Stop Rogue AI Act: وفاقی ٹھیکوں میں AI agent کی شناخت لازم ہوسکتی ہے
امریکی نمائندگان Josh Gottheimer اور Mike Lawler نے 3 ستمبر 2026 کو Stop Rogue AI Act پیش کیا، جو AI agents کی محفوظ تعیناتی کے لیے NIST سے وفاقی معیار بنوانے کی تجویز ہے۔ Axios کی رپورٹ کے مطابق مجوزہ معیار مسلسل agent inventory، agent کی کارروائیوں کی تصدیق، سلامتی اور قابلِ اعتماد ہونے کی جانچ، اور چھیڑ چھاڑ سے محفوظ logs کا احاطہ کریں گے۔
یہ ابھی قانون نہیں اور پاکستانی کمپنیوں پر کوئی فوری نئی پابندی عائد نہیں ہوئی۔ 3 ستمبر کی پیش رفت کی آزاد حیثیتی جانچ بھی اسے متعارف شدہ تجویز قرار دیتی ہے: معیار بیشتر اداروں کے لیے رضاکارانہ ہوں گے، لیکن نئے امریکی وفاقی ٹھیکوں کے لیے بولی دینے والے contractors کو ان کی پابندی کرنا پڑ سکتی ہے۔
قانون بننے سے پہلے کوئی نیا معیار نافذ نہیں ہوگا
تجویز National Institute of Standards and Technology، یعنی NIST، کو AI agents کی محفوظ development اور deployment کے لیے standards، guidelines اور best practices تیار کرنے کی ذمہ داری دینا چاہتی ہے۔ دستیاب ستمبر رپورٹنگ کے مطابق NIST کو یہ کام قانون کے نفاذ کے بعد ایک سال میں کرنا ہوگا؛ مدت 3 ستمبر سے شروع نہیں ہوئی۔
اس ترتیب کا مطلب ہے کہ خبر کو نافذ شدہ ضابطہ سمجھنا درست نہیں۔ پہلے بل کو قانون سازی کے مراحل سے گزرنا ہوگا، اس کے بعد NIST معیار تیار کرے گا، اور وفاقی procurement میں ان معیاروں کے استعمال کے لیے مزید قواعد یا contract clauses درکار ہوسکتے ہیں۔ فی الحال کسی bidder کو صرف اس تجویز کی بنیاد پر غیر اہل نہیں کہا جاسکتا۔
یہ فرق title میں موجود “لازم ہوسکتی ہے” کو بھی واضح کرتا ہے: شناخت کا ممکنہ تقاضا ایک آئندہ procurement نتیجہ ہے، موجودہ قانونی فرض نہیں۔ اسی طرح ایک سال کی مدت بھی منظوری کے بعد شروع ہونے والی مجوزہ deadline ہے، موجودہ compliance countdown نہیں۔
Inventory، شناخت اور logs سے کیا مراد ہے؟
مجوزہ نظام کا مرکز عام AI models کی سادہ فہرست نہیں بلکہ ایسے software-based agents کی مسلسل شناخت ہے جو کسی شخص یا ادارے کی طرف سے فیصلے کرتے یا دوسرے systems، services اور agents کے ساتھ خودکار تعامل کرتے ہیں۔ ایک ہی بنیادی model سے مختلف tools، credentials، data access اور مقاصد رکھنے والے کئی agents چل سکتے ہیں؛ صرف model provider کا نام انفرادی agent کے اختیار یا کارروائی کو ظاہر نہیں کرتا۔
Continuous machine-readable inventory ایسی تازہ فہرست ہوگی جسے security اور procurement systems پروگرام کے ذریعے پڑھ اور جانچ سکیں۔ اس میں agent کا ذمہ دار developer یا vendor، اس کا مقصد، deployment environment، مجاز tools اور متعلقہ system interactions درج کرنے کی ضرورت پیدا ہوسکتی ہے۔ کبھی کبھار اپ ڈیٹ ہونے والی spreadsheet اس مسلسل اور خودکار visibility کے برابر نہیں ہوگی۔
قابلِ تصدیق شناخت اور provenance کا مقصد vendor کی محض self-attestation پر انحصار کم کرنا ہے۔ اس سے network یا application کو یہ جانچنے کی بنیاد ملتی ہے کہ سامنے آنے والا agent وہی ہے جس کا دعویٰ کیا گیا ہے، اور اسے بنانے یا چلانے والی ذمہ دار entity کون ہے۔
Tamper-evident logs کا مطلب لازماً یہ نہیں کہ record میں تبدیلی تکنیکی طور پر ناممکن ہو۔ بنیادی نتیجہ یہ ہے کہ اہم agent actions کا معیاری audit record برقرار رہے اور بعد میں کی گئی تبدیلی قابلِ شناخت ہو، تاکہ incident review یا contract audit صرف contractor کے اپنے بیان پر منحصر نہ رہے۔
وفاقی procurement کا تفصیلی خاکہ ایک الگ جون مسودے میں ہے
House Rules Committee کی سائٹ پر موجود 15 جون کا سرکاری amendment text مسلسل machine-readable inventory، network اور application دونوں سطحوں پر cryptographically verifiable identity، قابلِ تصدیق provenance اور material actions کے tamper-evident logs تجویز کرتا ہے۔ اس میں Federal Acquisition Regulatory Council کو معیار شائع ہونے کے 120 دن کے اندر FAR میں تبدیلیاں تجویز کرنے، وفاقی agency کو agent interactions کی اجازت، ممانعت یا تحدید دینے، اور cloud services، platform integrations اور third-party managed environments کے لیے guidance جاری کرنے کا طریقہ بھی شامل ہے۔
یہ PDF ستمبر کے Stop Rogue AI Act کا تصدیق شدہ حتمی متن نہیں سمجھا جاسکتا۔ اس کا عنوان “AI Agent Discovery and Security Standards” ہے، اسے صرف Gottheimer کی amendment کے طور پر دکھایا گیا ہے، اس میں Secretary of Defense کا کردار اور ابتدائی معیار کے لیے نفاذ کے بعد 180 دن کی مدت ہے؛ اس کے مقابلے میں ستمبر کی رپورٹنگ Commerce Department کے NIST اور ایک سال کی مدت بیان کرتی ہے۔
جون کا متن اس لیے مفید ہے کہ وہ inventory، cryptographic verification، agency access اور logging پر مبنی procurement mechanism کی سرکاری مثال فراہم کرتا ہے۔ مگر دونوں دستاویزات کے نام، ادارہ جاتی ساخت اور deadlines مختلف ہونے کی وجہ سے اس کی ہر شق ستمبر کے بل سے منسوب نہیں کی جاسکتی۔ ستمبر کے باقاعدہ filed text اور bill number کے سامنے آنے پر ہی لفظ بہ لفظ موازنہ ممکن ہوگا۔
پاکستانی software exporters کے لیے مشروط اثر
پاکستانی کمپنی کے لیے ممکنہ دائرۂ اثر اس کے مقام کے بجائے امریکی وفاقی contract اور deployed system سے تعلق پر منحصر ہوگا۔ براہِ راست federal agency کو AI-enabled software دینے والی کمپنی، prime contractor کی subcontractor، یا وفاقی information system سے تعامل کرنے والی managed service مستقبل کی solicitation یا flow-down clause کے ذریعے agent-level ثبوت فراہم کرنے کی پابند ہوسکتی ہے۔
یہ ممکنہ ذمہ داری صرف agent بنانے والی کمپنی تک محدود رہنا ضروری نہیں۔ اگر contract کسی ایسے information system کی procurement یا deployment سے متعلق ہو جس کے ساتھ AI agents تعامل کرتے ہیں، تو system vendor سے بھی discovery، verification اور accessible logs کی صلاحیت مانگی جاسکتی ہے۔ تاہم subcontractors، renewals اور contract modifications کا اصل دائرہ حتمی قانونی متن، FAR amendments اور متعلقہ contract language ہی طے کریں گے۔
اس مرحلے پر تیاری کی مختصر فہرست قانونی فرض نہیں بلکہ procurement readiness ہے:
- production، testing، third-party اور externally operated agents کی programmatically readable inventory بنانا، جس میں owner، vendor، version، مقصد اور deployment environment درج ہو؛
- ہر agent کے tools، credentials، data access اور دوسرے agents یا systems سے مجاز تعاملات map کرنا؛
- agent identity اور provenance کے لیے قابلِ تصدیق records اور key-management طریقہ محفوظ رکھنا، صرف vendor declaration پر انحصار نہ کرنا؛
- material actions کے logging، retention، export اور alteration detection کا جائزہ لینا، بالخصوص managed cloud environments میں؛
- ان امریکی bids، prime contracts اور subcontract clauses کی نشان دہی کرنا جن میں AI agent یا اس سے تعامل کرنے والا information system شامل ہے۔
یہ تیاری مستقبل کی دستاویزی ضرورت کم کرسکتی ہے، مگر اسے موجودہ امریکی قانونی تعمیل کا دعویٰ نہیں بنانا چاہیے۔ کسی مخصوص پاکستانی supplier کی ذمہ داری اس وقت تک قطعی نہیں ہوگی جب تک بل کی حتمی زبان، procurement rule اور اصل contract clause معلوم نہ ہوں۔
ابھی کن فیصلوں کا انتظار ہے؟
7 ستمبر 2026 تک دستیاب رپورٹوں میں Stop Rogue AI Act ایک دو جماعتی تجویز ہے، منظور شدہ قانون نہیں۔ اگلے قابلِ مشاہدہ مراحل میں باقاعدہ filed text اور bill number، committee کارروائی، ایوان اور سینیٹ سے منظوری، صدر کے دستخط، NIST standards اور پھر وفاقی procurement rules شامل ہیں۔
انہی مراحل سے واضح ہوگا کہ “نئے وفاقی ٹھیکوں” میں renewals اور modifications شامل ہوں گے یا نہیں، subcontractors تک شرائط کیسے منتقل ہوں گی، کن agent actions کو material سمجھا جائے گا اور logs کتنی مدت محفوظ رکھنے ہوں گے۔ فی الحال قابلِ دفاع نتیجہ محدود مگر اہم ہے: وفاقی خریدار مستقبل میں AI agent کی صلاحیت کے ساتھ اس کی شناخت، ذمہ دار provider، اختیارات، provenance اور audit trail کا قابلِ تصدیق ثبوت بھی مانگ سکتے ہیں۔
یہ بھی پڑھیں:
ہمارا نیوز لیٹر سبسکرائب کریں
ویب 3، AI اور کرپٹو کی تازہ خبریں براہ راست اپنے اِن باکس میں پائیں۔