TL; ডিআর
একটি নীতিমালা কোনো এআই পরিচালনা কাঠামো নয়। একটি পিডিএফ ফাইলে যদি লেখা থাকে "আমরা দায়িত্বের সাথে এআই ব্যবহার করি", তবে তা দিয়ে প্রমাণ করার কোনো উপায় নেই যে আসলে কোন এআই চলছে, কে এর অনুমোদন দিয়েছে, বা নীতিমালা অনুসরণ করা হচ্ছে কি না। শাসনের জন্য কথার আড়ালে একটি কাঠামো থাকা প্রয়োজন।
বাস্তব থেকে ধার করা চারটি ফাংশন standardএকটি কাঠামোকে একসাথে ধরে রাখা। NIST AI RMF-এর শাসন করুন, মানচিত্র তৈরি করুন, পরিমাপ করুন, পরিচালনা করুন এটি একটি স্থিতিশীল, উদ্ধৃতিযোগ্য কাঠামো: শাসন নীতি নির্ধারণ করে, রূপরেখা তালিকা তৈরি করে, পরিমাপ ঝুঁকি মূল্যায়ন করে, এবং ব্যবস্থাপনা তা প্রয়োগ ও প্রতিকার করে।
ইনভেন্টরি হলো এমন একটি ফাংশন যা বেশিরভাগ ফ্রেমওয়ার্ক এড়িয়ে যায় এবং এটিই সবার আগে বিকল হয়। এমন কোনো এআই অ্যাসেটকে আপনি নিয়ন্ত্রণ, পরিমাপ বা তার বিরুদ্ধে নীতি প্রয়োগ করতে পারেন না, যার অস্তিত্ব সম্পর্কে কেউ জানে না। শ্যাডো এআই নিরাপত্তাজনিত ব্যর্থতার আগে শাসনতান্ত্রিক ব্যর্থতা।
Standards আপনাকে শব্দভান্ডার দেয়, সরঞ্জাম নয়। An এআই গভর্নেন্স ফ্রেমওয়ার্ক NIST AI RMF, ISO/IEC 42001 এবং EU AI আইনের উপর ভিত্তি করে নির্মিত কাঠামো একটি প্রোগ্রামে কী কী প্রদর্শন করা প্রয়োজন, তার পরিভাষা প্রদান করে। এগুলোর কোনোটিই আপনাকে প্রয়োজনীয় উপকরণের তালিকা, প্রমাণ বা প্রয়োগের ব্যবস্থা হাতে তুলে দেয় না; এই অংশটি প্রতিষ্ঠানগুলোকে নিজেদেরই তৈরি করে নিতে হয়।
আজকাল একটি কোম্পানি যে “এআই গভর্নেন্স” তৈরি করতে পারে, তার বেশিরভাগই একটি নথি মাত্র। কিছু নীতিমালার সমষ্টি, অনুমোদিত টুলের একটি তালিকা, দায়িত্বশীল ব্যবহার নিয়ে একটি অনুচ্ছেদ, যা আইন বিভাগ দ্বারা অনুমোদিত এবং এমন কোথাও ফাইল করা থাকে যেখানে কেউ এটি দ্বিতীয়বার পড়ে না। এটি “আমরা যা করি বলে দাবি করি”—এই প্রশ্নের উত্তর দেয়, কিন্তু একটি অডিট বা কোনো ঘটনার ক্ষেত্রে যে প্রশ্নটি সত্যিই গুরুত্বপূর্ণ, তার উত্তর দিতে পারে না: এই মুহূর্তে কোন এআই চলছে, কে এটি অনুমোদন করেছে, এবং আমরা তা কীভাবে জানব। নীতিমালা এবং তার প্রমাণের মধ্যকার এই ফাঁকটিতেই বেশিরভাগ এআই গভর্নেন্সের প্রচেষ্টা নীরবে ব্যর্থ হয়। এআই গভর্নেন্স ফ্রেমওয়ার্ক এটিই সেই কাঠামো যা এটিকে বন্ধ করে দেয়।
কেন শুধু একটি নীতি নথি কার্যকর হয় না
একটি দায়িত্বশীল এআই নীতি প্রয়োজন। এটি যথেষ্ট নয় এবং এর কারণটি কাঠামোগত, আরও ভালো নীতি প্রণয়নের বিষয় নয়।
একটি নীতিমালায় এর উদ্দেশ্য ব্যক্ত করা হয়। এতে বলা থাকে যে, ডেভেলপারদের অনুমোদিত এআই কোডিং টুল ব্যবহার করা উচিত, ব্যক্তিগত তথ্য পরিচালনাকারী মডেলগুলোর গোপনীয়তা পর্যালোচনা প্রয়োজন এবং এআই-নির্মিত কোড মানুষের লেখা কোডের মতোই সমানভাবে যাচাই-বাছাইয়ের সম্মুখীন হবে। এর ভিত্তি হিসেবে এমন কিছু না থাকলে এর কোনোটিই বলবৎযোগ্য নয়, যা চাহিদামাত্র তিনটি প্রশ্নের উত্তর দিতে পারে:
- প্রকৃতপক্ষে কোন ধরনের কৃত্রিম বুদ্ধিমত্তা ব্যবহার করা হচ্ছে? কী অনুমোদিত হয়েছে তা নয়, বরং কী চলছে: কোন মডেল, কোন এজেন্ট, কোন এমসিপি সার্ভার, কোন এআই কোডিং অ্যাসিস্ট্যান্ট, কোন রিপোজিটরিতে, কিসের সাথে সংযুক্ত।
- বাস্তবতা কি নীতির সাথে মেলে? স্ক্রিপ্ট থেকে গোপনে কল করা একটি অননুমোদিত মডেল, একটি কনফিগারেশন ফাইলে থাকা ডেভেলপারের ব্যক্তিগত এপিআই কী, এবং এমন একটি এমসিপি সার্ভার যা কেউ পর্যালোচনা করেনি—এগুলো এমন নীতি লঙ্ঘন যা কোনো নথি নিজে থেকে শনাক্ত করতে পারে না।
- আপনি কি এটা প্রমাণ করতে পারেন, শুধু দাবি করলেই হবে না? যখন কোনো নিরীক্ষক, নিয়ন্ত্রক সংস্থা বা গ্রাহকের নিরাপত্তা প্রশ্নাবলীতে প্রমাণ চাওয়া হয়, তখন “আমাদের একটি নীতিমালা আছে”—এটুকু প্রমাণ হিসেবে গণ্য হয় না। বরং প্রমাণ হলো একটি তারিখযুক্ত মজুদপণ্য, একটি স্বাক্ষরিত এআই বিল অফ মেটেরিয়ালস এবং একটি সুবিন্যস্ত নিয়ন্ত্রণ ব্যবস্থা।
এই তিনটি ছাড়া, একটি শাসনব্যবস্থা কর্মসূচি হলো মূল্যবোধের একটি বিবৃতি। এগুলো থাকলে, এটি এমন একটি ব্যবস্থা হয়ে ওঠে যা নিরীক্ষা করা যায়।
প্রতিটি এআই গভর্নেন্স ফ্রেমওয়ার্কের জন্য প্রয়োজনীয় চারটি ফাংশন
নতুন কোনো কাঠামো উদ্ভাবন করার পরিবর্তে, সবচেয়ে টেকসই কাঠামোসমূহ এমন একটি কাঠামো থেকে ধারণা গ্রহণ করে যা ইতিমধ্যেই স্থিতিশীল এবং ব্যাপকভাবে স্বীকৃত: NIST AI ঝুঁকি ব্যবস্থাপনা কাঠামোচারটি ফাংশনকে কেন্দ্র করে নির্মিত। এগুলোকে অনায়াসে একটি বাস্তবসম্মত এআই গভর্নেন্স প্রোগ্রামে রূপান্তরিত করা যায়।
যেখানে শ্যাডো এআই কাঠামোটি ভেঙে দেয়
ছায়া এআই, নিরাপত্তা বা গভর্নেন্সের অজান্তেই মডেল, এজেন্ট এবং এআই কোডিং টুলগুলো চলতে থাকাটা কোনো গৌণ বিষয় নয়। ম্যাপ ফাংশন ব্যর্থ হওয়ার এটাই সবচেয়ে সাধারণ কারণ, এবং যখন ম্যাপ ব্যর্থ হয়, তখন এর সাথে পুরো ফ্রেমওয়ার্কটিই অচল হয়ে পড়ে। একজন ডেভেলপার একটি স্ক্রিপ্টের সাথে অনুমোদনহীন মডেল সংযুক্ত করে। একটি প্রজেক্টে এমসিপি সার্ভার যুক্ত করা হয় কারণ এটি দ্রুত একটি সমস্যার সমাধান করে। একটি এআই কোডিং অ্যাসিস্ট্যান্ট ইনস্টল করা হয় কারণ এটি বিনামূল্যে পাওয়া যায়। এর কোনোটিই কোনো জরিপে উঠে আসে না, এবং যে গভর্নেন্স ফ্রেমওয়ার্ক স্ব-প্রতিবেদনের উপর নির্ভর করে, তা সবসময়ই কম গণনা করবে।
এর সমাধান কোনো কঠোর নীতি প্রণয়ন করে মানুষকে আরও ভালোভাবে স্ব-প্রতিবেদন করতে বলা নয়। বরং এর সমাধান হলো এমন এক আবিষ্কার পদ্ধতি, যা কারও কিছু জানানোর কথা মনে রাখার ওপর নির্ভর করে না; বরং এটি গড়ে ওঠে এআই টুলগুলো কোড, কনফিগারেশন এবং ডিপেন্ডেন্সিতে যা কিছু রেখে যায়, তার ওপর ভিত্তি করে।
কীভাবে এটি তৈরি করবেন, ক্রমানুসারে
এই চারটি ফাংশন বর্ণনা করে যে একটি ফ্রেমওয়ার্কের কী কী প্রয়োজন। যখন আপনি একেবারে শূন্য থেকে, অথবা কোনো কাঠামোবিহীন একটি নীতি-দলিল থেকে কাজ শুরু করেন, তখন এই ক্রমটিই প্রকৃতপক্ষে কার্যকর হয়।
কি Standardতারা আসলে আপনাকে কী দেয়, এবং কী দেয় না
বর্তমানে হাতেগোনা কয়েকটি কাঠামো ও প্রবিধানই এআই পরিচালনার পরিভাষা নির্ধারণ করে। এগুলোর কোনোটিই প্রয়োজনীয় টুল সরবরাহ করে না; এগুলো নির্ধারণ করে একটি প্রোগ্রামকে কী প্রদর্শন করতে হবে, কিন্তু যে অন্তর্নিহিত সিস্টেমটি তা প্রদর্শন করবে, সেটি কীভাবে তৈরি করতে হবে তা নয়।
বিশেষ করে ইইউ এআই অ্যাক্ট সম্পর্কে একটি টীকা, কারণ এর সময়সীমা প্রায়শই ভুলভাবে উল্লেখ করা হয়: ডিজিটাল অমনিবাস, যা ২৭ জুলাই ২০২৬ থেকে কার্যকর হবেউচ্চ-ঝুঁকিপূর্ণ বাধ্যবাধকতাগুলোর বেশিরভাগকে ডিসেম্বর ২০২৭ এবং আগস্ট ২০২৮ পর্যন্ত পিছিয়ে দেওয়া হয়েছে। অনুচ্ছেদ ৫০-এর স্বচ্ছতার বাধ্যবাধকতাগুলো আগস্ট ২০২৬ থেকে কার্যকর থাকবে। এখন থেকেই পরবর্তী সময়সীমাগুলোর দিকে প্রস্তুতি নেওয়া এখনও সঠিক সিদ্ধান্ত, একটি এআই ইনভেন্টরি এবং এর পেছনের প্রমাণগুলো দাঁড়াতে সময় লাগে, কিন্তু এর কোনো সঠিক সংস্করণ নেই যা বলে যে সময় ইতিমধ্যেই শেষ হয়ে গেছে।
এআই গভর্নেন্স টুল এবং সফটওয়্যারের আসলে কী করা প্রয়োজন
“এআই গভর্নেন্স সফটওয়্যার” কথাটি একটি পলিসি-ম্যানেজমেন্ট উইকি থেকে শুরু করে একটি পূর্ণাঙ্গ রিস্ক প্ল্যাটফর্ম পর্যন্ত সবকিছু বোঝাতে ঢিলেঢালাভাবে ব্যবহৃত হয়। আপনি যা-ই মূল্যায়ন করুন না কেন, সেটিকে এই চারটি কাজ করতে হবে, নতুবা এটি কোনো কিছু পরিচালনা করছে না, বরং এটি কেবল একটি উদ্দেশ্যকে নথিভুক্ত করছে:
- আত্ম-প্রতিবেদনের উপর নির্ভর না করে আবিষ্কার করুন। যদি কোনো এআই অ্যাসেট শুধুমাত্র ফর্ম পূরণের মাধ্যমেই ইনভেন্টরিতে প্রবেশ করে, তাহলে সেই ইনভেন্টরিটি সংজ্ঞাগতভাবেই ভুল। কোড, কনফিগারেশন এবং ডিপেন্ডেন্সি থেকে প্রাপ্ত তথ্য এমন কিছু ধরে ফেলে যা একটি সার্ভে ধরতে পারে না।
- একটি মেশিন-পাঠযোগ্য এআই-বিওএম (AI-BOM) তৈরি করুন। একটি বাস্তব বিন্যাসে এআই দ্বারা নির্মিত বিল অফ মেটেরিয়ালস, যেমন CycloneDX-এর ML-BOM অথবা এসপিডিএক্স ৩.০ এআই প্রোফাইল, যা একজন অডিটর প্রকৃতপক্ষে গ্রহণ ও যাচাই করতে পারেন, কোনো বিশেষ অনুষ্ঠানের জন্য এক্সপোর্ট করা স্প্রেডশিট নয়।
- প্রাপ্ত ফলাফলগুলোকে একটি নির্দিষ্ট কাঠামোর সাথে বিন্যস্ত করুন। ঝুঁকির অনুসন্ধান যা উল্লেখ করে OWASP LLM শীর্ষ ১০ অথবা NIST AI RMF যাচাইযোগ্য। কিন্তু কোনো কাঠামোবিহীন একটি অস্পষ্ট “ঝুঁকি স্কোর” যাচাইযোগ্য নয়।
- অতীতের কোনো নির্দিষ্ট গোষ্ঠীর পরিবর্তে বর্তমানের সঙ্গে যুক্ত থাকুন। গত নিরীক্ষা চক্রের কোনো তালিকা বা ঝুঁকি মূল্যায়ন একটি নতুন মডেল যুক্ত হওয়ার দিনেই পুরোনো হয়ে যায়। সুশাসন হয় অবিচ্ছিন্ন, নতুবা এটি একটি নির্দিষ্ট সময়চিহ্নযুক্ত নাটক মাত্র।
সাধারণ ভুল যা একটি শাসন কাঠামোকে দুর্বল করে দেয়
- নীতিমালাটিকে চূড়ান্ত সীমা হিসেবে বিবেচনা করা। একটি প্রকাশিত এআই ব্যবহার নীতিমালা, যার পেছনে কোনো প্রয়োগ ব্যবস্থা নেই, তা একটি প্রাথমিক খসড়া, কোনো পূর্ণাঙ্গ কর্মসূচি নয়।
- শুধুমাত্র আনুষ্ঠানিকভাবে অনুরোধ করা জিনিসপত্রেরই তালিকা তৈরি করা হচ্ছে। অনুমোদিত টুলগুলো ট্র্যাক করা হয়। ডেভেলপাররা নিজেদের উদ্যোগে যা কিছু ইনস্টল করেন, তা ট্র্যাক করা হয় না এবং সাধারণত সেগুলোর সংখ্যাই বেশি থাকে।
- এককালীন ঝুঁকি মূল্যায়ন। এমন একটি মডেল যা গ্রহণের সময় পর্যালোচনা করা হয় এবং এরপর থেকে এটি আর কখনও প্রতিটি কনফিগারেশন পরিবর্তন, প্রতিটি নতুন ইন্টিগ্রেশন এবং সংযুক্ত হওয়া প্রতিটি নতুন এমসিপি সার্ভার উপেক্ষা করে না।
- কারিগরি প্রমাণ এবং সম্মতিমূলক বিবরণের মধ্যে কোনো যোগসূত্র নেই। নিরাপত্তা দলগুলো তালিকা তৈরি করে। পরিপালন দলগুলো প্রতিবেদন লেখে। যখন এই দুই দলের মধ্যে যোগাযোগ হয় না, তখন প্রতিবেদনটি অনুমাননির্ভর হয়ে পড়ে।
- সার্টিফিকেশনকে নিয়ন্ত্রণের সাথে গুলিয়ে ফেলা। ISO/IEC 42001 সার্টিফিকেশন এবং OWASP অ্যালাইনমেন্ট শক্তিশালী সংকেত, কিন্তু এগুলো উদ্দেশ্য এবং কাঠামো বর্ণনা করে। একটি নির্দিষ্ট অডিটে যে প্রকৃত ইনভেন্টরি এবং প্রমাণ চাওয়া হবে, এগুলো তার বিকল্প নয়।
নীতি থেকে প্রমাণ পর্যন্ত
অধিকাংশ শাসন নীতি এই অনুমানের উপর ভিত্তি করে লেখা হয় যে, “আমাদের কাছে আসলে কী ধরনের কৃত্রিম বুদ্ধিমত্তা আছে?”—এই প্রশ্নের উত্তর কেউ না কেউ ইতিমধ্যেই দিতে পারবে। বাস্তবে, প্রায় কেউই তা পারে না। জাইজেনি এআই নিরাপত্তা এটি ঠিক সেই শূন্যস্থানটি পূরণ করার জন্যই তৈরি করা হয়েছে: এটি ডেভেলপারদের রিপোর্ট করতে বলার পরিবর্তে, কোনো প্রতিষ্ঠানের সোর্স কোড এবং কনফিগারেশনে রেখে যাওয়া তথ্য পড়ে সেখানে আগে থেকেই চলমান মডেল, এজেন্ট, এমসিপি সার্ভার এবং এআই কোডিং টুলগুলো খুঁজে বের করে। এই তালিকাটি একটি সম্পর্ক গ্রাফ তৈরি করে, যা দেখায় প্রতিটি অ্যাসেট কীভাবে বাকিগুলোর সাথে সংযুক্ত। SDLCএবং মেশিন-পঠনযোগ্য হিসেবে রপ্তানি করে এআই-বোম অডিটররা নিজস্ব কোনো স্কোরিং সিস্টেমের পরিবর্তে OWASP LLM Top 10 এবং NIST AI RMF-এর সাথে সামঞ্জস্যপূর্ণ একটি পদ্ধতি নিয়ে কাজ করতে পারেন। যেহেতু ডিসকভারি প্রক্রিয়া ক্রমাগত চলতে থাকে, তাই ইনভেন্টরিটি গত অডিটের সত্যতার পরিবর্তে এই সপ্তাহের সত্যতাকেই প্রতিফলিত করে।
এর কোনোটিই ‘গভর্ন’ ফাংশনের বিকল্প নয়। এআই ঝুঁকির দায় কার, কী অনুমোদন পাবে, এবং ‘গ্রহণযোগ্য ব্যবহার’ বলতে কী বোঝায়—এইসব সিদ্ধান্ত নেওয়া এখনও একটি নীতি ও জবাবদিহিতার প্রশ্ন, যার উত্তর কোনো স্ক্যানিং টুল আপনার হয়ে দিতে পারে না। এটি যা করে তা হলো, সেই নীতিকে দাঁড়ানোর জন্য একটি ভিত্তি দেয়: অনুমানের পরিবর্তে প্রমাণ। আপনি যদি আপনার সংক্ষিপ্ত তালিকায় থাকা অন্যান্য বিকল্পগুলোর সাথে এটির তুলনা করে থাকেন, একটি এআই নিরাপত্তা সংস্থা মূল্যায়নের জন্য আমাদের চেকলিস্ট একই ডি দিয়ে হেঁটে যায়cisক্রেতার পক্ষ থেকে, এবং মূল্য নির্ধারণের পৃষ্ঠা এটি কীভাবে একটি বৃহত্তর প্রেক্ষাপটে খাপ খায় তার বিশদ বিবরণ রয়েছে ASPM কার্যক্রম.
প্রায়শই জিজ্ঞাসিত প্রশ্ন: একটি এআই গভর্নেন্স ফ্রেমওয়ার্ক তৈরি করা
এআই গভর্নেন্স ফ্রেমওয়ার্ক এবং এআই পলিসির মধ্যে পার্থক্য কী?
নীতিমালা হলো এমন একটি দলিল যেখানে এর উদ্দেশ্য, অনুমোদিত বিষয়, প্রত্যাশিত বিষয় এবং জবাবদিহিতার কথা উল্লেখ থাকে। কাঠামো হলো সেই গঠন যা নীতিমালাটিকে বলবৎযোগ্য ও যাচাইযোগ্য করে তোলে: তথ্য উদ্ঘাটন, ঝুঁকি মূল্যায়ন, প্রয়োগ এবং প্রমাণ। কাঠামোবিহীন কোনো নীতিমালা বাস্তবতার নিরিখে নিরীক্ষা করা যায় না।
একটি এআই গভর্নেন্স প্রোগ্রাম পরিচালনার জন্য কি ISO/IEC 42001 সার্টিফিকেশন প্রয়োজন?
না। সার্টিফিকেশন ঐচ্ছিক এবং এটি গ্রাহক ও নিরীক্ষকদের কাছে পরিপক্কতার সংকেত দেয়, কিন্তু সার্টিফিকেশন অর্জনের আগে একটি কার্যকর গভর্নেন্স প্রোগ্রাম, তথ্য উদ্ঘাটন, ঝুঁকি মূল্যায়ন এবং প্রয়োগ ব্যবস্থা থাকা উচিত, এর বিকল্প হিসেবে নয়।
একটি এআই-বিওএম কি ইইউ এআই আইনের প্রয়োজনীয়তা পূরণ করে?
এককভাবে নয়। ধারা ১১ এবং পরিশিষ্ট IV উচ্চ-ঝুঁকিপূর্ণ এআই সিস্টেমের জন্য প্রযুক্তিগত ডকুমেন্টেশন আবশ্যক করে, এবং একটি এআই-বিওএম সেই ডকুমেন্টেশনের পক্ষে একটি শক্তিশালী সহায়ক প্রমাণ, কিন্তু আইনটিতে “এআই-বিওএম”-কে একটি বাধ্যতামূলক নিদর্শন হিসেবে উল্লেখ করা হয়নি। এটিকে প্রমাণ হিসেবে বিবেচনা করুন, কেবল নিয়ম পালনের একটি চেকবক্স হিসেবে নয়।
বর্তমানে এআই গভর্নেন্স প্রোগ্রামগুলোর সবচেয়ে সাধারণ ঘাটতি কোনটি?
তালিকা। বেশিরভাগ সংস্থা তাদের ব্যবহৃত প্রতিটি মডেল, এজেন্ট এবং এআই কোডিং টুলের একটি সঠিক ও হালনাগাদ তালিকা তৈরি করার চেয়ে দ্রুত একটি নীতি তৈরি করতে পারে। সেই তালিকা ছাড়া, ফ্রেমওয়ার্কের অন্য প্রতিটি ফাংশন অসম্পূর্ণ তথ্যের উপর ভিত্তি করে কাজ করে।
এআই গভর্নেন্স টুলগুলো কি কমপ্লায়েন্স বা লিগ্যাল টিমের প্রয়োজনীয়তা প্রতিস্থাপন করে?
না। টুলগুলো একটি কমপ্লায়েন্স প্রোগ্রামের জন্য প্রয়োজনীয় প্রযুক্তিগত প্রমাণ, তথ্য উদ্ঘাটন, ঝুঁকি স্কোরিং এবং নিরীক্ষার জন্য প্রস্তুত ডকুমেন্টেশন সরবরাহ করে। নিয়ন্ত্রক বাধ্যবাধকতা ব্যাখ্যা করা, নীতি নির্ধারণ করা এবং ঝুঁকি গ্রহণের সিদ্ধান্ত নেওয়া...cisরাষ্ট্রসমূহের জন্য এখনও এমন মানবিক শাসন কাঠামোর প্রয়োজন যা কোনো সরঞ্জাম প্রতিস্থাপন করতে পারে না।
