ChatGPT और इसी तरह के चैटबॉट से गोपनीय डेटा लीक होने के सबसे चर्चित मामलों में, डेटा तीन तरीकों में से किसी एक से बाहर गया: किसी ने उसे चैट में डाला, उसकी कॉपी ऐसी जगह सहेजी गई जिसे उपयोगकर्ता भूल चुका था, या किसी साझाकरण सुविधा ने उसे सार्वजनिक कर दिया। सेवा देने वाले की ओर से सॉफ़्टवेयर बग चौथा और कम आम तरीका है। हर तरीके को रोकने के लिए एक अलग आदत है, और नीचे दिए गए मामलों से पता चलता है कि कौन-सी आदत किसके लिए है।
लोगों ने गोपनीय सामग्री चैट में डाली
Samsung, 2023। Economist Korea के अनुसार, जैसा कि CIO Dive ने रिपोर्ट किया, मार्च 2023 में Samsung के सेमीकंडक्टर विभाग के इंजीनियरों ने तीन मौकों पर कंपनी का डेटा ChatGPT में डाला। Economist Korea के अनुसार, जैसा कि CIO Dive ने रिपोर्ट किया। एक इंजीनियर ने मापन डेटाबेस प्रोग्राम का त्रुटिपूर्ण सोर्स कोड डालकर सुधार माँगा। दूसरे ने खराब उपकरणों की पहचान करने वाले कोड को डालकर उसे बेहतर बनाने को कहा। तीसरे ने बैठक की रिकॉर्डिंग को टेक्स्ट में बदला और ChatGPT से कार्यवृत्त माँगे। रिपोर्ट के मुताबिक, इसके बाद Samsung ने हर प्रॉम्प्ट की सीमा 1,024 बाइट कर दी।
2 मई 2023 को Samsung ने CNBC से पुष्टि की कि वह कंपनी के कंप्यूटरों पर जनरेटिव AI के इस्तेमाल पर अस्थायी रूप से रोक लगा रहा था। Bloomberg ने उस आंतरिक ज्ञापन की रिपोर्ट दी थी जिसमें इस नीति की घोषणा की गई थी।
किसी ने किसी सिस्टम में सेंध नहीं लगाई। कर्मचारियों ने डेटा कंपनी के बाहर की सेवा को भेजा, और डेटा के बाहर जाने के लिए इतना ही काफ़ी था।
CISA का कार्यवाहक प्रमुख, 2025। 27 जनवरी 2026 को, Politico ने रिपोर्ट किया, गृह सुरक्षा विभाग के चार अधिकारियों के हवाले से, कि अमेरिकी साइबर सुरक्षा और अवसंरचना सुरक्षा एजेंसी के कार्यवाहक निदेशक Madhu Gottumukkala ने 2025 की गर्मियों में "केवल आधिकारिक उपयोग के लिए" चिह्नित ठेका दस्तावेज़ ChatGPT के सार्वजनिक संस्करण में अपलोड किए थे। रिपोर्ट के अनुसार, कोई भी फ़ाइल गोपनीय के रूप में वर्गीकृत नहीं थी। अपलोड से स्वचालित सुरक्षा अलर्ट शुरू हो गए। जब अन्य DHS कर्मचारियों के लिए ऐप अवरुद्ध था, तब उन्हें ChatGPT इस्तेमाल करने की छूट दी गई थी।
सबक वही है जो Samsung के मामले में था। दस्तावेज़ पर लगा लेबल किसी को उसे चैट में डालने से नहीं रोकता। इसे रोकने के लिए यह नियम चाहिए कि कौन-सा टूल कौन-सा डेटा ले सकता है, और डालने से पहले जाँचने की आदत चाहिए।
एक बग ने एक उपयोगकर्ता का डेटा दूसरे को दिखाया
20 मार्च 2023 को OpenAI ने ChatGPT को ऑफ़लाइन कर दिया। अपने घटना के बाद के विश्लेषणमें कंपनी ने कहा कि redis-py नाम की ओपन-सोर्स लाइब्रेरी में मौजूद बग के कारण कुछ उपयोगकर्ता दूसरे सक्रिय उपयोगकर्ताओं की चैट के शीर्षक देख पाए थे। नई बातचीत का पहला संदेश भी किसी दूसरे व्यक्ति के इतिहास में दिखाई दिया हो सकता था।
इसी बग से नौ घंटे की अवधि में सक्रिय ChatGPT Plus के 1.2% सदस्यता-धारकों के भुगतान विवरण उजागर हुए हो सकते थे: नाम, ईमेल पता, भुगतान का पता, कार्ड का प्रकार, कार्ड नंबर के आख़िरी चार अंक और समाप्ति तिथि। OpenAI ने कहा कि पूरे कार्ड नंबर कभी उजागर नहीं हुए।
दस दिन बाद, इटली के डेटा संरक्षण प्राधिकरण Garante ने अस्थायी पाबंदी लगाने का आदेश दिया जिससे OpenAI द्वारा इटली के उपयोगकर्ताओं के डेटा का प्रसंस्करण सीमित हुआ। उसने डेटा उल्लंघन, उपयोगकर्ताओं को जानकारी न देने, व्यक्तिगत डेटा पर प्रशिक्षण के लिए कानूनी आधार न होने और उम्र की जाँच न होने का हवाला दिया। दिसंबर 2024 में Garante ने OpenAI पर €15 मिलियन का जुर्माना लगाया, और अन्य बातों के साथ यह पाया कि OpenAI ने मार्च 2023 के डेटा उल्लंघन की उसे सूचना नहीं दी थी। Garante ने उसी पृष्ठ पर जोड़े गए नोट के अनुसार, 18 मार्च 2026 को प्रकाशित फ़ैसले में रोम की अदालत ने उस निर्णय के ख़िलाफ़ OpenAI की अपील मंज़ूर कर ली।
इस सूची में यही एक मामला है जिसमें उपयोगकर्ता ने कुछ भी गलत नहीं किया। ऐसे बग को आप अपनी ओर से रोक नहीं सकते। ऐसा होने पर आप केवल यह तय कर सकते हैं कि आपकी चैट में कौन-सी जानकारी मौजूद है।
साझा चैट Google के खोज परिणामों में दिखीं
ChatGPT में आप बातचीत का लिंक बनाकर किसी को भेज सकते हैं। कुछ समय तक, साझाकरण डायलॉग में "इस चैट को खोजा जा सकने योग्य बनाएँ" का चेकबॉक्स भी था, जिससे खोज इंजन चैट को इंडेक्स कर सकते थे। 30 जुलाई 2025 को, Fast Company ने रिपोर्ट किया कि ChatGPT की हज़ारों साझा बातचीत Google के खोज परिणामों में दिखाई दे रही थीं, जिनमें से कुछ में व्यक्तिगत जानकारी थी।
अगले दिन, OpenAI के मुख्य सूचना सुरक्षा अधिकारी Dane Stuckey ने X पर लिखा कि OpenAI ने यह विकल्प हटा दिया है। उन्होंने इसे कुछ समय तक चला एक प्रयोग बताया, जिसने "लोगों के लिए अनजाने में ऐसी चीज़ें साझा करने के बहुत ज़्यादा मौके पैदा किए जिन्हें वे साझा नहीं करना चाहते थे"। उन्होंने कहा कि OpenAI खोज इंजनों से इंडेक्स की गई सामग्री हटाने पर भी काम कर रहा था। जैसा कि TechCrunch ने बताया: इस सुविधा का इस्तेमाल उपयोगकर्ता की सहमति से होता था—चैट तभी सार्वजनिक होती थी जब उपयोगकर्ता लिंक बनाता और चेकबॉक्स चुनता।
हर प्रभावित उपयोगकर्ता ने चेकबॉक्स चुना था। लेकिन साझा करने का लिंक चैट की एक सार्वजनिक कॉपी होता है, और लोगों ने लिंक बनाते समय इसे इस तरह नहीं सोचा।
सहेजी गई चैट सबूत बन गईं
The New York Times बनाम OpenAI, 2025। 13 मई 2025 को, The New York Times और अन्य समाचार संगठनों द्वारा दायर कॉपीराइट मुक़दमे में अमेरिकी मजिस्ट्रेट न्यायाधीश Ona Wang ने OpenAI को ऐसे आउटपुट लॉग डेटा सुरक्षित रखने का आदेश दिया जिसे अन्यथा मिटा दिया जाता। जैसा कि OpenAI ने समझाया, इसमें Free, Plus, Pro और Team उपयोगकर्ताओं की हटाई गई ChatGPT चैट और API डेटा शामिल थे, जो आम तौर पर 30 दिनों के भीतर उसके सिस्टम से हट जाते हैं। ChatGPT Enterprise, ChatGPT Edu और Zero Data Retention वाले API ग्राहक इससे प्रभावित नहीं हुए।
यह दायित्व 26 सितंबर 2025 को समाप्त हुआ, एक ऐसी सहमति के तहत जिसे अदालत ने 9 अक्टूबर को मंज़ूर किया। पहले से सुरक्षित रखे गए लॉग सुरक्षित ही रहे, सिवाय यूरोपीय आर्थिक क्षेत्र के लॉग के। OpenAI का कहना है कि वह वादी पक्षों की माँग पर अप्रैल से सितंबर 2025 तक का सीमित डेटा अब भी सहेजकर रखता है। अलग से, अदालत ने OpenAI को उपभोक्ताओं के 2 करोड़ छद्म-पहचान हटाए गए ChatGPT लॉग का नमूना वादी पक्षों को देने का आदेश दिया; न्यायाधीश Sidney Stein ने 5 जनवरी 2026 को उस आदेश की पुष्टि की ।
ये चैट सार्वजनिक नहीं की गई थीं। फिर भी, उपयोगकर्ता द्वारा हटाई गई चैट महीनों तक सहेजी गई, क्योंकि ऐसा मुक़दमा चल रहा था जिसमें उपयोगकर्ता की कोई भूमिका नहीं थी। "हटाएँ" सेवा देने वाले की सामान्य नीति बताता है, और अदालत उस नीति को रोक सकती है।
संयुक्त राज्य अमेरिका बनाम Heppner, 2026। इस मामले में ChatGPT नहीं, Claude शामिल था, लेकिन तर्क किसी भी उपभोक्ता चैटबॉट पर लागू होता है। संघीय आपराधिक मुक़दमे के एक प्रतिवादी ने अपने बचाव की तैयारी के लिए Claude के उपभोक्ता संस्करण का इस्तेमाल कर रिपोर्टें बनाईं और बाद में उन्हें अपने वकीलों के साथ साझा किया। 17 फरवरी 2026 को, न्यूयॉर्क के दक्षिणी ज़िले के न्यायाधीश Jed Rakoff ने लिखित रूप में बताया कि वे दस्तावेज़ न तो वकील-मुवक्किल विशेषाधिकार के तहत सुरक्षित थे, न ही कार्य-उत्पाद सिद्धांत के तहत। Claude वकील नहीं है। चैट गोपनीय नहीं थीं, क्योंकि Anthropic की गोपनीयता नीति उसे सरकारी अधिकारियों सहित तीसरे पक्षों को डेटा बताने की अनुमति देती थी। और उसके वकीलों ने उसे इस टूल का इस्तेमाल करने का निर्देश नहीं दिया था।
अदालत ने इसे ऐसा सवाल बताया जिस पर पहले कभी निर्णय नहीं दिया गया था। यह एक देश की एक ज़िला अदालत का फ़ैसला है, और दूसरी अदालतें अलग तर्क दे सकती हैं। यदि आप क्लाइंट को सलाह देते हैं या कानूनी विशेषाधिकार के तहत काम करते हैं, तो अपने अधिकार-क्षेत्र के वकील से पूछें कि इसका आपके काम के लिए क्या अर्थ है।
सभी छह मामले एक तालिका में
| घटना | क्या लीक हुआ | तरीका | सबक |
|---|---|---|---|
| Samsung, मार्च 2023 | सोर्स कोड, बैठक का प्रतिलेख | लोगों ने डेटा भेजा | चैट में डालना भी भेजना है |
| CISA के कार्यवाहक निदेशक, 2025 की गर्मियाँ | "केवल आधिकारिक उपयोग के लिए" चिह्नित दस्तावेज़ | लोगों ने डेटा भेजा | लेबल चैट में डालने से नहीं रोकता; टूल का नियम रोकता है |
| ChatGPT की सेवा बाधित होना, मार्च 2023 | दूसरे उपयोगकर्ताओं की चैट के शीर्षक, Plus के कुछ भुगतान विवरण | सेवा देने वाले का बग | आपने जो भेजा, बग उसी को उजागर कर सकता है |
| खोजे जा सकने वाले साझा चैट, जुलाई 2025 | वे बातचीतें जिन्हें उपयोगकर्ताओं ने साझा किया था | साझाकरण सुविधा | साझा करने का लिंक चैट की सार्वजनिक कॉपी है |
| NYT बनाम OpenAI, मई से सितंबर 2025 | हटाई गई चैट सहेजी गईं, छद्म-पहचान हटाए गए नमूने सौंपे गए | संग्रहण | हटाना एक नीति है, और अदालत उसे रोक सकती है |
| अमेरिका बनाम Heppner, फ़रवरी 2026 | प्रतिवादी की चैट अभियोजकों के लिए उपलब्ध हुईं | संग्रहण | उपभोक्ता AI चैट पर कानूनी विशेषाधिकार लागू न भी हो सकता है |
पैटर्न और हर हिस्से के लिए एक आदत
सूची में केवल एक मामला बग के कारण हुआ। बाकी इस पर निर्भर थे कि लोगों ने क्या भेजा, कॉपियाँ कहाँ रखी गईं और उन्होंने क्या साझा किया।
संग्रहण: अपनी सेटिंग और प्लान जानें। जाँचें कि आपकी चैट प्रशिक्षण के लिए इस्तेमाल होती हैं या नहीं, इतिहास कितने समय तक रखा जाता है और हटाने से क्या होता है। ध्यान दें कि NYT के आदेश में व्यावसायिक प्लान और शून्य-अवधारण वाली API का इस्तेमाल उपभोक्ता खातों से अलग माना गया था। हमारी मार्गदर्शिका ChatGPT, Claude और Gemini में डेटा सेटिंग्स में बताया गया है कि अक्टूबर 2026 तक हर सेटिंग कहाँ मिलती है।
साझाकरण: लिंक को प्रकाशित सामग्री समझें। लिंक बनाने से पहले चैट को ऐसे पढ़ें जैसे कोई अजनबी उसे पढ़ेगा। जिन लिंक की अब ज़रूरत नहीं है, उन्हें हटा दें।
भेजना: पहचान बताने वाला डेटा चैट में न डालें। यह ऐसी आदत है जो अन्य तीनों तरीकों को भी रोकती है। अगर चैट में क्लाइंट के नाम, पते या खाता नंबर नहीं हैं, तो संग्रहित होने, साझा किए जाने, अदालत के आदेश से मँगाए जाने या बग से उजागर होने पर भी उससे बहुत कम जानकारी सामने आएगी। चैट में डालने से पहले पहचान बताने वाली जानकारी की जगह प्लेसहोल्डर रखें, और जवाब में उन्हें अपने कंप्यूटर पर वापस जोड़ें। पूरी प्रक्रिया यहाँ दी गई है: क्लाइंट के दस्तावेज़ों के साथ ChatGPT, Claude या Gemini का इस्तेमाल कैसे करें.
जानकारी बदलने का काम अपने कंप्यूटर पर करें। ऑनलाइन गुमनाम बनाने वाली सेवा एक और सेवा है जिसे मूल फ़ाइल मिलती है। दोनों में फ़र्क कैसे पहचानें, इसके लिए देखें स्थानीय बनाम ऑनलाइन रेडैक्शन टूल ।
ClientSafe यह काम आपके PC पर करता है। यह नाम, कंपनियाँ, पते, फ़ोन नंबर, ईमेल पते, खाता और पहचान-पत्र नंबर तथा जन्मतिथियाँ ढूँढ़कर उनकी जगह Person_1 और Company_1 जैसे प्लेसहोल्डर रखता है। आप सूची की समीक्षा करते हैं, जो व्यक्तिगत डेटा नहीं है उसका निशान हटाते हैं और जो छूट गया हो उसे चिह्नित करते हैं; फिर सुरक्षित कॉपी चैट में डालते हैं।
अक्सर पूछे जाने वाले सवाल
क्या ChatGPT को कभी हैक करके चैट चुराई गई हैं?
ऊपर दिए गए मामलों में से किसी में भी सेंधमारी नहीं हुई। सबसे मिलता-जुलता मामला मार्च 2023 का बग है, जिसने कुछ उपयोगकर्ताओं को दूसरे उपयोगकर्ताओं की चैट के शीर्षक और भुगतान के कुछ विवरण दिखाए। बाकी मामलों में वह डेटा शामिल था जिसे लोगों ने भेजा, साझा किया या सहेजकर रखा।
अगर मैं चैट हटा दूँ, तो क्या वह सचमुच मिट जाती है?
अक्टूबर 2026 तक, OpenAI का सहायता केंद्र कहता है कि हटाई गई चैट को 30 दिनों के भीतर स्थायी रूप से मिटाने के लिए तय किया जाता है, जब तक कि OpenAI को सुरक्षा या कानूनी कारणों से उसे अधिक समय तक रखना ज़रूरी न हो। NYT के आदेश से पता चला कि यह कानूनी अपवाद एक साथ लाखों उपयोगकर्ताओं पर लागू हो सकता है।
क्या व्यावसायिक प्लान से समस्या हल हो जाती है?
इससे शर्तें बदलती हैं: OpenAI का कहना है कि व्यावसायिक डेटा का इस्तेमाल डिफ़ॉल्ट रूप से प्रशिक्षण के लिए नहीं होता, और Enterprise प्लान में व्यवस्थापक संग्रहण अवधि नियंत्रित करते हैं। लेकिन इससे यह नहीं बदलता कि आप क्या भेजते हैं। आपके द्वारा डाला गया डेटा अब भी सेवा देने वाले के पास रहता है, और अदालत उसे सहेजकर रखने का आदेश दे सकती है।
क्या मुक़दमे में AI के साथ मेरी चैट का इस्तेमाल हो सकता है?
हो सकता है। NYT बनाम OpenAI मामले में सहेजी गई चैट को सबूत के रूप में सुरक्षित रखा गया और उनका नमूना लिया गया। Heppner मामले में प्रतिवादी की AI चैट को कानूनी विशेषाधिकार के तहत सुरक्षित नहीं माना गया। आप पर भी यही लागू होगा या नहीं, यह आपके देश और मामले पर निर्भर करता है।
ClientSafe यह आपके PC पर क्लाइंट के नाम, पते, खाता नंबर और पहचान बताने वाले अन्य विवरणों की जगह प्लेसहोल्डर रखता है, और AI के जवाब में असली नाम वापस जोड़ता है। पहचान ढूँढ़ने की प्रक्रिया पूरी तरह सटीक नहीं होती, इसलिए कॉपी करने से पहले सूची की समीक्षा करें।