AI money management

जब कोई एजेंट आपकी ओर से भुगतान करता है, तो एआई धोखाधड़ी जोखिम और देनदारी को कैसे प्रभावित करता है?

जब कोई एआई एजेंट आपकी ओर से भुगतान करता है, तो धोखाधड़ी का जोखिम आपके कार्ड विवरण से हटकर एजेंट के अधिदेश (मैंडेट), उसकी साख (क्रेडेंशियल) और उसे मिलने वाले निर्देशों की ओर खिसक जाता है, और देनदारी उसी के पीछे जाती है जो उस अधिदेश को नियंत्रित करने में विफल रहा। मौजूदा नियमों में से अधिकांश उन भुगतानों के लिए लिखे गए थे जिन्हें किसी मनुष्य ने शुरू किया हो, इसलिए बैंक, भुगतान प्रदाता और एजेंट संचालक अब भी इस पर मोलभाव कर रहे हैं कि जब किसी स्वायत्त धन एजेंट के साथ छेड़छाड़ हो जाए तो नुकसान कौन उठाएगा।

व्यक्तिगत वित्त में एजेंटिक एआई हर लेनदेन में एक नया भागीदार जोड़ देता है: ऐसा सॉफ़्टवेयर जिसके पास आपकी तय की गई सीमाओं के भीतर खर्च करने की स्थायी अनुमति होती है। हमलावरों के लिए यह अनुमति बेहद मूल्यवान है। पासवर्ड चुराने के बजाय कोई अपराधी एजेंट की तर्क-प्रक्रिया को भ्रष्ट करने, किसी ऐसे व्यापारी का रूप धरने जिस पर एजेंट पहले से भरोसा करता है, या भुगतान परत पर प्रमाणीकरण के लिए इस्तेमाल होने वाली मशीन साख को हथियाने की कोशिश कर सकता है।

यह लेख बताता है कि स्वायत्त धन एजेंट धोखाधड़ी की कौन-सी सतहें पैदा करते हैं, आज उपभोक्ता, बैंक, भुगतान प्रदाता और एजेंट संचालक के बीच देनदारी किस तरह बँटती है, ब्रिटेन की जुलाई 2026 की वित्तीय सेवा एआई अपनाने की योजना (Financial Services AI Adoption Plan) कानूनी देनदारी और 'अपने एजेंट को जानिए' (Know Your Agent) जाँचों को अलग से क्यों रेखांकित करती है, और खर्च का कोई भी अधिकार सौंपने से पहले एक सतर्क उपभोक्ता को किन बातों पर अड़ना चाहिए।

अवधारणा की व्याख्या

प्रत्यायोजित (डेलिगेटेड) भुगतान तीन अलग-अलग सवाल खड़े करता है: इसे अधिकृत किसने किया, इसे निष्पादित किसने किया, और इससे लाभ किसे हुआ। कार्ड और बैंक हस्तांतरण में ये तीनों सवाल आमतौर पर एक ही व्यक्ति पर सिमट जाते हैं। एजेंटिक भुगतान इन्हें अलग कर देता है, क्योंकि अधिदेश आप देते हैं, उसके भीतर समय और राशि एजेंट चुनता है, और निष्पादन कोई भुगतान प्रदाता करता है। धोखाधड़ी किसी भी बिंदु पर घुस सकती है।

देनदारी के ढाँचे आम तौर पर अधिकृत और अनधिकृत लेनदेन के बीच भेद करते हैं। अनधिकृत भुगतान, जिनके लिए ग्राहक ने कभी सहमति दी ही नहीं, आमतौर पर मज़बूत सुरक्षा और धन-वापसी के हकदार होते हैं। जिन भुगतानों को मंज़ूरी देने के लिए ग्राहक को बहकाया गया हो, वे कमज़ोर श्रेणी में आते हैं, हालाँकि कई बाज़ारों ने प्रतिपूर्ति के नियम कड़े किए हैं। एजेंट द्वारा शुरू किया गया भुगतान इन दोनों लेबलों में नहीं समाता, क्योंकि सहमति असली तो थी पर अमूर्त थी, और काफ़ी पहले दी गई थी।

'अपने एजेंट को जानिए' (Know Your Agent) ग्राहक सम्यक तत्परता (ड्यू डिलिजेंस) का उभरता हुआ समकक्ष है। किसी सॉफ़्टवेयर के निर्देशों का पालन करने से पहले बैंक जानना चाहता है कि निर्देश कौन-सा एजेंट दे रहा है, उसे कौन संचालित करता है, उसके पास कौन-सा अधिदेश है, और क्या वह अधिदेश अब भी वैध है। सत्यापन योग्य एजेंट पहचान के बिना, भुगतान के ठीक उसी क्षण एक समझौता किया हुआ या नकली एजेंट किसी वैध एजेंट जैसा ही दिखाई देता है।

यह अभी क्यों मायने रखता है

यह जोखिम अब सैद्धांतिक नहीं रहा। यूरोपीय केंद्रीय बैंक ने जून 2026 में कहा कि यूरोपीय बैंकिंग पर्यवेक्षण के अधीन 85 प्रतिशत से अधिक बैंक कृत्रिम बुद्धिमत्ता का उपयोग करते हैं, यानी एजेंट के निर्देश प्राप्त करने वाली संस्थाएँ भी खुद तेज़ी से स्वचालित होती जा रही हैं। स्वचालित निर्देशों से मिलते स्वचालित निर्णय उस मानवीय ठहराव को हटा देते हैं, जिसके दौरान असामान्य भुगतानों पर पहले नज़र पड़ती थी, सवाल उठते थे और कभी-कभी उन्हें रोक भी दिया जाता था।

गति इस समस्या को और बढ़ा देती है। कार्ड विवादों की बुनियाद यह मान्यता है कि आख़िरकार कोई व्यक्ति विवरण-पत्र की किसी पंक्ति पर ध्यान देगा और शिकायत करेगा। एक एजेंट मिनटों के भीतर अलग-अलग व्यापारियों और मुद्राओं में कई छोटे-छोटे भुगतान कर सकता है, जिनमें से हर एक अलग से देखने पर सामान्य ही लगेगा। इसलिए पहचान का काम ग्राहक से हटकर तंत्र पर आना होगा, और तंत्र के पास इसका भरोसेमंद रिकॉर्ड होना चाहिए कि हर अलग निर्देश को किस अधिदेश ने उचित ठहराया।

नीति सोच-समझकर आगे बढ़ रही है। 14 जुलाई 2026 को HM Treasury ने अपनी वित्तीय सेवा एआई अपनाने की योजना प्रकाशित की और अपने स्वतंत्र 'वित्तीय सेवाओं में एआई चैंपियंस' की सभी दस सिफ़ारिशें स्वीकार कीं। ये सिफ़ारिशें नियामकीय स्पष्टता, नियामकीय परिधि, सहनक्षमता, कौशल एवं प्रतिभा और एजेंटिक भुगतानों तक फैली हैं, और देनदारी, 'अपने एजेंट को जानिए' तथा सुरक्षित प्रमाणीकरण पर टिके एक विश्वास ढाँचे की ओर संकेत करती हैं।

एआई इस क्षेत्र को कैसे बदल रहा है

प्रॉम्प्ट इंजेक्शन (prompt injection) इसका विशिष्ट नया हमला है। जो एजेंट वेब पृष्ठ, चालान या संदेश पढ़ता है, उसका सामना ऐसे गढ़े हुए पाठ से हो सकता है जो निर्देश जैसा दिखता है: भुगतान पाने वाले को बदल दो, सीमा बढ़ा दो, पहले की शर्तों को अनदेखा कर दो। एजेंट में यह सहज समझ नहीं होती कि सामग्री और आदेश अलग-अलग श्रेणियाँ हैं, इसलिए बचाव शब्दों को अधिक सावधानी से लिखने का नहीं, बल्कि वास्तुशिल्प (आर्किटेक्चर) का मामला होना चाहिए।

व्यापारी की नकल (मर्चेंट स्पूफ़िंग) का स्वरूप भी बदल जाता है। कोई मनुष्य खरीदार अक्सर थोड़े ग़लत डोमेन या अनजाने चेकआउट पृष्ठ को भाँप लेता है। केवल कीमत के हिसाब से अनुकूलन करने वाला एजेंट किसी नकली कैटलॉग से आए मशीन-पठनीय प्रस्ताव के पीछे जाकर तुरंत भुगतान कर सकता है। यहाँ क्रिप्टोग्राफ़िक व्यापारी पहचान और स्वीकृत भुगतान-प्राप्तकर्ता सूचियाँ, मानव आँखों के लिए बनी किसी भी चेतावनी स्क्रीन से कहीं अधिक काम की साबित होती हैं।

यही तकनीक बचाव को भी मज़बूत करती है। व्यवहार-आधारित मॉडल किसी अधिदेश का सामान्य आकार सीख सकते हैं, जिसमें उसके सामान्य व्यापारी, राशियाँ, समय और मुद्राएँ शामिल हैं, और फिर उस आकार से बाहर की हर चीज़ को पुष्टि के लिए रोक सकते हैं। चूँकि एजेंट का व्यवहार मानव व्यवहार से कहीं अधिक नियमित होता है, इसलिए विचलन तीखे ढंग से उभरकर सामने आते हैं। यह तर्क दिया जा सकता है कि अनियमित खर्च आदतों वाले लोगों की तुलना में मशीनों में विसंगति पकड़ना आसान है।

वास्तविक वैश्विक उदाहरण

ब्रिटेन की यह योजना सरकार द्वारा नियुक्त चैंपियंस — Starling Bank की हैरियट रीस और Lloyds Banking Group के रोहित धवन — के साथ मिलकर तैयार की गई, जो शुद्ध सिद्धांत के बजाय बैंकिंग व्यवहार पर आधारित है। एजेंटिक भुगतानों के बड़े पैमाने पर फैलने से पहले कानूनी देनदारी तय करने पर उसका ज़ोर एक पर्यवेक्षी प्रवृत्ति दर्शाता है: अस्पष्ट जवाबदेही, तकनीकी सीमाओं या कंप्यूटिंग लागत की तुलना में कहीं अधिक प्रभावी ढंग से अपनाने की रफ़्तार धीमी कर देती है।

यूरोपीय संघ में PSD2 और व्यापक ओपन बैंकिंग व्यवस्था पहले ही भुगतान शुरू करने वाले पक्ष को खाता रखने वाले बैंक से अलग कर देती है, और उस आरंभकर्ता भूमिका के साथ लाइसेंसिंग तथा देनदारी जोड़ देती है। यह ढाँचा नियामकों को एजेंटों के लिए एक जाना-पहचाना खाका देता है: एजेंट संचालक को उपभोक्ता सॉफ़्टवेयर का कोई अदृश्य टुकड़ा मानने के बजाय एक जवाबदेह, पर्यवेक्षित भागीदार माना जाए।

भारत का UPI दिखाता है कि राष्ट्रीय पैमाने पर उच्च-मात्रा, कम-मूल्य वाले प्रत्यायोजित भुगतान कैसे दिखते हैं, जहाँ अधिदेश, ऊपरी सीमाएँ और तत्काल निपटान आम घरों के लिए पहले से परिचित हैं। संयुक्त राज्य अमेरिका में Dodd-Frank अधिनियम की धारा 1033 के तहत नियम-निर्माण उपभोक्ता-अनुमति वाले डेटा पहुँच से जुड़ा है, जो किसी भी एजेंट के लिए वह बुनियाद है जिसके बिना वह किसी खाते पर ज़िम्मेदारी से काम नहीं कर सकता।

व्यावहारिक वित्तीय सुझाव

अपने सुरक्षा नियंत्रण के रूप में पासवर्ड को नहीं, अधिदेश को मानिए। किसी भी एजेंट को अधिकृत करने से पहले प्रति-भुगतान ऊपरी सीमा, कुल मासिक सीमा, अनुमत भुगतान-प्राप्तकर्ताओं की सूची और पूरी तरह बाहर रखी गई श्रेणियों की जाँच करें। संकीर्ण अधिदेश सबसे बुरे परिणाम को सीमित कर देता है, चाहे एजेंट के साथ अंततः किसी भी तरह छेड़छाड़ हो, क्योंकि नुकसान उस अधिकार से अधिक नहीं हो सकता जो आपने वास्तव में देना चुना था।

कुछ भी सौंपने से पहले देनदारी के बारे में लिखित स्पष्टता पर अड़ जाइए। प्रदाता से पूछिए कि यदि एजेंट ग़लत पक्ष को भुगतान कर दे तो आपको प्रतिपूर्ति कौन करेगा, क्या प्रॉम्प्ट इंजेक्शन या साख की चोरी की स्थिति में वह उत्तर बदल जाता है, और इस व्यवस्था का पर्यवेक्षण कौन-सा नियामक करता है। जो प्रदाता साफ़ शब्दों में जवाब न दे सके, वह आपसे ऐसा जोखिम उठाने को कह रहा है जिसे उसने कभी मापा ही नहीं।

रद्दीकरण को तत्काल रखिए और उसका अभ्यास करते रहिए। आपको सहायता केंद्र से संपर्क किए बिना अपने बैंकिंग ऐप से एजेंट को निलंबित कर पाना चाहिए, और यह निलंबन अगले निर्धारित निर्देश से पहले प्रभावी हो जाना चाहिए। हर महीने ऑडिट ट्रेल की समीक्षा कीजिए और हर भुगतान को उस अधिदेश-खंड से मिलाइए जिसने उसकी अनुमति दी थी। rupiya.ai जैसे उपकरणों को यह मिलान वास्तव में पढ़ने योग्य बनाना चाहिए।

भविष्य की तस्वीर

उम्मीद कीजिए कि एजेंट पहचान अपने आप में एक बुनियादी ढाँचा बन जाएगी। पंजिकाएँ (रजिस्ट्री), प्रमाणपत्र और मशीन-से-मशीन प्रमाणीकरण बैंक को यह सत्यापित करने देंगे कि उसे कौन-सा सॉफ़्टवेयर निर्देश दे रहा है, ठीक वैसे ही जैसे आज कार्ड नेटवर्कों के भीतर व्यापारी पहचानकर्ता काम करते हैं। एक बार किसी एजेंट का भरोसेमंद ढंग से नाम लिया जा सके, तो उसे निलंबित, रेटिंग-युक्त और बहिष्कृत भी किया जा सकता है, और यही क्षमता किसी भी व्यावहारिक देनदारी नियम की असली बुनियाद है।

देनदारी संभवतः किसी एक नियम के बजाय परतों में तय होगी। उपभोक्ता स्पष्ट रूप से लापरवाह व्यवहार का भार उठाएगा, एजेंट संचालक अपने नियंत्रणों की खामियों का, और भुगतान प्रदाता निष्पादन की विफलताओं का। बीमा और पूंजी आवश्यकताएँ इन्हीं परतों का अनुसरण करेंगी, और मूल्य-निर्धारण चुपचाप उन संचालकों को पुरस्कृत करेगा जिनके एजेंट शायद ही कभी विवादित भुगतान या प्रतिपूर्ति के विवादग्रस्त दावे पैदा करते हों।

मानकीकरण इसका धीमा हिस्सा है। एक साझा मशीन-पठनीय प्रारूप में लिखे गए अधिदेश, जो बैंकों और एजेंटों के बीच पोर्टेबल हों, सीमाओं और रद्दीकरणों को ग्राहक के साथ चलने देंगे। इसके बिना हर प्रदाता अपनी ही सहमति-भाषा गढ़ता है, और उपभोक्ताओं के सामने असंगत नियंत्रण आ जाते हैं जिनसे तुलना कठिन और स्थानांतरण महँगा हो जाता है — वित्तीय सेवाओं में यह पैटर्न आमतौर पर बहुत जाना-पहचाना है।

जब कोई एआई एजेंट ग़लती कर दे तो जवाबदेह कौन है

जवाबदेही की शुरुआत साक्ष्य से होती है। यदि एजेंट ने वह निर्देश दर्ज किया जो उसे मिला, वह अधिदेश जिस पर वह निर्भर रहा, वह व्यापारी पहचान जिसे उसने सत्यापित किया और वह स्वीकृति जो उसने प्राप्त की, तो विफलता का बिंदु आमतौर पर मिनटों में दिख जाता है। यदि उसने इनमें से कुछ भी दर्ज नहीं किया, तो हर पक्ष विश्वसनीय ढंग से दूसरे पर दोष मढ़ सकता है, और उपभोक्ता किसी तर्क के आधार पर नहीं, बल्कि तयशुदा तौर पर नुकसान उठा लेता है।

सबसे अधिक विवादित मामले सेंधमारी के नहीं, बल्कि हेरफेर के होंगे। यदि किसी एजेंट को दूषित सामग्री ने किसी अपराधी को भुगतान करने के लिए मना लिया, तो न कोई साख चोरी हुई और न ही सामान्य अर्थ में कोई नियम टूटा। नियामकों को यह तय करना होगा कि यह स्थिति अनधिकृत भुगतान जैसी है या किसी परिष्कृत छल जैसी, और यही उत्तर बड़े पैमाने पर यह निर्धारित करेगा कि अंततः भुगतान कौन करेगा।

प्रत्यायोजन ही व्यक्तिगत वित्त में एजेंटिक एआई का पूरा उद्देश्य है, फिर भी बिना उपचार के प्रत्यायोजन महज़ जोखिम में पड़ना है। अधिदेश पढ़िए, उसे संकीर्ण रखिए, यह सत्यापित कीजिए कि रद्दीकरण सचमुच काम करता है, और कुछ भी ग़लत होने से पहले तय कर लीजिए कि प्रतिपूर्ति कौन करेगा। इस क्षेत्र की सेवाएँ, जिनमें rupiya.ai भी शामिल है, स्वायत्तता के आधार पर कम और अपनी जवाबदेही की स्पष्टता के आधार पर अधिक परखे जाने की हकदार हैं।