AI
AI چیٹ بوٹس اور کسٹمر ڈیٹا: میسجنگ ٹیموں کے لیے GDPR اور KVKK پرائیویسی چیک لسٹ
WhatsApp یا Instagram پر AI ایجنٹ کسٹمر کے پیغامات کو کئی کمپنیوں سے گزارتا ہے۔ یہ چیک لسٹ بتاتی ہے کہ اس ڈیٹا کا نقشہ کیسے بنائیں، فراہم کنندگان کیسے چنیں، ریٹینشن کیسے طے کریں اور GDPR اور ترکیہ کے KVKK کے تحت رضامندی کو کیسے سنبھالیں۔
MonoChat ٹیم اپ ڈیٹ: 11 منٹ کا مطالعہ
اس صفحے پر
AI چیٹ بوٹ کو GDPR اور KVKK کے مطابق بنانے کے لیے ہر اس سسٹم کا نقشہ بنائیں جس سے کسٹمر کے پیغامات گزرتے ہیں، قانونی بنیاد اور واضح پرائیویسی نوٹس رکھیں، ہر فراہم کنندہ کے ساتھ ڈیٹا پروسیسنگ معاہدہ سائن کریں، جب ڈیٹا EU یا ترکیہ سے باہر جائے تو درست منتقلی کا طریقہ کار استعمال کریں، جہاں ممکن ہو ذاتی ڈیٹا کو پرامپٹس سے باہر رکھیں، ریٹینشن کی مدت طے کریں، اور لوگوں کو بتائیں کہ وہ AI سے بات کر رہے ہیں۔ کمپلائنس اس سے آتی ہے کہ آپ چیٹ بوٹ کو کیسے استعمال کرتے ہیں، چیٹ بوٹ سے خود نہیں۔
مشکل یہ ہے کہ WhatsApp کا ایک جواب چار یا پانچ کمپنیوں کو چھو سکتا ہے: Meta، آپ کا میسجنگ پلیٹ فارم، ایک LLM فراہم کنندہ، ایک ویکٹر ڈیٹا بیس اور وہ CRM جس میں ایجنٹ معلومات تلاش کرتا ہے۔ یہ چیک لسٹ ان میں سے ہر ایک کا جائزہ لیتی ہے۔ یہ میسجنگ ٹیموں کے لیے عملی رہنمائی ہے، قانونی مشورہ نہیں، اس لیے تفصیلات اپنے ڈیٹا پروٹیکشن آفیسر یا قانونی مشیر سے تصدیق کر لیں۔
AI ایجنٹ کے جواب دینے پر کسٹمر کا ڈیٹا کہاں جاتا ہے
ایک پیغام کا راستہ بنا کر شروع کریں۔ ایک عام فلو کچھ یوں ہوتا ہے:
| مرحلہ | سسٹم | شامل ڈیٹا | آپ کا سوال |
|---|---|---|---|
| 1 | میسجنگ چینل (WhatsApp، Instagram، Messenger) | فون نمبر یا یوزر نیم، پیغام کا مواد، میڈیا | کون سی شرائط اور اسٹوریج کے قواعد لاگو ہوتے ہیں؟ |
| 2 | میسجنگ پلیٹ فارم | گفتگو کی تاریخ، کانٹیکٹ پروفائل، ٹیگز، نوٹس | اس تک کس کی رسائی ہے، یہ کہاں محفوظ ہے، کتنی مدت کے لیے؟ |
| 3 | نالج بیس اور ویکٹر ڈیٹا بیس | آپ کا مواد؛ ذاتی ڈیٹا صرف اگر آپ نے اپ لوڈ کیا ہو | کیا انڈیکس میں کوئی ذاتی ڈیٹا موجود ہے؟ |
| 4 | LLM فراہم کنندہ | پرامپٹ: ہدایات، حاصل کردہ متن، تاریخ، تازہ ترین پیغام | کیا ڈیٹا محفوظ رکھا جاتا ہے، ٹریننگ میں استعمال ہوتا ہے، کہاں پروسیس ہوتا ہے؟ |
| 5 | منسلک ٹولز (CRM، بکنگ، اسٹور) | آرڈر کا ڈیٹا، اپائنٹمنٹس، اکاؤنٹ کی تفصیلات | ایجنٹ کیا پڑھ اور لکھ سکتا ہے؟ |
| 6 | انسانی ایجنٹس | ہینڈ اوور کے بعد مکمل گفتگو | کون کیا دیکھتا ہے، اور کیا اس کا لاگ رکھا جاتا ہے؟ |
ہر قطار وہ جگہ ہے جہاں ذاتی ڈیٹا پروسیس ہوتا ہے اور جہاں آپ کو معاہدہ، ریٹینشن کا اصول اور ایکسیس کنٹرول درکار ہے۔ اگر آپ کوئی قطار پُر نہیں کر سکتے تو وہی آپ کا پہلا کام ہے۔
AI چیٹ بوٹ پرائیویسی چیک لسٹ
1. قانونی بنیاد چنیں اور اسے لکھ لیں
GDPR (آرٹیکل 6) کے تحت پروسیسنگ کے ہر مقصد کو قانونی بنیاد چاہیے۔ جس کسٹمر نے آپ کو لکھا ہو اسے جواب دینا عموماً معاہدے یا جائز مفاد پر مبنی ہوتا ہے۔ مارکیٹنگ پیغامات عموماً رضامندی پر مبنی ہوتے ہیں۔ اپنے ایجنٹ کو بہتر بنانے کے لیے گفتگو استعمال کرنا ایک الگ مقصد ہے، اور آپ کو اس کا الگ جائزہ لینا چاہیے، یہ فرض کیے بغیر کہ اصل بنیاد اسے بھی شامل کرتی ہے۔
KVKK کی پروسیسنگ کی شرائط کی اپنی فہرست ہے۔ اگر آپ EU اور ترکیہ دونوں کے کسٹمرز کو سروس دیتے ہیں تو ہر قانون کے تحت بنیاد کو دستاویزی شکل دیں۔
2. لوگوں کو AI اور ان کے ڈیٹا کے بارے میں بتائیں
آپ کے پرائیویسی نوٹس میں یہ بتایا جانا چاہیے کہ گفتگو AI سسٹم کے ذریعے ہینڈل ہو سکتی ہے، کون سے فراہم کنندگان ڈیٹا پروسیس کرتے ہیں، کہاں، کتنی مدت کے لیے، اور کسی انسان تک کیسے پہنچا جا سکتا ہے۔ GDPR کے آرٹیکل 13 اور 14 بتاتے ہیں کہ کیا شامل کرنا ہے، اور KVKK میں بھی آگاہ کرنے کی اسی طرح کی ذمہ داری ہے۔
EU میں AI ایکٹ کی شفافیت کی ذمہ داریاں 2 اگست 2026 سے لاگو ہوتی ہیں۔ ان کے مطابق جب لوگ کسی AI سسٹم سے بات کریں تو انہیں بتایا جانا چاہیے، سوائے اس کے کہ سیاق و سباق سے یہ واضح ہو۔ ایک مختصر پہلا پیغام قانونی نکتے اور کسٹمر کی توقعات دونوں کو سنبھال لیتا ہے:
السلام علیکم، میں Northwind Home کا ورچوئل اسسٹنٹ ہوں، یعنی ایک AI۔ میں
آرڈرز، واپسی اور ڈیلیوری میں مدد کر سکتا ہوں۔ ہماری ٹیم سے بات کرنے کے لیے
کسی بھی وقت "ایجنٹ" لکھیں۔
پرائیویسی نوٹس: northwindhome.example/privacy3. ہر پروسیسر کے ساتھ ڈیٹا پروسیسنگ معاہدہ سائن کریں
آپ کا میسجنگ پلیٹ فارم، LLM فراہم کنندہ، ویکٹر ڈیٹا بیس ہوسٹ اور کوئی بھی ٹول فراہم کنندہ جو آپ کی طرف سے ذاتی ڈیٹا ہینڈل کرتا ہے، پروسیسر ہے۔ GDPR کا آرٹیکل 28 ایسا تحریری معاہدہ مانگتا ہے جو پروسیسنگ کو آپ کی ہدایات تک محدود کرے، رازداری اور سیکیورٹی لازمی قرار دے، اور سب پروسیسرز، حذف کرنے اور آڈٹس کا احاطہ کرے۔ سب پروسیسرز کی فہرست رکھیں اور فراہم کنندگان بدلنے پر اسے دیکھتے رہیں۔
4. EU یا ترکیہ سے باہر منتقلی کی جانچ کریں
بہت سے LLM فراہم کنندگان دوسرے ممالک میں ڈیٹا پروسیس کرتے ہیں۔ GDPR کے باب V کے تحت EEA سے باہر منتقلی کے لیے ایڈیکویسی فیصلہ یا مناسب تحفظات، جیسے معیاری معاہدہ جاتی شقیں، درکار ہیں۔
بیرونِ ملک منتقلی کے بارے میں KVKK کے قواعد جون 2024 میں بدلے۔ اب منتقلی ایڈیکویسی فیصلے، مناسب تحفظات، جیسے ذاتی ڈیٹا پروٹیکشن بورڈ کے شائع کردہ معیاری معاہدے، یا محدود استثنیات پر مبنی ہوتی ہے۔ معیاری معاہدوں کی سائن ہونے کے پانچ کاروباری دنوں کے اندر اتھارٹی کو اطلاع دینی ہوتی ہے۔ ہر فراہم کنندہ کے ڈیٹا پروسیس کرنے کی جگہ دیکھیں اور ایسے ریجن یا فراہم کنندگان چنیں جو آپ کی ذمہ داریوں سے ہم آہنگ ہوں۔
WhatsApp پر Meta کا Cloud API لوکل اسٹوریج پیش کرتا ہے: آپ ہر بزنس فون نمبر کے لیے منتخب کر سکتے ہیں کہ پیغام کا ڈیٹا ذخیرہ کیے جانے کی حالت میں کہاں رکھا جائے۔ استعمال کے دوران مواد پھر بھی Meta کے ڈیٹا سینٹرز میں بین الاقوامی سطح پر پروسیس ہو سکتا ہے، Cloud API پر 60 منٹ تک، اور اس کے بعد ہی وہ صرف منتخب کردہ ریجن میں رکھا جاتا ہے۔
5. LLM فراہم کنندہ سوچ سمجھ کر چنیں
ماڈل فراہم کنندہ وہ سب کچھ دیکھتا ہے جو آپ پرامپٹ میں ڈالتے ہیں۔ کسی کو منسلک کرنے سے پہلے یہ جانچیں:
- ٹریننگ میں استعمال۔ کیا فراہم کنندہ API ڈیٹا کو ماڈلز کی ٹریننگ کے لیے استعمال کرتا ہے، اور کیا آپ اس سے باہر نکل (opt out) سکتے ہیں؟
- ریٹینشن۔ پرامپٹس اور آؤٹ پٹس کتنی دیر رکھے جاتے ہیں، بشمول غلط استعمال کی نگرانی کے لیے؟
- ریجن۔ ڈیٹا کہاں پروسیس اور محفوظ ہوتا ہے، اور کیا آپ منتخب کر سکتے ہیں؟
- معاہدہ۔ کیا آپ کے پلان کے لیے ڈیٹا پروسیسنگ معاہدہ دستیاب ہے؟
- سیلف ہوسٹنگ۔ کیا اپنے سرورز پر اوپن سورس ماڈل حساس استعمال کے معاملات کے لیے موزوں رہے گا؟
اپنا فراہم کنندہ اکاؤنٹ (اپنی کلید، bring your own key) استعمال کرنے کا مطلب ہے کہ معاہدہ، ریجن کی سیٹنگز اور ریٹینشن کے آپشنز آپ کے اپنے ہیں، کسی وینڈر کے اکاؤنٹ سے وراثت میں ملے ہوئے نہیں۔
6. پرامپٹس اور ٹولز میں جانے والا ڈیٹا کم سے کم رکھیں
ڈیٹا منیمائزیشن (GDPR آرٹیکل 5) AI ایجنٹس کے لیے سب سے مؤثر پرائیویسی کنٹرول ہے۔
- کسٹمر ریکارڈز، شناختی دستاویزات یا اندرونی نوٹس نالج بیس میں اپ لوڈ نہ کریں۔
- ماڈل کو صرف وہ تاریخ بھیجیں جس کی اسے ضرورت ہے، پورا کانٹیکٹ پروفائل نہیں۔
- ٹولز کو کم سے کم ممکن رسائی دیں: آرڈر اسٹیٹس ٹول کو آرڈر نمبر چاہیے، پورا کسٹمر ڈیٹا بیس نہیں۔
- قومی شناختی نمبر، کارڈ نمبر اور پاس ورڈ جیسے فیلڈز کو ماسک کریں یا ان سے بچیں۔
- ایجنٹ کو ہدایت دیں کہ وہ کبھی ایسا حساس ڈیٹا نہ مانگے جس کی اسے ضرورت نہ ہو۔
ایجنٹ کا اصول: چیٹ میں کبھی کارڈ نمبر، پاس ورڈ یا شناختی نمبر نہ مانگیں۔
اگر کسٹمر ان میں سے کوئی شیئر کر دے تو اسے دہرائیں نہیں، اور اس کے بجائے
محفوظ ادائیگی کا لنک یا ہماری ٹیم کے ساتھ کال کی پیشکش کریں۔اگر آپ کا ایجنٹ MCP جیسے پروٹوکولز کے ذریعے بزنس سسٹمز سے جڑتا ہے تو یہی اصول ہر منسلک سسٹم پر لاگو ہوتا ہے۔ خطرات کے لیے کسٹمر میسجنگ کے لیے MCP دیکھیں۔
7. صحت اور دیگر خصوصی ڈیٹا میں اضافی احتیاط برتیں
صحت، مذہب، بایومیٹرک ڈیٹا اور اس طرح کے زمروں کو GDPR کے آرٹیکل 9 اور KVKK کے تحت اضافی تحفظ حاصل ہے۔ کلینکس، فارمیسیز اور انشورنس کمپنیوں کو چاہیے کہ AI جو کچھ ہینڈل کرتا ہے اسے محدود رکھیں، AI کے ذریعے طبی مشورے سے گریز کریں، اور طبی سوالات اہل عملے کی طرف بھیجیں۔ ایسا AI ایجنٹ لانچ کرنے سے پہلے جو ایسے ڈیٹا کو بڑے پیمانے پر پروسیس کرتا ہو، ڈیٹا پروٹیکشن امپیکٹ اسیسمنٹ (GDPR آرٹیکل 35) پر غور کریں۔
8. ہر اسٹور کے لیے ریٹینشن طے کریں
اسٹوریج کی حد بندی (GDPR آرٹیکل 5) کا مطلب ہے کہ آپ ذاتی ڈیٹا صرف اتنی دیر رکھیں جتنی ضرورت ہو۔ ان کے لیے مدت طے کریں اور دستاویزی شکل دیں:
- آپ کے میسجنگ پلیٹ فارم میں گفتگو کی تاریخ،
- LLM فراہم کنندہ کے پاس لاگز،
- ایکسپورٹ کیے گئے ٹرانسکرپٹس اور اینالیٹکس،
- ویکٹر ڈیٹا بیس یا نالج بیس میں موجود کوئی بھی ذاتی ڈیٹا۔
پھر یقینی بنائیں کہ حذف کرنا واقعی ہوتا ہے، جہاں ممکن ہو بیک اپس سمیت۔
9. رسائی اور حذف کرنے کی درخواستوں کے لیے تیار رہیں
کسٹمرز پوچھ سکتے ہیں کہ آپ کے پاس ان کا کیا ڈیٹا ہے اور اسے حذف کرنے کا مطالبہ کر سکتے ہیں (GDPR آرٹیکل 15 اور 17، اور KVKK کے تحت اسی طرح کے حقوق)۔ جانیں کہ اپنے ڈیٹا میپ کے ہر سسٹم میں کسی شخص کی گفتگو کیسے تلاش کی جائے، اور ہر ایک میں اسے کیسے حذف کیا جائے۔
10. صرف AI کے کیے ہوئے فیصلوں سے بچیں
GDPR کا آرٹیکل 22 ایسے فیصلوں کو محدود کرتا ہے جو صرف خودکار پروسیسنگ پر مبنی ہوں اور لوگوں کو نمایاں طور پر متاثر کریں۔ AI کو جواب دینے، معلومات جمع کرنے اور روٹ کرنے دیں، اور منظوریاں، انکار، کریڈٹ کے فیصلے اور استثنیات انسانوں کے پاس رکھیں۔ ایک قابلِ اعتماد AI سے انسان کو ہینڈ آف سروس کی بھی خصوصیت ہے اور کمپلائنس کی بھی۔
11. رسائی محفوظ کریں اور لاگز رکھیں
گفتگو پڑھ سکنے والوں کو محدود کریں، رول پر مبنی ایکسیس استعمال کریں، ملٹی فیکٹر تصدیق لازمی کریں، اور آڈٹ لاگز رکھیں کہ کس نے کیا کیا۔ GDPR کا آرٹیکل 32 خطرے کے مطابق سیکیورٹی کا تقاضا کرتا ہے، اور آرٹیکل 33 ذاتی ڈیٹا کی خلاف ورزی کی صورت میں، جہاں اس سے لوگوں کو خطرہ ہو، نگران اتھارٹی کو اطلاع دینے کی 72 گھنٹے کی مدت مقرر کرتا ہے۔
12. چینل کے اپنے قواعد پر عمل کریں
Meta کی WhatsApp Business Messaging Policy میں اوپٹ اِن، ڈیٹا کے استعمال اور AI کے بارے میں اپنے تقاضے ہیں۔ ہماری گائیڈ 2026 کے لیے WhatsApp AI چیٹ بوٹ پالیسی بتاتی ہے کہ Meta کیا اجازت دیتا ہے، اور WhatsApp اوپٹ اِن پیشگی پیغامات کے لیے رضامندی کا احاطہ کرتی ہے۔
فوری حوالہ: GDPR اور KVKK ایک ساتھ
| موضوع | GDPR | KVKK (قانون نمبر 6698) |
|---|---|---|
| صارفین کو آگاہ کرنا | آرٹیکل 13 اور 14 | آگاہ کرنے کی ذمہ داری |
| پروسیسر کے معاہدے | آرٹیکل 28 | کنٹرولر پروسیسر کی سیکیورٹی کا مشترکہ ذمہ دار (آرٹیکل 12) |
| بیرونِ ملک منتقلی | باب V: ایڈیکویسی، معیاری معاہدہ جاتی شقیں | ایڈیکویسی، اتھارٹی کو مطلع کیے گئے معیاری معاہدے، محدود استثنیات |
| خصوصی زمرے | آرٹیکل 9 | ذاتی ڈیٹا کے خصوصی زمرے |
| ریٹینشن | اسٹوریج کی حد بندی، آرٹیکل 5 | مقصد ختم ہونے پر حذف، تلف یا گمنام کرنا |
| ڈیٹا سے متعلق افراد کے حقوق | رسائی، مٹانے اور دیگر | اسی طرح کے حقوق، بشمول رسائی اور حذف |
MonoChat AI اور ڈیٹا پر آپ کا کنٹرول برقرار رکھنے میں کیسے مدد کرتا ہے
MonoChat اس طرح بنایا گیا ہے کہ اسٹیک کے حساس حصے آپ کے کنٹرول میں رہ سکیں۔ ہمارے سیکیورٹی اور کمپلائنس صفحے پر بیان کیے گئے مطابق پروڈکٹ یہ فراہم کرتا ہے:
- آپ کی اپنی LLM کلیدیں۔ کسٹم LLMs کے ساتھ آپ اپنا OpenAI، Anthropic، Google، Azure، AWS یا کسی دوسرے فراہم کنندہ کا اکاؤنٹ جوڑتے ہیں، تاکہ آپ کی اپنی قیمتیں اور ڈیٹا معاہدے برقرار رہیں، اور آپ طے کریں کہ کون سا اسسٹنٹ کون سا ماڈل استعمال کرے۔
- سیلف ہوسٹڈ ماڈلز۔ جب پرامپٹس کو آپ کے اپنے انفراسٹرکچر پر رہنا ہو تو آپ Ollama کے ذریعے یا اپنے ماڈل API کے ذریعے اپنے سرورز پر چلنے والے ماڈلز جوڑ سکتے ہیں۔
- آپ کا اپنا ویکٹر ڈیٹا بیس۔ VectorDB انٹیگریشن نالج بیس کے ویکٹرز کو آپ کے منتخب کردہ ویکٹر ڈیٹا بیس میں رکھتی ہے، آپ کی اپنی اسٹوریج اور ریٹینشن پالیسیوں کے ساتھ، آپ کے منتخب کردہ ریجن یا کلاؤڈ میں۔
- محدود دائرے کا نالج۔ AI نالج بیس مواد کو الگ الگ اسکوپس میں تقسیم کرتا ہے جن کا اپنا ایکسیس کنٹرول ہوتا ہے، تاکہ ہر ایجنٹ صرف وہی حاصل کرے جو اسے کرنا چاہیے۔
- کنٹرول شدہ AI ایکشنز۔ AI فنکشن ٹولز توثیق، اجازتوں، اجازت شدہ (allowlisted) اینڈ پوائنٹس اور لاگز کے ساتھ چلتے ہیں، تاکہ اسسٹنٹ صرف وہی کر سکے جس کی آپ اجازت دیں۔
- ایکسیس کنٹرول اور لاگز۔ رول پر مبنی رسائی، ورک اسپیس آئسولیشن، آڈٹ لاگز اور انکرپٹڈ، ورک اسپیس تک محدود فراہم کنندہ کریڈینشلز۔
- سرکاری چینل APIs۔ WhatsApp سرکاری WhatsApp Business Platform (Cloud API) کے ذریعے جڑتا ہے، اور MonoChat ایک سرکاری Meta Business Partner ہے۔
- سرٹیفیکیشنز اور پالیسی۔ MonoChat کے پاس ISO 27001 اور ISO 9001 سرٹیفیکیشنز ہیں، اور اس کی پرائیویسی پالیسی KVKK (قانون نمبر 6698) کے تحت تیار کی گئی ہے۔ ذاتی ڈیٹا تک رسائی، اس کی درستی یا حذف کرنے کی درخواستوں کا جواب 30 دن کے اندر دیا جاتا ہے۔
- آن پریمیس آپشن۔ Enterprise پلان سخت تقاضوں کے لیے آن پریم ڈیپلائمنٹ پیش کرتا ہے۔
آپ پروڈکٹ کو مفت Basic پلان (ایک ایجنٹ، ایک چینل) پر app.monochat.ai میں آزما سکتے ہیں، اور اپنے جائزے سے پہلے مکمل پرائیویسی پالیسی پڑھ سکتے ہیں۔
ذرائع
MonoChat کے ساتھ اسے عملی شکل دیں