OpenAI Dinleme Vakası Sonrası Toplantı Odası Güvenlik Listesi

Vakada ne kesin, ne hâlâ iddia

ABD federal savcıları, OpenAI'da mühendis olarak çalışan 35 yaşındaki Abdulrahman Alfozan'ı bir cihazla sözlü iletişimi dinlemeye teşebbüs etmekle suçluyor. CBS News'ün aktardığına göre Alfozan 9 Ekim Cuma günü gözaltına alındı ve 13 Ekim Salı günü Kuzey Kaliforniya Federal Bölge Mahkemesi'ne ilk kez çıkarıldı. Savcılara göre Temmuz 2025'ten beri şirkette mühendis olarak çalışıyordu. OpenAI çalışanın işine son verildiğini açıkladı.

Adalet Bakanlığı'nın anlatımına göre ses kayıt cihazı, OpenAI'ın San Francisco'daki binalarından birinde bir yönetim toplantı odasında, televizyonun arkasındaki USB portuna takılı ve tuvalet kâğıdına sarılmış hâlde bulundu. Cihazın yaklaşık 28 Eylül'de yerleştirildiği, 30 Eylül civarında fark edildiği belirtiliyor (NBC News). San Francisco Chronicle cihazı şifreli bir kayıt cihazı olarak tanımlıyor.

Bunun ötesindeki ayrıntıların çoğu savcılığın ya da OpenAI'ın iddiası. Savcılar Alfozan'ın binalar, toplantı odaları, takvimler, yöneticilerin konumları ve dış ortaklar hakkında araştırma yaptığını ileri sürüyor; OpenAI ise hassas alanlara ek kayıt cihazları yerleştirmeyi planladığına dair kanıtı olduğunu söylüyor (Fox Business). Aynı habere göre FBI Direktörü Kash Patel, X'te cihazın şirketin süper zekâ teknolojisine dair hassas konuşmaları gizlice kaydetmek için yerleştirildiğini iddia etti.

Alfozan'ın avukatı William Pernik ise müvekkilinin masumiyet karinesinden yararlandığını, bu kadar erken sonuç çıkarılmaması ve davanın milliyet gibi etkenler üzerinden siyasallaştırılmaması gerektiğini söylüyor (CBS News). Bu yazı kişi hakkında hüküm vermiyor. Bizi ilgilendiren, bir televizyonun arkasındaki USB portunun şirketin en hassas konuşmalarına açılan kapı olabilmesi.

Kartı olan biri ve kimsenin izlemediği kameralar

Şikâyet metnine göre güvenlik kameraları Alfozan'ı, cihaz bulunmadan önceki ay içinde yaklaşık bir düzine kez toplantı odasının yakınında gösteriyor; oysa odaya girme ya da oradaki toplantılara katılma yetkisi yoktu (WSLS). Savcılar ayrıca görüntülerde odaya girip cihazın saklandığı televizyonun arkasına bakıyor gibi göründüğünü ileri sürüyor (Fox Business).

Kamuya açık bilgilerden anlaşıldığı kadarıyla bu görüntüler şikâyete cihaz bulunduktan sonra yapılan incelemeyle girmiş görünüyor; ancak kayıtların ne zaman ve nasıl incelendiğini kaynaklar söylemiyor. Bu bir çıkarım, kesin bilgi değil. Yine de çoğu şirket için ders aynı: kamera kendi başına bir önleme aracı değildir. Yetkisiz birinin aynı kapının önünden defalarca geçmesi, kimse düzenli olarak bakmıyorsa hiçbir uyarı üretmez.

OpenAI sözcüsü, şirketin cihazı anlamak ve kaynağını izlemek için kendi modellerini kullandığını, bunun birkaç gün önce cihazı yerleştiren belirli bir çalışana işaret ettiğini ve konunun FBI'a aktarıldığını söylüyor (ABC7 San Francisco). İK odaklı yayın HCAMag ise vakayı, insan kaynakları yöneticileri için iş yeri güvenliği ve erişim kontrolü konusunda zor sorular doğuran bir örnek olarak ele aldı. Bence doğru çerçeve bu: mesele teknoloji kadar, kimin hangi odaya neden girebildiği meselesi.

Fiziksel kontrol: ekranın arkasına kim bakıyor?

Adalet Bakanlığı'na göre o odadaki toplantılarda sık sık 'son derece gizli' ve kamuya açık olmayan bilgiler konuşuluyordu (NBC News). Çoğu şirkette yönetim odası tam da böyle bir yerdir, ama temizlik ekibi dışında kimse ekranın arkasına bakmaz. Fiziksel kontrolün ilk adımı odayı bir envanter gibi görmek: içeride ne olması gerektiğini bilmiyorsanız fazladan olanı da fark edemezsiniz.

Pratik yöntem şu: odanın boş hâlini her açıdan fotoğraflayın, takılı her kablonun ve cihazın listesini çıkarın, bu listeyi kurul sekreterliği ile BT ortak tutsun. Üst kademe toplantılardan önce yapılan görsel kontrol bu fotoğraflarla karşılaştırma yapmaktan ibaret olur ve beş on dakikadan uzun sürmemeli. Birleşme görüşmesi ya da hassas bir yeniden yapılanma gibi istisnai durumlarda dışarıdan uzman tarama hizmeti almayı ayrıca değerlendirebilirsiniz.

Görsel kontrolde aynı kişinin aynı sırayla bakması önemli. Rutin oturduğunda değişiklik çok daha kolay göze çarpar.

• Ekranların ve televizyonların arkasındaki USB ve HDMI portları: takılı her şeyin listede bir karşılığı var mı
• Masa altları, sandalye altları ve kablo kanalları
• Prizler, uzatma kabloları, şarj istasyonları ve çoklu adaptörler
• Konferans telefonu, kamera ve hoparlör sistemleri: son kontrolden beri değişen var mı
• Odaya sonradan bırakılmış hediye, dekor ya da 'geçici' ekipman
• Tavan panelleri ve havalandırma kapakları: yerinden oynamış görünen bir şey var mı

Cihaz politikası: yasaktan çok düzen

Savcılara göre OpenAI güvenliği aynı gün benzer ikinci bir cihaz buldu (Fox Business); SF Standard ise savcıların bir cihazın odaya yerleştirildiğini, bir diğerinin çantasında gözetimsiz bırakıldığını söylediğini aktarıyor (SF Standard). Bu iki anlatımın aynı cihazı mı kastettiği kaynaklarda net değil. Ama pratik soru net: odanın sabit ekipmanı kadar, binaya girip çıkan taşınabilir cihazlar da politikanızın konusu mu?

Tam telefon yasağı kâğıt üzerinde güçlü görünür, uygulamada çoğu zaman ilk acil aramada çöker. Daha işe yarayan yol toplantıları sınıflandırmak. Sıradan haftalık toplantıda telefonlar masada kalabilir; yalnızca en üst kategorideki toplantılarda kapının yanında kilitli bir kutu kullanılır. Kuralın kime ve ne zaman uygulandığı açıksa insanlar ona uyar.

Odanın kendi ekipmanı için de basit adımlar var. Kullanılmayan USB portlarını fiziksel kapakla kapatmak, ekranlara yalnızca BT'nin yönettiği sunum cihazlarını bağlamak ve odaya giren her yeni ekipmanı envantere işlemek ucuz önlemler. Bu vakada cihazın bir televizyonun USB portuna takılı olduğu bildiriliyor; o port kapalı ve listede izlenen bir nokta olsaydı iş en azından zorlaşırdı.

Kayıt kuralı: herkes bilsin, kimse sürpriz yaşamasın

Gizli dinleme ile şirketin kendi meşru toplantı kaydı arasındaki çizgi çok net olmalı. Kayıt yapılan bir toplantıda bunu davette yazın, toplantının başında sesli söyleyin ve kaydın neden tutulduğunu açıklayın. Bu alışkanlık yerleştiğinde, kimsenin haberi olmayan bir kaydın varlığı da daha kolay garip karşılanır.

Hangi bilgilendirmenin ve hangi hukuki dayanağın gerektiği, katılımcılara ve uygulanacak mevzuata göre değişir; Türkiye'deki toplantılarda KVKK, yurt dışından katılımcı varsa başka düzenlemeler de gündeme gelebilir. Bunu bir blog yazısından değil, hukuk biriminizden ya da veri koruma danışmanınızdan netleştirin ve sonucu yazılı bir prosedüre dönüştürün. Davet şablonuna eklenecek standart bir bilgilendirme cümlesi, işin yarısını çözer.

Bir de kayıt yapılmayacak toplantılar listesi tutun. Bir yöneticinin performans görüşmesi ya da henüz kesinleşmemiş bir yeniden yapılanma planı gibi konuşmalar kayda hiç alınmamalı. Her şeyi kaydetmek, her şeyi korumak zorunda kalmak demektir.

Transkript için sağlayıcıya sorulacak sorular

OpenAI vakası fiziksel bir cihazla ilgili, bir transkripsiyon aracıyla değil. Bağlantı şu: bir toplantının içeriği odadaki gizli bir cihazla dışarı çıkabildiği gibi, şirketin kendi ürettiği ses kaydı, transkript ve özet dosyalarıyla da çıkabilir. Yapay zekâ destekli kayıt araçları yönetim odalarına girdikçe her toplantı birden fazla kopya üretiyor ve her kopya ayrı bir sorumluluk.

Bulut ile şirket içi kurulum arasındaki seçimi genel bir kuralla değil, sağlayıcıdan aldığınız yazılı cevaplarla yapın. Aşağıdaki soruları bir tedarikçi değerlendirme formuna koyup BT ve hukuk birimine birlikte değerlendirtmek iyi bir başlangıç.

• Ses ve metin hangi ülkede, hangi altyapıda işleniyor ve saklanıyor?
• Sağlayıcının çalışanları kayıtlara erişebiliyor mu, erişim kayıt altına alınıyor mu?
• Ses dosyası ve transkript ne kadar süre tutuluyor, silme talebi nasıl doğrulanıyor?
• Kayıtlar model eğitimi için kullanılıyor mu, bu ayar kapatılabiliyor mu?
• Özet çıkarma için içerik üçüncü taraf bir dil modeline gönderiliyor mu?
• Verinin şirket altyapısından hiç çıkmadığı bir kurulum seçeneği var mı, varsa bakım ve güncelleme kimde?

Kim, ne zaman, ne yapacak

Kontrol listesi sorumlusu ve sıklığı yazılmadıkça birkaç ay içinde unutulur. Aşağıdaki dağılım orta ölçekli bir şirket için önerimiz; birimlerin adı sizde farklı olabilir, önemli olan her maddenin tek bir sahibi olması. Sıklıklar bir başlangıç noktası, kaynaklı bir standart değil.

Bu düzen her toplantı için gerekli değil. Gizli bilgi taşımayan, geniş katılımlı toplantılara uygulanırsa gereksiz bürokrasi yaratır ve insanlar kuralı delmenin yolunu bulur. Önce gerçekten hassas iki üç toplantı türünü ve bunların yapıldığı odaları seçin.

• Kurul sekreterliği: her üst kademe toplantıdan önce referans fotoğraflarla görsel kontrol; kontrolü yapan kişi ve saat kısa bir deftere işlenir
• Kurul sekreterliği: davetlerde kayıt bilgilendirmesi ve en üst kategoride telefon kutusu uygulaması
• BT: ayda bir oda ekipman envanterini fotoğraflarla karşılaştırma; boş portların kapalı olduğunun teyidi
• BT: odaya giren her yeni cihazın envantere işlenmesi, yönetilmeyen cihazların ekranlara bağlanmaması
• İdari işler veya güvenlik: üç ayda bir oda kart giriş kayıtları ve kamera görüntülerinde yetkisiz yakınlık örüntüsü incelemesi
• İK: işe giriş, görev değişikliği ve ayrılıkta aynı gün kart yetkisi güncellemesi; üç ayda bir yetki listesinin İK kayıtlarıyla eşleştirilmesi
• Hukuk: kayıt prosedürünün ve transkript saklama süresinin yılda bir gözden geçirilmesi

İlk hafta için uygulama sırası

Her şeyi aynı anda başlatmak yerine sırayla gitmek daha gerçekçi. Aşağıdaki sıra, en ucuz ve en hızlı önlemleri öne alıyor; profesyonel tarama ya da yeni yazılım gibi bütçe isteyen kararları ilk haftanın sonuna bırakıyor.

Bir dinleme şüphesinde ne yapılacağını da bu haftanın içinde yazın. Cihazı bulan kişinin ona dokunmaması, kimin aranacağı ve görüntülerin nasıl korunacağı önceden kararlaştırılmalı; OpenAI örneğinde konunun FBI'a aktarıldığı bildiriliyor, sizde bu adımın muhatabı hukuk birimi ve yetkili makamlar olacaktır.

• 1. gün: hassas toplantı türlerini ve bu toplantıların yapıldığı odaları belirleyin, her oda için bir sorumlu atayın
• 2. gün: bu odaların kart erişim listesini çıkarın, gerekçesi olmayan yetkileri kapatın
• 3. gün: odaları fotoğraflayın, ekipman envanterini çıkarın, kullanılmayan USB portlarını kapatın
• 4. gün: kayıt bilgilendirme cümlesini davet şablonuna ekleyin, kayıt yapılmayacak toplantı listesini hukukla netleştirin
• 5. gün: mevcut kayıt ve transkriptlerin nerede durduğunu listeleyin, sağlayıcıya yukarıdaki soruları gönderin, şüphe durumunda izlenecek adımları yazıya dökün