PCI SSC ने पेमेंट एनवायरनमेंट में AI सुरक्षा की याद दिलाई

7 अक्टूबर 2026 को PCI SSC ने पेमेंट एनवायरनमेंट में AI सुरक्षा पर एक बयान जारी किया। जिस दस्तावेज़ का यह हवाला देता है, वह 15 सितंबर को ही पेश किया जा चुका था। काउंसिल ख़ुद बताती है कि ये सिफ़ारिशें हैं और टकराव की स्थिति में आधिकारिक PCI स्टैंडर्ड को प्राथमिकता मिलती है। अक्टूबर का संदेश कोई स्वतंत्र अनिवार्य AI स्टैंडर्ड लागू नहीं करता।

जोखिम उस कार्रवाई से तय होता है जिसकी सिस्टम को अनुमति है

पेमेंट टीम के लिए यह फ़र्क दो असिस्टेंट के उदाहरण से साफ़ दिखता है। एक ग्राहक को ऑर्डर का स्टेटस समझाता है। दूसरा पेमेंट स्वीकार करने की सेटिंग्स बदल सकता है या रिफ़ंड जारी कर सकता है। अंदर एक जैसा मॉडल होने से इन परिदृश्यों के जोखिम एक जैसे नहीं हो जाते: मायने रखते हैं उपलब्ध डेटा, अधिकार और ग़लत कार्रवाई के नतीजे।

इसलिए AI पर बातचीत का असली हिस्सा इंटीग्रेशन की बनावट में है। अनुरोध में कौन-सा रिकॉर्ड जाएगा? जवाब कौन देखेगा? क्या मॉडल का नतीजा सीधे किसी वित्तीय ट्रांज़ैक्शन को बदल सकता है? ये सवाल डेटा और कार्रवाइयों के उस रास्ते का वर्णन करते हैं जिसे जाँचा जा सकता है, «सुरक्षित AI» के सामान्य वादे के उलट।

एक सटीक परीक्षण है ग्राहक का ऐसा ईमेल जिसमें रिफ़ंड का अनुरोध हो और साथ में ऑर्डर से असंबंधित अतिरिक्त निर्देश हों। सिस्टम को वैध अनुरोध को अपने अधिकारों की सीमा में निपटाना चाहिए, न कि बाहर से आए पूरे टेक्स्ट को सेवा के मालिक का आदेश मान लेना चाहिए। यह इंटीग्रेशन की जाँच का संपादकीय उदाहरण है, नए दस्तावेज़ से शब्दशः लिया गया कोई अलग नियम नहीं।

काउंसिल बताती है कि लागू आवश्यकताएँ तय करते समय AI को किसी भी दूसरी तकनीक की तरह ही ध्यान में रखना चाहिए। व्यावहारिक अर्थ यह है कि मॉडल आने से प्रक्रिया डेटा और एक्सेस नियंत्रण की सीमाओं से बाहर नहीं हो जाती। आकलन का ठोस दायरा वास्तविक एनवायरनमेंट के आधार पर योग्य विशेषज्ञों के साथ तय किया जाता है।

इस काम का मुख्य नतीजा यह है कि जो हुआ उसे दोबारा जोड़कर देखा जा सके: सिस्टम को कौन-सा डेटा मिला, उसने कौन-सी कार्रवाई सुझाई, उसे किसने मंज़ूरी दी और ग़लती होने पर उसे कैसे रोका जाए। अक्टूबर के बयान की तारीख़ सर्टिफ़िकेशन की कोई नई समय-सीमा नहीं है। यह ख़बर इस बात की याद दिलाती है कि पेमेंट टूल की स्वायत्तता के साथ ज़िम्मेदारी का भी उतना ही ठोस वर्णन चाहिए।

पेमेंट टीम क्या जाँचे

शुरुआत का व्यावहारिक तरीका है उन सभी जगहों की सूची बनाना जहाँ मॉडल पहले से पेमेंट डेटा के आसपास काम कर रहे हैं: सपोर्ट, एंटी-फ़्रॉड, विवादों की जाँच, डेवलपर्स और एनालिस्ट्स के आंतरिक असिस्टेंट। अक्सर ऐसे टूल अलग मंज़ूरी के बिना टीमों में आ जाते हैं, और सबसे पहले इन्हीं को देखना चाहिए।

• कौन-से AI टूल कार्डधारकों का डेटा या उन सिस्टम्स तक पहुँच पाते हैं जहाँ यह डेटा रखा जाता है।
• मॉडल ख़ुद कौन-सी कार्रवाइयाँ कर सकता है और किनके लिए इंसान की पुष्टि ज़रूरी है।
• सेवा के मालिक के निर्देश ग्राहक या बाहरी स्रोतों से आए टेक्स्ट से कैसे अलग रखे जाते हैं।
• क्या अनुरोधों, जवाबों और की गई कार्रवाइयों के लॉग रखे जाते हैं और उन्हें कौन देखता है।
• गड़बड़ी होने पर फ़ीचर को बंद करने की व्यवस्था क्या है: क्या रिफ़ंड और सपोर्ट के लिए मैनुअल मोड है।
• मॉडल सप्लायर्स के साथ अनुबंधों में डेटा के भंडारण, प्रोसेसिंग और दोबारा इस्तेमाल के बारे में क्या लिखा है।

जोखिम और सीमाएँ

सिफ़ारिशें अनुपालन के आकलन की जगह नहीं लेतीं और इन्हें ऑडिट के लिए तैयार चेकलिस्ट की तरह इस्तेमाल नहीं किया जा सकता। बाहरी मॉडल सेवाएँ एक अलग जोखिम हैं: अगर पेमेंट डेटा वाला अनुरोध प्रोवाइडर तक जाता है, तो इससे एनवायरनमेंट की सीमाएँ बदलती हैं और अनुबंध व डेटा के रास्ते की जाँच ज़रूरी हो जाती है। ऐसे सवालों पर QSA या आंतरिक कंप्लायंस के साथ लॉन्च से पहले चर्चा करनी चाहिए, पहली घटना के बाद नहीं।

स्रोत: PCI SSC statement; PCI SSC information supplement introduction