कंपनियाँ दफ़्तर में ChatGPT पर रोक क्यों लगाती हैं, और उसकी जगह क्या इस्तेमाल करती हैं

“ChatGPT पर रोक” लगाने वाली ज़्यादातर कंपनियों को AI से कोई दिक़्क़त नहीं है। उन्हें आपत्ति इस पर है कि कर्मचारी कंपनी का डेटा ऐसे consumer खाते में डाल देते हैं जिसके साथ कंपनी का कोई अनुबंध नहीं, और जहाँ default setting में vendor उसे अपने मॉडल सुधारने में इस्तेमाल कर सकता है। आम इलाज एक मंज़ूर किया हुआ टूल है: no-training और retention की शर्तों वाला business plan, कंपनी के अपने cloud खाते के अंदर एक model endpoint, या कंपनी के अपने hardware पर चलने वाला open-weights मॉडल। सही अनुबंध हो, तो public टूल बहुत सारे काम के लिए ठीक हैं।

आगे: जिन मामलों का सब हवाला देते हैं उनमें असल में क्या हुआ, 2026 में कौन-से नियम लागू हैं, हर vendor की business शर्तें आज क्या कहती हैं, और हर विकल्प में आपका टेक्स्ट कहाँ जाता है। सब कुछ सितंबर 2026 में मूल स्रोतों से जाँचा गया; वे आख़िर में दिए हैं।

Samsung और बैंकों में क्या हुआ

Samsung वह मामला है जिसका सब हवाला देते हैं। 2023 की शुरुआत में उसके semiconductor business ने engineers को ChatGPT इस्तेमाल करने की इजाज़त दी। फिर कोरियाई मीडिया ने तीन अलग घटनाओं की ख़बर दी: कर्मचारियों ने bugs ठीक करने के लिए source code paste किया, meeting के minutes लिखवाए, और उपकरणों के measurement और yield का डेटा डाला। Samsung ने उस समय ब्योरों की पुष्टि नहीं की। अप्रैल 2023 के आख़िर में एक memo ने उसके सबसे बड़े divisions में से एक के कर्मचारियों को बताया कि कंपनी के कंप्यूटरों पर generative AI पर अस्थायी रोक है। उससे एक महीने पहले एक आंतरिक survey में 65% लोगों ने सुरक्षा जोखिमों पर चिंता जताई थी।

Wall Street Journal के मुताबिक़ Apple ने मई 2023 में ChatGPT और GitHub Copilot पर पाबंदी लगाई, क्योंकि उसे डर था कि गोपनीय डेटा उन developers तक पहुँच जाएगा जो यूज़र्स के डेटा पर मॉडल train करते हैं। उन्हीं ख़बरों में JPMorgan, Bank of America, Citi, Deutsche Bank, Goldman Sachs, Wells Fargo, Walmart और Verizon के भी ChatGPT पर पाबंदी लगाने की बात थी।

इन मामलों की दो बातें आसानी से छूट जाती हैं।

पहली, किसी को hack नहीं किया गया। डेटा ठीक वहीं गया जहाँ कर्मचारी ने भेजा। चिंता उसके बाद की थी: उसे कौन रखता है, कितने समय तक, क्या उससे कोई मॉडल train होता है, और क्या कोई अदालत vendor से उसे सौंपने को कह सकती है।

दूसरी, ये रोक लंबे समय तक रोक नहीं रहीं। JPMorgan ने अपना आंतरिक प्लेटफ़ॉर्म LLM Suite बनाया, जो कर्मचारियों को “सुरक्षित environment में” large language models तक पहुँच देता है। यह 2024 की गर्मियों में आया और आठ महीने में 2,00,000 यूज़र्स तक पहुँच गया। यही आम सिलसिला है: consumer ऐप बंद करो, फिर लोगों को कोई मंज़ूर किया हुआ टूल दो।

असल जोखिम क्या है

जब कोई कर्मचारी निजी consumer खाता इस्तेमाल करता है, तो चार अलग समस्याएँ एक साथ जुड़ जाती हैं।

डिफ़ॉल्ट रूप से training। ChatGPT Free, Plus और Pro पर content OpenAI के मॉडल सुधारने में इस्तेमाल हो सकता है, जब तक यूज़र Data controls में “Improve the model for everyone” बंद न करे। अगर यूज़र thumbs up या down दबाता है, तो opt out के बाद भी पूरी बातचीत इस्तेमाल हो सकती है। Anthropic के consumer Claude plans, अगर यूज़र model improvement की इजाज़त दे, तो chats को training में इस्तेमाल करते हैं। यानी आपका source code किसी training set में जाएगा या नहीं, यह किसी और के खाते की एक setting पर टिका है।

retention जो आपके हाथ में नहीं। OpenAI के प्लेटफ़ॉर्म पर business डेटा यूज़र के मिटाने के 30 दिन के अंदर मिटा दिया जाता है, “जब तक क़ानूनन हमें उसे रखना ज़रूरी न हो”। यह आख़िरी शर्त असली है। New York Times के मुक़दमे में जून 2025 से 26 सितंबर 2025 तक के एक अदालती आदेश ने OpenAI को consumer ChatGPT और standard API का वह content रखने को कहा, जिसे वह वरना मिटा देता। ChatGPT Enterprise, Edu और zero data retention वाले API ग्राहक इसके दायरे में नहीं थे।

कोई अनुबंध नहीं। क़ानूनी तौर पर यह सबसे अहम है। GDPR के तहत, जो कंपनी किसी vendor को personal data process करने देती है, उसे ऐसा processor लेना होगा जो “पर्याप्त गारंटी” दे, और उसके साथ बाध्यकारी अनुबंध करना होगा (Article 28)। healthcare provider को business associate agreement चाहिए। कर्मचारी के निजी खाते में इनमें से कुछ नहीं होता, इसलिए उल्लंघन paste करते ही हो जाता है, चाहे कुछ लीक हो या न हो।

कोई रिकॉर्ड नहीं। regulated कंपनियों को business communications की निगरानी और archive करना होता है। निजी खाते की chat compliance टीम के हर archive से बाहर रहती है।

2026 में लागू नियम

GDPR

prompt में EU के ग्राहकों या कर्मचारियों का personal data होना processing है। इसके लिए lawful basis चाहिए, Article 28 के तहत processor अनुबंध चाहिए, और EU से बाहर किसी भी transfer के लिए क़ानूनी रास्ता चाहिए। US vendors के लिए EU-US Data Privacy Framework अब भी मान्य है: EU General Court ने 3 सितंबर 2025 को Latombe की चुनौती ख़ारिज कर दी (case T-553/23)। Court of Justice में C-703/25 P के रूप में अपील लंबित है, इसलिए इस पर नज़र रखें।

regulators ने chat सेवाओं पर सीधी कार्रवाई की है। इटली के Garante ने मार्च 2023 के आख़िर में ChatGPT को अस्थायी रूप से रोक दिया, और दिसंबर 2024 में OpenAI पर €15 million का जुर्माना लगाया: पर्याप्त क़ानूनी आधार के बिना ChatGPT की training के लिए personal data process करना, मार्च 2023 के breach की सूचना न देना, कमज़ोर transparency और उम्र की जाँच न होना। OpenAI ने जुर्माने को ज़रूरत से ज़्यादा बताया और कहा कि वह अपील करेगा।

HIPAA

कोई भी सेवा जो किसी covered entity के लिए electronic protected health information प्राप्त करती, रखती या भेजती है, वह business associate है और उसे signed BAA चाहिए। HHS साफ़ कहता है कि जो cloud provider सिर्फ़ encrypted डेटा रखता है और जिसके पास key नहीं, वह भी business associate है। OpenAI कहता है कि वह अपने API के लिए BAAs पर दस्तख़त कर सकता है। किसी डॉक्टर के निजी ChatGPT खाते के साथ कोई BAA नहीं आता।

वित्तीय सेवाएँ

FINRA का Regulatory Notice 24-09 (27 जून 2024) कहता है कि उसके नियम generative AI पर “ठीक वैसे ही लागू होते हैं जैसे member firms के किसी भी दूसरी technology या टूल के इस्तेमाल पर”। निगरानी, जनता से communication और recordkeeping, सब लागू रहते हैं। 2023 में बैंकों की ज़्यादातर पाबंदियाँ ठीक इसी से निकलीं।

EU AI Act

AI Act 1 अगस्त 2024 को लागू हुआ। निषिद्ध तरीक़ों पर रोक और AI literacy की ज़िम्मेदारी 2 फ़रवरी 2025 से लागू हुई, और general-purpose AI model providers की ज़िम्मेदारियाँ 2 अगस्त 2025 से। AI Omnibus संशोधन, Regulation (EU) 2026/1744, 24 जुलाई 2026 को प्रकाशित हुआ और 27 जुलाई 2026 को लागू हुआ। इसने high-risk की समय-सीमाएँ आगे बढ़ाईं: stand-alone high-risk systems के लिए 2 दिसंबर 2027, जिनमें hiring में इस्तेमाल होने वाला AI जैसे CV छाँटना शामिल है, और regulated products में लगे AI के लिए 2 अगस्त 2028। Article 50 की transparency ज़िम्मेदारियाँ तय समय पर 2 अगस्त 2026 से लागू हुईं, और AI literacy की ज़िम्मेदारी नरम करके उसे “support” करने के उपाय करने तक सीमित कर दी गई।

जो कंपनी emails का draft लिखने के लिए chat assistant इस्तेमाल करती है, उसके लिए AI Act ज़्यादा कुछ नहीं जोड़ता। अगर वही assistant नौकरी के आवेदकों की ranking करने लगे, तो आप एक high-risk system चला रहे हैं और दिसंबर 2027 की तारीख़ आप पर लागू होती है।

business plans क्या वादा करते हैं

हर बड़ा vendor अब एक business tier बेचता है, जिसके defaults consumer ऐप से अलग हैं। table बताती है कि सितंबर 2026 में हर vendor का अपना पेज क्या कहता है।

सेवा	डिफ़ॉल्ट रूप से आपके डेटा पर training?	retention और नियंत्रण	compliance टिप्पणी
ChatGPT Free, Plus, Pro	हो सकती है, जब तक यूज़र opt out न करे	हर यूज़र का अपना खाता	कंपनी से कोई अनुबंध नहीं
ChatGPT Business, Enterprise, Edu	नहीं	workspace admins retention तय करते हैं	Enterprise और Business के लिए SOC 2 Type 2
OpenAI API	नहीं	30 दिन बाद मिटाया जाता है; योग्य इस्तेमाल के लिए zero data retention	BAA उपलब्ध
Claude Team, Enterprise, API	नहीं	feedback 5 साल तक रखा जा सकता है; owners feedback बंद कर सकते हैं	commercial शर्तें
Microsoft 365 Copilot और Copilot Chat	नहीं, foundation models की training में इस्तेमाल नहीं	आपकी retention policies, labels और audit लागू	DPA, EU Data Boundary (Anthropic मॉडल इसमें शामिल नहीं)
Gemini in Google Workspace	बिना इजाज़त आपके domain के बाहर training में इस्तेमाल नहीं	Workspace के मौजूदा नियंत्रण लागू	HIPAA support, FedRAMP High

बड़े clouds के अंदर के model endpoints और आगे जाते हैं। Microsoft कहता है कि Microsoft Foundry में Azure के बेचे मॉडल के prompts और completions “OpenAI या दूसरे providers के लिए उपलब्ध नहीं” हैं और आपकी चुनी geography के अंदर process होते हैं, जब तक आप Global या DataZone deployment न चुनें। Amazon Bedrock पर मॉडल ऐसे deployment accounts में चलते हैं जिन तक model providers की पहुँच नहीं, इसलिए वे आपके prompts या completions कभी नहीं देखते।

business plan क्या नहीं बदलता: टेक्स्ट तब भी vendor के servers पर उतने समय तक रहता है जितना retention की शर्तें इजाज़त देती हैं, और अदालती आदेश तब भी उस तक पहुँच सकता है। यह वही भरोसा है जो आप पहले से अपने email और documents के providers पर करते हैं। ज़्यादातर आंतरिक काम के लिए यह ठीक सौदा है। trade secrets, बिना BAA के regulated डेटा, या ऐसी सामग्री के लिए जिसे subprocessors को भेजने से client का अनुबंध मना करता है, शायद नहीं।

हर विकल्प में आपका prompt कहाँ जाता है

विकल्पों की ईमानदार तुलना का तरीका है एक prompt के पीछे चलना और पूछना कि उसे कौन पढ़ सकता है।

open-weights मॉडल ख़ुद चलाना

गोपनीय डेटा के लिए सबसे मज़बूत विकल्प सबसे ज़्यादा मेहनत वाला भी है: कोई open-weights मॉडल (Llama, Qwen, Mistral, Gemma और अन्य) डाउनलोड करें और उसे अपने नेटवर्क के अंदर की मशीनों पर चलाएँ। prompts कभी बाहर नहीं जाते। क्या log होगा और कितने समय तक, यह आप तय करते हैं, जिससे recordkeeping और GDPR के retention नियम पूरे करना आसान होता है, और किसी और की retention शर्त या अदालती आदेश डेटा तक नहीं पहुँचता।

लेकिन ख़र्च असली हैं। अब आप एक inference सेवा चला रहे हैं: GPUs, Ollama या vLLM जैसा engine, authentication, logging, updates और on-call कोई व्यक्ति। और एक workstation कार्ड पर आने वाला 8B या 14B मॉडल लंबी reasoning में frontier मॉडल से कमज़ोर है। classification, fields निकालने, आंतरिक documents का सार बनाने और रोज़मर्रा का टेक्स्ट लिखने के लिए वह आमतौर पर काफ़ी है। फ़ैसला करने से पहले उसे अपने कामों पर टेस्ट करें। engine चुनने के लिए हमारा Ollama vs vLLM vs TGI benchmark देखें, और मॉडल को अपने documents के हिसाब से ढालने के लिए LLM की निजी fine-tuning की guide।

कई कंपनियाँ एक बीच का रास्ता अपनाती हैं: open मॉडल को उसी cloud खाते के अंदर GPU instances पर चलाना जो उनके पास पहले से है। तब cloud provider एक processor है, उस DPA के तहत जिस पर आप बाक़ी सब के लिए पहले ही बातचीत कर चुके हैं, और कोई model vendor बीच में आता ही नहीं।

किराये के GPU और GPUFlow कहाँ फ़िट होते हैं

GPU मार्केटप्लेस बाज़ार का सस्ता छोर हैं, और इस तुलना में उनकी जगह तभी है जब उन पर साफ़ लेबल हो।

GPUFlow इन्हीं में से एक है। आप कुछ घंटों के लिए GPU किराये पर लेते हैं और उस open मॉडल के लिए OpenAI-compatible API key पाते हैं जिसे provider उस पर चलाता है, आमतौर पर Ollama से। मॉडल provider के अपने कंप्यूटर पर चलता है। यानी किराये के दौरान आपके prompts और जवाब उस मशीन से सादे टेक्स्ट में होकर गुज़रते हैं। GPUFlow की शर्तें provider को किरायेदारों के अनुरोध या जवाब रिकॉर्ड करने, पढ़ने, रखने या साझा करने से मना करती हैं, और GPUFlow ख़ुद टेक्स्ट नहीं सहेजता। लेकिन मशीन पर provider के पास root है, और रिकॉर्डिंग के ख़िलाफ़ नियम अनुबंध से लागू होता है; तकनीकी रूप से कुछ उसे नहीं रोकता।

इसलिए regulated या गोपनीय डेटा के लिए GPUFlow जवाब नहीं है। इसमें ग्राहकों के रिकॉर्ड, स्वास्थ्य डेटा, ऐसा source code जिसकी आपको परवाह है, या कुछ भी जिस पर client के अनुबंध की पाबंदी हो, न भेजें। हमारे अपने docs इसे और सीधे कहते हैं: passwords, कार्ड नंबर या ऐसे दूसरे secrets न भेजें जो आप किसी अजनबी को न बताते।

यह कहाँ फ़िट होता है: कार्ड ख़रीदने से पहले असली hardware पर कोई open मॉडल आज़माना, public या synthetic डेटा पर prompts चलाना, और किसी ऐप को अपने server की ओर मोड़ने से पहले OpenAI-compatible API पर बनाना और टेस्ट करना। दूसरे मार्केटप्लेस की community-cloud मशीनों पर आप जो भी अपलोड करते हैं, उसके लिए यही सवाल उठता है; public GPU node पर अपना dataset कैसे सुरक्षित रखें वह पक्ष देखता है।

ऐसी policy जिसे लोग सच में मानें

बिना किसी विकल्प के सीधी रोक से इस्तेमाल ज़्यादातर निजी फ़ोन पर चला जाता है, जहाँ आप और भी कम देख पाते हैं। बेहतर वह काम करता है जो याद रखने लायक़ छोटा हो:

डेटा की श्रेणी	उदाहरण	मंज़ूर टूल
Public	प्रकाशित docs, marketing copy	कोई भी मंज़ूर टूल, consumer ऐप्स समेत
आंतरिक	policies, आंतरिक wikis, ग़ैर-संवेदनशील code	DPA वाले और training बंद वाले business plans
गोपनीय	client डेटा, trade secrets, सौदों की शर्तें	आपके tenant में cloud endpoint, या self-hosted
Regulated	स्वास्थ्य डेटा, कार्ड डेटा, बड़े पैमाने पर personal data	Self-hosted, या ख़ास agreement (BAA, DPA) वाला vendor

फिर वे काम करें जिनमें चमक नहीं है:

1. एक business plan या cloud endpoint ख़रीदें और उसे default बनाएँ, single sign-on के साथ, ताकि लोगों के जाने पर खाते बंद हो जाएँ।
2. retention को सबसे छोटी अवधि पर रखें जो आपकी recordkeeping ज़िम्मेदारियाँ पूरी करे, और admin console में पक्का करें कि training बंद है।
3. managed devices पर consumer AI chat साइटें तभी block करें जब मंज़ूर टूल चालू हो जाए।
4. AI के इस्तेमालों की सूची रखें। hiring, credit या ऐसे ही फ़ैसलों से जुड़ी हर चीज़ की दिसंबर 2027 से पहले अलग समीक्षा चाहिए।
5. लोगों को सिर्फ़ यह न बताएँ कि क्या नहीं करना, यह भी बताएँ कि उसकी जगह क्या करना है। Samsung का memo डेटा निकल जाने के बाद आया था।

self-hosting बनाम per-token सेवाओं के चालू ख़र्च के लिए प्रति घंटा GPU या per-token API? देखें।

स्रोत

• Samsung की पाबंदी और survey: CNBC, 2 मई 2023; घटनाओं का ब्योरा: The Register, 2 मई 2023
• Apple और दूसरी कंपनियाँ: TechCrunch, 19 मई 2023
• JPMorgan LLM Suite: JPMorganChase technology blog, 3 जून 2025
• OpenAI की business शर्तें: Enterprise privacy; consumer training settings: मॉडल performance सुधारने में आपका डेटा कैसे इस्तेमाल होता है
• NYT वाला preservation आदेश: OpenAI, NYT की डेटा माँगों पर जवाब
• Anthropic: commercial डेटा और training, consumer डेटा और training
• Microsoft: Microsoft 365 Copilot और Copilot Chat में enterprise data protection, Azure के बेचे Foundry Models के लिए डेटा, privacy और सुरक्षा
• Google: Google Workspace में Generative AI का Privacy Hub
• AWS: Amazon Bedrock में data protection
• GDPR Article 28: gdpr-info.eu
• Data Privacy Framework पर फ़ैसला: Jones Day, सितंबर 2025; अपील: Digital Policy Alert
• Garante का जुर्माना: The Hacker News, दिसंबर 2024
• HIPAA और cloud providers: HHS, HIPAA और cloud computing पर guidance
• FINRA: Regulatory Notice 24-09
• EU AI Act: European Commission, AI Act; Omnibus: White & Case, EU AI Omnibus लागू हुआ
• GPUFlow: API quickstart, किरायेदार कहाँ तक पहुँच सकते हैं और कहाँ नहीं, शर्तें, Privacy policy

सभी की जाँच सितंबर 2026 में की गई।