Copilot चालू करना जादू नहीं: Microsoft 365 में कॉन्ट्रैक्ट, लाइसेंस, अनुमतियाँ और Purview गवर्नेंस (AI डबिंग)

बहुत से लोग मानते हैं कि Microsoft Copilot बस चालू करना है और काम हो जाएगा। असल में आप एक large language model को सीधे अपनी कंपनी के डेटा से जोड़ रहे होते हैं। यह मॉडल आपके Microsoft Graph कंटेंट और रोज़ इस्तेमाल होने वाले Microsoft 365 Apps के साथ काम करता है। ईमेल, चैट और दस्तावेज़ सब इसके लिए input बन जाते हैं।

इसलिए असली सवाल यह नहीं है कि Copilot काम करता है या नहीं। सवाल यह है कि इसे चालू करके आपने अपने tenant में और क्या खोल दिया है। जोखिम अनुबंध, लाइसेंस, डेटा सुरक्षा, तकनीकी नियंत्रण और governance तक फैले हुए हैं। इनमें से एक भी कड़ी छूटी तो आपने बिना नक्शे की भूलभुलैया बना ली।

Copilot टॉगल दबाने पर असल में क्या बदलता है?

एडमिन कंसोल किसी कंट्रोल पैनल जैसा दिखता है, पर असली वायरिंग कानूनी दस्तावेज़ों में होती है। Copilot अकेला नहीं चलता। वह Microsoft Product Terms और Microsoft Data Protection Addendum (DPA) के तहत शासित होता है। ये दस्तावेज़ सिर्फ़ छोटी लिखावट नहीं हैं। Data Residency, Processing Commitments और गोपनीयता संबंधी दायित्व इन्हीं पर टिके हैं। यानी आप कोई भी स्विच दबाएँ, उससे पहले अनुबंध खेल की शर्तें तय कर चुका होता है।

Copilot चालू करना सिर्फ़ एक सुविधा का विकल्प नहीं है। इससे वे दायित्व लागू हो जाते हैं जो इन दस्तावेज़ों में पहले से दर्ज हैं। पहचान, अनुमतियाँ, एन्क्रिप्शन और रिटेंशन सब बाद में आते हैं। सबसे बुनियादी परत अनुबंध की शर्तें हैं।

Microsoft Product Terms और DPA: अनुबंध क्या तय करते हैं

दोनों दस्तावेज़ों की भूमिकाएँ अलग हैं।

• Microsoft Product Terms तय करते हैं कि आपको क्या करने की अनुमति है, आपका डेटा भौतिक रूप से कहाँ रह सकता है, और Copilot द्वारा बनाए गए आउटपुट का मालिक कौन है।
• Data Protection Addendum गोपनीयता नियंत्रण तय करता है। यह खास तौर पर GDPR और ऐसे ही फ्रेमवर्क के आसपास Microsoft की भूमिका को डेटा प्रोसेसर के रूप में परिभाषित करता है।

ये फ्रेमवर्क अनुपालन के लिए लगाए गए पोस्टर नहीं हैं, ये बाध्यकारी हैं। इन्हें नज़रअंदाज़ करने से आप नियमों से नहीं बचते, बस गैर-अनुपालन का जोखिम बढ़ाते हैं। आपकी तकनीकी सेटिंग्स को इन दायित्वों के अनुरूप काम करना चाहिए, उनके विरोध में नहीं। अनुबंधात्मक दायित्व मूल हैं और तकनीकी नियंत्रण उन्हें लागू करने के तंत्र हैं। आप retention label, encryption नीतियाँ और अनुमतियाँ कितनी भी बारीकी से configure कर लें, अगर वे DPA और Product Terms की प्रतिबद्धताओं से मेल नहीं खातीं तो जोखिम बना रहता है।

"क्या Microsoft हमारे डेटा पर अपना मॉडल ट्रेन करता है?"

यह डर अक्सर सुनने को मिलता है कि Microsoft चुपचाप कारोबारी डेटा पर अपना LLM प्रशिक्षित कर रहा है। अनुबंध के अनुसार जवाब है नहीं। Copilot में आपके prompts, उनके जवाब और Microsoft Graph का डेटा Microsoft के foundation models को प्रशिक्षित करने के लिए वापस नहीं भेजे जाते। यह Product Terms और DPA दोनों में औपचारिक रूप से दर्ज है। आपके ईमेल AI के दिमाग के लिए अभ्यास-नोट्स की तरह इस्तेमाल नहीं हो रहे। आपके CEO का तिमाही मेमो गुप्त रूप से किसी और के AI को बेहतर बनाने में नहीं लगता।

डेटा रेजिडेंसी और आउटपुट का स्वामित्व

डेटा कहाँ रहता है, यह कोई दार्शनिक बात नहीं है। इसे नियम पूरी स्पष्टता से लागू करते हैं। उदाहरण के लिए, UK के ग्राहकों की Copilot queries UK data boundary के भीतर रहती हैं। UK के बाहर queries अन्य वैश्विक क्षेत्रों के डेटा सेंटरों से होकर गुज़र सकती हैं। यह Product Terms में साफ़ लिखा है। EU के संदर्भ में भी यही सोच लागू होती है। Copilot processing EU data boundary के अनुसार रूट होती है, लेकिन Bing पर वेब खोज queries EU data guarantee में शामिल नहीं हैं और उनकी data handling नीति बिल्कुल अलग है।

स्वामित्व भी पहले से तय है। Copilot से बनी स्लाइड डेक डिफ़ॉल्ट रूप से आपकी होती है। इसकी वजह कोई उदारता नहीं है, बल्कि यह है कि Product Terms ने AI सिस्टम को IP पर किसी भी दावे को छोड़ने का निर्देश दिया है।

इसे जिम की सदस्यता से समझिए। आपको लगता है कि आप सिर्फ़ ट्रेडमिल के लिए साइन अप कर रहे हैं, पर अनुबंध खुलने का समय, उपकरणों पर पाबंदी और पहनावे तक के नियम भी तय कर देता है। "मैंने पढ़ा नहीं" कहने से वे नियम लागू होना बंद नहीं होते।

Copilot लाइसेंस और RBAC: हर दरवाज़े पर ताले

कई लोग लाइसेंस को जादुई चाबी समझते हैं: खरीदो, बाँटो, और Copilot किसी कैफ़ीन से भरे इंटर्न की तरह ईमेल लिखने लगेगा। यह सही नहीं है। बेहतर तुलना यह है कि लाइसेंस बिल्डिंग परमिट है और RBAC बाउंसर। परमिट तय करता है कि कानूनी रूप से क्या मौजूद हो सकता है, और बाउंसर तय करता है कि कौन किस दरवाज़े से आगे जा सकता है।

लाइसेंस Copilot की सुविधाएँ सक्षम करते हैं, लेकिन Copilot सिर्फ़ वही डेटा दिखाता है जिसे देखने की अनुमति उपयोगकर्ता के पास पहले से है। यह अनुमति Microsoft के माध्यम से आपके tenant की पहचान और RBAC सेटिंग्स से लागू होती है। लाइसेंस कहता है कि यह व्यक्ति Copilot इस्तेमाल कर सकता है। RBAC कहता है कि वह अब भी CFO के निजी फ़ोल्डर नहीं खोल सकता।

• Copilot मौजूदा Microsoft 365 प्लान का add-on है। यह मानक बंडलों में पहले से शामिल नहीं आता, आपको इसे चुनना पड़ता है।
• लाइसेंस से अनुमतियाँ नहीं बढ़तीं। यह सिर्फ़ Word, Excel, Outlook और बाकी सूट के भीतर क्षमता देता है।
• कुछ कार्यों के लिए अतिरिक्त लाइसेंसिंग चाहिए, जैसे अनुपालन नियंत्रण के लिए Purview और सुरक्षा संकेतों के लिए Defender add-on। इन निर्भरताओं को जाने बिना रोलआउट जेली पर मचान बनाने जैसा अस्थिर होगा।
• Copilot लाइसेंस cross-tenant guest accounts तक नहीं बढ़ाया जा सकता। Gmail से लॉग इन करने वाले सलाहकार को आपके वातावरण में Copilot नहीं मिलेगा।

दो संगठन, दो नतीजे

पहला संगठन मानता है कि निष्पक्षता का मतलब सबको समान लाइसेंस और समान एक्सेस है। नेक विचार, पर विनाशकारी परिणाम। Copilot खुशी-खुशी कॉन्ट्रैक्ट, HR रिकॉर्ड और कार्यकारी ईमेल चेन तक पहुँच जाता है, क्योंकि वे गलती से ज़रूरत से ज़्यादा साझा हो गए थे।

दूसरा संगठन अनुशासन से चलता है। लाइसेंस ज़रूरतों से मेल खाते हैं और भूमिकाएँ सख़्त दायरे तय करती हैं। Finance का डेटा Finance तक सीमित रहता है, Marketing का Marketing तक, और IT किनारे पर रहता है। उपयोगकर्ताओं को Copilot वहाँ भी समझदार लगता है, लेकिन असल में वह सिर्फ़ अनुशासित सूचना-वास्तुकला को प्रतिबिंबित कर रहा होता है।

एक व्यावहारिक सुझाव यह है कि लाइसेंस एक-एक करके हाथ से देना बंद करें और समूह-आधारित लाइसेंस असाइनमेंट अपनाएँ। यह कुशल है और आपको समूह की सदस्यता साफ़ रखने के लिए मजबूर करता है। पर अगर आप उन सदस्यताओं का ऑडिट नहीं करते, तो लाइसेंस ऐसी जगहों तक पहुँच सकते हैं जहाँ उन्हें नहीं होना चाहिए।

लाइसेंस को पासपोर्ट समझिए। वह बताता है कि सीमा पर आपको कौन मानता है, पर पूरे महाद्वीप में खुला घूमने की गारंटी नहीं देता। वीज़ा और रेज़िडेंट परमिट पाबंदियाँ जोड़ते हैं। भूमिकाएँ आपका वीज़ा हैं।

Oversharing और sensitivity labels: Copilot क्या देख सकता है

बंद कमरों के भीतर Copilot असल में आपके ईमेल, दस्तावेज़ों और हर भूली-बिसरी, ज़रूरत से ज़्यादा साझा की गई फ़ाइल का इस्तेमाल करता है। Copilot अनुमतियाँ नहीं बदलता, वह उन्हें बढ़ा-चढ़ाकर दिखाता है। अगर टीम की लाइब्रेरी पुरानी फ़ाइलों से भरी है तो वे सारांशों में आ जाएँगी। अगर SharePoint लापरवाही से खुला है तो Copilot उस डेटा को ड्राफ़्ट में एक साथ ला देगा। यह इंडेक्स आपका बनाया हुआ है, Microsoft का नहीं।

Copilot को ऐसे लाइब्रेरियन की तरह सोचिए जिसे सब कुछ याद रहता है। कर्मचारी बेसमेंट की खुली फ़ाइलिंग कैबिनेट भूल जाते हैं, Copilot नहीं भूलता। यह दुर्भावना नहीं, आपकी बनाई डिजिटल अराजकता पर लागू हुई दक्षता है।

सिर्फ़ अनुमतियाँ काफ़ी नहीं हैं, इसलिए sensitivity labels का उपयोग करें। ये सजावट नहीं, सुरक्षा को संचालित करते हैं। जब किसी फ़ाइल पर गोपनीय लेबल और एन्क्रिप्शन लगा हो, तो Copilot को उसका सम्मान करना होता है। ऐसे लेबल के लिए उपयोग-अधिकार चाहिए। Copilot सामग्री को तभी प्रोसेस करता है जब उपयोगकर्ता के पास उसे देखने (view) और निकालने (extract) दोनों के अधिकार हों।

Purview, Defender और admin center: एक अनुपालन इंजन के तीन आयाम

Purview और Defender बैकग्राउंड में बजता संगीत नहीं हैं। ये उस प्रणाली के अहम हिस्से हैं जो Copilot को नियंत्रित करती है।

• Purview नीतियों के ज़रिए retention लागू करता है, Data Loss Prevention (DLP) चलाता है, AI के लिए DSPM (Data Security Posture Management) से जोखिम सामने लाता है, और हर कार्रवाई audit trails में दर्ज करता है।
• Purview की content search और retention नीतियाँ खोज और प्रतिधारण को नियंत्रित करने में काम आती हैं।
• Defender रन टाइम पर नियम लागू करता है।

एडमिन इन टूल्स को बंद बॉक्स की तरह देखने की गलती करते हैं। उन्हें लगता है कि admin center से Copilot चालू हो गया तो काम पूरा। पर Purview के लेबल और नीतियाँ यह तय करती हैं कि Copilot किस सामग्री को इंडेक्स करता है और क्या दिखाता है। ये तीनों मिलकर एक अनुपालन इंजन के तीन आयाम हैं। इनमें से कोई भी गलत configure या उपेक्षित रहे तो नतीजा शोर होता है, governance नहीं।

आम गलतियाँ: कागज़ी governance और अधूरी वर्गीकरण

सबसे बड़ी गलती है governance को ऐसी पॉलिसी में सीमित कर देना जिसे कोई पढ़ता नहीं। कागज़ पर बनी नीतियाँ नाज़ुक होती हैं। आप उन्हें प्रसारित करते हैं, टाउन हॉल करते हैं, घोषणा करते हैं, और कुछ ही दिनों में वे अनपढ़े ईमेल के नीचे दब जाती हैं। जो governance सिस्टम में चलता नहीं, वह governance नहीं है।

• गलत या बिना लेबल की सामग्री: Purview के फ़िल्टर तभी काम करते हैं जब सामग्री शुरू में ठीक से वर्गीकृत हो। गलत लेबल या बिना लेबल की फ़ाइल पर फ़िल्टर काम नहीं कर सकते।
• टूल्स को अलग-अलग देखना: admin center, Purview और Defender को अलग-थलग ऐप मानने से कॉन्फ़िगरेशन में खाइयाँ बनती हैं।
• सिर्फ़ निर्देश देना: "संवेदनशील फ़ाइलें Copilot के साथ साझा न करें" जैसी हिदायत कुकीज़ की प्लेट के सामने "कुकीज़ न खाएँ" लिखे नोट जैसी है।
• अनुबंध से मेल न खाना: तकनीकी सेटिंग्स का DPA और Product Terms की प्रतिबद्धताओं के अनुरूप न होना।
• संरचना की कमी: एक पक्ष अस्पष्ट निर्देश चाहता है और दूसरा पक्ष बिल्कुल अलग वास्तविकता configure करता है।

यहाँ यह भी याद रखें कि अगर कोई अनुपालन नियम Copilot को बीच में ही रोक दे, तो यह बग या AI की विफलता नहीं है। यह सुरक्षा नियंत्रणों का अपना काम करना है।

नियम सिस्टम में लागू करें: DLP, लेबल और निगरानी

नियम तभी काम करते हैं जब उन्हें सीधे उन टूल्स में बाँध दिया जाए जिन्हें कर्मचारी पहले से इस्तेमाल करते हैं। Purview में ऐसी DLP नीति configure करें जो Microsoft Copilot के अनुभव को लक्षित करती हो। तब Copilot अत्यधिक गोपनीय फ़ाइल को सारांशित नहीं कर सकेगा, चाहे कर्मचारी कितनी भी विनम्रता से या अनजाने में prompt दे। यह सुझाव नहीं, सिस्टम में लगाया गया इन-बिल्ट नियंत्रण है।

उपयोगकर्ताओं से कहना कि वे डेटा साझा न करें, सड़क पर चेतावनी का संकेत लगाने जैसा है। डिफ़ॉल्ट sensitivity labeling, auto-labeling और DLP नीतियाँ असली स्पीड लिमिटर की तरह हैं जो गाड़ी को एक सीमा से आगे जाने ही नहीं देता। नियामक इसी विकल्प को पसंद करते हैं, क्योंकि यह समीकरण से मानवीय चूक को हटा देता है।

Mirko Peters · Microsoft MVP

Mirko Peters Microsoft MVP, पॉडकास्ट M365.FM के होस्ट और निःशुल्क ऑनलाइन कॉन्फ़्रेंस M365Con के आयोजक हैं।

Mirko Peters Microsoft MVP, पॉडकास्ट M365.FM के होस्ट और निःशुल्क ऑनलाइन कॉन्फ़्रेंस M365Con के आयोजक हैं।