ChatGPT ve benzeri sohbet robotları üzerinden gizli verilerin sızdığı en çok bilinen olaylarda veriler üç yoldan biriyle dışarı çıktı: biri verileri yapıştırdı, bir kopya kullanıcının unuttuğu bir yerde saklandı ya da bir paylaşım özelliği verileri herkese açık hâle getirdi. Sağlayıcı tarafındaki bir yazılım hatası daha nadir görülen dördüncü yoldur. Her yolun kendine özgü bir önleme alışkanlığı vardır; aşağıdaki olaylar da hangisinin işe yaradığını gösteriyor.
İnsanlar gizli materyalleri yapıştırdı
Samsung, 2023. Mart 2023'te Samsung'un yarı iletken bölümündeki mühendisler, üç ayrı durumda şirket verilerini ChatGPT'e girdi, Economist Korea'nın haberine göreCIO Dive'ın aktardığı üzere. Mühendislerden biri ölçüm veritabanı programındaki hatalı kaynak kodunu yapıştırıp düzeltme istedi. Bir diğeri, arızalı ekipmanı tanımlamak için kullanılan kodu yapıştırıp iyileştirilmesini istedi. Üçüncüsü ise bir toplantı kaydını metne dönüştürüp ChatGPT'den toplantı tutanağını hazırlamasını istedi. Habere göre Samsung daha sonra her istemi 1.024 baytla sınırladı.
2 Mayıs 2023'te Samsung, CNBC'ye doğruladı şirket bilgisayarlarında üretken yapay zekâ kullanımını geçici olarak kısıtladığını. Bloomberg politikanın duyurulduğu kurum içi notu haberleştirmişti.
Kimse bir sisteme izinsiz girmedi. Çalışanlar verileri şirket dışındaki bir hizmete gönderdi; verilerin dışarı çıkması için bu yeterliydi.
CISA'nın vekil başkanı, 2025. 27 Ocak 2026'da Politico haber yaptıABD İç Güvenlik Bakanlığı'ndan dört yetkiliye dayandırdığı haberinde, ABD Siber Güvenlik ve Altyapı Güvenliği Ajansı'nın vekil direktörü Madhu Gottumukkala'nın 2025 yazında "yalnızca resmî kullanım içindir" ibareli sözleşme belgelerini ChatGPT'in herkese açık sürümüne yüklediğini bildirdi. Habere göre dosyaların hiçbiri gizlilik dereceli değildi. Yüklemeler otomatik güvenlik uyarılarını tetikledi. Uygulamanın diğer İç Güvenlik Bakanlığı çalışanlarına kapalı olduğu dönemde kendisine ChatGPT'i kullanma istisnası tanınmıştı.
Buradan çıkarılacak ders Samsung'dakiyle aynı. Bir belgenin üzerindeki ibare, kimsenin belgeyi yapıştırmasını engellemez. Bunu engelleyen, hangi aracın hangi veriyi alabileceğine ilişkin bir kural ve yapıştırmadan önce kontrol etme alışkanlığıdır.
Bir hata, bir kullanıcının verilerini başka bir kullanıcıya gösterdi
20 Mart 2023'te OpenAI, ChatGPT'i çevrimdışı duruma getirdi. Şirketin olay sonrası raporundabelirttiğine göre açık kaynaklı bir kütüphane olan redis-py'deki bir hata, bazı kullanıcıların diğer aktif kullanıcıların sohbet başlıklarını görmesine yol açmıştı. Yeni bir konuşmadaki ilk mesaj da başka bir kullanıcının geçmişinde görünmüş olabilirdi.
Aynı hata, dokuz saatlik bir zaman aralığında etkin olan ChatGPT Plus abonelerinin %1,2'sinin ödeme bilgilerini açığa çıkarmış olabilir: ad, e-posta adresi, ödeme adresi, kart türü, kart numarasının son dört hanesi ve son kullanma tarihi. OpenAI, kart numaralarının tamamının hiçbir zaman açığa çıkmadığını söyledi.
On gün sonra İtalya'nın veri koruma kurumu Garante, geçici bir kısıtlama kararı verdi OpenAI'ın İtalyan kullanıcıların verilerini işlemesine ilişkin. Kurum, veri ihlalini, kullanıcılara yeterli bilgi verilmemesini, kişisel verilerin model eğitiminde kullanılması için yasal dayanak bulunmamasını ve yaş denetimi yapılmamasını gerekçe gösterdi. Garante, Aralık 2024'te OpenAI'a 15 milyon avro para cezası verdi, diğer hususların yanı sıra, OpenAI'ın Mart 2023'teki veri ihlalini kendisine bildirmediği sonucuna vardı. Garante'nin aynı sayfaya eklediği nota göre Roma Mahkemesi, 18 Mart 2026'da yayımlanan kararıyla OpenAI'ın bu karara yaptığı itirazı kabul etti.
Bu listedeki, kullanıcının yanlış bir şey yapmadığı tek olay budur. Bu tür bir hatayı kendi tarafınızdan önleyemezsiniz. Böyle bir hata meydana geldiğinde sohbetlerinizde nelerin bulunduğuna karar verebilirsiniz, hepsi bu.
Paylaşılan sohbetler Google'da göründü
ChatGPT, bir konuşmaya bağlantı oluşturup bunu başka birine göndermenize olanak tanıyor. Paylaşım penceresinde bir süre "Bu sohbetin arama motorları tarafından bulunmasını sağla" adlı bir onay kutusu da vardı; bu kutu, arama motorlarının sohbeti dizine eklemesine izin veriyordu. 30 Temmuz 2025'te, Fast Company haber yaptı ve kişisel bilgiler içeren bazıları da dâhil olmak üzere binlerce paylaşılan ChatGPT konuşmasının Google arama sonuçlarında göründüğünü bildirdi.
Ertesi gün OpenAI'ın bilgi güvenliği müdürü Dane Stuckey X'te yazdı ve seçeneği kaldırdıklarını söyledi. Bunu, "insanların paylaşmayı amaçlamadıkları şeyleri yanlışlıkla paylaşmaları için fazlasıyla çok fırsat yaratan" kısa süreli bir deney olarak nitelendirdi. OpenAI'ın dizine eklenen içerikleri arama motorlarından kaldırmak için de çalıştığını belirtti. Özelliğin kullanımı isteğe bağlıydı; TechCrunch'ın da belirttiği gibi: sohbet ancak kullanıcı bir bağlantı oluşturup kutuyu işaretlediğinde herkese açık oluyordu.
Etkilenen her kullanıcı kutuyu işaretlemişti. Ancak paylaşım bağlantısı, sohbetin herkese açık bir kopyasıdır; bağlantı oluştururken insanlar bunu böyle düşünmemişti.
Saklanan sohbetler kanıta dönüştü
The New York Times v. OpenAI, 2025. 13 Mayıs 2025'te, The New York Times ve diğer haber kuruluşlarının açtığı telif hakkı davasında ABD Sulh Hâkimi Ona Wang, normalde silinecek çıktı günlük verilerinin OpenAI tarafından saklanmasına hükmetti. OpenAI'ın açıkladığı üzerebu karar, Free, Plus, Pro ve Team kullanıcılarının silinmiş ChatGPT sohbetlerini ve normalde 30 gün içinde sistemlerinden kaldırılan API verilerini kapsıyordu. ChatGPT Enterprise, ChatGPT Edu ve Sıfır Veri Saklama özelliğine sahip API müşterileri kapsam dışındaydı.
Saklama yükümlülüğü 26 Eylül 2025'te, mahkemenin 9 Ekim'de onayladığı anlaşma uyarıncasona erdi. Avrupa Ekonomik Alanı'ndan gelenler hariç, daha önce saklanmış günlükler saklanmaya devam etti. OpenAI, davacıların talebi üzerine Nisan-Eylül 2025 dönemine ait sınırlı verileri hâlâ sakladığını söylüyor. Ayrıca mahkeme, OpenAI'ın kimlik bilgileri kaldırılmış 20 milyon tüketici ChatGPT günlüğünden oluşan bir örneği davacılara vermesine hükmetti; Hâkim Sidney Stein bu kararı onayladı 5 Ocak 2026'da.
Bu sohbetler yayımlanmadı. Yine de kullanıcının sildiği bir sohbet, kullanıcının tarafı olmadığı bir dava nedeniyle aylarca saklandı. "Sil" işlemi, sağlayıcının olağan politikasını ifade eder; mahkeme bu politikayı askıya alabilir.
United States v. Heppner, 2026. Bu olay ChatGPT'i değil Claude'u ilgilendiriyordu, ancak gerekçeler herhangi bir tüketici sohbet robotu için geçerlidir. Federal bir ceza davasındaki sanık, savunması için raporlar hazırlamak üzere Claude'un tüketici sürümünü kullanmış ve daha sonra bu raporları avukatlarıyla paylaşmıştı. 17 Şubat 2026'da New York Güney Bölgesi Hâkimi Jed Rakoff, yazılı olarak açıkladı bu belgelerin neden ne avukat-müvekkil gizliliği ne de avukatın çalışma ürünü doktrini kapsamında korunduğunu. Claude bir avukat değildir. Anthropic'in gizlilik politikası, devlet makamları da dâhil üçüncü taraflara veri açıklanmasına izin verdiği için sohbetler gizli değildi. Ayrıca sanığın avukatları, kendisine bu aracı kullanmasını söylememişti.
Mahkeme bunu ilk kez ele alınan bir mesele olarak nitelendirdi. Bu, tek bir ülkedeki tek bir bölge mahkemesinin kararıdır; başka mahkemeler farklı değerlendirmelerde bulunabilir. Müşterilere danışmanlık veriyorsanız veya mesleki gizlilik kapsamında çalışıyorsanız, bunun uygulamanız açısından ne anlama geldiğini kendi yetki alanınızda bir avukata sorun.
Altı olayın tümü tek tabloda
| Olay | Açığa çıkanlar | Mekanizma | Ders |
|---|---|---|---|
| Samsung, Mart 2023 | Kaynak kodu, toplantı dökümü | İnsanlar gönderdi | Yapıştırmak, göndermektir |
| CISA vekil direktörü, 2025 yazı | "Yalnızca resmî kullanım içindir" ibareli belgeler | İnsanlar gönderdi | Bir ibare yapıştırmayı engellemez; araç kullanımına ilişkin bir kural engeller |
| ChatGPT kesintisi, Mart 2023 | Diğer kullanıcıların sohbet başlıkları, bazı Plus ödemelerine ait bilgiler | Sağlayıcı kaynaklı hata | Gönderdiğiniz şey, bir hatanın açığa çıkarabileceği şeydir |
| Aramada bulunabilir paylaşılan sohbetler, Temmuz 2025 | Kullanıcıların paylaştığı konuşmalar | Paylaşım özelliği | Paylaşım bağlantısı, herkese açık bir kopyadır |
| NYT v. OpenAI, Mayıs-Eylül 2025 | Silinmiş sohbetler saklandı, kimlik bilgileri kaldırılmış bir örnek teslim edildi | Saklama | Silme bir politikadır; mahkeme bu politikayı duraklatabilir |
| US v. Heppner, Şubat 2026 | Sanığın sohbetleri savcıların erişimine açıldı | Saklama | Tüketici yapay zekâ sohbetleri mesleki gizlilik kapsamında olmayabilir |
Örüntü ve her aşama için bir alışkanlık
Listedeki olaylardan yalnızca biri bir hatadan kaynaklandı. Diğerleri, insanların ne gönderdiğine, kopyaların nerede saklandığına ve neleri paylaştığına bağlıydı.
Saklama: ayarlarınızı ve planınızı öğrenin. Sohbetlerinizin model eğitiminde kullanılıp kullanılmadığını, geçmişin ne kadar süre saklandığını ve silme işleminin ne yaptığını kontrol edin. NYT kararında iş planlarının ve sıfır saklamalı API kullanımının tüketici hesaplarından farklı değerlendirildiğini unutmayın. Kılavuzumuz ChatGPT, Claude ve Gemini'deki veri ayarları Ekim 2026 itibarıyla her ayarın nerede olduğunu açıklar.
Paylaşım: bir paylaşım bağlantısını yayımlamak olarak değerlendirin. Bağlantı oluşturmadan önce sohbeti bir yabancı okuyacakmış gibi gözden geçirin. Artık ihtiyacınız olmayan bağlantıları silin.
Gönderme: tanımlayıcı verileri yapıştırmayın. Bu alışkanlık, diğer üç yönteme karşı da koruma sağlar. İçinde müşteri adları, adresleri veya hesap numaraları bulunmayan bir sohbet; saklansa, paylaşılsa, mahkeme kararıyla istense ya da bir hata nedeniyle açığa çıksa bile çok daha az bilgi verir. Yapıştırmadan önce tanımlayıcı bilgileri yer tutucularla değiştirin, ardından yanıtınızda kendi bilgisayarınızda geri ekleyin. Sürecin tamamı şu kılavuzda anlatılıyor: Müşteri belgelerinde ChatGPT, Claude veya Gemini nasıl kullanılır?.
Değiştirme işlemini kendi bilgisayarınızda yapın. Çevrimiçi bir anonimleştirme aracı, orijinal belgeyi alan bir hizmet daha demektir. Bkz. yerel ve çevrimiçi karartma araçları bölümüne bakın.
ClientSafe bu işlemi bilgisayarınızda yapar. Adları, şirketleri, adresleri, telefon numaralarını, e-posta adreslerini, hesap ve kimlik numaralarını ve doğum tarihlerini bulup Person_1 ve Company_1 gibi yer tutucularla değiştirir. Listeyi gözden geçirir, kişisel veri olmayanların işaretini kaldırır ve aracın gözden kaçırdıklarını işaretlersiniz; ardından güvenli kopyayı sohbete yapıştırırsınız.
Sık sorulan sorular
ChatGPT'e hiç saldırı düzenlenip sohbetler çalındı mı?
Yukarıdaki olayların hiçbirinde sisteme izinsiz girilmedi. Buna en yakın olay, Mart 2023'teki hataydı; bu hata bazı kullanıcılara diğer kullanıcıların sohbet başlıklarını ve bazı ödeme bilgilerini gösterdi. Diğer olaylar, insanların gönderdiği, paylaştığı veya sakladığı verilerle ilgiliydi.
Bir sohbeti silersem tamamen yok olur mu?
Ekim 2026 itibarıyla, OpenAI yardım merkezi silinmiş bir sohbetin, OpenAI'ın güvenlik veya yasal nedenlerle daha uzun süre saklaması gerekmediği sürece 30 gün içinde kalıcı olarak silinmek üzere işleme alındığını söylüyor. NYT kararı, yasal istisnanın aynı anda milyonlarca kullanıcı için geçerli olabileceğini gösterdi.
İş planı sorunu çözer mi?
Koşulları değiştirir: OpenAI, iş verilerini varsayılan olarak model eğitiminde kullanmadığını, Enterprise planlarında ise yöneticilerin saklama süresini kontrol ettiğini söylüyor. Ancak gönderdiğiniz şeyi değiştirmez. Yapıştırdığınız veriler hâlâ sağlayıcıdadır ve mahkeme yine saklanmalarına hükmedebilir.
Yapay zekâyla yaptığım sohbetler bir davada kullanılabilir mi?
Kullanılabilir. NYT v. OpenAI davasında saklanan sohbetler kanıt olarak korundu ve örnekleme yoluyla incelendi. Heppner davasında ise sanığın yapay zekâ sohbetlerinin avukat-müvekkil gizliliği kapsamında olmadığına karar verildi. Aynı yaklaşımın sizin için geçerli olup olmayacağı ülkenize ve davanıza bağlıdır.
ClientSafe Müşteri adlarını, adreslerini, hesap numaralarını ve diğer tanımlayıcı bilgileri bilgisayarınızda yer tutucularla değiştirir ve gerçek adları yapay zekânın yanıtına geri ekler. Tespit kusursuz değildir; kopyalamadan önce listeyi gözden geçirin.