EU AI Act समझाया गया: जोखिम स्तर, समय-सीमाएं और जुर्माने

EU AI Act यूरोपीय संघ का एक नियमन है, जो AI सिस्टम को उनके जोखिम के आधार पर वर्गीकृत करता है और उसी के अनुसार नियम तय करता है। यह 1 अगस्त 2024 को लागू हुआ और कई वर्षों में चरणबद्ध तरीके से प्रभावी होगा। प्रतिबंध, AI साक्षरता का दायित्व और जनरल-पर्पस AI (GPAI) मॉडल के नियम पहले से लागू हैं। उच्च-जोखिम वाले सिस्टम के नियमों को 2026 में अपनाए गए डिजिटल ओमनिबस नाम के संशोधन के जरिए दिसंबर 2027 और अगस्त 2028 तक आगे खिसका दिया गया है।

यह गाइड अक्टूबर 2026 की स्थिति पर आधारित है। संशोधित समय-सारणी के कुछ विवरण अभी भी स्पष्ट किए जा रहे हैं। अनुपालन से जुड़े फैसले लेने से पहले ऑफिशियल जर्नल में प्रकाशित पाठ और यूरोपीय आयोग के AI Act से जुड़े अपने पेजों की जांच अवश्य करें।

EU AI Act क्या है?

AI Act एक नियमन (regulation) है, निर्देश (directive) नहीं। इसका मतलब है कि यह हर सदस्य देश में सीधे लागू होता है, और राष्ट्रीय सरकारों को इसे अपने कानून में अलग से शामिल करने की जरूरत नहीं है। इसका आधिकारिक संदर्भ Regulation (EU) 2024/1689 है, और यह जुलाई 2024 में प्रकाशित हुआ। यूरोपीय संसद की शोध सेवा ने नोट किया कि इसे पूरी तरह लागू होने में कम से कम तीन साल लगने के हिसाब से बनाया गया था।

इसे व्यापक तौर पर AI के लिए पहला व्यापक, क्षैतिज (horizontal) कानूनी ढांचा बताया जाता है, यानी यह किसी एक उद्योग को लक्षित करने के बजाय सभी क्षेत्रों पर लागू होता है। AI सिस्टम को उनके जोखिम के आधार पर नियंत्रित किया जाता है, जबकि जनरल-पर्पस मॉडल को उनकी क्षमताओं के आधार पर। तकनीकी विवरण दिशानिर्देश, सुसंगत मानक (harmonised standards) और स्वैच्छिक आचार संहिताएं उपलब्ध कराती हैं।

AI Act की जोखिम श्रेणियां क्या हैं?

अधिनियम के पाठ में AI सिस्टम के लिए चार जोखिम स्तर तय किए गए हैं, और जनरल-पर्पस मॉडल के लिए एक अलग ट्रैक है। नीचे का सार अधिनियम की संरचना का पालन करता है। सटीक सीमाएं अनुच्छेद 5, अनुच्छेद 6, अनुलग्नक I और III, और अनुच्छेद 50 में परिभाषित हैं।

अस्वीकार्य जोखिम (प्रतिबंधित): इसमें सामाजिक स्कोरिंग और वे AI शामिल हैं जो लोगों में हेरफेर करते हैं या उनकी कमजोरियों का फायदा उठाते हैं। चेहरे की तस्वीरों की बिना लक्ष्य के स्क्रैपिंग प्रतिबंधित है, और कार्यस्थल तथा स्कूलों में भावना पहचान भी, कुछ अपवादों के साथ। कुछ बायोमेट्रिक वर्गीकरण, केवल प्रोफाइलिंग पर आधारित पूर्वानुमानित पुलिसिंग, और कानून प्रवर्तन के लिए सार्वजनिक स्थानों पर वास्तविक-समय रिमोट बायोमेट्रिक पहचान (सीमित अपवादों के साथ) भी निषिद्ध हैं।

उच्च जोखिम (High risk): इसके दो प्रकार हैं। अनुलग्नक I उन AI को कवर करता है जो ऐसे उत्पादों में सुरक्षा घटक के रूप में काम करते हैं जो पहले से EU उत्पाद कानून के अधीन हैं, जैसे मशीनरी, चिकित्सा उपकरण या खिलौने। अनुलग्नक III स्वतंत्र सिस्टम को कवर करता है जो संवेदनशील क्षेत्रों में इस्तेमाल होते हैं। इनमें बायोमेट्रिक्स, महत्वपूर्ण बुनियादी ढांचा, शिक्षा, रोजगार, आवश्यक सेवाएं और ऋण, कानून प्रवर्तन, प्रवासन और सीमा नियंत्रण, तथा न्याय और लोकतांत्रिक प्रक्रियाएं शामिल हैं।

उच्च-जोखिम सिस्टम के प्रदाताओं को जोखिम प्रबंधन, डेटा गवर्नेंस और तकनीकी दस्तावेजीकरण लागू करना होता है। उन्हें लॉगिंग, मानवीय निगरानी, और पर्याप्त सटीकता तथा मजबूती भी सुनिश्चित करनी होती है। इसके अलावा अनुरूपता मूल्यांकन (conformity assessment), CE मार्किंग और EU डेटाबेस में पंजीकरण भी जरूरी है।

सीमित जोखिम (पारदर्शिता, अनुच्छेद 50): लोगों को बताना होगा कि वे किसी चैटबॉट के साथ बातचीत कर रहे हैं, और डीपफेक को लेबल करना होगा। AI-जनित सामग्री पर मशीन-पठनीय चिह्न भी लगाना होगा। न्यूनतम जोखिम: स्पैम फिल्टर या वीडियो गेम जैसे रोजमर्रा के उपकरणों पर कोई नई बाध्यता नहीं है।

जनरल-पर्पस AI मॉडल: हर GPAI प्रदाता को दस्तावेज रखने और एक कॉपीराइट नीति रखनी होगी। जिन मॉडलों को "सिस्टमिक जोखिम" वाला माना जाता है, उन पर अतिरिक्त दायित्व हैं। अधिनियम 10^25 FLOPs की प्रशिक्षण-कंप्यूट सीमा से ऊपर के मॉडलों में सिस्टमिक जोखिम मानता है।

EU AI Act कब लागू होता है? मौजूदा समय-सारणी

मूल कार्यक्रम के तहत, प्रतिबंध और AI साक्षरता दायित्व 2 फरवरी 2025 से प्रभावी हुए। GPAI नियम, शासन प्रावधान और दंड 2 अगस्त 2025 से लागू हुए। अनुलग्नक III के उच्च-जोखिम नियमों सहित अधिकांश शेष प्रावधान 2 अगस्त 2026 को लागू होने थे। अनुलग्नक I के उच्च-जोखिम नियमों के लिए 2 अगस्त 2027 तय था।

यह योजना बदल गई। 19 नवंबर 2025 को आयोग ने "Digital Omnibus on AI" का प्रस्ताव रखा, जो आंशिक रूप से 2024 की ड्रैगी रिपोर्ट में उठाई गई नियामकीय जटिलता की चिंताओं के जवाब में था। संसद और परिषद के बीच 7 मई 2026 को अस्थायी समझौता हुआ। संसद ने 16 जून को अंतिम मंजूरी दी और परिषद ने 29 जून को पाठ अपनाया। इस पर 8 जुलाई को हस्ताक्षर हुए और 27 जुलाई 2026 को ऑफिशियल जर्नल में प्रकाशन के साथ यह प्रभावी हो गया।

संशोधित तारीखों के अनुसार, अनुलग्नक III के स्वतंत्र उच्च-जोखिम नियम अब 2 दिसंबर 2027 से लागू होंगे। नियमित उत्पादों में अंतर्निहित AI के लिए अनुलग्नक I के नियम अब अगस्त 2028 से शुरू होते हैं। Formalize के विश्लेषण के अनुसार, सामान्य प्रतिबंधों और GPAI नियमों को स्थगित नहीं किया गया।

कुछ बिंदु अभी खुले हैं। इनमें ओमनिबस के बाद अनुच्छेद 50 की पारदर्शिता और वॉटरमार्किंग दायित्वों की सटीक तारीख, क्या नए प्रतिबंध जोड़े गए हैं, और छोटी कंपनियों के लिए राहत का सटीक दायरा शामिल है। सुसंगत मानकों के बारे में भी रिपोर्ट है कि वे देर से चल रहे हैं। इन्हें आधिकारिक पाठ से मिलाकर देखें।

EU AI Act किन पर लागू होता है?

अधिनियम के दायरे वाले अनुच्छेद के अनुसार, यह उन प्रदाताओं को कवर करता है जो EU बाजार में AI सिस्टम रखते हैं, चाहे उनका मुख्यालय कहीं भी हो। यह EU में स्थित उन डिप्लॉयर (AI का उपयोग करने वाले संगठन) को भी कवर करता है, साथ ही आयातकों, वितरकों और उत्पाद निर्माताओं को भी। EU के बाहर के प्रदाता और डिप्लॉयर भी इसके दायरे में आते हैं, यदि उनके सिस्टम का आउटपुट EU के भीतर इस्तेमाल होता है।

यह क्षेत्रीय पहुंच काफी हद तक GDPR जैसी है। तुर्किये, अमेरिका या कहीं और स्थित कोई कंपनी जो EU में AI बेचती है, या जिसके AI आउटपुट वहां इस्तेमाल होते हैं, दायरे में आ सकती है। उच्च-जोखिम सिस्टम और GPAI मॉडल के EU के बाहर के प्रदाताओं को EU में एक अधिकृत प्रतिनिधि नियुक्त करना होगा।

कुछ उपयोग बाहर रखे गए हैं: सैन्य, रक्षा और राष्ट्रीय सुरक्षा; केवल वैज्ञानिक शोध के लिए उपयोग किया जाने वाला AI; और पूरी तरह निजी, गैर-पेशेवर उपयोग। अधिकांश मुफ्त और ओपन-सोर्स सॉफ्टवेयर भी कुछ अपवादों के साथ दायरे से बाहर है।

EU AI Act के तहत जुर्माने क्या हैं?

अनुच्छेद 99 तीन स्तरों के जुर्माने तय करता है। प्रतिबंधों का उल्लंघन करने पर €35 मिलियन या वैश्विक वार्षिक कारोबार का 7%, जो भी अधिक हो, तक का जुर्माना लग सकता है। अधिकांश अन्य ऑपरेटर दायित्वों पर €15 मिलियन या 3% तक का जुर्माना है। अधिकारियों को गलत या भ्रामक जानकारी देने पर €7.5 मिलियन या 1% तक का जुर्माना लग सकता है।

SMEs और स्टार्टअप्स के लिए दोनों में से कम आंकड़ा लागू होता है (अनुच्छेद 99(6))। रिपोर्ट के अनुसार, ओमनिबस यही व्यवहार "small mid-caps" तक बढ़ाता है। विस्तृत राष्ट्रीय दंड नियम सदस्य देश तय करते हैं, और अनुच्छेद 99 2 अगस्त 2025 से लागू है। GPAI प्रदाताओं पर आयोग €15 मिलियन या 3% तक का जुर्माना लगा सकता है।

स्थगित दायित्वों से जुड़े जुर्माने के स्तर तभी प्रभावी होते हैं जब वे दायित्व लागू हों। कुछ पुराने अनुच्छेद अब भी कहते हैं कि उच्च-जोखिम के जुर्माने 2 अगस्त 2026 से शुरू होते हैं। यह अब सटीक नहीं है।

संगठनों को अभी क्या करना चाहिए?

देरी तैयारी रोकने का कारण नहीं है, क्योंकि प्रतिबंध, AI साक्षरता और GPAI नियम पहले से लागू हैं। एक व्यावहारिक पहला कदम यह है कि आप जो AI सिस्टम बनाते, खरीदते या बेचते हैं, उनकी सूची बनाएं और हर एक को एक जोखिम स्तर से जोड़ें।

उच्च-जोखिम प्रदाताओं के लिए दस्तावेज, डेटा गवर्नेंस और मानवीय निगरानी प्रक्रियाएं बनाने में समय लगता है, इसलिए दिसंबर 2027 दिखने से ज्यादा करीब है। प्रामाणिक जानकारी के लिए सेकेंडरी सारांशों के बजाय EUR-Lex, आयोग के AI Act पेजों और AI Office पर भरोसा करें।