DPDP अधिनियम और AI टूल्स: छोटे व्यवसायों को क्या जानना चाहिए

सामान्य जानकारी, क़ानूनी सलाह नहीं। यह लेख AI टूल इस्तेमाल करने वाले छोटे व्यवसायों के मालिकों के लिए डिजिटल पर्सनल डेटा प्रोटेक्शन (DPDP) अधिनियम, 2023 और DPDP नियम, 2025 को आसान भाषा में समझाता है। यह क़ानूनी सलाह नहीं है। क़ानून और अधिसूचनाएँ बदलती रहती हैं; अपने व्यवसाय से जुड़े फ़ैसलों के लिए किसी योग्य पेशेवर, जैसे वकील या कंपनी सेक्रेटरी, से सलाह लें।

अब पहले से ज़्यादा छोटे व्यवसाय ग्राहकों का डेटा AI टूल्स में डाल रहे हैं: कोई ग्राहकों की सूची चैटबॉट में पेस्ट करता है, कोई WhatsApp असिस्टेंट से पूछताछ दर्ज करवाता है, तो कोई स्कैन किए KYC डॉक्यूमेंट किसी डेटा निकालने वाले (एक्सट्रैक्शन) टूल से पढ़वाता है। दूसरी तरफ़, डेटा सुरक्षा के नए क़ानून की जानकारी बहुत कम लोगों को है। India SME Forum के सर्वे (दिसंबर 2025) में 7,835 MSME^[src] शामिल थे, और उनमें से सिर्फ़ 1.4%^[src] ने पुष्टि की कि उन्हें DPDP दिशानिर्देशों की जानकारी है।

इस गाइड में है: क़ानून क्या कहता है, कब से लागू होता है, AI टूल्स से जोखिम कहाँ पैदा होता है, और एक काम की चेकलिस्ट, जिस पर आप इसी महीने काम शुरू कर सकते हैं।

एक मिनट में DPDP अधिनियम

यह अधिनियम डिजिटल पर्सनल डेटा पर लागू होता है: यानी ऐसा कोई भी डेटा जो किसी पहचाने जा सकने वाले व्यक्ति के बारे में हो। कागज़ के रिकॉर्ड भी स्कैन या टाइप कर लिए जाने के बाद इसमें आ जाते हैं। अधिनियम में तीन भूमिकाएँ हैं, जिन्हें जानना ज़रूरी है।

Data Fiduciary (डेटा फ़िड्यूशरी): आपका व्यवसाय, जब वह तय करता है कि पर्सनल डेटा क्यों और कैसे इस्तेमाल होगा।
Data Principal (डेटा प्रिंसिपल): वह व्यक्ति जिसके बारे में डेटा है, जैसे ग्राहक, मरीज़, छात्र, कर्मचारी या लीड।
Data Processor (डेटा प्रोसेसर): वह वेंडर जो आपकी तरफ़ से डेटा संभालता है। आपका CRM, WhatsApp API प्रोवाइडर, OCR सर्विस, क्लाउड स्टोरेज और AI असिस्टेंट, सब प्रोसेसर हैं।

छोटे व्यवसायों के लिए तीन बातें सबसे अहम हैं:

छोटा होने से छूट नहीं मिलती। दो लोगों की सीए प्रैक्टिस, एक डॉक्टर का क्लिनिक और कोचिंग सेंटर, सब इसके दायरे में हैं। अतिरिक्त ज़िम्मेदारियाँ सिर्फ़ अधिसूचित Significant Data Fiduciary पर लागू होती हैं, जो आमतौर पर बड़े प्लेटफ़ॉर्म होते हैं।
अपने वेंडर के लिए ज़िम्मेदार आप ही रहते हैं। अगर कोई AI टूल आपका दिया डेटा लीक कर दे या उसका गलत इस्तेमाल करे, तो भी जवाबदेह आपका व्यवसाय ही है। नियम आपसे उम्मीद करते हैं कि आप प्रोसेसर से वैध कॉन्ट्रैक्ट के तहत ही काम लें।
“सार्वजनिक रूप से उपलब्ध डेटा” का दायरा जितना लगता है, उससे छोटा है। अधिनियम उस डेटा को बाहर रखता है जिसे व्यक्ति ने ख़ुद सार्वजनिक किया हो। लेकिन India Briefing के मुताबिक़ कसौटी यह है कि डेटा सार्वजनिक कैसे हुआ, और स्क्रैपिंग या सूचियाँ ख़रीदने से दूसरे क़ानूनी सवाल खड़े होते हैं।

समय-सीमा: यह कब से लागू होता है?

अगस्त 2023: संसद ने अधिनियम पारित किया।
नवंबर 2025: DPDP नियम, 2025 अधिसूचित हुए। डेटा प्रोटेक्शन बोर्ड (Data Protection Board) के गठन से जुड़े प्रावधान तुरंत लागू हो गए।
13 नवंबर 2026: Consent Manager से जुड़े प्रावधान लागू होंगे।
13 मई 2027: मुख्य ज़िम्मेदारियाँ शुरू होंगी: नोटिस, सहमति, सुरक्षा उपाय, ब्रीच की सूचना, बच्चों का डेटा, Data Principal के अधिकार और जुर्माने।

2026 की शुरुआत में MeitY ने कुछ ज़िम्मेदारियों के पालन की अवधि घटाने पर राय माँगी थी। 30 सितंबर 2026 तक ऐसा बदलाव करने वाली कोई अधिसूचना प्रकाशित नहीं हुई थी। ज़्यादातर छोटे व्यवसाय मई 2027 को ही तारीख़ मानकर चलें, और संशोधनों पर नज़र रखें।

इसका मतलब यह न निकालें कि “2027 तक कुछ नहीं करना”। आपके बड़े B2B ग्राहक और आपके अपने वेंडर अभी से तैयारी कर रहे हैं, और डेटा से जुड़ी आदतें सुधारने में दिन नहीं, महीने लगते हैं।

AI टूल्स तक पर्सनल डेटा कहाँ-कहाँ पहुँचता है

छोटे व्यवसाय में AI से जुड़ा ज़्यादातर जोखिम रोज़मर्रा की कुछ गिनी-चुनी स्थितियों से आता है।

चैटबॉट में डेटा पेस्ट करना। कोई सेल्सपर्सन “पर्सनलाइज़्ड फ़ॉलो-अप लिखवाने” के लिए 200 ग्राहकों के नाम और नंबर किसी मुफ़्त असिस्टेंट में पेस्ट कर देता है।
WhatsApp AI असिस्टेंट और चैटबॉट। Meta Business Agent या API वाला चैटबॉट नाम, ज़रूरतें, पते और कभी-कभी सेहत या पैसों से जुड़ी जानकारी लेता है।
कॉल रिकॉर्डिंग और वॉइस AI। कॉल रिकॉर्ड होती हैं, टेक्स्ट में बदली जाती हैं और उनका सारांश बनता है, कभी-कभी किसी थर्ड-पार्टी वॉइस एजेंट के ज़रिए।
डॉक्यूमेंट से डेटा निकालना। इनवॉइस, बैंक स्टेटमेंट, आधार और PAN की कॉपी, लैब रिपोर्ट या सैलरी स्लिप OCR या एक्सट्रैक्शन टूल से गुज़रती हैं।
मार्केटिंग और लीड स्कोरिंग। AI तय करता है कि किसे टारगेट करना है और क्या भेजना है, और अक्सर ऐसा डेटा इस्तेमाल करता है जो किसी और मक़सद से लिया गया था।
भर्ती। AI से CV छाँटे या रैंक किए जाते हैं।

हर मामले में तीन सवाल पूछें: कौन-सा पर्सनल डेटा अंदर जा रहा है? वह कहाँ जाता है और कितने समय तक रखा जाता है? उसे कौन देख सकता है?

मुख्य ज़िम्मेदारियाँ, आसान भाषा में

ये मई 2027 से पूरी तरह लागू होंगी, लेकिन वैसे भी ये काम करने का अच्छा तरीक़ा हैं।

नोटिस (सूचना)। पर्सनल डेटा लेते समय एक साफ़ और अलग से दिया गया नोटिस दें: आप क्या जानकारी ले रहे हैं, क्यों, और व्यक्ति सहमति कैसे वापस ले सकता है या शिकायत कैसे कर सकता है। नियमों के मुताबिक़ नोटिस सरल भाषा में होना चाहिए और अंग्रेज़ी में या संविधान की आठवीं अनुसूची की 22 भाषाओं^[src] में से किसी भी भाषा में उपलब्ध होना चाहिए।
सहमति। जहाँ डेटा इस्तेमाल करने का आधार सहमति है, वहाँ वह अपनी मर्ज़ी से, किसी ख़ास मक़सद के लिए, पूरी जानकारी के साथ और साफ़ कदम उठाकर दी गई होनी चाहिए। पहले से टिक किए बॉक्स मान्य नहीं हैं, और सहमति वापस लेना उतना ही आसान होना चाहिए जितना उसे देना। कुछ “वैध उपयोगों” (legitimate uses) के लिए अलग सहमति नहीं चाहिए, जैसे ग्राहक ने जो जानकारी अपनी मर्ज़ी से दी, उसे उसी काम के लिए इस्तेमाल करना जिसके लिए वह दी गई थी।
मक़सद की सीमा। बिलिंग के लिए लिया गया डेटा चुपचाप मार्केटिंग का डेटा नहीं बन जाना चाहिए।
सुरक्षा उपाय। उचित उपाय अपनाएँ, जैसे एन्क्रिप्शन या मास्किंग, एक्सेस कंट्रोल, निगरानी और बैकअप, और लॉग कम से कम एक साल^[src] तक रखें।
डेटा कब तक रखें। मक़सद पूरा होते ही या सहमति वापस लिए जाने पर पर्सनल डेटा हटा दें, जब तक कोई दूसरा क़ानून उसे रखना ज़रूरी न करता हो, जैसा टैक्स और अकाउंटिंग के क़ानूनों में अक्सर होता है।
ब्रीच की सूचना। जिन लोगों पर असर पड़ा है उन्हें बिना देर किए बताएँ, और ब्रीच का पता चलने के 72 घंटों^[src] के अंदर डेटा प्रोटेक्शन बोर्ड को विस्तृत रिपोर्ट भेजें।
अधिकार। लोग अपना डेटा देखने, सुधरवाने या मिटवाने की माँग कर सकते हैं, और अपनी तरफ़ से कार्रवाई के लिए किसी को नॉमिनेट कर सकते हैं। डेटा से जुड़े सवालों के लिए एक संपर्क प्रकाशित करें और नियमों में तय समय के अंदर जवाब दें।
बच्चे। 18 साल से कम उम्र के किसी भी व्यक्ति के लिए माता-पिता या अभिभावक की सत्यापन-योग्य सहमति (verifiable consent) चाहिए। बच्चों की ट्रैकिंग, उनके व्यवहार की निगरानी और बच्चों को निशाना बनाकर दिखाए जाने वाले विज्ञापन प्रतिबंधित हैं। यह सबसे ज़्यादा कोचिंग संस्थानों, स्कूलों और बच्चों के क्लिनिक के लिए मायने रखता है।

जुर्माने भारी हैं: उचित सुरक्षा उपाय न करने पर ₹250 करोड़^[src] तक, और बच्चों के डेटा से जुड़े उल्लंघनों पर ₹200 करोड़^[src] तक।

AI टूल इस्तेमाल करते समय क्या करें

साफ़ डेटा शर्तों वाले बिज़नेस प्लान चुनें। जैसे, Claude के Team प्लान में लिखा है कि कंटेंट डिफ़ॉल्ट रूप से मॉडल ट्रेनिंग में इस्तेमाल नहीं होता, और ChatGPT Business भी ऐसा ही वादा करता है। Claude Team: ₹1,632–₹2,400/user/month (free tier available) USD at ₹96/USD, excl. tax: Pro $17/mo billed yearly or $20 monthly; Team standard seat $20 yearly or $25 monthly per user (2-150 users). Max from $100/mo.; अनुमानित, जाँचा गया सित॰ 2026 ChatGPT Business: ₹1,800–₹2,250/user/month Standard seat ₹1,800/user/mo billed annually or ₹2,250 billed monthly, excl. 18% GST; min 2 users. Premium seat (5x usage) costs more. UPI not offered for Business.; अनुमानित, जाँचा गया सित॰ 2026
एक सीधा-सादा डेटा रजिस्टर रखें। एक शीट, जिसमें हर टूल का नाम हो, उसमें कौन-सा पर्सनल डेटा है, किसकी उस तक पहुँच है और डेटा कितने समय रखा जाता है।
पेस्ट करने से पहले पहचान छिपाएँ। किसी सामान्य असिस्टेंट में डालने से पहले नाम, फ़ोन नंबर, PAN, आधार और सेहत से जुड़ी जानकारी की जगह प्लेसहोल्डर (बदले हुए नाम या निशान) लगा दें। नए टूल पहले नमूने के डेटा से आज़माएँ।
बॉट के जानकारी लेने से पहले नोटिस दिखाएँ। शुरुआत के लिए WhatsApp चैट या IVR के शुरू में दो लाइन का मैसेज काफ़ी है। कॉल रिकॉर्ड हो रही हो या उसे AI संभाल रहा हो, तो कॉल करने वाले को बताएँ।
जाँच के लिए एक इंसान रखें, ऐसे AI आउटपुट के लिए जिनका असर लोगों पर पड़ता है: उधार या भर्ती के फ़ैसले, मेडिकल नोट्स, टैक्स फ़ाइलिंग और नोटिसों के जवाब।
हर टूल में तय करें कि डेटा कब तक रहेगा। पुराने चैट लॉग, रिकॉर्डिंग और अपलोड, जिनकी अब ज़रूरत नहीं, हटा दें।
एक पन्ने का ब्रीच प्लान लिखें। फ़ैसला कौन लेगा, ग्राहकों को कौन बताएगा, और बोर्ड को (और कुछ साइबर घटनाओं में CERT-In को) कौन सूचित करेगा।

क्या न करें

क्लाइंट डेटाबेस, मरीज़ों के रिकॉर्ड या छात्रों की सूचियाँ मुफ़्त कंज़्यूमर चैटबॉट में पेस्ट न करें।
AI से चलने वाले आउटरीच (संपर्क अभियान) के लिए कॉन्टैक्ट लिस्ट न ख़रीदें, न स्क्रैप करें। सहमति उसी व्यक्ति से आनी चाहिए, और टेलीमार्केटिंग के नियम अलग से लागू होते हैं।
नई सहमति के बिना एक मक़सद का डेटा दूसरे मक़सद में इस्तेमाल न करें, जैसे डिलीवरी अपडेट के लिए लिए गए नंबरों पर मार्केटिंग मैसेज भेजना।
काम ख़त्म होने के बाद फ़्रीलांसर या एजेंसी के पास ग्राहकों का डेटा न रहने दें। डेटा हटाने की शर्त कॉन्ट्रैक्ट में लिखें।
यह न मान लें कि कोई मशहूर टूल अपने-आप नियमों पर खरा उतरता है। मशहूर होना डेटा प्रोसेसिंग एग्रीमेंट नहीं है।

हर AI वेंडर से पूछने लायक सवाल

किसी भी AI टूल में ग्राहकों का डेटा डालने से पहले इन सवालों के लिखित जवाब लें:

क्या हमारा डेटा आपके मॉडल की ट्रेनिंग में इस्तेमाल होता है? क्या हम इसे बंद कर सकते हैं?
डेटा कहाँ स्टोर और प्रोसेस होता है?
आप चैट, फ़ाइलें और रिकॉर्डिंग कितने समय तक रखते हैं, और क्या यह अवधि हम तय कर सकते हैं?
जब हम सर्विस इस्तेमाल करना बंद करेंगे, तो क्या आप हमारा डेटा हटा देंगे?
और कौन-सी कंपनियाँ (सब-प्रोसेसर) हमारा डेटा संभालती हैं?
ब्रीच होने पर आप हमें कैसे और कितनी जल्दी बताएँगे?

अगर कोई वेंडर साफ़ जवाब न दे पाए, तो उसका टूल सिर्फ़ मास्क किए गए डेटा या ऐसे डेटा के साथ इस्तेमाल करें जो पर्सनल न हो।

30 दिन का शुरुआती प्लान

हफ़्ता 1: ऐसे हर टूल की सूची बनाएँ जिसमें ग्राहकों या कर्मचारियों का डेटा है। इसमें WhatsApp, Google Drive, आपका बिलिंग सॉफ़्टवेयर और हर AI असिस्टेंट भी गिनें।
हफ़्ता 2: हर टूल की डेटा शर्तें जाँचें, जहाँ हो सके अपने डेटा पर ट्रेनिंग बंद करें, और जो स्टाफ़ छोड़कर जा चुका है उसकी पहुँच हटाएँ।
हफ़्ता 3: अपनी वेबसाइट और WhatsApp के ग्रीटिंग मैसेज के लिए एक छोटा प्राइवेसी नोटिस, और एक पन्ने का ब्रीच प्लान ड्राफ़्ट करें।
हफ़्ता 4: डेटा रखने की अवधि तय करें, पुराने एक्सपोर्ट और चैट बैकअप, जिनकी अब ज़रूरत नहीं, हटा दें, और स्टाफ़ को समझाएँ कि पेस्ट करने से पहले पहचान कैसे छिपानी है।

अगर आप यह भी तय कर रहे हैं कि कौन-से AI टूल अपनाएँ, तो AI Marga ₹1,999 में सॉफ़्टवेयर से तैयार AI रोडमैप बनाता है। आप जो भी चुनें, ग्राहकों का डेटा डालने से पहले हर टूल को ऊपर दिए वेंडर वाले सवालों पर परख लें।

अक्सर पूछे जाने वाले सवाल

क्या DPDP अधिनियम मेरे छोटे व्यवसाय पर लागू होता है?

लगभग तय है कि हाँ, अगर आप ग्राहकों, कर्मचारियों, मरीज़ों या छात्रों की जानकारी डिजिटल रूप में रखते हैं। अधिनियम में टर्नओवर की कोई सामान्य सीमा नहीं है। सरकार कुछ श्रेणियों के व्यवसायों को, जैसे स्टार्टअप, कुछ ज़िम्मेदारियों से छूट दे सकती है, लेकिन जब तक कोई अधिसूचना साफ़ तौर पर आप पर लागू न हो, यह न मानें कि आपको छूट है।

मुझे इसका पालन कब से करना है?

नियम नवंबर 2025 में अधिसूचित हुए। नोटिस, सहमति, सुरक्षा, ब्रीच की रिपोर्टिंग और Data Principal के अधिकारों समेत ज़्यादातर ज़िम्मेदारियाँ 13 मई 2027 से लागू होंगी। MeitY ने यह अवधि घटाने की बात उठाई है, लेकिन 30 सितंबर 2026 तक कोई बदलाव अधिसूचित नहीं हुआ था। फ़िलहाल मई 2027 को ही तारीख़ मानकर चलें और अपडेट पर नज़र रखें।

क्या मैं ग्राहकों का डेटा ChatGPT या Gemini में पेस्ट कर सकता हूँ?

मुफ़्त कंज़्यूमर प्लान पर ऐसा करने से बचें। नाम, फ़ोन नंबर, PAN, आधार और सेहत से जुड़ी जानकारी छिपाएँ, या ऐसा बिज़नेस प्लान लें जिसकी शर्तों में लिखा हो कि आपका कंटेंट डिफ़ॉल्ट रूप से मॉडल ट्रेनिंग में इस्तेमाल नहीं होता। आप जो डेटा शेयर करते हैं, AI वेंडर उसके साथ जो भी करे, उसकी ज़िम्मेदारी आपके व्यवसाय की ही रहती है।

क्या WhatsApp AI असिस्टेंट के ग्राहक की जानकारी लेने से पहले सहमति ज़रूरी है?

जब कोई ग्राहक पूछताछ के लिए आपको मैसेज करता है, तो उसी पूछताछ का जवाब देने के लिए उसकी जानकारी इस्तेमाल करना आमतौर पर वैध उपयोग (legitimate use) है। वही जानकारी बाद में मार्केटिंग के लिए इस्तेमाल करना अलग मक़सद है और उसके लिए साफ़ ऑप्ट-इन चाहिए। एक छोटा नोटिस दिखाएँ कि आप क्या जानकारी लेते हैं और क्यों, और कोई ऑप्ट-आउट करे तो उसे जल्दी मानें।

क्या यह लेख क़ानूनी सलाह है?

नहीं। यह सामान्य जानकारी है, ताकि छोटे व्यवसायों के मालिक DPDP अधिनियम को आसान भाषा में समझ सकें। यह क़ानूनी सलाह नहीं है। अपने व्यवसाय से जुड़े फ़ैसलों के लिए किसी वकील या कंपनी सेक्रेटरी से बात करें, जो आपकी ख़ास स्थिति और ताज़ा अधिसूचनाएँ देख सके।

स्रोत

dlapiperdataprotection.com: https://www.dlapiperdataprotection.com/index.html?t=law&c=IN
prsindia.org: https://prsindia.org/billtrack/digital-personal-data-protection-bill-2023
india-briefing.com: https://www.india-briefing.com/news/india-dpdp-act-publicly-available-personal-data-46899.html
indiasmeforum.org: https://indiasmeforum.org/digishaastra/assets/docs/Final-META-Report-Card-2025.pdf
claude.com: https://claude.com/pricing

यह पेज AI की मदद से लिखा गया है और दिए गए स्रोतों से मिलाया गया है।