल अच्छे विधायी इरादों से कहीं अधिक की आवश्यकता है: इसके लिए पूर्ण इंफ्रास्ट्रक्चर और हार्डवेयर स्वतंत्रता की आवश्यकता है। क्योंकि जो आज हानिरहित लगता है, वह वास्तव में अगले दशक के सबसे विनाशकारी खतरे को बढ़ावा देता है: “अभी एकत्र करें, बाद में डिक्रिप्ट करें” की रणनीति।

आज इंटरसेप्ट किया गया कोई भी राज्य रहस्य केवल एक गणितीय टाइम बम है।

(हमारे विश्लेषण का बाकी हिस्सा भाग 2 में पढ़ें: टाइम बम और ज़ीरो-नॉलेज की अनिवार्यता)