वियतनाम ने डेटा जोखिम के पाँच स्तर, विदेश में डेटा हस्तांतरण पर कड़े नियम और एआई सुरक्षा उपायों का प्रस्ताव रखा

डेटा की सुरक्षा कैसे होगी, यह पाँच जोखिम स्तर तय करेंगे

वियतनाम की सरकार ने 26 अक्टूबर 2026 को नेशनल असेंबली के समक्ष डेटा सुरक्षा कानून पेश किया। इसमें जोखिम के पाँच स्तर, विदेश भेजे जाने वाले संवेदनशील डेटा की कड़ी जाँच और कृत्रिम बुद्धिमत्ता में इस्तेमाल होने वाली जानकारी के सुरक्षा उपायों का प्रस्ताव है। मसौदे में छह अध्याय और 29 अनुच्छेद हैं। इसमें केवल दो प्रशासनिक अनुमोदन प्रक्रियाएँ हैं, और दोनों सबसे ऊँचे जोखिम स्तर वाले डेटा पर केंद्रित हैं।

प्रधानमंत्री के प्राधिकरण के तहत कार्य करते हुए, सार्वजनिक सुरक्षा मंत्री जनरल लुओंग टैम क्वांग ने 16वीं नेशनल असेंबली के दूसरे सत्र में प्रस्ताव पेश किया। व्यवसाय और अन्य डेटा नियंत्रक शुरुआत में अपने डेटा का आकलन करेंगे, उसके जोखिम के अनुरूप सुरक्षा उपाय लागू करेंगे और उस आकलन के लिए जवाबदेह रहेंगे। अधिकारी मुख्य रूप से बाद में अनुपालन की जाँच करेंगे।

सरकार ने कानून के 1 जुलाई 2027 से लागू होने का प्रस्ताव रखा है। सांसदों को 26 अक्टूबर की दोपहर समूहों में इस पर चर्चा करनी थी। यह कानून अभी प्रस्ताव के स्तर पर है। संसदीय समीक्षक सबसे संवेदनशील जानकारी पर कड़ा नियंत्रण, आकलन की स्पष्ट प्रक्रियाएँ और बायोमेट्रिक तथा आनुवंशिक डेटा की बेहतर सुरक्षा चाहते हैं।

इस विधेयक का दायरा वियतनाम में स्थित संगठनों से आगे तक होगा। यह वियतनामी एजेंसियों, संगठनों और व्यक्तियों; वियतनाम में मौजूद विदेशी संगठनों और व्यक्तियों; और विदेश में रहते हुए वियतनामी अधिकार क्षेत्र के तहत डेटा संसाधित करने या वियतनाम की डेटा सुरक्षा के विरुद्ध काम करने वालों पर लागू होगा।

व्यवसायों के लिए मुख्य बदलाव जोखिम के अनुसार अलग-अलग नियम होंगे: नियमित डेटा संसाधन पर बुनियादी सुरक्षा उपाय और कम कागजी कार्रवाई लागू होगी, जबकि गंभीर नुकसान पहुँचा सकने वाली गतिविधियों के लिए शुरू होने से पहले आकलन, ऑडिट या मंजूरी जरूरी होगी। व्यक्तियों के लिए, प्रस्ताव में सिस्टम, सेवा प्रदाताओं और राष्ट्रीय सीमाओं के पार जानकारी के आवागमन के दौरान सुरक्षा संबंधी दायित्व जोड़े गए हैं।

सरकार अलग कानून क्यों चाहती है

लुओंग टैम क्वांग ने सांसदों को बताया कि वियतनामी सूचना प्रणालियों पर 2025 में लगभग 5,52,000 साइबर हमले दर्ज किए गए और 5,230 एजेंसियों तथा व्यवसायों को नुकसान पहुँचा। उन्होंने डेटा को बिक्री के लिए पेश किए जाने के करीब 300 मामलों का भी उल्लेख किया, जिनमें 17 लाख से अधिक रिकॉर्ड शामिल थे। साथ ही, एक ऋण संस्थान से 16 करोड़ से अधिक ग्राहक रिकॉर्ड की चोरी का मामला भी बताया।

मंत्री ने कहा कि डेटा लीक के 60% से 70% मामले संगठनों के भीतर के कर्मियों से जुड़े थे। इसलिए बाहरी हमलावरों से सुरक्षा के साथ-साथ कर्मचारियों और ठेकेदारों की पहुँच भी एक अहम मुद्दा है। यह सीमित करना कि कौन जानकारी देख सकता है, पहुँच पर निगरानी रखना और जरूरत पड़ने पर अनुमतियाँ हटाना प्रस्तावित ढाँचे के व्यावहारिक हिस्से हैं।

सरकार का तर्क है कि मौजूदा नियम समस्या के अलग-अलग पहलुओं से निपटते हैं। डेटा कानून डेटा बनाने, प्रबंधित करने, साझा करने और वर्गीकृत करने जैसी गतिविधियों को नियंत्रित करता है। व्यक्तिगत डेटा सुरक्षा कानून संसाधन की शर्तों और व्यक्तियों के अधिकारों को नियंत्रित करता है। साइबर सुरक्षा कानून सूचना प्रणालियों को खतरों से बचाता है।

प्रस्तावित डेटा सुरक्षा कानून संग्रह, भंडारण, संसाधन, संचारण और नष्ट करने की पूरी प्रक्रिया के दौरान स्वयं जानकारी पर केंद्रित होगा। इसकी नीतिगत नींव में विज्ञान, प्रौद्योगिकी, नवाचार और राष्ट्रीय डिजिटल बदलाव पर 22 दिसंबर 2024 का पोलित ब्यूरो प्रस्ताव संख्या 57-NQ/TW शामिल है।

पाँच स्तरों का क्या अर्थ होगा

अनुच्छेद 8 में डेटा का वर्गीकरण किसी घटना की संभावना और उससे राष्ट्रीय रक्षा, राष्ट्रीय सुरक्षा, सार्वजनिक सुरक्षा तथा संगठनों और व्यक्तियों के वैध अधिकारों को होने वाले नुकसान के आधार पर होगा। स्तर 1 सबसे कम और स्तर 5 सबसे अधिक जोखिम वाला है।

प्रस्तावित श्रेणियाँ व्यवसायों को उनके दायित्व पहचानने की शुरुआती रूपरेखा देती हैं:

• स्तर 1 में सार्वजनिक और खुला डेटा शामिल है, जिसमें किसी घटना की संभावना और उसके परिणाम कम होते हैं।
• स्तर 2 में आंतरिक जानकारी, व्यावसायिक डेटा और ऊँची श्रेणी में न आने वाला व्यक्तिगत डेटा शामिल है; इसका जोखिम मध्यम है।
• स्तर 3 में महत्वपूर्ण डेटा और बड़े पैमाने पर संसाधित संवेदनशील व्यक्तिगत डेटा शामिल है। इसकी सीमाएँ सरकार तय करेगी।
• स्तर 4 में आम तौर पर अत्यंत उच्च जोखिम और गंभीर नुकसान की आशंका वाला मुख्य डेटा शामिल होगा।
• स्तर 5 में मुख्य रक्षा और सुरक्षा डेटा तथा राष्ट्रीय सुरक्षा से जुड़ी विशेष रूप से महत्वपूर्ण सुविधाओं के संचालन या नियंत्रण में इस्तेमाल होने वाली जानकारी शामिल होगी।

जोखिम का आकलन डेटा कानून के तहत वर्गीकरण के साथ-साथ लागू होगा। संगठनों और व्यक्तियों के पास अपनी जानकारी के वैध स्वामित्व, प्रबंधन और उपयोग के अधिकार बने रहेंगे। सुरक्षा का स्तर यह तय करेगा कि किस तरह की सुरक्षा जरूरी है।

कागजी कार्रवाई और पहले से जाँच कहाँ शुरू होगी

सरकार की प्रस्तुति में दो प्रशासनिक प्रक्रियाएँ बताई गई हैं: अनुच्छेद 11 के तहत स्तर 4 और 5 के सिस्टम के डिज़ाइन दस्तावेज़ों का मूल्यांकन; और अनुच्छेद 19 के तहत इन स्तरों के डेटा को विदेश भेजने के लिए मूल्यांकन तथा मंजूरी।

स्तर 1 के लिए कोई प्रशासनिक प्रक्रिया नहीं होगी। स्तर 2 के नियंत्रक एक तय प्रारूप में संक्षिप्त सुरक्षा योजना तैयार करके अपने पास रखेंगे। स्तर 3 के नियंत्रक अपनी गतिविधियों का आकलन करेंगे, लेकिन उन्हें मूल्यांकन के लिए जमा करने या उनकी सूचना देने की जरूरत नहीं होगी। स्तर 3 और उससे ऊपर के लिए प्रभाव आकलन और समय-समय पर सुरक्षा ऑडिट जरूरी होंगे।

स्तर 4 या 5 का डेटा संसाधित करने वाले सिस्टम को आधिकारिक संचालन शुरू करने से पहले डेटा सुरक्षा मूल्यांकन से गुजरना होगा, जिसे साइबर सुरक्षा मूल्यांकन के साथ समन्वित किया जाएगा। प्रभाव आकलन यह जाँचता है कि क्या गलत हो सकता है और किसे नुकसान पहुँचेगा; ऑडिट यह देखता है कि घोषित सुरक्षा उपाय वास्तव में काम करते हैं या नहीं।

नियमित डेटा संभालने वाले घरेलू व्यवसायों, छोटे और सूक्ष्म उद्यमों तथा नवोन्मेषी स्टार्टअप को आम तौर पर बुनियादी सुरक्षा मार्गदर्शन का पालन करना होगा। उनके दायित्व फिर भी इस बात पर निर्भर करेंगे कि वे डेटा का संसाधन किस जोखिम के साथ करते हैं। इसलिए वे किस तरह और कितनी मात्रा में जानकारी संभालते हैं, यह अनुपालन का व्यावहारिक सवाल होगा।

मसौदे का एक उद्देश्य दोहराव कम करना भी है। अगर कई कानून एक ही विषय और जोखिम पर जाँच की माँग करते हैं, तो संगठन दस्तावेज़ों का एक ही सेट और संपर्क का एक ही माध्यम इस्तेमाल करेंगे। दूसरे कानूनों के तहत मिले वैध नतीजों को मान्यता दी जाएगी। एआई डेटा सुरक्षा आकलन को एआई कानून के तहत जोखिम आकलन प्रक्रिया में शामिल किया जाएगा।

विदेश में डेटा भेजने के लिए तीन अलग रास्ते होंगे

विदेश भेजे जाने वाले डेटा के साथ उसके स्तर के अनुसार अलग व्यवहार होगा। स्तर 1 और 2 के लिए इस कानून के तहत हस्तांतरण की कोई प्रक्रिया नहीं होगी। स्तर 3 के नियंत्रक खुद हस्तांतरण का आकलन करेंगे और रिकॉर्ड रखेंगे। स्तर 4 और 5 के लिए हस्तांतरण से पहले सक्षम प्राधिकरण की समीक्षा और मंजूरी जरूरी होगी।

इसलिए क्लाउड सेवाओं, अंतरराष्ट्रीय प्लेटफॉर्मों और कई देशों में काम करने वाली कंपनियों को पहचानना होगा कि कौन-सी जानकारी विदेश जा रही है और उसे कौन-सा जोखिम स्तर दिया गया है। दूसरे प्रासंगिक कानूनों के तहत मौजूदा दायित्व भी लागू रहेंगे।

नेशनल असेंबली की राष्ट्रीय रक्षा, सुरक्षा और विदेश मामलों की समिति ने आम तौर पर सभी डेटा को वियतनाम के भीतर रखने की अनिवार्यता के बजाय जोखिम-आधारित नियंत्रणों का समर्थन किया। उसने स्तर 5 के लिए कड़ा नियम प्रस्तावित किया: प्रधानमंत्री की अनुमति के बिना विदेश में डेटा हस्तांतरण प्रतिबंधित होगा।

समिति ने स्तर 4 और 5 के सिस्टम की डिक्रिप्शन कुंजियों और क्रिप्टोग्राफिक पैरामीटर को विदेश भेजने पर रोक लगाने का प्रस्ताव भी दिया। डिक्रिप्शन कुंजी एन्क्रिप्टेड जानकारी को खोलती है, इसलिए उस कुंजी पर नियंत्रण, संग्रहीत डेटा के स्थान से अलग एक सुरक्षा चिंता है।

अन्य प्रस्तावों में सीमापार सेवाएँ चलाने वालों पर रोक लगाने या सेवाएँ अस्थायी रूप से निलंबित करने का अधिकार किसे होगा, यह स्पष्ट करना शामिल है। स्तर 4 या उससे ऊपर का डेटा प्रबंधित करने वाले व्यवसाय में नियंत्रण बदलने पर सूचना देना भी जरूरी होगा। मसौदे में विदेश से सीधे जानकारी माँगे जाने के मामलों पर भी प्रावधान हैं, जिनका उद्देश्य न्यायिक सहायता व्यवस्थाओं सहित कानूनी माध्यमों का इस्तेमाल सुनिश्चित करना है।

एआई सुरक्षा उपाय प्रशिक्षण डेटा से शुरू होंगे

उच्च जोखिम वाला डेटा संसाधित करने वाली एआई का अनुसंधान, विकास या उपयोग करने वाले संगठनों को डिज़ाइन के चरण से ही सुरक्षा शामिल करनी होगी। उन्हें प्रशिक्षण डेटा और उससे प्राप्त जानकारी के वैध स्रोत तथा अखंडता की पुष्टि करनी होगी।

प्रस्ताव में डेटा पॉइज़निंग, अनधिकृत तरीके से डेटा निकालने और स्वचालित फैसलों पर मानवीय नियंत्रण के मुद्दे शामिल हैं। डेटा पॉइज़निंग का मतलब एआई सिस्टम के प्रशिक्षण या संचालन में इस्तेमाल होने वाली जानकारी को जानबूझकर दूषित करना है, जिससे अविश्वसनीय या हेरफेर किए गए नतीजे आ सकते हैं। अनधिकृत निष्कर्षण में बिना अनुमति संरक्षित जानकारी हासिल करना शामिल है।

लागू कानून के तहत स्वचालित फैसलों में मानवीय हस्तक्षेप और निगरानी संभव बनी रहनी चाहिए। यह जरूरत मूल जानकारी की सुरक्षा को उस सिस्टम के फैसलों से जोड़ती है जो उस जानकारी का इस्तेमाल करता है।

आपराधिक जाँच के अलावा अधिकारियों को एआई का सोर्स कोड या मॉडल वेट माँगने की अनुमति नहीं होगी। सोर्स कोड में किसी प्रोग्राम के निर्देश होते हैं; मॉडल वेट वे संख्यात्मक मान हैं जिन्हें एआई सिस्टम प्रशिक्षण के दौरान सीखता है। दोनों में मूल्यवान व्यावसायिक जानकारी हो सकती है।

एआई व्यवसाय अलग डेटा सुरक्षा फाइल तैयार करने या अलग मूल्यांकन कराने के बजाय एआई कानून के तहत आकलन प्रक्रिया का इस्तेमाल करेंगे। इससे डेटा के लिए विशिष्ट दायित्व बरकरार रखते हुए प्रस्तावित सुरक्षा जाँच मौजूदा नियामक प्रक्रिया से जुड़ जाएगी।

सेवा प्रदाता भी सुरक्षा योजना का हिस्सा होंगे

डेटा नियंत्रकों की जिम्मेदारियाँ सेवा प्रदाताओं, मध्यस्थों और जानकारी संसाधित करने में शामिल अन्य पक्षों तक फैली होंगी। किसी उत्पाद या सेवा को जोड़ने से पहले उन्हें प्रदाता के जोखिम का आकलन करना और उसकी पहुँच जरूरत भर तक सीमित रखना होगा।

अनुबंधों में गोपनीयता संबंधी दायित्व और डेटा लीक के परिणाम स्पष्ट करने होंगे। नियंत्रकों को साझेदारी के दौरान पहुँच पर निगरानी रखनी होगी और जोखिम या घटना का पता चलने पर पहुँच रद्द करनी होगी। अधिक जोखिम वाले डेटा संभालने वाले सिस्टम तक सेवा प्रदाताओं की दूरस्थ पहुँच पर कड़े नियंत्रण लागू होंगे।

इसका दायरा महत्वपूर्ण डिजिटल बुनियादी ढाँचे, राष्ट्रीय डेटा बुनियादी ढाँचे, बड़े पैमाने के डेटा संसाधन और डिजिटल नियंत्रणों को भौतिक उपकरणों से जोड़ने वाले सिस्टम तक फैला है। इन स्थितियों में डेटा के क्षतिग्रस्त या उसमें हेरफेर होने से जानकारी उजागर होने के साथ मशीनों और सुविधाओं का संचालन भी प्रभावित हो सकता है।

समिति ने कहा कि जिम्मेदारियाँ हर पक्ष की वास्तविक निर्णय लेने की शक्ति और डेटा पर उसके नियंत्रण के अनुरूप तय होनी चाहिए। इससे यह फर्क स्पष्ट होगा कि जानकारी के इस्तेमाल का तरीका तय करने वाले नियंत्रक के दायित्व क्या हैं और सीमित सेवा देने वाले प्रदाता के क्या।

आपातकालीन अधिकारों की कानूनी सीमाएँ होंगी

मसौदे में निगरानी, शुरुआती चेतावनी, घटना की सूचना देने और समन्वित प्रतिक्रिया की व्यवस्था होगी। सरकार की प्रस्तुति में बताए गए संशोधनों में घटना होने पर प्रभावित लोगों को सूचित करना और डेटा हस्तांतरण के अस्थायी निलंबन का दायरा सीमित रखना भी शामिल है।

आपातकालीन तकनीकी उपायों के लिए कानूनी आधार, अधिकृत निर्णयकर्ता, तय दायरा और निश्चित अवधि जरूरी होगी। अधिकारियों को ऐसा उपाय चुनने का निर्देश होगा जो अधिकारों पर सबसे कम रोक लगाए, और उसके आधार समाप्त होते ही उसे खत्म किया जाए।

प्रभावित संगठनों और व्यक्तियों के पास कानून के तहत शिकायत करने, कानूनी कार्यवाही शुरू करने और मुआवजा माँगने का अधिकार बना रहेगा। संसदीय समीक्षकों ने यह भी माँगा कि जब अधिकारी निजी तौर पर रखे कर्मियों, उपकरणों या अन्य संसाधनों का उपयोग करें, तो उसकी शर्तें और मुआवजे की व्यवस्था स्पष्ट हो।

मसौदा डेटा सुरक्षा के लिए जिम्मेदार लोगों और स्वतंत्र विशेषज्ञों को सद्भावना से कमजोरियों का पता लगाने, उनकी जाँच करने और उनकी सूचना देने के लिए प्रोत्साहित करता है। इसके साथ उनकी पहचान और वैध हितों की सुरक्षा तथा दायित्व से छूट का प्रावधान है। समिति ने स्तर 4 और 5 के सिस्टम के लिए घटना-प्रतिक्रिया अभ्यास का प्रस्ताव भी दिया।

समीक्षक सबसे ऊँचे जोखिमों के लिए कड़े नियम चाहते हैं

नेशनल असेंबली की राष्ट्रीय रक्षा, सुरक्षा और विदेश मामलों की समिति के अध्यक्ष वरिष्ठ लेफ्टिनेंट जनरल ले तान तोई ने मूल्यांकन रिपोर्ट पेश की। समिति ने कानून की जरूरत का समर्थन किया और प्रस्ताव को संसदीय विचार के लिए तैयार माना।

फिर भी समीक्षकों ने हर जोखिम स्तर के लिए स्पष्ट मानदंड माँगे। कुछ ने प्रस्ताव दिया कि विशेष प्राधिकरण नियमित रूप से वर्गीकरण की समीक्षा और अद्यतन करें तथा स्तर 5 के फैसले की प्रक्रिया अधिक कड़ी हो, बजाय इसके कि नियंत्रक खुद यह फैसला करें।

समिति ने यह नियम भी स्पष्ट करने को कहा कि डेटा का जोखिम ही यह तय करेगा कि उसे संसाधित करने वाले सिस्टम को किस स्तर की सुरक्षा देनी होगी। उसने बायोमेट्रिक और आनुवंशिक जानकारी, जैसे शारीरिक विशेषताओं या विरासत में मिले गुणों से जुड़ी जानकारी, के लिए मजबूत सुरक्षा उपाय माँगे।

कुछ प्रक्रियागत सवालों पर चर्चा जारी है। इनमें साइबर सुरक्षा मूल्यांकन से बाहर आने वाले स्तर 4 और 5 के सिस्टम के मूल्यांकन की समय-सीमा शामिल है। समिति ने सुरक्षा क्रिप्टोग्राफी, सरकारी सिफर सिस्टम और नागरिक क्रिप्टोग्राफी के बीच सीमाएँ स्पष्ट करने के साथ सैन्य और सरकारी सिफर सिस्टम के लिए घटना-समन्वय नियम भी माँगे।

सार्वजनिक सुरक्षा मंत्रालय डेटा सुरक्षा के राज्य प्रबंधन की अगुवाई करेगा, राष्ट्रीय रक्षा मंत्रालय सैन्य डेटा और सूचना प्रणालियों की निगरानी करेगा, और सरकारी सिफर समिति सिफर सूचना प्रणालियों का प्रबंधन करेगी। कोई नई एजेंसी नहीं बनाई जाएगी।

क्या बदला और आगे क्या होगा

सांसदों के सामने रखे गए प्रस्ताव में अनुच्छेदों की संख्या 25 से बढ़ाकर 29 की गई, प्रस्तावित राष्ट्रीय डेटा सुरक्षा संचालन केंद्र हटाया गया और राजस्व के प्रतिशत के आधार पर जुर्माना लगाने का प्रावधान छोड़ दिया गया। 7 सितंबर के पुराने विवरण में डेटा के चार स्तर, पिछले वित्त वर्ष के राजस्व के 5% तक संभावित जुर्माना और महत्वपूर्ण तथा मुख्य डेटा को देश के भीतर रखने की जरूरत बताई गई थी। संसदीय प्रस्ताव में इसके बजाय जोखिम के पाँच स्तर और डेटा हस्तांतरण के अलग-अलग नियंत्रण हैं।

सरकार ने क्वांटम कंप्यूटिंग से प्रतिरोधी क्रिप्टोग्राफी अपनाने की निश्चित समय-सीमा भी हटा दी और इसे भविष्य के सरकारी नियमों पर छोड़ दिया। प्रस्तावित निवेश और कर प्रोत्साहन सुरक्षा अनुसंधान, संप्रभु क्लाउड सेवाओं, सुरक्षित डेटा केंद्रों और क्रिप्टोग्राफिक तकनीकों को बढ़ावा देंगे। छोटे व्यवसायों और स्टार्टअप को सहायता दी जाएगी। मसौदे में ऐसी नीतियों से बचने की बात है जो किसी खास उत्पाद या सेवा प्रदाता को एकाधिकार दें।

क्वांटम-प्रतिरोधी क्रिप्टोग्राफी को भविष्य के क्वांटम कंप्यूटरों से होने वाले हमलों का सामना करने के लिए बनाया जाता है। सरकार की चिंता यह है कि जानकारी अभी एन्क्रिप्टेड रूप में इकट्ठा की जा सकती है और कंप्यूटिंग क्षमता बढ़ने पर बाद में उसे डिकोड किया जा सकता है।

मसौदे के दौरान विधायी समय-सारिणी में बदलाव हुआ है:

• अगस्त 2026: पहले के मसौदा कार्यक्रम के अनुसार सार्वजनिक परामर्श पूरा हुआ।
• 7 सितंबर 2026: पहले के विवरण में कहा गया था कि मसौदा न्याय मंत्रालय की समीक्षा के अधीन है।
• 26 अक्टूबर 2026: सरकार ने प्रस्ताव पेश किया; उसी दोपहर समूहों में चर्चा तय थी।
• 1 जुलाई 2027: संसदीय प्रस्ताव में लागू होने की प्रस्तावित तारीख, जो पहले बताए गए 1 दिसंबर 2027 के दिनांक की जगह लेती है।

यह विधेयक साइबर सुरक्षा कानून और डेटा कानून में संशोधन करेगा तथा संक्रमणकालीन प्रावधानों के जरिए मौजूदा वैध रिकॉर्ड और मूल्यांकन नतीजों को मान्य रखेगा। मौजूदा सिस्टम को नई शर्तें पूरी करने का रास्ता दिया जाएगा। अंतिम दायित्व नेशनल असेंबली से मंजूर कानून और उसके कार्यान्वयन नियमों पर निर्भर होंगे।

मुख्य बातें

• वियतनाम डेटा सुरक्षा जोखिम के पाँच स्तर प्रस्तावित करता है; संभावित नुकसान बढ़ने के साथ सुरक्षा उपाय भी बढ़ेंगे।
• दो प्रशासनिक अनुमोदन प्रक्रियाएँ स्तर 4 और 5 के सिस्टम डिज़ाइन तथा विदेश में डेटा हस्तांतरण पर लागू होंगी।
• एआई सुरक्षा उपाय प्रशिक्षण डेटा, अनधिकृत निष्कर्षण और मानवीय निगरानी से जुड़े होंगे; आकलन एआई प्रक्रियाओं में शामिल होंगे।
• संसदीय समीक्षक स्तर 5 के लिए कड़ा नियंत्रण और बायोमेट्रिक तथा आनुवंशिक डेटा की बेहतर सुरक्षा चाहते हैं।
• संशोधित प्रस्ताव में राजस्व-आधारित जुर्माना और नया राष्ट्रीय केंद्र बनाने की योजना हटा दी गई है।
• सरकार ने 1 जुलाई 2027 से कानून लागू करने का प्रस्ताव रखा है, जो संसदीय मंजूरी के अधीन है।