ऐप बनाने की दीवार गिर गई, लेकिन यूज़र डेटा छूने की दीवार अभी भी खड़ी है

ई-कॉमर्स के मिडल-ऑफिस हेड्स इन दिनों मुझसे एक ही सवाल पूछ रहे हैं: बिज़नेस साइड वालों को एक हफ्ते में AI की मदद से तीन इंटरनल टूल बनाने में कोई दिक्कत नहीं हो रही, जबकि IT का डेवलपमेंट शेड्यूल अगली तिमाही तक का बताया जा रहा है। आखिर बीच में अटक कहाँ रहा है?

हमारा जवाब एक ही निष्कर्ष पर टिका है: डेवलपमेंट की दीवार गिर गई है, लेकिन यूज़र डेटा छूने की दीवार नहीं गिरी है।

इस एक लाइन के पीछे दो चीज़ें एक साथ घट रही हैं।

Bolt.new को StackBlitz ने बनाया है — अक्टूबर 2024 में एक ट्वीट के साथ चुपचाप लॉन्च किया गया, और पाँच महीनों में $40 मिलियन ARR तक पहुँच गया। Sacra और Growth Unhinged इसे इतिहास में दूसरी सबसे तेज़ी से बढ़ने वाली प्रोडक्ट मानते हैं (सिर्फ़ ChatGPT के बाद)। FY2026 के समापन पर, StackBlitz के CEO Eric Simons ने LinkedIn पर बताया: Bolt.new का उपयोग Fortune 500 की तीन-चौथाई कंपनियाँ कर रही हैं, और एंटरप्राइज़ ARR साल-दर-साल 10 गुना बढ़ा है (Eric Simons की आधिकारिक पोस्ट, FY2026 समापन)। Lovable स्टॉकहोम, स्वीडन की टीम है (संस्थापक: Anton Osika)। नवंबर 2025 में $200M की Series A राउंड में कंपनी का मूल्यांकन $1.8B था; दिसंबर 2025 के अंत तक Series B में यह $6.6B हो गया — छह महीनों में लगभग 4 गुना बढ़ोतरी (Forbes/CNBC/Bloomberg/TechCrunch की क्रॉस-पुष्टि)। जून 2026 में, Lovable का ARR $500M पार कर गया (Forbes रिपोर्ट, TechCrunch 2026-06-09 पर समकालिक)। Forbes ने उसी दिन चार जानकार सूत्रों के हवाले से बताया कि कंपनी $12B मूल्यांकन पर नई फंडिंग जुटा रही है (लगभग दोगुना)। इस तरह के टूल्स ने “एक ऐप बनाना” को कई लोगों के महीनों के काम से घटाकर एक व्यक्ति की एक दोपहर बना दिया है।

लेकिन जिस तरह से डेवलपमेंट की बाधा ढह गई है, उसी अनुपात में आपकी कंपनी के वे गेट जो वास्तव में महंगे हैं और असली रुकावट पैदा करते हैं, वे जस के तस खड़े हैं: डेटा ट्रांसफर असेसमेंट, इक्विपमेंट लेवल सिक्योरिटी टेस्टिंग (डेंगबाओ), एल्गोरिदम फाइलिंग, चेंज अप्रूवल (Change Advisory Board), और रिकंसिलिएशन ऑडिट। इन गेट्स का कोड से लगभग कोई सीधा संबंध नहीं है, फिर भी इनमें से हर एक हफ्तों का समय खा जाता है। ऐप जनरेटर ने पहला दरवाज़ा तोड़ दिया है—बिज़नेस साइड अब खुद ऐप बना सकती है; लेकिन दूसरा दरवाज़ा—किसे प्रोडक्शन डेटा छूने की इजाज़त है, कौन कोर ट्रांज़ैक्शन बदल सकता है—बिल्कुल वैसा ही बंद है।

इससे एक ऐसा जोखिम पैदा हो रहा है जिसे ज़्यादातर निर्णयकर्ता अभी भाँप नहीं पाए हैं: जो लोग ऐप बनाना जानते हैं, ज़रूरी नहीं कि उनके पास वह योग्यता हो जो ऐप को कानूनी रूप से डेटा छूने की इजाज़त दिलाए।

हमारे साथ जुड़ा एक वास्तविक परिदृश्य (ई-कॉमर्स, डेटा अनामीकृत): एक होम फर्निशिंग ई-कॉमर्स कंपनी के क्रिएटर ऑपरेशन्स विभाग ने Lovable का उपयोग करके दो महीनों में 7 आंतरिक टूल खुद बनाए: क्रिएटर मैचिंग, कमीशन कैलकुलेशन, वायरल प्रोडक्ट ट्रैकिंग, और रिटर्न अट्रिब्यूशन। टेक्नोलॉजी टीम को किसी ने सूचित नहीं किया। साल के मध्य में शैडो IT ऑडिट के दौरान पता चला कि इनमें से 4 टूल फोन नंबर और डिलीवरी पते वाली ऑर्डर टेबल्स पढ़ रहे थे, और 2 टूल डेटा को एक्सपोर्ट करके व्यक्तिगत क्लाउड ड्राइव में स्टोर कर रहे थे। 2025 की दूसरी छमाही से ई-कॉमर्स प्लेटफॉर्म टीमों को एसेट ऑडिट के दौरान यह स्थिति आम तौर पर देखने को मिल रही है — यह कोई अकेला मामला नहीं है।

हमारे साथ जुड़ा एक वास्तविक परिदृश्य (टेलीकॉम, डेटा अनामीकृत): एक भारतीय टेलीकॉम ऑपरेटर (Reliance Jio / Bharti Airtel / Vi जैसे बड़े ऑपरेटरों की श्रेणी से; नाम नहीं दिया गया) के एक सर्कल-स्तरीय मार्केटिंग हब में इंटरनल ट्रेनिंग रिव्यू के दौरान, प्रोजेक्ट मैनेजर ने स्वीकार किया कि उन्होंने Bolt का उपयोग करके एक “क्विक कस्टमर प्रोफाइल लुकअप टूल” बनाया था — जिसमें मोबाइल नंबर डालते ही पिछले 90 दिनों के रीचार्ज, प्लान चेंजेस, शिकायत इतिहास, और Aadhaar-लिंक्ड KYC स्टेटस दिख जाती थीं — और तकनीकी विभाग को इसकी भनक तक नहीं थी। यह सीधे तौर पर DPDP Act 2023 (Sec. 8(1) डेटा सब्जेक्ट राइट्स + Sec. 16 क्रॉस-बॉर्डर ट्रांसफर) और RBI Digital Lending Guidelines 2022 (Aadhaar-आधारित KYC डेटा के लिए) के तहत व्यक्तिगत डेटा एक्सेस अनुमतियों की सीमा का उल्लंघन था।

पहले एक नज़र इस तस्वीर पर डालें कि यह एक्सपोज़र कैसा दिखता है।

दो सीमाएँ: एक गिरती है, एक टिकी है उच्च निम्न 2020 2024 2026 सीमा की ऊँचाई विकास सीमा (कोड लिखना) AI जनरेटर: एक दोपहर अनुपालन सीमा (डेटा निर्यात / समता संरक्षण / एल्गोरिदम पंजीकरण / परिवर्तन अनुमोदन / सुलह) लगभग नहीं हिला जोखिम जोखिम दोनों सीमाओं के बीच का अंतर = जो ऐप बना सकते हैं हो सकता है उन्हें डेटा छूने का अधिकार न हो तेज़ विकास ≠ तेज़ डिलीवरी — ऊपर की अचल लाल रेखा ही अड़चन है

अब इसे विस्तार से समझते हैं: ये टूल किसकी कौन सी समस्या हल कर रहे हैं, इंजीनियरों की भूमिका कैसे बदल रही है, ई-कॉमर्स में शैडो ऐप्स का विस्फोट कैसा दिख रहा है, सख्त रेगुलेटेड इंडस्ट्रीज में असली बाधाएं क्या हैं, और बिजनेस साइड को कंप्लायंस का रास्ता कैसे दिया जाए।

1. पहले इन पांच टूल्स को उनके सही संदर्भ में रखें

बहुत से लोग इन सभी टूल्स को मिलाकर “AI कोडिंग” कह देते हैं। लेकिन ये दो बिल्कुल अलग समूहों के लिए बने हैं—इस फर्क को साफ कर लेने पर ही आगे की बातें समझ में आएँगी।

एक समूह है “वे जो कोड लिखना जानते हैं।” उन्हें एक तेज़ कोड एडिटर चाहिए: जो आपके कोडबेस का कॉन्टेक्स्ट समझे, कई फाइलों में बदलाव करे, टेस्ट खुद चलाए, और एरर समझाए। इस कैटेगरी के प्रतिनिधि हैं—Cursor, ByteDance का Trae, Microsoft का Copilot, और GitHub Copilot। इनकी शर्त यह है कि आपको इंजीनियरिंग आती है; टूल सिर्फ दोहराए जाने वाले काम से बचाता है। इस समूह पर हम सीरीज़ के चौथे भाग में चर्चा कर चुके हैं, इसलिए यहाँ विस्तार नहीं करते।

दूसरा समूह है “वे जो कोड नहीं लिख सकते।” यही इस लेख का मुख्य विषय है: App जनरेटर। आप एक लाइन में हिंदी (या किसी भी भाषा) में बताते हैं कि क्या चाहिए, और यह आपको एक चलता-फिरता ऐप दे देता है—फ्रंटएंड, बैकएंड, डेटाबेस, डिप्लॉयमेंट, सब कुछ। यह मानकर नहीं चलता कि आपको प्रोग्रामिंग आती है।

इस लेख में हम चार App जनरेटर पर ध्यान देंगे, और AI IDE में से सिर्फ Trae को अलग से उठाएँगे—क्योंकि यह एक ऐसे बिंदु को छूता है जो अत्यधिक विनियमित (highly regulated) उद्योगों के लिए बेहद अहम है।

Bolt.new (StackBlitz द्वारा निर्मित)। अक्टूबर 2024 में एक ट्वीट के साथ चुपचाप लॉन्च हुआ, और Sacra और Growth Unhinged द्वारा इतिहास में दूसरी सबसे तेज़ी से बढ़ने वाली प्रोडक्ट के रूप में ट्रैक किया गया (ChatGPT के बाद): पहले हफ्ते में $1M ARR, चार हफ्तों में $4M, लगभग दो महीनों में $20M, और पाँच महीनों में $40M, जिसमें लगभग 5 मिलियन रजिस्टर्ड यूज़र्स थे (StackBlitz CEO के सार्वजनिक बयान के अनुसार)। इसकी अंतर्निहित तकनीक WebContainers है, जो ब्राउज़र में एक पूरा Node.js वातावरण चला सकती है, जिससे AI सीधे फ़ाइलों में हेरफेर कर सकता है, पैकेज इंस्टॉल कर सकता है, और सर्वर चला सकता है — बिना आपको लोकल एनवायरनमेंट सेट करने की ज़रूरत पड़े। FY2026 के अंत तक, Bolt.new का उपयोग Fortune 500 की तीन-चौथाई कंपनियों द्वारा किया जा रहा था, और एंटरप्राइज़ ARR साल-दर-साल 10 गुना बढ़ गया था (Eric Simons का LinkedIn पर आधिकारिक पोस्ट, FY2026 समापन)। StackBlitz ने जनवरी 2025 में $105.5M की Series B फंडिंग जुटाई, जिसमें कंपनी का मूल्यांकन लगभग $700M था (Business Insider और अन्य रिपोर्ट्स के अनुसार)। इसका विशिष्ट उपयोग एक छोटा ऐप या लैंडिंग पेज बनाना है जिसे तुरंत खोलकर देखा जा सके।

Lovable (स्टॉकहोम, स्वीडन; संस्थापक: Anton Osika; यह ओपन-सोर्स प्रोजेक्ट GPT Engineer की ही परंपरा का उत्तराधिकारी है)। इसका दृष्टिकोण है—“एक पंक्ति के प्रॉम्प्ट से सीधे एक पूर्ण, डिप्लॉय-रेडी एप्लिकेशन तक”—और यह Bolt की तुलना में फुल-स्टैक बिज़नेस एप्लिकेशन के ज़्यादा करीब है। नवंबर 2025 में $200M की Series A राउंड में इसका मूल्यांकन $1.8B था; दिसंबर 2025 के अंत में $330M की Series B राउंड में यह बढ़कर $6.6B हो गया—यानी महज़ छह महीनों में वैल्यूएशन लगभग चार गुना हो गई। जून 2026 तक इसका ARR $500M के पार पहुँच गया (Forbes, 2026-06-05; TechCrunch ने भी इसकी पुष्टि की)। उसी दिन Forbes ने चार जानकार सूत्रों के हवाले से बताया कि कंपनी लगभग $12B के मूल्यांकन पर नई फंडिंग राउंड जुटा रही है (लगभग दोगुनी वृद्धि; रिपोर्ट: Forbes/Rashi Shrivastava)। Lovable के एंटरप्राइज़ ग्राहकों में पहले से Workday, Asana, और NVIDIA शामिल हैं (स्रोत: ARR.club, 2026)।

Vercel v0। अक्टूबर 2023 में लॉन्च हुआ, और 3 फ़रवरी 2026 को आधिकारिक तौर पर v0.dev से v0.app में रीब्रांड हुआ — UI कंपोनेंट स्कैफोल्डिंग टूल से बढ़कर अब यह एक फुल-स्टैक एप्लिकेशन जनरेटर बन गया है (सैंडबॉक्स रनटाइम + GitHub इंटीग्रेशन + Snowflake/AWS डेटाबेस कनेक्शन के साथ)। मार्च 2026 तक Vercel के आधिकारिक आंकड़ों के अनुसार, इसके 6 मिलियन से अधिक डेवलपर उपयोगकर्ता हैं और लगभग 80,000 मासिक सक्रिय टीमें हैं (प्रतिस्पर्धी विश्लेषकों का अनुमान है कि ARR लगभग $42M है; Taskade मार्च 2026 का संकलन)।

Replit Agent 4। 13 मार्च 2026 को रिलीज़ हुआ, यह Replit के इतिहास का सबसे महत्वपूर्ण अपडेट है। तीन चीज़ें एक साथ बदल गईं: ① Design Mode को Infinite Design Canvas में अपग्रेड किया गया, जिससे डिज़ाइन और कोड में बदलाव एक साथ किए जा सकते हैं; ② कोलैबोरेशन का तरीका fork-and-merge से बदलकर “एक ही प्रोजेक्ट, मल्टी-थ्रेडेड टास्क” हो गया — कई sub-agent समानांतर में काम करते हैं, और अंत में एक conflict-resolution sub-agent स्वचालित रूप से मर्ज करता है। आधिकारिक डेटा: Agent 4 ने 90% मर्ज कॉन्फ्लिक्ट्स को स्वचालित रूप से हल किया (AlphaSignal 2026 रिपोर्ट, Replit आधिकारिक 2026-03 changelog के अनुसार); ③ प्लानिंग और एक्ज़ीक्यूशन अब सीरियल नहीं हैं — प्लानिंग और एक्ज़ीक्यूशन एक साथ चल सकते हैं। इसी दौरान Replit ने Series D फंडिंग जुटाई, वैल्यूएशन लगभग $9 बिलियन (Atal Upadhyay 2026 रिपोर्ट; TechCrunch/Bloomberg कई स्रोतों से पुष्टि)। Replit की शुरुआत एक ऑनलाइन कोडिंग एनवायरनमेंट के रूप में हुई थी, इसलिए कोलैबोरेशन और होस्टिंग इसके नेचुरल फीचर्स रहे हैं। Agent 4 ने “कई लोग मिलकर एक प्रोडक्ट बनाएं” की प्रक्रिया को लगभग व्यक्तिगत गति के करीब ला दिया है।

इन चारों की साझा विशेषता: “ऐप बनाने” की लागत टीम-महीने से घटाकर व्यक्ति-घंटे तक लाना।

Trae को हम अलग से इसलिए कवर कर रहे हैं, क्योंकि टेलीकॉम, फाइनेंस और ई-कॉमर्स के एंटरप्राइज़ यूज़र्स के लिए यह एक ठोस वेंडर रिस्क है। Trae दिखने में एक IDE (एडिटर) है, लेकिन असल में यह ByteDance के सर्वर से पूरी तरह जुड़ा हुआ एक डेवलपमेंट एनवायरनमेंट है — एंटरप्राइज़ यूज़र्स को इसे “सामान्य IDE” की तरह नहीं देखना चाहिए, बल्कि “डेटा एक्सफिल्ट्रेशन टूल” के तौर पर इसका एक्सेस असेसमेंट करना चाहिए। ByteDance ने इसे जनवरी 2025 में लॉन्च किया, जो सीधे Cursor को टार्गेट करता है, और इसकी रणनीति है Claude, GPT-4o जैसे प्रीमियम मॉडल्स को मुफ्त देना। 12 महीनों में रजिस्टर्ड यूज़र्स 6 मिलियन, मंथली एक्टिव यूज़र्स 1.6 मिलियन, और कुल मिलाकर लगभग 100 बिलियन लाइन्स कोड जनरेट हुआ (OpenAI Tools Hub 2026-05 सर्वेक्षण सारांश)। लेकिन जुलाई 2025 में, सिक्योरिटी रिसर्चर segmentationf4u1t ने telemetry_research प्रोजेक्ट के ज़रिए साबित किया: भले ही आप सेटिंग्स में टेलीमेट्री बंद कर दें, Trae बैकग्राउंड में ByteDance के mon-va.byteoversea.com जैसे सर्वरों को डेटा भेजता रहता है — जिसमें हार्डवेयर जानकारी, OS वर्जन, डिवाइस और मशीन की स्थायी पहचान, प्रोजेक्ट एक्टिविटी डेटा शामिल है; एक सिंगल टेलीमेट्री बैच का साइज़ 53,606 बाइट्स तक हो सकता है, और लगभग 7 मिनट के सामान्य उपयोग में 500+ कॉल्स और लगभग 26 MB डेटा ट्रांसफर होता है (GitHub segmentationf4u1t/trae_telemetry_research का प्राथमिक डेटा, The Register/Cybernews 2025-07-28 रिपोर्ट)।

बाइटडांस का बाद का जवाब दर्ज करने लायक है। Cybernews ने 2026-08-01 के अपडेट में लिखा: बाइटडांस के आधिकारिक बयान में स्वीकार किया गया कि IDE सेटिंग्स में मौजूद telemetry toggle सिर्फ VS Code फ्रेमवर्क वाले हिस्से की टेलीमेट्री को नियंत्रित करता है, बाकी Trae टूल्स का डेटा कलेक्शन इस स्विच से प्रभावित नहीं होता — सीधी भाषा में कहें तो: आपको लगा कि आपने बंद कर दिया, लेकिन असल में बंद नहीं हुआ। शोधकर्ताओं ने सीधे Trae टीम से संपर्क करने के बाद पुष्टि की कि एक अलग Privacy Mode लगभग अगस्त 2026 के आसपास जारी होने की योजना है। इसी बीच, Trae ने फरवरी 2026 में “token-based paywall” लागू करके “forever free” का वादा तोड़ दिया, जिससे कई डेवलपर्स जिन्होंने इसे अपने प्रोडक्शन एनवायरनमेंट में शामिल किया था, ने अपने फैसले पर फिर से विचार करना शुरू कर दिया (OpenAI Tools Hub 2026-05 सर्वेक्षण का सारांश)।

व्यक्तिगत डेवलपर्स के लिए, मुफ्त Claude काफी आकर्षक है। आपके लिए, जो निर्णय लेने की स्थिति में हैं, यह एक विशिष्ट क्रॉस-बॉर्डर डेटा ट्रांसफर अनुपालन (DPDP Act + CERT-In Directions + RBI Outsourcing Guidelines) का मामला है — आपके इंजीनियर कंपनी का कोड, संभवतः कॉन्फ़िगरेशन और इंटरफेस भी, एक ऐसे टूल में डाल रहे हैं जो डेटा को बाइटडांस के सर्वर पर वापस भेजता है। दूरसंचार और वित्त जैसे उद्योगों में, जो 《डेटा सुरक्षा कानून》(Data Security Law) और 《व्यक्तिगत सूचना संरक्षण कानून》(Personal Information Protection Law) के दायरे में आते हैं, यह कदम अपने आप में एक अनुपालन घटना (compliance incident) को ट्रिगर करने के लिए पर्याप्त है। चौथे खंड में इस पर विस्तार से चर्चा की जाएगी।

2. डेवलपमेंट का पुनर्लेखन — “कोड लिखने” से “समीक्षा, ऑर्केस्ट्रेशन और गुणवत्ता नियंत्रण” तक

App जनरेटर के बारे में सबसे आम ग़लतफ़हमी यह है कि “अब इंजीनियरों की ज़रूरत नहीं रहेगी।” यह सोच पूरी तरह ग़लत है।

सटीक बात यह है: यह इंजीनियर के काम का केंद्र बदलता है, पद ख़त्म नहीं करता। जब AI और बिज़नेस टीमें भी कोड और एप्लिकेशन बना सकती हैं, तो इंजीनियर का मूल्य “खुद कोड लिखने” से हटकर तीन कामों पर आ जाता है: यह जाँचना कि जो बना है वह सही है या नहीं, उसे एक भरोसेमंद सिस्टम में व्यवस्थित करना, और सुरक्षा व गुणवत्ता का ध्यान रखना।

ये तीनों काम “कोड लिखने” से कहीं ज़्यादा दुर्लभ और मूल्यवान हैं। एक React कंपोनेंट लिखने वाला हर कोने में मिल जाएगा; लेकिन जो यह तय कर सके कि AI द्वारा बनाया गया प्रमोशनल ऐप लॉन्च होने लायक है या नहीं, क्या वह पेमेंट डेटा छू सकता है, क्या उसका ऑथेंटिकेशन नकली है, और क्या वह लॉग्स को विदेशी सर्वर पर भेज रहा है — ऐसे लोग बहुत कम मिलते हैं।

यहाँ एक स्पष्ट स्तर-आधारित निर्णय देना ज़रूरी है, क्योंकि बहुत सारी कंपनियाँ इस मामले में चरम पर चली जाती हैं: या तो सब कुछ जनरेटर को सौंप देना, या फिर पूरी तरह बैन कर देना। दोनों चरम नुकसानदेह हैं।

कौन से ऐप जनरेटर को सौंपें, कौन से कभी नहीं कम जटिलता ←────────────→ अधिक जटिलता डेटा संवेदनशीलता: कम ↑ अधिक ↓ निश्चिंत होकर जनरेटर को सौंपें लैंडिंग पेज, कैंपेन पेज बिना संवेदनशील डेटा वाले इंटरनल डैशबोर्ड (लॉगिन नहीं, केवल पढ़ने योग्य) प्रोटोटाइप / डेमो आवश्यक: डेटा मास्किंग + कंप्लायंट चैनल कोशिश करें, पर इंजीनियरिंग टीम सँभाले इंटरनल ऑप्स टूल (ऑर्डर / इन्वेंटरी को छूने वाले) अकाउंट मैनेजर वर्कबेंच B-साइड सेल्फ-सर्विस बैकएंड आवश्यक: जनरेटर से प्रोटोटाइप, इंजीनियर प्रोडक्शन के लिए रीराइट जनरेटर मंच तैयार करे, मजबूत गवर्नेंस थामे ग्राहक सेवा नॉलेज बेस फ्रंटएंड व्यक्तिगत डेटा वाले क्वेरी पेज लॉगिन आवश्यक इंटरनल पोर्टल (उपयोगकर्ता पहचान + अनुमति स्तर) आवश्यक: प्रमाणीकरण, ऑडिट, समता संरक्षण — कोई भी न छूटे जनरेटर को कभी न सौंपें ट्रेडिंग सिस्टम / पेमेंट / क्लियरिंग रिस्क इंजन / एंटी-फ्रॉड कोर लेजर / रेगुलेटरी रिपोर्टिंग आवश्यक: पेशेवर इंजीनियरिंग टीम, एंड-टू-एंड गेटिंग मानदंड: x-अक्ष = तार्किक जटिलता, y-अक्ष = क्या पैसे या व्यक्तिगत डेटा को छूता है

इस चित्र का संदेश सिर्फ एक पंक्ति में है: क्षैतिज अक्ष दिखाता है कि एप्लिकेशन का लॉजिक कितना जटिल है, और ऊर्ध्वाधर अक्ष दिखाता है कि वह पैसे और व्यक्तिगत जानकारी से जुड़ता है या नहीं। नीचे दाएँ कोने वाला सेल (उच्च जटिलता + उच्च संवेदनशीलता) — वहाँ App जनरेटर कितना भी स्मार्ट क्यों न हो, उसे मैदान में नहीं उतारा जा सकता। एक प्रमोशनल लैंडिंग पेज Lovable को सौंपना ठीक है; लेकिन अपना पेमेंट गेटवे उसे सौंपना — तब तो बस समय की बात है कि कब मुसीबत आए।

इस रेखा को दिमाग़ में बिठा लीजिए, और फिर देखिए कि ई-कॉमर्स में इन दिनों क्या हो रहा है।

3. ई-कॉमर्स की असली समस्या: शैडो ऐप्स का ऑर्डर डेटा से टकराना

ज़रा कैमरा पीछे खींचकर देखते हैं। Gartner ने 2025 की दूसरी छमाही में एक आँकड़ा जारी किया था: 2026 के अंत तक, 40% एंटरप्राइज़ ऐप्स में टास्क-स्पेसिफिक AI एजेंट्स एम्बेडेड होंगे, जबकि 2025 में यह संख्या 5% से भी कम थी (Gartner की आधिकारिक भविष्यवाणी, Process Excellence Network 2025-08-27 पर साझा)। इसके साथ एक और भी चौंकाने वाला आँकड़ा जुड़ा है: Gartner की रिपोर्ट बताती है कि 2024 Q1 से 2025 Q2 के बीच, multi-agent सिस्टम्स के बारे में कंपनियों की पूछताछ में 1445% की वृद्धि हुई — यह Gartner AI advisory बिज़नेस का सबसे तेज़ी से बढ़ता विषय है, और इसमें कोई दूसरा मुकाबला नहीं करता (RAPIDCLAW/Hendricks.ai/Arion Research के कई स्रोतों का संकलन)।

इन दो आँकड़ों को ई-कॉमर्स की भाषा में समझिए: 40% एंटरप्राइज़ ऐप्स में AI एजेंट चलेंगे, और इसके साथ एक और आँकड़ा — एंटरप्राइज़ मल्टी-एजेंट सिस्टम कंसल्टिंग में +1445% की बढ़ोतरी (यह Gartner AI advisory बिज़नेस कंसल्टिंग ग्रोथ का आँकड़ा है, डिप्लॉयमेंट का नहीं, लेकिन दिशा-संकेत साफ़ है): AI एजेंट अब सिर्फ़ “कोड लिखने में मदद” से आगे बढ़कर “कई एजेंट मिलकर पूरे बिज़नेस फ्लो को चलाने” की ओर शिफ्ट हो चुके हैं। जब AI एजेंट एंटरप्राइज़ ऐप्स में उतरने लगते हैं — डेटा छूते हैं, प्रोसेस चलाते हैं, लॉग लिखते हैं — तब ऐप जनरेटर की भूमिका “टूल” से बदलकर “सिस्टम” बन जाती है।

UpGuard की 2025 की रिपोर्ट (《State of Shadow AI》, जिसे Cybersecurity Dive ने कवर किया) में दो आँकड़े हैं जो Gartner के 40% से कहीं ज़्यादा चौंकाने वाले हैं: 80% से अधिक कर्मचारी काम में बिना मंज़ूरी वाले AI टूल इस्तेमाल करते हैं, और सिक्योरिटी टीम में भी लगभग 90% लोग ऐसा करते हैं। एक और बात: लगभग आधे कर्मचारियों ने स्वीकार किया है कि उन्होंने कंपनी का गोपनीय डेटा सीधे इन बिना मंज़ूरी वाले टूल में पेस्ट किया है। Mimecast ने 51% और Teramind ने 49% बताया है—दोनों के आँकड़े लगभग मिलते-जुलते हैं। Gartner का दूसरा पहलू यह है: 69% संगठनों को संदेह है या पक्का पता है कि कर्मचारी प्रतिबंधित AI टूल इस्तेमाल कर रहे हैं, जबकि केवल 37% संगठनों के पास AI उपयोग की कोई नीति है (The Hacker News के हवाले से)।

इन आँकड़ों को ई-कॉमर्स की भाषा में समझें: आपके ऑपरेशन, आपकी मार्केटिंग, आपके कैंपेन प्लानर—ये सब Bolt, Lovable, v0 जैसे टूल से खुद ही एप्लिकेशन बना रहे हैं। प्रमोशन रूल कॉन्फ़िगरेटर, इन्फ्लुएंसर प्रोडक्ट सिलेक्शन डैशबोर्ड, इन्वेंट्री चेक करने का मिनी-प्रोग्राम, सर्विस टिकट रूटिंग टूल। ये तेज़ हैं, काम के हैं, और असली समस्याएँ हल करते हैं। और ये लगभग सभी IT और डेटा गवर्नेंस को बायपास करते हैं।

2026 H1:चार संख्याएँ बताती हैं कि यह कितना अत्यावश्यक है 5% 2025 एंटरप्राइज़ ऐप्स एआई एजेंट एम्बेडेड 40% 2026 पूर्वानुमान Gartner 2025-08 +1445% एंटरप्राइज़ पूछताछ मल्टी-एजेंट 2024Q1→2025Q2 80%+ कर्मचारी अनअनुमोदित एआई टूल्स का उपयोग करते हैं (UpGuard 2025) ~50% कर्मचारी गोपनीय डेटा इन टूल्स में पेस्ट करते हैं एंटरप्राइज़ ऐप्स पूर्ण एजेंट-आधारित + कर्मचारी निजी तौर पर एआई टूल्स का उपयोग = शैडो ऐप्स बढ़ते रहेंगे निर्णयकर्ताओं की समय सीमा: 3-6 महीने Gartner चेतावनी: अभी एआई एजेंट रणनीति तय करें, वरना तेज़ प्रतिद्वंद्वी आपको पीछे छोड़ देंगे आँकड़े प्रतिनिधि हैं;शोध पद्धतियाँ भिन्न होती हैं, दिशा एक जैसी है

हमारे साथ जुड़ा एक वास्तविक परिदृश्य (ई-कॉमर्स, डेटा अनामीकृत): 2025 की दूसरी छमाही से, हमने 4 मध्यम-से-बड़े ई-कॉमर्स कंपनियों (मिडलवेयर टीम 50-200 लोगों की) के साथ शैडो IT ऑडिट किया—और एक भी कंपनी ऐसी नहीं थी जिसके पास कुछ न कुछ न मिला हो। सबसे विशिष्ट मामला एक होम-फर्निशिंग ई-कॉमर्स कंपनी का था: उनकी कंटेंट क्रिएटर टीम ने सिर्फ 2 महीनों में खुद से 7 Lovable-आधारित इंटरनल टूल बना लिए थे। इनमें से 4 टूल लाइव ऑर्डर की चौड़ी टेबल (फोन नंबर और डिलीवरी पते सहित) पढ़ रहे थे, और 2 टूल डेटा को एक्सपोर्ट करके व्यक्तिगत क्लाउड ड्राइव में सेव कर रहे थे। ऑडिट के दिन सिक्योरिटी हेड ने एक ही बात कही: “हमने उस समय लगभग ऑडिट आगे बढ़ाने से ही मना कर दिया था—डर था कि जो सामने आएगा, उसे रिपोर्ट करने पर कोई जिम्मेदारी लेने वाला नहीं मिलेगा।”

इस स्थिति को आप “डेटा का शैडो IT” भी कह सकते हैं। पिछले दशक में जिस शैडो IT से सबको सिरदर्द था, वह था बिज़नेस टीमों द्वारा खुद से खरीदे गए SaaS टूल (सेल्स ने CRM खरीदा, मार्केटिंग ने ईमेल-ब्लास्ट टूल खरीदा)। अब शैडो IT का मतलब है बिज़नेस टीमों द्वारा खुद बनाए गए एप्लिकेशन। इसमें एक अनअप्रूव्ड टूल इस्तेमाल हुआ है—और इससे भी बुरी बात, यह एक नया सिस्टम तैयार करता है जो संवेदनशील डेटा छूता है, और वह सिस्टम IT की एसेट सूची में है ही नहीं।

फर्क पैमाने का है: एक SaaS खरीदने का मतलब है एक बाहरी सिस्टम से जुड़ना; जनरेटिव टूल से ऐप बनाने का मतलब है आपकी कंपनी के अंदर ही अचानक ढेर सारे नए सिस्टम उग आना—हर एक के पास डेटा इंटरफेस है, हर एक बाहरी नेटवर्क से एक्सेस हो सकता है। एक साल में, एक ई-कॉमर्स कंपनी में ऐसे 100+ एप्लिकेशन जुड़ सकते हैं, और उनमें से एक भी IT की एसेट सूची में नहीं होता।

यह बात दबाई नहीं जा सकती। UpGuard का वो 80% आँकड़ा पहले ही साबित कर चुका है कि “प्रतिबंध” से यह रुकने वाला नहीं है। लोग सबसे आसान टूल ढूँढ़कर काम पूरा करेंगे—यही मानव स्वभाव है, और यही KPI है। इसलिए सवाल यह नहीं होना चाहिए कि “बिज़नेस साइड को जनरेटर इस्तेमाल करने से कैसे रोकें”, बल्कि यह होना चाहिए कि “उन्हें सुरक्षित तरीके से इस्तेमाल कैसे करने दें”। चौथा सेक्शन कंप्लायंस की सीमाओं पर है, पाँचवाँ सेक्शन चैनल खोलने के तरीके पर।

4. कंप्लायंस की कितनी सीमाएँ हैं: इसे टेस्ट मत समझिए

यह इस लेख का सबसे महत्वपूर्ण सेक्शन है, और सबसे आसानी से गलत लिखा जाने वाला सेक्शन भी।

इंटरनेट कंपनियों की पृष्ठभूमि से आए कई लोग, जैसे ही “गेटकीपिंग” की बात सुनते हैं, सीधे CI/CD के ऑटोमेटेड टेस्टिंग की कल्पना करते हैं: यूनिट टेस्ट, इंटीग्रेशन टेस्ट, रिग्रेशन टेस्ट—सब पास हो गया तो ग्रीन सिग्नल। ई-कॉमर्स में बड़े प्रमोशन (जैसे डबल 11) के दौरान काम करने वाली टेक टीमों को यह सब बखूबी आता है।

लेकिन टेलीकॉम, फाइनेंस, रेगुलेटेड मैन्युफैक्चरिंग और ई-कॉमर्स में, “वेरिफिकेशन” सिर्फ टेस्टिंग से कहीं आगे की चीज़ है। असली अड़चनें वो कई चरण हैं जिनका कोड से लगभग कोई लेना-देना नहीं होता, फिर भी हर एक में कई-कई हफ्ते लग जाते हैं। इन्हें सिर्फ “टेस्ट” कहना इंटरनेट कंपनियों का नज़रिया है, और यह फैसले लेने वालों को गुमराह कर सकता है कि डिलीवरी साइकिल कितनी लंबी है।

एक-एक करके देखते हैं।

डेटा आउटबाउंड मूल्यांकन। [^1] यदि आपका ऐप विदेशी AI सेवाओं का उपयोग करता है (कई जनरेटर बैकएंड OpenAI, Anthropic पर चलते हैं), या इंजीनियर Trae जैसे IDE का उपयोग करते हैं जो डेटा को विदेश भेजते हैं, तो जैसे ही डेटा में व्यक्तिगत जानकारी, Aadhaar / UPI डेटा, या वित्तीय जानकारी शामिल होता है, यह DPDP Act 2023 (Sec. 16 - क्रॉस-बॉर्डर ट्रांसफर) और CERT-In Directions 2022 (6 घंटे में साइबर घटना रिपोर्टिंग) के तहत आउटबाउंड आवश्यकताओं को ट्रिगर करता है। बैंकिंग/पेमेंट सिस्टम के लिए RBI की Digital Lending Guidelines (2022) + RBI Outsourcing of IT Services Directions (2022) भी लागू होती हैं, जो डेटा को विदेश भेजने से पहले RBI अनुमोदन की माँग करती हैं। एक औपचारिक डेटा लोकलाइज़ेशन आकलन या मानक अनुबंध फाइलिंग को पूरा करने में, जल्दी हो तो एक से दो महीने, धीमी स्थिति में छह महीने से अधिक समय लग सकता है। Aadhaar डेटा (UIDAI नियम) और UPI डेटा (NPCI नियम) पूरी तरह भारत में रहना चाहिए — विदेशी सर्वर पर स्टोर या प्रोसेस दोनों वर्जित। Trae का वह “टेलीमेट्री बंद होने पर भी डेटा भेजना” वाला खोज यह दर्शाता है कि भले ही आपको लगे कि डेटा नहीं भेजा जा रहा है, वास्तव में भेजा जा रहा है। ऐसे उपकरण बैंकिंग, टेलीकॉम, UPI-आधारित पेमेंट, या Aadhaar-लिंक्ड KYC सिस्टम वाले उद्योगों में विकास वातावरण में कभी नहीं आने चाहिए।

स्तर सुरक्षा मूल्यांकन। [^2] भारत में कोई एकल अनिवार्य “स्तर सुरक्षा” योजना नहीं है (चीन के MLPS / 等保 2.0 जैसा नहीं), लेकिन NCIIPC (National Critical Information Infrastructure Protection Centre) की क्रिटिकल सेक्टर गाइडलाइंस + CERT-In Directions 2022 + RBI Cyber Security Framework 2016 (बैंकिंग के लिए) + SEBI Cybersecurity Guidelines (मार्केट इंटरमीडियरीज़ के लिए) + IRDAI Information Security Guidelines (बीमा के लिए) क्षेत्र-वार अनिवार्य हैं। बैंकिंग सिस्टम के लिए RBI Cyber Security Framework 2016 के तहत साइबर सुरक्षा ऑडिट अनिवार्य है; क्रिटिकल इन्फ्रास्ट्रक्चर के लिए NCIIPC सूचीबद्ध सेक्टर्स (बैंकिंग, टेलीकॉम, पावर, ट्रांसपोर्ट) में काम करने वाले ऐप को NCIIPC सिक्योरिटी ऑडिट से गुज़रना होगा। एक पूरा चक्र (सिक्योरिटी रिव्यू + ऑडिटर नियुक्ति + रिपोर्ट + सुधार) आमतौर पर तीन से छह महीने लेता है। यह कानूनी आवश्यकता है, वैकल्पिक नहीं। AI-जनरेटेड ऐप को इसलिए छूट नहीं मिलेगी क्योंकि आपने इसे जल्दी बना लिया।

एल्गोरिदम पंजीकरण। [^3] भारत में अनिवार्य एल्गोरिदम पंजीकरण की एक केंद्रीय व्यवस्था अभी नहीं है (चीन के समान), लेकिन MeitY (Ministry of Electronics and IT) के IT Rules 2021 के “Intermediary Guidelines and Digital Media Ethics Code” के तहत कुछ क्षेत्रों (विशेष रूप से सोशल मीडिया इंटरमीडियरीज़, AI-जनित कंटेंट) में नोटिफ़िकेशन आवश्यक है। DPDP Act 2023 Sec. 8(1) डेटा सब्जेक्ट को “Automated decision-making” के तहत समीक्षा/चुनौती का अधिकार देता है — यानी प्रोफ़ाइलिंग या ऑटोमेटेड क्रेडिट स्कोरिंग पर निर्णयों के लिए मैन्युअल रिव्यू का रास्ता खुला रखना होगा। Digital India Act (वर्तमान में मसौदा स्थिति में) एक भविष्य की व्यवस्था है जो EU AI Act जैसी रिस्क-बेस्ड कैटेगराइज़ेशन ला सकती है। यदि आपका ऐप सार्वजनिक है और जनरेटिव AI का उपयोग करता है (जैसे Flipkart / Myntra जैसे प्लेयर्स पर प्रोडक्ट डिस्क्रिप्शन ऑटो-जनरेशन, Paytm / PhonePe जैसे वॉलेट्स पर कस्टमर सपोर्ट ऑटो-रिप्लाई, या Zerodha / Groww जैसे ब्रोकरेज पर पर्सनलाइज़्ड रेकमेंडेशंस में AI-जनरेटेड कंटेंट), तो DPDP Act Sec. 8(1) + IT Rules 2021 + क्षेत्र-विशिष्ट नियामक (RBI / SEBI / IRDAI) के अनुसार compliance लागू होती है। पंजीकरण/रजिस्ट्रेशन के बिना लाइव जाना एक अनुपालन दुर्घटना है।

परिवर्तन अनुमोदन (CAB) और रोलबैक योजना।[^4] भारतीय बैंकिंग, NBFC, और टेलीकॉम सेक्टर के कोर सिस्टम में, किसी भी रिलीज़ को IT Change Advisory Board (CAB) की मंज़ूरी से गुज़रना पड़ता है। RBI Outsourcing of IT Services Directions (2022) के तहत मैटीरियल आउटसोर्सिंग (जिसमें AI-जनरेटेड कोड का थर्ड-पार्टी क्लाउड प्रोसेसिंग शामिल है) के लिए RBI की पूर्व सूचना आवश्यक है; RBI Cyber Security Framework 2016 के तहत सभी क्रिटिकल सिस्टम में परिवर्तन प्रबंधन (change management) प्रक्रिया अनिवार्य है। प्रभाव मूल्यांकन, रोलबैक योजना, और विंडो की पुष्टि — यह प्रक्रिया कैलेंडर समय खाती है, मशीन समय नहीं — अगर विंडो मिस हो जाए, तो अगले हफ्ते का इंतज़ार करें। SEBI CSCRF (Cyber Security & Cyber Resilience Framework) 2024 स्टॉक ब्रोकर्स / म्यूचुअल फंड्स के लिए इसी तरह की प्रक्रिया लागू करता है।

रीकंसिलिएशन और ऑडिट।[^5] भारतीय ई-कॉमर्स (Flipkart / Myntra / Amazon India) के सेल इवेंट्स और NPCI / UPI आधारित फ़ाइनेंशियल सेटलमेंट में, रिलीज़ के बाद फंड और अपस्ट्रीम सिस्टम के साथ रीकंसिलिएशन करना होता है, और हर लेन-देन के लिए ऑडिट ट्रेल होना चाहिए। RBI’s Payment and Settlement Systems Act 2007 + RBI Digital Lending Guidelines 2022 के तहत ऑडिट ट्रेल कम से कम 5 वर्ष रखना अनिवार्य है। CERT-In Directions 2022 के तहत साइबर घटनाओं की ऑडिट लॉग्स कम से कम 180 दिन (6 महीने) रखनी होती हैं। AI-जनरेटेड एप्लिकेशन अक्सर इस मामले में बिल्कुल तैयार नहीं होते: वे चल तो जाते हैं, लेकिन उनमें रीकंसिलिएशन का डिज़ाइन ही नहीं होता — अगर खातों में अंतर आ जाए, तो पता नहीं चलता कि कहाँ देखें।

इन सबको एक साथ रखने पर एक उल्टा-सीधा निष्कर्ष निकलता है: App जनरेटर “विचार” से “चलने योग्य प्रोटोटाइप” तक की दूरी दस गुना तेज़ कर देते हैं, लेकिन “चलने योग्य प्रोटोटाइप” से “कंप्लायंट रिलीज़” तक का समय बिल्कुल कम नहीं होता। जिन चरणों में पहले जितना समय लगता था, अब भी उतना ही लगता है।

यही वह लाल रेखा है जो पहले सेक्शन के ग्राफ़ में नहीं हिलती। डेवलपमेंट की बाधा गिर गई है — बचा समय इंजीनियरों के कोड लिखने का है; कंप्लायंस की बाधा वहीं खड़ी है — मूल्यांकन, परीक्षण, अनुमोदन — एक दिन भी कम नहीं हुआ। निर्णयकर्ताओं की सबसे बड़ी भूल यह सोचना है कि पहले की तेज़ी अपने आप दूसरे को भी तेज़ कर देगी। ऐसा नहीं होता।

5. बिज़नेस साइड के लिए एक कंप्लायंस चैनल बनाएँ, उसे जंगली न बढ़ने दें

जब रोकना संभव नहीं है, तो रास्ता दें — शैडो IT को नियंत्रित करने के लिए यह उन कुछ रास्तों में से एक है जो वास्तव में काम करता है।

शैडो IT के दो रास्ते: रोक नहीं सकते तो रास्ता दो आज:बेलगाम विकास ऑप्स अकेले Lovable से ऐप बनाते हैं ↓ किसी को पता नहीं ऑर्डर / फ़ोन नंबर / पते को छूता है ↓ कोई पंजीकरण नहीं डेटा व्यक्तिगत क्लाउड ड्राइव पर निर्यात ↓ कोई स्कैनिंग नहीं खुलासा होने पर ही पता चलता है सैकड़ों ऐप चल रहे हैं, संपत्ति सूची में कोई नहीं → गवर्नेंस के साथ:एक तेज़ चैनल दें कंपनी एक sanctioned जनरेटर देती है ↓ स्व-पंजीकरण (5 मिनट) डेटा स्तरित:केवल मास्क किया हुआ / परीक्षण डेटा ↓ स्वचालित सुरक्षा स्कैन संवेदनशील डेटा को छूता है → निर्यात मूल्यांकन + समता संरक्षण ↓ संपत्ति सूची में ऑडिट योग्य,बंद करने योग्य,ट्रेस करने योग्य व्यवसाय तेज़ रहता है,लेकिन हर ऐप सूची में होता है

इस चैनल को बनाने के चार चरण हैं।

पहला कदम: कंपनी खुद एक सुरक्षा-मूल्यांकित जनरेटर उपलब्ध कराए।
ऑपरेशन टीम को बाहर जाकर कोई भी Lovable जैसा टूल इस्तेमाल करने देने के बजाय, कंपनी को एक ऐसा संस्करण खरीदना या खुद बनाना चाहिए जो भारत के साइबर सिक्योरिटी मानकों (CERT-In Directions 2022 + DPDP Act 2023 Sec. 16 डेटा लोकलाइज़ेशन) के अनुरूप हो और डेटा को देश से बाहर न भेजे। इसे एक इंटरनल एंट्री पॉइंट दें। जब बिज़नेस टीम को अंदर ही सब कुछ मिल जाएगा, तो वे बाहर जाकर कुछ ढूंढेंगे ही नहीं — यही “रोकने के साथ-साथ रास्ता देने” वाली रणनीति है।

Microsoft के FY26 ने इसका एक रेफरेंस मॉडल पेश किया है: EY ने Copilot को 150,000 कर्मचारियों तक पहुँचाया और 15% प्रोडक्टिविटी गेन हासिल किया; Atos ने Copilot को 54 देशों के 56,000 कर्मचारियों तक पहुँचाया और 19,000 AI एजेंट्स को एक यूनिफाइड आइडेंटिटी, सिक्योरिटी, कंप्लायंस और एजेंट गवर्नेंस कंट्रोल प्लेन के तहत मैनेज किया (Microsoft FY26 रिव्यू ब्लॉग 2026-07-28, Atos 2026-06-09 आधिकारिक प्रेस रिलीज़ — दोनों वेंडर + क्लाइंट के संयुक्त बयान हैं)। दोनों कंपनियों ने एक ही काम किया: AI टूल्स को एंटरप्राइज़-ग्रेड सिक्योरिटी और कंप्लायंस कंट्रोल प्लेन से जोड़ा — यही sanctioned चैनल का लाइव उदाहरण है।

भारत में इसके समकक्ष देखें तो RBI की Digital Lending Guidelines (2022) + RBI Outsourcing of IT Services Directions (2022) + CERT-In Directions 2022 (साइबर सुरक्षा घटनाओं की 6 घंटे रिपोर्टिंग) + DPDP Act 2023 + DPDP Rules 2025 — ये सब लोकलाइज़्ड कंप्लायंस पाथवे के उदाहरण हैं। NPCI / UPI डेटा लोकलाइज़ेशन की अनिवार्यता को भी याद रखें, खासकर जब UPI-आधारित पेमेंट फ्लो ऐप जनरेटर पर बनाया जाए। यानी देश में यह रास्ता पहले से बन रहा है, बस कमी है इसे कंपनी की अनिवार्य प्रक्रिया में शामिल करने की।

दूसरा चरण: अनिवार्य पंजीकरण। कौन सा ऐप बनाया गया है, कौन सा डेटा पढ़ा जा रहा है, और किन उपयोगकर्ताओं के लिए है—यह सब एक रजिस्टर में दर्ज करें। पंजीकरण प्रक्रिया हल्की रखें, पाँच मिनट का एक फॉर्म हो, दो महीने की लंबी प्रक्रिया न बनाएँ, वरना कोई भरने नहीं आएगा और सब फिर से छुप-छुप कर होने लगेगा। पंजीकरण का उद्देश्य हर ऐप को मंज़ूरी देना नहीं है, बल्कि आपके पास एक सूची होनी चाहिए।

तीसरा चरण: डेटा वर्गीकरण के अनुसार अलग-अलग रूटिंग। दूसरे सेक्शन वाले मैट्रिक्स का उपयोग करें। जो केवल डी-आइडेंटिफाइड या टेस्ट डेटा छूते हैं, उन्हें स्वतः अनुमति मिल जाए; जैसे ही कोई वास्तविक ऑर्डर या व्यक्तिगत जानकारी माँगता है, स्वतः ही डेटा ट्रांसफर प्री-रिव्यू (DPDP Act Sec. 16) और सुरक्षा मूल्यांकन (CERT-In NCIIPC दिशानिर्देश + RBI Cyber Security Framework 2016, बैंकिंग सिस्टम के लिए) ट्रिगर हो जाए। प्रक्रिया को डेटा की संवेदनशीलता के अनुसार चलने दें, न कि सभी ऐप्स पर एक ही नियम लागू करें।

चौथा चरण: स्वचालित सुरक्षा स्कैनिंग। AI द्वारा जनरेट किए गए एप्लिकेशन में सुरक्षा कमजोरियों की दर मानव-लिखित कोड की तुलना में काफी अधिक होती है। CodeRabbit ने 2026 की अपनी रिपोर्ट में यह आंकड़ा अपडेट किया है: AI-सहायता प्राप्त कोड में उत्पन्न होने वाली समस्याओं (लॉजिक और सहीपन की बग्स सहित) की संख्या पारंपरिक मानव-लिखित कोड की तुलना में 1.7 गुना है (CodeRabbit का अपना मेट्रिक, जिसमें व्यावसायिक दृष्टिकोण शामिल है; DORA 2026-02 वेबिनार और Kunal Ganglani के 2026 तुलनात्मक मूल्यांकन के साथ संगत)। Veracode की 2025 GenAI कोड सुरक्षा रिपोर्ट और भी स्पष्ट है: उसके मूल्यांकन किए गए नमूनों में, लगभग 45% AI-जनरेटेड कोड में OWASP Top 10 स्तर की कमजोरियाँ पाई गईं (Java में जनरेटेड कोड की विफलता दर 70% से अधिक थी, Veracode का अपना मेट्रिक, व्यावसायिक दृष्टिकोण सहित)। GitHub के सार्वजनिक रिपॉजिटरी पर किए गए एक बड़े पैमाने के अनुभवजन्य विश्लेषण (arXiv:2510.26103) ने भी इसी दिशा की पुष्टि की है। इसलिए, AI-जनरेटेड एप्लिकेशन के लिए स्कैनिंग चरण अनिवार्य है, वैकल्पिक नहीं। SAST, डिपेंडेंसी स्कैनिंग और सीक्रेट स्कैनिंग को जनरेटर की रिलीज़ प्रक्रिया में शामिल करें, और केवल तभी रिलीज़ करें जब सभी जाँचें पास हों। CodeRabbit को जून 2026 में सार्वजनिक रूप से GitHub/GitLab पर सबसे अधिक इंस्टॉल किया जाने वाला AI कोड रिव्यू टूल साबित किया गया था, जिसके 15,000 से अधिक पेड ग्राहक हैं और 6 मिलियन रिपॉजिटरी की समीक्षा की गई है। यहाँ तक कि NVIDIA के CEO जेन्सेन हुआंग ने भी सार्वजनिक रूप से समर्थन किया है: “पूरी NVIDIA कंपनी CodeRabbit का उपयोग करती है” — इसे एंटरप्राइज़-स्तरीय AI कोड क्वालिटी गेटिंग के लिए एक बेसलाइन संदर्भ मानना उचित है।

ये चार कदम उठाने के बाद बिज़नेस साइड की स्पीड पर लगभग कोई असर नहीं पड़ा, लेकिन हर एप्लिकेशन एक ऑडिटेबल लिस्ट में आ गया। संवेदनशील डेटा छूने वाले एप्लिकेशन रोक दिए गए और औपचारिक मूल्यांकन से गुज़ारे गए। ये गवर्नेंस है, स्पीड कम करना नहीं।

यहाँ एक ग़लत फैलाए गए आँकड़े को स्पष्ट करना ज़रूरी है। मूल ड्राफ्ट में “45% शैडो AI अपनाने की दर” का ज़िक्र था, जो कि ग़लत तरीके से जोड़ा गया। 45% Veracode रिपोर्ट में AI-जनरेटेड कोड की defect rate है, न कि टूल अपनाने की दर; शैडो AI अपनाने की दर UpGuard के 80%+ वाले आँकड़े से लेनी चाहिए। दोनों आँकड़े बिल्कुल अलग चीज़ों के बारे में हैं, इन्हें मिलाना नहीं चाहिए।

6. App जनरेटर का इस्तेमाल कब नहीं करना चाहिए

ये कोई silver bullet नहीं है। चार तरह के आम ग़लत इस्तेमाल हैं, और हर एक हमने अपने क्लाइंट्स के यहाँ देखा है।

कोर ट्रांज़ैक्शन या risk management के लिए। ये सबसे ख़तरनाक है। कुछ लोग सोचते हैं, “जनरेटर इतना शक्तिशाली है, payment gateway भी आज़मा लें।” पहले वाले matrix का bottom-right corner red zone है — जटिल logic और पैसों से जुड़ा काम, उसे जनरेटर को सौंपना माने अपने कोर सिस्टम को एक ऐसे intern के हवाले करना जिसकी कोई ज़िम्मेदारी नहीं। पैसों का हादसा हो जाए, तो न reconciliation है, न audit trail, न rollback की कोई योजना।

डिफ़ॉल्ट रूप से AI-जनरेटेड कोड सुरक्षित मानना। CodeRabbit का 1.7x और Veracode का 45% आँकड़ा इसका जवाब दे चुका है। AI-जनरेटेड एप्लिकेशन के “चलता हुआ दिखने” और “सुरक्षित रूप से चलने” के बीच पूरी एक सिक्योरिटी इंजीनियरिंग की खाई है। AI-जनरेटेड कोड को मानव-लिखित कोड से अलग व्यवहार करना और सुरक्षा मानकों को ढीला छोड़ना, यानी और तेज़ी से और ज़्यादा vulnerabilities पैदा करना है।

विदेशी जनरेटर पर व्यक्तिगत डेटा प्रोसेस करना, बिना क्रॉस-बॉर्डर डेटा ट्रांसफर असेसमेंट के। यह भारतीय ई-कॉमर्स (Flipkart / Myntra / Amazon India जैसे प्लेयर्स) में सबसे ज़्यादा छिपा हुआ होता है: मार्केटिंग के लिए C-एंड (उपभोक्ता) कैम्पेन पेज बनाया जाता है, बैकएंड पर OpenAI / Anthropic से कॉपी जनरेट कराई जाती है, और यूज़र का फ़ोन नंबर / UPI ID उसी के साथ विदेशी सर्वर पर चला जाता है। इस तरह DPDP Act 2023 (Sec. 16 क्रॉस-बॉर्डर ट्रांसफर) की लाल रेखा पार हो जाती है। UIDAI के Aadhaar डेटा नियम और NPCI के UPI डेटा लोकलाइज़ेशन नियम के तहत ये डेटा पूरी तरह भारत में रहने चाहिए। अगर कुछ गड़बड़ होती है, तो यह कोई तकनीकी बग नहीं, बल्कि DPDP Act उल्लंघन + CERT-In Directions 2022 के तहत 6 घंटे में रिपोर्ट करने योग्य साइबर घटना होगी।

Trae जैसे IDE जो डेटा विदेश भेजते हैं, उन्हें डिफ़ॉल्ट रूप से पूरी कंपनी के इंजीनियरों को इंस्टॉल करा देना। मुफ़्त में मिलने वाले हाई-एंड मॉडल का लालच इतना बड़ा है कि इंजीनियर खुद ही इसे इंस्टॉल कर लेंगे। एक बार आपका कोर कोड, कॉन्फ़िगरेशन और API बाइटडांस (ByteDance) या किसी भी विदेशी इकाई के सर्वर पर पहुँच गए, तो उसके बाद पछताने के अलावा कुछ नहीं बचता। ऐसे टूल्स को डेवलपमेंट एनवायरनमेंट में लाने से पहले सिक्योरिटी और लीगल टीम के साथ मिलकर एक्सेस असेसमेंट (प्रवेश मूल्यांकन) करना ज़रूरी है — यह अकेले तकनीकी टीम का फ़ैसला नहीं हो सकता।

7. चार उद्योगों के नज़रिए से — कौन से एप्लिकेशन दिए जा सकते हैं, कौन से बिल्कुल नहीं

यह अध्याय उन 4 उद्योगों पर केंद्रित है जहाँ हमने वास्तविक समस्याओं का सामना करते हुए कंपनियों के साथ काम किया है (ई-कॉमर्स / वित्त / दूरसंचार / विनिर्माण)। सरकारी, स्वास्थ्य सेवा जैसे अत्यधिक विनियमित क्षेत्रों के परिदृश्यों पर एक अलग लेख में विस्तार से चर्चा की जाएगी, इस अध्याय में नहीं।

कैमरे को चारों उद्योगों पर घुमाते हैं, और हर एक के लिए एक ऐसा असली परिदृश्य जोड़ते हैं जो हमने अपनी आँखों से देखा है।

ई-कॉमर्स। भारतीय ई-कॉमर्स (Flipkart / Myntra / Amazon India / Snapdeal / Nykaa जैसे प्लेयर्स; Paytm / PhonePe / Google Pay जैसे UPI वॉलेट्स के साथ) में सबसे ज़्यादा धमाका होने की संभावना “प्रमोशन-रूल कॉन्फ़िगरेटर”, “सेलर-साइड डैशबोर्ड”, और “इन्वेंट्री क्वेरी मिनी-ऐप” में है — ये देखने में टूल लगते हैं, लेकिन असल में ये ग्राहक के फ़ोन नंबर, डिलीवरी पते, और UPI ट्रांज़ैक्शन ID वाली ऑर्डर वाइड-टेबल पढ़ रहे होते हैं। इस तरह के ऐप्स को सेक्शन 3 के sanctioned चैनल के तहत रजिस्टर होना ही चाहिए, और जैसे ही ये असली डेटा छूते हैं, अपने आप DPDP Act Sec. 16 (क्रॉस-बॉर्डर ट्रांसफर + डेटा लोकलाइज़ेशन) और CERT-In Directions 2022 (6 घंटे में साइबर घटना रिपोर्टिंग) ट्रिगर हो जाता है — NPCI / UPI डेटा भी पूरी तरह भारत में रहना चाहिए। हमने अपनी आँखों से एक ई-कॉमर्स कंपनी (Flipkart / Myntra जैसी कैटेगरी; नाम नहीं दिया गया) का ऑपरेशन टीम को 2 महीने में 7 इंटरनल टूल बनाते देखा, जिनमें से 4 ऑर्डर वाइड-टेबल पढ़ रहे थे — ये कोई इक्का-दुक्का मामला नहीं है।

फ़ाइनेंस। रेड लाइन है “ट्रेडिंग सिस्टम / पेमेंट / क्लियरिंग एंड सेटलमेंट / रिस्क कंट्रोल / एंटी-फ्रॉड / रेगुलेटरी रिपोर्टिंग”। जनरेटर का सही इस्तेमाल रिलेशनशिप मैनेजर वर्कबेंच, मार्केटिंग कैंपेन कॉन्फ़िगरेटर, और रिकंसिलिएशन रिपोर्ट फ्रंट-एंड बनाने में है। इसे कभी भी रिस्क कंट्रोल इंजन या एंटी-फ्रॉड रूल्स के लिए इस्तेमाल न करें — CodeRabbit का वो 1.7x लॉजिक बग रेशियो (CodeRabbit का अपना मेट्रिक, जिसमें उनका कमर्शियल स्टैंड भी शामिल है), फ़ाइनेंसियल सीन में फंड रिस्क को बड़ा कर देता है। इस केस में कंपनी का नाम हटा दिया गया है: एक भारतीय प्राइवेट सेक्टर बैंक (HDFC Bank / ICICI Bank की श्रेणी से; नाम नहीं दिया गया) ने 2025 के अंत में AI कोडिंग का इस्तेमाल RBI की रेगुलेटरी रिपोर्टिंग (जैसे CRILC, SMA return, quarterly fraud reporting) के सहायक जनरेशन के लिए शुरू किया, और नतीजा यह हुआ कि RBI फॉर्मेट वाली रिपोर्टिंग स्क्रिप्ट में 3 जगह फ़ील्ड मैपिंग गलत थी — जिसके बाद RBI ने उन्हें बुलाकर बात की (RBI Cyber Security Framework 2016 के तहत IT Governance नियमों का उल्लंघन भी इसमें शामिल है)। इसकी एक मुख्य वजह यह थी कि AI से बना “देखने में सही लगने वाला कोड” किसी ने रिव्यू नहीं किया।

दूरसंचार/ऑपरेटर। भारतीय टेलीकॉम (Reliance Jio / Bharti Airtel / Vi जैसे बड़े ऑपरेटर; Telecom Regulatory Authority of India - TRAI की दिशानिर्देशों के अधीन) में, हमने जिन सर्कल-स्तरीय टीमों के साथ काम किया है, उनमें से एक के मार्केटिंग हब ने खुद Bolt का उपयोग करके एक “क्विक कस्टमर प्रोफाइल लुकअप” टूल बनाया — जिसमें मोबाइल नंबर डालते ही पिछले 90 दिनों के रीचार्ज, प्लान, शिकायतें और UPI-लिंक्ड पेमेंट हिस्ट्री खिंच जाती थी। यह सीधे तौर पर DPDP Act 2023 (Sec. 8(1) डेटा सब्जेक्ट राइट्स + Sec. 16 क्रॉस-बॉर्डर ट्रांसफर) और UIDAI के Aadhaar डेटा लोकलाइज़ेशन नियमों (Aadhaar डेटा विदेश नहीं जा सकता) की एक्सेस अनुमति सीमा का उल्लंघन है। दूरसंचार क्षेत्र में, जनरेटर का उपयोग “कस्टमर मैनेजर वर्कबेंच” + “कस्टमर सपोर्ट नॉलेज बेस फ्रंटएंड” + “मार्केटिंग कैंपेन कॉन्फ़िगरेशन” के लिए किया जा सकता है, लेकिन बिलिंग, इनवॉइसिंग, CDR क्वेरी या Aadhaar-लिंक्ड KYC डेटा से पूरी तरह दूर रहना चाहिए — Reliance Jio / Bharti Airtel जैसे ऑपरेटरों के लिए NPCI / UPI डेटा लोकलाइज़ेशन भी अनिवार्य है, और एक गलती TRAI के नोटिस और CERT-In Directions 2022 (6 घंटे में घटना रिपोर्टिंग) के दायरे में आ जाती है।

विनिर्माण। MES/ERP एकीकरण, गुणवत्ता परीक्षण और रिपोर्टिंग कोर सिस्टम हैं—जनरेटर केवल परिधीय कार्यों के लिए हैं: शॉप-फ्लोर डैशबोर्ड, प्रोसेस रूटिंग क्वेरी, और उपकरण OEE डेमो। बिल्कुल न छुएँ: प्रोडक्शन शेड्यूलिंग के कोर एल्गोरिदम, गुणवत्ता निर्धारण नियम, और अपस्ट्रीम ERP के साथ रिकॉन्सिलिएशन इंटरफ़ेस। केस स्टडी (अनामीकृत): एक ऑटो पार्ट्स सप्लायर (इसी तरह की सार्वजनिक रूप से ज्ञात रिकॉल घटनाएँ भी हुई हैं; विवरण सार्वजनिक रिकॉल नोटिस और लेखक के अपने प्रोजेक्ट अनुभव से संकलित हैं, ताकि निर्णय लेने के तर्क को समझाया जा सके—किसी विशेष कंपनी की ओर इशारा नहीं) ने अपने IT को Bolt का उपयोग करके एक “गुणवत्ता निरीक्षण AI मॉडल फ्रंटएंड डैशबोर्ड” बनाने दिया—इरादा केवल नमूना छवियों और निर्णय परिणामों को प्रदर्शित करना था। लेकिन फ्रंटएंड रेंडरिंग के दौरान, AI मॉडल के अनुमान से प्राप्त मूल कॉन्फिडेंस थ्रेशोल्ड को सीधे क्लाइंट-साइड में हार्डकोड कर दिया गया। एक बिज़नेस यूज़र ने गलती से इसे 0.85 से बदलकर 0.6 कर दिया, और तीन दिनों में 200+ हिस्से जिन्हें “अस्वीकृत” माना जाना चाहिए था, “स्वीकृत” के रूप में चिह्नित होकर डाउनस्ट्रीम प्रोडक्शन लाइन में चले गए। अंततः तीन बैचों को रिकॉल करना पड़ा। मध्यम आकार के विनिर्माण उद्यमों की सबसे आम गलती यह है कि वे “गुणवत्ता निरीक्षण AI मॉडल फ्रंटएंड” को भी जनरेटर को सौंप देते हैं—गुणवत्ता निरीक्षण नियमों का डाउनस्ट्रीम परिणाम उत्पाद रिकॉल है; एक गलती का मतलब है रिकॉल नोटिस।

8. निर्णयकर्ताओं के लिए निहितार्थ

सबक एक: पहले एप्लिकेशन लेयरिंग का नक्शा बनाएं, फिर टूल खरीदने की बात करें। दूसरे सेक्शन वाला मैट्रिक्स निकालें और अपनी कंपनी के मौजूदा और प्रस्तावित एप्लिकेशन को जटिलता और डेटा संवेदनशीलता के आधार पर उसमें दर्ज करें। आपको तुरंत साफ दिख जाएगा: कौन से ग्रीन ज़ोन में हैं जिन्हें बेझिझक जनरेटर को सौंपकर रफ्तार बढ़ाई जा सकती है, और कौन से रेड ज़ोन में हैं जिन्हें छूना भी मना है। यह एक नक्शा “कोर सिस्टम को जनरेटर से रीइंजीनियर करने” वाले कई आवेगपूर्ण प्रस्तावों को झट से खारिज करवा सकता है, और साथ ही जिन हिस्सों में स्पीड बढ़ानी चाहिए, उन्हें पूरे अधिकार के साथ बढ़वा सकता है।

सबक दो: डेटा ट्रांसफर और सुरक्षा मानकों को शुरुआती प्रवेश-सीमा बनाएं, न कि लॉन्च के बाद का पूरक कदम। ऐसे किसी भी AI टूल को खरीदने से पहले जो कोड या डेटा को छूएगा, पहले इन दोनों मानकों पर परख लें। Trae जैसे टूल की समस्या यह नहीं है कि “वे काम कर सकते हैं या नहीं”, बल्कि यह है कि “क्या वे आपके नियामक माहौल में उपयोग करने योग्य हैं”। यह फैसला पहले से करना होता है; गलत करने की कीमत बाद में सुधार, नोटिस, यहाँ तक कि सिस्टम को बंद करने तक हो सकती है। ठोस कदम: AI टूल खरीद को सुरक्षा और कानूनी टीमों के साथ एक संयुक्त प्रवेश-प्रक्रिया में शामिल करें, और एक स्पष्ट “डेवलपमेंट एनवायरनमेंट में अनुमत” सूची और “केस-दर-केस मंज़ूरी आवश्यक” सूची बनाएं।

सबक तीन: बिज़नेस साइड के लिए एक कंप्लायंस-फ्रेंडली रास्ता बनाएं, वरना शैडो एप्लिकेशन और बढ़ेंगे। तीसरे सेक्शन वाला 80% आंकड़ा बताता है कि रोकना संभव नहीं है। किसी घटना के बाद की गिनती का इंतज़ार करने के बजाय, अभी पाँचवें सेक्शन वाला रास्ता बनाएं: स्वीकृत जनरेटर, हल्का रजिस्ट्रेशन, डेटा के आधार पर रूटिंग, और ऑटो-स्कैनिंग। बिज़नेस साइड को तेज़ चलने दें, लेकिन हर एक टूल सूची में दर्ज हो। यह शैडो IT को बिना निगरानी वाले अंधेरे कोने से निकालकर एक ऑडिट-योग्य संपत्ति बना देगा।

सिद्धांत चार: मापदंड बदलिए, वरना पूरा बजट टूल्स पर चला जाएगा और अड़चन वहीं की वहीं रह जाएगी। यह बात सीधे सीईओ और शीर्ष नेतृत्व के लिए है। आजकल कई बोर्ड “कितने AI लाइसेंस खरीदे गए” या “डेवलपमेंट स्पीड कितनी बढ़ी” के आधार पर AI ट्रांसफॉर्मेशन की सफलता मापते हैं। इस मापदंड का एक सीधा नतीजा यह होता है: पूरा बजट टूल्स खरीदने में चला जाता है, और जो असली अड़चनें डिलीवरी को रोक रही हैं—डेटा एक्सपोर्ट असेसमेंट टीम, सिक्योरिटी कंप्लायंस (जैसे चीन का डेंगबाओ, यानी मल्टी-लेवल प्रोटेक्शन स्कीम), सुरक्षा इंजीनियरिंग, रिकंसिलिएशन और ऑडिट—उनके पास न पैसा है, न लोग। नतीजा: टूल्स का ढेर लग जाता है, लेकिन डिलीवरी उतनी ही धीमी रहती है। “जानते हुए भी कुछ न कर पाने” की इस बीमारी का इलाज ऊपर से शुरू करना होगा—मापदंड बदलिए। जोड़िए: “कितने एप्लिकेशन कंप्लायंस पाइपलाइन से गुज़रे”, “शैडो एप्लिकेशन की संख्या N से घटकर M हुई”, “कोर एप्लिकेशन का प्रोटोटाइप से कंप्लायंट लॉन्च तक का समय कितना हुआ”। जब मापदंड बदलेंगे, तभी बजट उन जगहों पर जाएगा जहाँ असली रुकावट है।

रिवर्स सेल्फ-चेक (ईमानदारी से जवाब दें, सुधार-सजावट नहीं): आपकी कंपनी में इस समय कितने ऐसे एप्लिकेशन चल रहे हैं जिन्हें बिज़नेस टीमों ने खुद AI की मदद से बनाया है—क्या आप एक संख्या बता सकते हैं? इनमें से कितने ऑर्डर, फोन नंबर या पते जैसे डेटा को छू रहे हैं? आपने इंजीनियरों के लिए डिफ़ॉल्ट रूप से जो AI IDE लगाया है, उसका डेटा कहाँ जाता है—क्या आपने कभी जाँचा है? AI की सफलता मापने के लिए आप जिन आँकड़ों का उपयोग कर रहे हैं, क्या वे “टूल्स खरीदने” को प्रोत्साहित करते हैं या “डिलीवरी की रफ्तार” को? अगर इन चारों में से एक सवाल का जवाब भी आपको झिझक के साथ देना पड़े, तो समझ लीजिए—इस लेख में जिस जोखिम की बात हो रही है, वह आपकी कंपनी में पहले से मौजूद है।

अगला कदम

भविष्य की सॉफ्टवेयर इंजीनियरिंग की दिशा में

यह लेख “AI युग में सॉफ्टवेयर इंजीनियरिंग की क्रांति” श्रृंखला का 18वां भाग है। हमने पहले ही देखा है कि App जनरेटर और AI IDE कैसे “एक एप्लिकेशन बनाएं” की बाधा को नीचे दबाते हैं, और यह क्यों है कि डेटा के साथ बाधा को नीचे नहीं दबाया जा सकता है।

आगामी लेख (6वां भाग) एक ऐसे दिशा की ओर देखेगा जो उद्योग में एक सामान्य सहमति बन रही है: **नियम-चालित विकास (Spec-Driven Development)**। GitHub Spec Kit, Claude Code, AWS Kiro, और OpenAI के AGENTS.md क्यों एक साथ “पहले दस्तावेज़ में आवश्यकताओं को लिख दें, फिर AI को हाथ में ले” की दिशा में जा रहे हैं। इससे पहले की लेख में हमने देखा था कि AI द्वारा प्रोग्रामिंग के दौरान त्रुटि दर मानवों से अधिक है, और नियम-चालित विकास एक ऐसी विधि है जो इस समस्या का समाधान करने में मदद करती है: अस्पष्ट मौखिक आवश्यकताओं को स्पष्ट नियमों में बदलना, जिससे AI को जांच के लिए तैयार किया जा सके।

श्रृंखला के बारे में: इस श्रृंखला में हम AI प्रोग्रामिंग टूल्स, संगठनात्मक संरचना और सॉफ्टवेयर इंजीनियरिंग के पैटर्न के नवीनतम विकास का अनुसरण करेंगे। इस श्रृंखला के माध्यम से आप नवीनतम विकास के बारे में अद्यतन जानकारी प्राप्त कर सकते हैं।

अपनी कंपनी में इसे लागू करना चाहते हैं?

App जनरेटर को कंपनी में लाने के बाद, वास्तव में हल करने की आवश्यकता होती है कि कौन से एप्लिकेशन और डेटा को व्यवसायिक पक्ष द्वारा स्व-चालित रूप से बनाने के लिए दिया जा सकता है, और कौन से को IT द्वारा संभालना होगा। वर्तमान में तीन प्रकार के सहयोग प्रदान किए जाते हैं:

  1. उद्यम आंतरिक प्रशिक्षण: आपकी कंपनी के वास्तविक प्रोजेक्ट्स के आधार पर, App जनरेटर का चयन, उपयोग की सीमाएँ, अनुपालन चैनल और गवर्नेंस तंत्र का डिज़ाइन पूरा करें।
  2. विशेष परामर्श: एक स्पष्ट निर्णय पर ध्यान केंद्रित करें, जैसे “क्या व्यावसायिक पक्ष को sanctioned App जनरेटर की सुविधा दी जाए”, या छाया ऐप्स (shadow apps) के सर्वेक्षण के बाद सुधार की प्राथमिकता तय करना।
  3. प्रबंधन साझेदारी और उद्योग वक्तव्य: AI कोडिंग टूल्स, छाया ऐप गवर्नेंस, उद्यम AI परिवर्तन और संगठनात्मक गवर्नेंस पर केंद्रित चर्चा।

इन सहयोगों के माध्यम से, कंपनी अपने विशिष्ट आवश्यकताओं के अनुसार App जनरेटर को अनुकूलित कर सकती है और अपने डेटा को सुरक्षित रूप से प्रबंधित कर सकती है।

  • उद्यम आंतरिक प्रशिक्षण: आपकी कंपनी के वास्तविक प्रोजेक्ट्स के आधार पर, App जनरेटर का चयन, उपयोग की सीमाएँ, अनुपालन चैनल और गवर्नेंस तंत्र का डिज़ाइन पूरा करें।
  • विशेष परामर्श: एक स्पष्ट निर्णय पर ध्यान केंद्रित करें, जैसे “क्या व्यावसायिक पक्ष को sanctioned App जनरेटर की सुविधा दी जाए”, या छाया ऐप्स (shadow apps) के सर्वेक्षण के बाद सुधार की प्राथमिकता तय करना।
  • प्रबंधन साझेदारी और उद्योग वक्तव्य: AI कोडिंग टूल्स, छाया ऐप गवर्नेंस, उद्यम AI परिवर्तन और संगठनात्मक गवर्नेंस पर केंद्रित चर्चा।

यह लेख एक सामान्य रूपरेखा प्रदान करता है। वास्तविक कार्यान्वयन के लिए, उद्यम के डेटा बाउंड्री, नियामक आवश्यकताओं, इंजीनियरिंग परिपक्वता और मौजूदा डिलीवरी प्रक्रियाओं के अनुसार पुनः डिज़ाइन करना आवश्यक है। सहयोग के लिए coach@iaiuse.com पर संपर्क करें।

आगे पढ़ें: “सिग्नेचर मेथडोलॉजी v1.0” (धीरे-धीरे AI सीखें 187), जो उद्यम AI परिवर्तन के 7-चरणीय ढांचे का व्यवस्थित परिचय देता है।

इस श्रृंखला के बारे में

“AI युग में सॉफ्टवेयर इंजीनियरिंग परिवर्तन” दूरसंचार, वित्त, विनिर्माण, ई-कॉमर्स आदि उद्योगों के CIO, CDO, CTO और डिजिटल प्रभारियों के लिए एक शोध श्रृंखला है, जिसमें कुल 18 लेख हैं। यह मुख्य रूप से चर्चा करता है कि AI कोडिंग टूल्स, App जनरेटर और छाया ऐप गवर्नेंस सॉफ्टवेयर डिलीवरी प्रक्रियाओं, संगठनात्मक संरचना, गवर्नेंस तंत्र और प्रबंधन मेट्रिक्स को कैसे प्रभावित करते हैं।

यह सीरीज़ लगातार अकादमिक पेपर, वेंडर दस्तावेज़ और इंडस्ट्री रिपोर्ट्स को ट्रैक करती है। रिसर्च डेटाबेस में 200 से अधिक दस्तावेज़ जमा हो चुके हैं, और प्रमुख निष्कर्षों पर एविडेंस लेवल (evidence level) अंकित किया जाता है — यानी सत्यापित तथ्यों, वेंडर के दावों, इंडस्ट्री ऑब्ज़र्वेशन और लेखक के अनुमानों के बीच स्पष्ट अंतर किया जाता है।

मेरे पास बड़े एंटरप्राइज़ कंसल्टिंग और बिज़नेस एनालिसिस का लगभग 8 साल का अनुभव है। मैंने IBM में काम किया है, जहाँ टेलीकॉम, वित्त, बीमा और मैन्युफैक्चरिंग से जुड़े प्रोजेक्ट्स में भागीदारी की। इसके बाद, मैं ऑपरेटर प्रोडक्ट्स, इंटरनेट प्रोडक्ट्स और AI एप्लिकेशन डेवलपमेंट की फ्रंटलाइन पर रहा — रिक्वायरमेंट एनालिसिस, प्रोडक्ट डिज़ाइन और क्रॉस-टीम इम्प्लीमेंटेशन के कामों में।

इस सीरीज़ में टूल चयन, App जनरेटर के उपयोग की सीमाओं, कंप्लायंस चैनल डिज़ाइन और संगठनात्मक गवर्नेंस से जुड़े जो निष्कर्ष हैं, वे इन्हीं व्यावहारिक अनुभवों से आते हैं — और सार्वजनिक रिसर्च व इंडस्ट्री केस स्टडीज़ से क्रॉस-वेरिफ़ाई किए गए हैं। विशिष्ट प्रोजेक्ट्स की सामग्री को डी-आइडेंटिफ़ाई (de-identify) किया गया है; कुछ इंडस्ट्री परिदृश्य विशिष्ट समस्याओं के तार्किक अनुमान हैं, जिनके स्रोत अंत में दिए गए हैं।

इस अकाउंट के पीछे असल में एक छोटी टीम है — मैं और 1-2 दीर्घकालिक सहयोगी। हम अलग-अलग क्षेत्रों को संभालते हैं: AI कोडिंग टूल्स पर रिसर्च, संगठनात्मक गवर्नेंस केस स्टडीज़, और कोचिंग संवाद। लेख में जिन प्रोजेक्ट्स का ज़िक्र है कि “हमने कंपनियों के साथ मिलकर काम किया”, उनमें से अधिकांश हम तीनों ने मिलकर डिलीवर किए हैं। ग्राहकों की कंप्लायंस सीमाओं और नामों का उल्लेख नहीं किया गया है — गोपनीयता बनाए रखी गई है, ताकि भविष्य के सहयोगियों के लिए जगह बनी रहे।

संदर्भ स्रोत (सभी सत्यापित, प्रत्येक पर एविडेंस लेवल + पोज़िशन अंकित)

  • स्टैकब्लिट्स (StackBlitz) CEO एरिक સિમોન્સ (LinkedIn, FY2026 करीब समाप्त): Bolt.new का उपयोग फॉर्च्यून 500 की तीन-चौथाई कंपनियां कर रही हैं, और एंटरप्राइज़ ARR साल-दर-साल 10 गुना बढ़ा है। यह कंपनी की ओर से सीधा बयान है (vendor perspective)। https://www.linkedin.com/posts/eric-simons-a464a664-a_growth_update-as-we-close-out-our-fiscal-activity-7425263313049026560-5tdV

  • Sacra / Growth Unhinged (2025): Bolt.new की ARR वृद्धि का ट्रैकिंग डेटा (लगभग 5 महीनों में 40 मिलियन डॉलर ARR, लगभग 5 मिलियन उपयोगकर्ता, चैटजीपीटी के बाद इतिहास में दूसरी सबसे तेज वृद्धि)। यह प्राथमिक स्रोत/ट्रैकिंग है। https://sacra.com/c/bolt-new/ , https://www.growthunhinged.com/p/boltnew-growth-journey

  • Taskade (2026-03) / Business Insider. StackBlitz ने 2025-01 में सीरीज़ B में $105.5M जुटाए, वैल्यूएशन लगभग $700M; Bolt V2 ने Bolt Cloud लॉन्च किया। उद्योग रिपोर्टों का संकलन।

  • Forbes / Rashi Shrivastava (2026-06-05). Lovable $12B वैल्यूएशन पर नया फंडिंग राउंड जुटा रहा है; ARR $500M पार (2026-06-09 TechCrunch ने भी यही बताया)। प्रमुख उद्योग कवरेज। https://www.forbes.com/sites/rashishrivastava/2026/06/05/ai-coding-startup-lovable-in-talks-to-raise-funding-at-a-12-billion-valuation

  • CNBC / Bloomberg (2025-12) / TechCrunch (2025-11). Lovable का सीरीज़ B: $330M फंडिंग, $6.6B वैल्यूएशन; सीरीज़ A: $200M फंडिंग, $1.8B वैल्यूएशन। उद्योग रिपोर्ट।

  • ARR.club (2026-07)। Lovable की ARR वृद्धि वक्र: $17M (2025-02) → $100M (2025-07) → $200M (2025-11) → $400M (2026-02) → $500M (2026-06); एंटरप्राइज़ ग्राहकों में Workday, Asana, NVIDIA शामिल हैं। उद्योग ट्रैकिंग।

  • Vercel (2026-02-03 आधिकारिक ब्लॉग “Introducing the new v0”)। v0 का नाम v0.dev से बदलकर v0.app कर दिया गया है, और यह UI घटकों से एक फुल-स्टैक एप्लिकेशन जनरेटर (सैंडबॉक्स runtime + GitHub + Snowflake/AWS एकीकरण) के रूप में विकसित हो गया है। विक्रेता की प्रत्यक्ष घोषणा। https://vercel.com/blog/introducing-the-new-v0

  • Taskade (2026-03) / Vercel। v0 के 2026-03 तक 6M+ उपयोगकर्ता, लगभग 80,000 मासिक सक्रिय टीमें, और अनुमानित ARR लगभग $42M है। समग्र उद्योग अनुमान।

  • Replit (2026-03-13 आधिकारिक अपडेट लॉग + आधिकारिक ब्लॉग “What’s changed from Agent 3 to Agent 4”). Agent 4 2026-03-11 को जारी हुआ; Infinite Design Canvas; fork-and-merge सहयोग को बदलकर एक ही प्रोजेक्ट में मल्टी-थ्रेडेड टास्क + स्वचालित कॉन्फ्लिक्ट मर्जिंग (90% स्वचालित समाधान) किया गया। पहले हाथ का विक्रेता बयान। https://docs.replit.com/updates/2026/03/13/changelog

  • AlphaSignal (2026). Replit Agent 4 द्वारा 90% मर्ज कॉन्फ्लिक्ट्स को स्वचालित रूप से हल करने की विस्तृत रिपोर्ट। उद्योग रिपोर्ट। https://alphasignal.ai/news/replit-s-agent-4-resolves-90-of-team-merge-conflicts-automatically

  • Atal Upadhyay (2026-03-19). Replit ने उसी हफ़्ते $400M सीरीज़ D राउंड की घोषणा की, वैल्यूएशन $9 बिलियन (छह महीनों में 3 गुना वृद्धि)। उद्योग रिपोर्टों का संकलन। https://atalupadhyay.wordpress.com/2026/03/19/replit-agent-4-replit-just-changed-everything

  • Cybernews (2026-08-01 अपडेट) / The Register (2025-07-28) / segmentationf4u1t (GitHub प्राथमिक शोध)। Trae टेलीमेट्री बंद करने के बाद भी बाइटडांस सर्वरों को हार्डवेयर/डिवाइस ID और प्रोजेक्ट गतिविधि डेटा भेजता रहता है; एक बैच में डेटा 53,606 बाइट्स तक पहुँच सकता है; 7 मिनट में 500+ कॉल्स लगभग 26 MB डेटा ट्रांसफर करती हैं; बाइटडांस ने आधिकारिक रूप से स्वीकार किया कि टॉगल केवल VS Code फ्रेमवर्क वाले हिस्से को नियंत्रित करता है; प्राइवेसी मोड लगभग अगस्त 2026 में जारी होने की योजना है; Trae ने फरवरी 2026 में “हमेशा के लिए मुफ्त” मॉडल हटाकर टोकन-आधारित पेवॉल लागू कर दिया। प्रथम-स्तरीय सुरक्षा शोध + उद्योग रिपोर्टिंग + विक्रेता का आधिकारिक बयान। https://cybernews.com/security/bytedance-ai-coding-tool-trae-data-collection 、https://www.theregister.com/software/2025/07/28/bytedance-ai-ide-trae-telemetry-continues-even-after-opt-out/ 、https://github.com/segmentationf4u1t/trae_telemetry_research

  • OpenAI Tools Hub / Jim Liu (2026-05-18). Trae ने 12 महीनों में 6M रजिस्ट्रेशन / 1.6M मासिक सक्रिय उपयोगकर्ता / कुल 100B लाइनें कोड जनरेट कीं; फरवरी में टोकन पेवॉल ने “फॉरएवर फ्री” मॉडल खत्म कर दिया। व्यापक शोध (विश्लेषक दृष्टिकोण)।

  • Gartner (Process Excellence Network, 2025-08-27 / DevOpsDigest / UC Today से उद्धृत). 2026 के अंत तक 40% एंटरप्राइज़ ऐप्स में टास्क-विशिष्ट AI एजेंट एम्बेड होंगे (2025 में 5% से कम); 2035 तक एजेंटिक AI एंटरप्राइज़ सॉफ़्टवेयर बाज़ार का लगभग 30% ($4500 बिलियन) हिस्सा होगा। आधिकारिक पूर्वानुमान दस्तावेज़। https://www.processexcellencenetwork.com/ai/news/gartner-40-percent-of-enterprise-apps-will-feature-task-specific-ai-agents-by-2026

  • Gartner (RapidClaw / Hendricks.ai / Arion Research, 2025-2026 से उद्धृत)। 2024 Q1 से 2025 Q2 के बीच, multi-agent सिस्टम के लिए उद्यमों की पूछताछ में 1445% की वृद्धि हुई — Gartner AI advisory व्यवसाय में यह सबसे तेज़ी से बढ़ने वाला विषय है। प्राथमिक शोध/उद्धरण।

  • Microsoft (FY26 समीक्षा ब्लॉग, 2026-07-28)। EY ने Copilot को 150,000 कर्मचारियों के लिए तैनात किया, 15% उत्पादकता लाभ प्राप्त किया, और इसे 400,000 वैश्विक कर्मचारियों तक विस्तारित कर रहा है; Atos ने Copilot को 54 देशों के 56,000 कर्मचारियों के लिए तैनात किया और एकीकृत नियंत्रण सतह के तहत 19,000 AI एजेंट्स का प्रबंधन कर रहा है। प्रत्यक्ष विक्रेता + ग्राहक बयान (विक्रेता + एकीकरणकर्ता दृष्टिकोण)। https://blogs.microsoft.com/blog/2026/07/28/looking-back-on-microsofts-fy26-from-ai-experimentation-to-frontier-transformation

  • Atos Group (2026-06-09 आधिकारिक समाचार). Atos ने Microsoft के साथ अपने सहयोग का विस्तार करते हुए 56,000 कर्मचारियों के लिए Copilot E7 (Frontier Suite) तैनात किया है, तथा Entra/Defender/Intune/Purview/Agent 365 कंट्रोल प्लेन को एकीकृत कर 19,000 एजेंट्स का संचालन कर रहा है। कंपनी का स्वयं का बयान। https://www.atosgroup.com/en/press/atos-group-and-microsoft-expand-strategic-collaboration-scale-secure-agentic-ai-across-atos

  • UpGuard / Cybersecurity Dive (2025). 80% से अधिक कर्मचारी और लगभग 90% सुरक्षा प्रमुख बिना अनुमति वाले AI टूल्स का उपयोग करते हैं; लगभग आधे कर्मचारियों ने गोपनीय डेटा को इन टूल्स में पेस्ट किया है (Mimecast, Teramind के समान रिपोर्ट्स भी इसी ओर इशारा करती हैं, जिससे आपसी पुष्टि होती है)। प्राथमिक शोध + उद्योग रिपोर्टिंग। https://www.cybersecuritydive.com/news/shadow-ai-employee-trust-upguard/805280/

  • Gartner (The Hacker News, 2026-5 से उद्धृत). 69% संगठनों को संदेह है या पुष्टि है कि कर्मचारी प्रतिबंधित AI टूल्स का उपयोग कर रहे हैं; केवल 37% के पास AI उपयोग के लिए दिशानिर्देश हैं। उद्योग रिपोर्टिंग से उद्धृत।

  • CodeRabbit (2026-02 DORA संयुक्त वेबिनार + Kunal Ganglani 2026-06 तुलनात्मक मूल्यांकन). AI-सहायता प्राप्त कोड जनरेशन में समस्याओं की संख्या (तार्किक और सहीता बग सहित) पारंपरिक मैन्युअल कोडिंग की तुलना में लगभग 1.7 गुना अधिक है; CodeRabbit GitHub/GitLab पर सबसे अधिक इंस्टॉल किया जाने वाला AI कोड समीक्षा टूल है, जिसके 15,000+ भुगतान करने वाले ग्राहक हैं और 6 मिलियन रिपॉजिटरी की समीक्षा कर चुका है; NVIDIA CEO Jensen Huang ने सार्वजनिक रूप से इसका समर्थन किया है। प्राथमिक शोध / विक्रेता डेटा / उद्योग तुलनात्मक मूल्यांकन। https://www.coderabbit.ai/blog/state-of-ai-vs-human-code-generation-report

  • Veracode (2025 GenAI Code Security Report). लगभग 45% AI-जनित कोड नमूनों में OWASP Top 10 कमज़ोरियाँ पाई गईं (Java में जनित कोड की विफलता दर 70% से अधिक)। प्राथमिक शोध। https://www.veracode.com/blog/genai-code-security-report/ (नोट: मूल पांडुलिपि में इस “45%” को गलती से “शैडो AI अपनाने की दर” समझ लिया गया था, जो दिशा-भ्रम था—अब सुधारा गया है—45% AI-जनित कोड की दोष दर को दर्शाता है, न कि टूल अपनाने की दर; शैडो AI अपनाने की दर के लिए UpGuard का 80%+ आँकड़ा देखें।)

  • arXiv:2510.26103. Security Vulnerabilities in AI-Generated Code: A Large-Scale Analysis of Public GitHub Repositories. (AI-जनित कोड में सुरक्षा कमज़ोरियों पर प्रत्यक्ष अनुभवजन्य शोध)

डेटा स्कोप नोट: इस लेख के सभी मात्रात्मक डेटा स्रोतों के साथ चिह्नित हैं; कुछ आंकड़े जो विक्रेताओं द्वारा सार्वजनिक रूप से खुलासा नहीं किए गए हैं या स्वतंत्र रूप से सत्यापित नहीं किए गए हैं (जैसे Lovable की $12B नई फंडिंग राउंड अभी बातचीत में है, Atos के 19,000 एजेंटों की सटीक गणना का समय) को कम महत्व दिया गया है। ग्राहक केस स्टडीज़ को अनामित किया गया है (ई-कॉमर्स ऑपरेशन टीम, दूरसंचार ऑपरेटर की शहर शाखा मार्केटिंग सेंटर, आदि), स्रोत वास्तविक परिदृश्य हैं जो मैंने डिलीवरी के दौरान देखे, किसी विशिष्ट कंपनी की ओर इशारा नहीं करते। नियामक आवश्यकताएं (डेटा ट्रांसबाउंड्री, डेंगबाओ (स्तरीय सुरक्षा मूल्यांकन), एल्गोरिदम फाइलिंग) वर्तमान कानूनों पर आधारित हैं; विशिष्ट आवेदन व्यवसाय और डेटा प्रकार के अनुसार भिन्न होता है। कार्यान्वयन से पहले कृपया कानूनी/अनुपालन सलाह लें।

[^1]: DPDP Act 2023 (Digital Personal Data Protection Act) Sec. 16 — क्रॉस-बॉर्डर ट्रांसफर के लिए केंद्र सरकार की अनुमति आवश्यक; DPDP Rules 2025 — अधिसूचित कार्यान्वयन नियम (DPB - Data Protection Board की स्थापना 2025 में)। Aadhaar डेटा (UIDAI Aadhaar Act 2016 + Subsequent Amendments) के लिए पूर्ण लोकलाइज़ेशन अनिवार्य — Aadhaar डेटा भारत से बाहर स्टोर या प्रोसेस नहीं किया जा सकता। UPI / NPCI डेटा के लिए भी भारत में रहना अनिवार्य है। CERT-In Directions 2022 (under IT Act 2000 Sec. 70B(6)) — साइबर सुरक्षा घटनाओं की 6 घंटे में रिपोर्टिंग अनिवार्य; ऑडिट लॉग्स का 180 दिन तक संरक्षण।
[^2]: भारत में एकल अनिवार्य स्तर-संरक्षण (MLPS / 等保) जैसी योजना नहीं है; इसके बजाय क्षेत्र-विशिष्ट नियामक ढाँचा है: RBI Cyber Security Framework 2016 (बैंकिंग/पेमेंट सिस्टम के लिए अनिवार्य साइबर ऑडिट), NCIIPC (National Critical Information Infrastructure Protection Centre) क्रिटिकल सेक्टर गाइडलाइंस (बैंकिंग, टेलीकॉम, पावर, ट्रांसपोर्ट, सरकार), SEBI CSCRF (Cyber Security & Cyber Resilience Framework) 2024 (मार्केट इंटरमीडियरीज़), IRDAI Information & Cyber Security Guidelines 2023 (बीमा), CERT-In Directions 2022 (IT Act 2000 Sec. 70B(6) के तहत)। ISO 27001 / SOC 2 अक्सर क्रॉस-सेक्टर बेसलाइन फ्रेमवर्क के रूप में अपनाया जाता है।

[^3]: भारत में अनिवार्य एल्गोरिदम पंजीकरण की केंद्रीय व्यवस्था अभी नहीं है; मौजूदा आंशिक ढाँचा: ① MeitY IT Rules 2021 (Information Technology (Intermediary Guidelines and Digital Media Ethics Code) Rules, 2021) — सोशल मीडिया इंटरमीडियरीज़ और AI-जनित कंटेंट के लिए नोटिफ़िकेशन आवश्यक; ② DPDP Act 2023 Sec. 8(1) — डेटा सब्जेक्ट को “Automated decision-making” के तहत समीक्षा / चुनौती का अधिकार (विशेष रूप से प्रोफ़ाइलिंग और ऑटोमेटेड क्रेडिट स्कोरिंग के लिए मैन्युअल रिव्यू रास्ता खुला रखना होगा); ③ Digital India Act (मसौदा स्थिति में, MeitY के अधीन) — EU AI Act जैसी रिस्क-बेस्ड कैटेगराइज़ेशन का संभावित भविष्य का ढाँचा। क्षेत्र-विशिष्ट: RBI Digital Lending Guidelines 2022 (Fintech AI पर), SEBI AI/ML Circular 2024 (ब्रोकरेज रेकमेंडेशन इंजन पर)। ऐप जनरेटर द्वारा उत्पन्न कोड स्वयं इन त्रिगर नहीं करता, लेकिन यदि जनरेट किया गया ऐप बाहरी रूप से जनरेटिव AI सेवा प्रदान करता है या एल्गोरिदम रेकमेंडेशन / ऑटोमेटेड डिसीजन-मेकिंग कार्यक्षमता रखता है, तो संबंधित धाराओं के अनुसार निपटा जाएगा।

[^4]: परिवर्तन प्रबंधन के सामान्य ढांचे के लिए ITIL 4 Change Enablement देखें; भारतीय क्षेत्र-विशिष्ट संदर्भ: RBI Outsourcing of IT Services Directions (2022) — मैटीरियल आउटसोर्सिंग के लिए RBI की पूर्व सूचना अनिवार्य; RBI Cyber Security Framework 2016 — सभी क्रिटिकल बैंकिंग सिस्टम में परिवर्तन प्रबंधन प्रक्रिया अनिवार्य; SEBI CSCRF 2024 — स्टॉक ब्रोकर्स / म्यूचुअल फंड्स के लिए साइबर रेज़िलिएंस फ्रेमवर्क; IRDAI Information & Cyber Security Guidelines 2023 — बीमा क्षेत्र के लिए।

[^5]: लेन-देन रिकॉर्ड संरक्षण: RBI Payment and Settlement Systems Act 2007 + RBI Digital Lending Guidelines 2022 — ऑडिट ट्रेल कम से कम 5 वर्ष रखना अनिवार्य (वित्तीय / पेमेंट सिस्टम के लिए)। CERT-In Directions 2022 — साइबर घटनाओं की ऑडिट लॉग्स कम से कम 180 दिन (6 महीने) रखनी होती हैं। DPDP Act 2023 Sec. 8(7) — डेटा प्रोसेसर की रिकॉर्ड-कीपिंग ज़िम्मेदारी; व्यक्तिगत डेटा की प्रोसेसिंग ख़त्म होने पर समयबद्ध डिलीशन / रेक्ट्रैक्शन आवश्यक। IT Act 2000 Sec. 65/66 — कंप्यूटर-संबंधित अपराध (डेटा छेड़छाड़ / चोरी) के दायरे में; ऐसे घटनाओं की ऑडिट ट्रेल सबूत के रूप में काम आती है।