قانون داده‌های هند: انتقال اطلاعات به خارج از مرزها مجاز است مگر در فهرست سیاه

اگر در حال طراحی خط لوله داده برای یک اپلیکیشن هوش مصنوعی در بازار هند هستید، احتمالاً تصور می‌کردید تمام داده‌ها باید در سرورهای داخلی این کشور بمانند. اما واقعیت حقوقی بسیار منعطف‌تر است و می‌تواند استراتژی زیرساختی شما را به‌طور کامل تغییر دهد.

طبق گزارش AI Tech Connect در تاریخ ۱۷ ژوئیه ۲۰۲۶، ماده ۱۶ قانون DPDP از سازوکار «فهرست منفی» استفاده می‌کند. این یعنی انتقال داده‌ها به هر کشوری قانونی است، مگر آنکه دولت مرکزی صراحتاً آن کشور را در فهرست سیاه قرار دهد. بر اساس مستندات رسمی، تا ژوئیه ۲۰۲۶ هیچ کشوری در این فهرست سیاه قرار نگرفته است.

همان‌طور که در تحلیل‌های پیشین ما درباره‌ی حاکمیت داده‌ها در مدل‌های بنیادی اشاره کردیم، تفاوت میان «بومی‌سازی کامل» و «سیستم مسیریابی باز»، مرز بین بقای یک استارتاپ و شکست عملیاتی آن است. در هند، قانون کلی باز است، اما لبه‌های تیز و خطرناک برای توسعه‌دهندگان در دستورات بخشی (Sectoral) نهفته است. این چالش‌های نظارتی به‌ویژه در مدیریت داده‌های حساس کارکنان نمود پیدا می‌کند، جایی که شکاف‌های حاکمیتی در داده‌های PII می‌توانند به نقاط کور امنیتی جدی تبدیل شوند.

به طور مشخص، دستورالعمل‌های بانک مرکزی هند (RBI) همچنان اقامت اجباری داده‌های پرداخت را برای تراکنش‌های مالی الزامی می‌کند. علاوه بر این، قواعد DPDP سال ۲۰۲۵ به مقامات این قدرت را می‌دهد که برای نهادهایی که «امانت‌داران داده قابل توجه» (Significant Data Fiduciaries) شناخته می‌شوند، دسته‌های خاصی از داده‌ها را فقط در داخل هند نگه دارند.

در مقابل، چارچوب‌های UK GDPR و EU GDPR به‌جای مکان فیزیکی سرور، بر مکانیسم قانونی انتقال تمرکز دارند. این سیستم‌ها اجازه خروج داده را می‌دهند، مشروط بر اینکه مسیر قانونی مانند تصمیمات کفایت (Adequacy decisions) یا بندهای قراردادی استاندارد (SCCs) برقرار باشد. در این راستا، اتحادیه اروپا با رویکردی سخت‌گیرانه‌تر، الزامات شفافیت و حسابرسی برای مدل‌های پرریسک را پیش گرفته است تا از سوءاستفاده در سامانه‌های بیومتریک جلوگیری کند. توسعه‌دهندگان باید بدانند که صرفاً میزبانی داده در منطقه، به معنای رعایت قوانین مسیریابی قانونی نیست.

گام بعدی شما

• هر دسته از داده‌های کاربر خود را بر اساس سه رژیم هند، اتحادیه اروپا و بریتانیا نقشه‌برداری کنید.
• بررسی کنید آیا اپلیکیشن شما داده‌های پرداخت را جابه‌جا می‌کند تا در تله دستورات RBI نیفتید.
• وضعیت خود را به عنوان «امانت‌دار داده قابل توجه» در قوانین ۲۰۲۵ هند ارزیابی کنید.

اما پیچیدگی‌های این موضوع زمانی بیشتر می‌شود که بخواهید مدل‌های هوش مصنوعی را در محیط‌های ابری توزیع‌شده اجرا کنید؛ برای درک این چالش، به بررسی ما درباره‌ی رایانش لبه مراجعه کنید.