1. Kararın Arka Planı

Söz konusu karar, telif hakkı ihlali iddialarıyla açılan devasa bir dava kapsamında verildi. Yayıncılar, yapay zekâ modellerinin kendi içerikleri üzerinde eğitim aldığı iddiasıyla milyonlarca ChatGPT konuşmasını talep etti. Hâkim Wang ise OpenAI’nin tüm itirazlarına rağmen bu talebi kabul ederek veri setinin teslim edilmesine hükmetti.

Oysa ABD Federal Medeni Usul Kuralları (FRCP), keşif sürecinde “ilgili ve ölçülü” veri talebini zorunlu kılar. Bu talep, mahkemenin gaye dışı, milyonlarca kişiye ait ve büyük kısmı davayla ilgisiz içerikleri toplu hâlde istemesinin hukuki açıdan tartışmalı olduğunu gösteriyor.

OpenAI’nin itirazında özellikle şu noktalar vurgulandı:

• Üretilmesi istenen sohbetlerin ezici çoğunluğu davayla ilişkili değil,

• Kullanıcıların büyük bölümü davada taraf değil,

• İstenilen veri hacmi, gereklilik ve orantılılık ilkeleriyle bağdaşmıyor,

• Bu ölçekte bir veri setinin anonimize edilmesi fiilen mümkün değil.

Ancak mahkeme, mevcut koruma tedbirlerinin ve anonimleştirmenin yeterli olacağı kanaatine varmış görünüyor. Bu yaklaşım, modern veri yapısının özelliklerini ve yapay zekâ etkileşimlerinin doğasını yeterince dikkate almayan bir bakış açısını işaret ediyor.

2. Anonimleştirme Sorunu

Karara temel teşkil eden gerekçelerden biri, OpenAI'nin sohbetleri “exhaustive de-identification” yöntemiyle anonimize edebileceği varsayımıdır. Ne var ki, anonimleştirmenin hukuki ve teknik açıdan çok sınırlı bir koruma sağladığı artık bilinen bir gerçek.

Son yıllarda yapılan araştırmalar, bu riskin boyutunu net şekilde ortaya koydu:

• Techdirt analizi: 1.000 sızmış sohbet incelendi, içerisinde açık PII bulunan çok sayıda konuşma tespit edildi.

• Washington Post incelemesi: 47.000 sohbet kaydı içerisinde e-posta adresleri, telefon numaraları, şirket içi yazışmalar, mahrem kişisel bilgiler yer aldı.

ChatGPT sohbetleri, klasik bir veri tabanı değil; kullanıcıların kendi ifadeleriyle oluşturduğu bağlamsal veriler, yani bir kişinin kimliğini metne bakarak tespit etmeye olanak tanıyan “semantic fingerprint” niteliği taşıyor.

Bu nedenle, isimlerin silinmesi çoğu durumda hiçbir şey ifade etmiyor. İş pozisyonu, şirket adı, yaşanmış olaylar, spesifik hizmet bilgilerinin varlığı, bireyi kolaylıkla yeniden tanımlamaya imkân sağlıyor.

3. Mahremiyet, Kişisel Veri ve Kurumsal Sırların Tehlikeye Girmesi

Pratikte, kullanıcılar ChatGPT gibi sohbet tabanlı yapay zekâ araçlarıyla iletişim kurarken:

• Dava stratejilerini,

• İşten çıkarmalara ilişkin metinleri,

• Finansal tabloları,

• KVKK, GDPR veya MASAK süreçlerine dair iç bilgiler,

• Çalışan performansı, şirket içi ihtilaflar,

• Kişisel duygusal sorunlar

gibi hiçbir zaman e-postada veya resmi bir yazışmada paylaşmayacakları hassas içerikleri rahatlıkla ifade ediyor. Bunun nedeni, yapay zekâ araçlarının sohbet bazlı yapısı ve kullanıcıdaki “özel bir alan” algısıdır.

Gelinen noktada, bu algının hukuki bir karşılığı olmadığı net şekilde ortaya çıkmış durumda.

Bir başka ifadeyle:

Bugünden itibaren her yapay zekâ sohbeti, potansiyel olarak keşfe açık bir dijital iz hâline gelmiştir.

Şirket içi sırların, çalışan bilgilerinin veya finansal verilerin açıkça ortaya dökülmesi riski, özellikle çok uluslu şirketlerde ciddi sorumluluk doğurabilir.

4. Kurumsal Perspektif

Bu kararın kurumlar için doğrudan sonucu, AI kullanımının artık e-posta, mesajlaşma veya yazılı evrakla aynı risk seviyesinde değerlendirilmesi gerektiğidir. Hatta çoğu zaman daha yüksek bir risk taşır; çünkü yazılı evrakta bulunmayan duygusal veya kişisel yorumlar AI sohbetlerinde sıkça yer alır.

Bu nedenle şirketlerin şu adımları atması kaçınılmazdır:

a. AI politikalarını derhal gözden geçirmek

Hangi bilgilerin paylaşılabileceği, hangi konuların kesinlikle yasak olduğu, çalışanların hangi araçları kullanabileceği açıkça yazılmalıdır.

b. Eğitim ve farkındalık süreçleri oluşturmak

Çalışanlara "ChatGPT’yle yaptığınız her konuşma bir gün karşınıza çıkabilir" mesajı net şekilde verilmelidir.

c. Kapalı devre veya lokal modelleri değerlendirmek

Hukuki riskin minimize edilmesi için şirket içi modeller veya daha güçlü gizlilik prensiplerine sahip sistemler tercih edilmelidir.

d. AI etkileşimlerinin kaydedilmesi, saklanması ve erişimi konusunda prosedür belirlemek

AI sohbetlerinin hukuki olarak “iş kayıtları” niteliği kazanması mümkündür; bunun denetimi şirket sorumluluğudur.

5. 20. Yüzyıl Kuralları 21. Yüzyıl Teknolojisini Taşıyamıyor

Bu davadaki en dikkat çekici noktalardan biri, mahkemelerin yapay zekâ iletişimini hâlâ geleneksel dijital veri gibi değerlendirme eğilimidir. Oysa yapay zekâ, kullanıcıların davranışlarını ve kimliklerini metinsel izler üzerinden yeniden oluşturulabilir kıldığı için, klasik “anonimleştirme” veya “kısıtlı keşif” ilkeleri yeterli değildir.

Eğer bu karar kesinleşir ve emsal teşkil ederse, AI şirketlerine karşı açılan her dava, milyonlarca kişiye ait tüm konuşmaların istenmesine kapı aralayacaktır. Bu hem veri gizliliğini hem de şirketlerin ticari sırlarını doğrudan etkiler.