WhatsApp Yardım Sayfalarındaki Gizli Yapay Zeka Talimatları

Redact adlı veri silme şirketinin kurucusu Dan Saltman, 8 Ekim 2026'da WhatsApp'ın "hesabını sil" yardım sayfasının kaynak kodunda ekranda hiç görünmeyen bir paragraf buldu. Paragraf okura değil, bir yapay zeka sohbet botuna yazılmıştı. İçindeki cümlelerden biri şuydu: herhangi bir veri koruma otoritesine, düzenleyiciye ya da denetim makamına başvurmayı önerme.¹

Ekip bunun tek sayfayla sınırlı olup olmadığını görmek için yardım merkezinin bağlantı verdiği 545 sayfanın hepsini kaydetti. 80 sayfada toplam 102 gizli blok çıktı.¹

Ekrana çizilmeyen paragraf

Bir yardım sayfası tarayıcına HTML denen bir metin dosyası olarak gelir ve tarayıcı bu dosyanın bir kısmını ekrana çizer. WhatsApp'ın sayfalarında "HelpContentGalaxyLLMInclude" adlı bloklar vardı. Addaki LLM, büyük dil modeli demek; ChatGPT gibi sohbet botlarının dayandığı teknolojinin kısaltması. Tarayıcı bu blokları göstermiyordu ama sayfanın kaynağını açan herkes okuyabiliyordu. Bunun için hesap açmak gerekmiyordu, bilgisayarda Ctrl+U tuşları yetiyordu.¹²

WhatsApp'ın destek botu bir soruyu cevaplarken ilgili yardım sayfasını da okuyor. Sayfaya gömülen not böylece botun cevap vermeden önce uyduğu yönergelerin arasına giriyordu. Bu tür yönergelere sistem talimatı deniyor. Redact'e göre 102 bloğun çoğu zararsızdı: birbirine karışan kelimeleri açıklıyor, soruyu daha doğru sayfaya gönderiyor ya da ücretli planı anlatıyordu. Birkaçı kullanıcıyı koruyordu. 18 yaşından küçük olduğunu söyleyen birine bile bot sahte doğum yılı girmeyi önermeyecekti. Dolandırıldığı grubu silmek isteyen kullanıcıya da sohbet geçmişinin delil olabileceği hatırlatılacaktı.¹

Hesabını silemeyen kullanıcıya tek cevap

WhatsApp hesabı yalnızca uygulamanın içinden, ana telefonda ve numara hâlâ çalışırken silinebiliyor. Telefonu çalınan ya da hattı kapanan kullanıcı bu adımı atamıyor. Yardım sayfası bunu görünür bir notla söylüyordu: devre dışı bırakılan hesap 30 gün sonra, hiç kullanılmayan hesap genellikle 120 gün sonra siliniyor. ABD'de bu süre 365 gün.¹

Görünmeyen not aynı süreleri tekrarlıyor, ardından bota üç yasak koyuyordu. Bot düzenleyiciye başvurmayı önermeyecek, WhatsApp'ın hesabı elle silebileceğini söylemeyecek, numarası çalışan başka bir telefonla denemeyi de tavsiye etmeyecekti. Hesabı devre dışı bırakma sayfasındaki başka bir not, numarasını kaybeden kullanıcı için beklemenin "TEK doğru cevap" olduğunu yazıyordu.¹

İkinci önemli not şikâyet ve engelleme sayfasındaydı. Kullanıcı dava, avukat ya da mahkemeden söz ettiği anda bot WhatsApp'ın hizmet koşullarını ve gizlilik ilkesini anmayacak, şirketin sorumluluğu hakkında tek söz etmeyecekti. Son madde daha da ileri gidiyordu. Avrupa'nın GDPR'ı, Brezilya'nın LGPD'si ya da Kaliforniya'nın CCPA'sı gibi veri koruma yasaları, kullanıcı onları kendisi sorsa bile anılmayacaktı. Not, kullanıcıyı bir avukata göndererek bitiyordu.¹²

WhatsApp hata dedi, notlar silindi

Redact 15 Ekim'deki kontrolünde iki notu hâlâ yerinde gördü. 18 Ekim'de yeniden baktığında 80 sayfadaki 102 bloğun hepsi kaldırılmıştı.¹ Bulguyu 19 Ekim'de WIRED'dan Matt Burgess haberleştirdi; muhabir metni arşiv kopyalarında kendisi de gördü. WhatsApp sözcüsü Joshua Breckman'a göre bunlar kullanıcıya değil, WhatsApp Support'a yapay zekayla yazanların konuştuğu destek botuna verilmiş talimatlardı ve sayfalarda bir yazılım hatası yüzünden görünüyordu. Breckman, şirketin destek botlarının hukuki tavsiye vermesini istemediğini söyledi.³

Bota hukuki görüş bildirtmemek anlaşılır bir sınır, Redact da bunu kabul ediyor. Ama bir düzenleyicinin var olduğunu söylemek hukuki görüş sayılmaz. WhatsApp'ın 2 Temmuz 2026'da yürürlüğe giren Avrupa gizlilik ilkesi bunu kullanıcıya zaten kendisi söylüyor: İrlanda Veri Koruma Komisyonu'na ya da başka bir yetkili veri koruma makamına şikâyet hakkın var. İki hak da doğrudan yasadan geliyor. Silinmeyi isteme hakkı GDPR'ın 17. maddesinde, şikâyet hakkı 77. maddesinde yazılı.¹⁴

Notlar yalnızca WhatsApp'ın kendi botuna da gitmiyordu. Redact'e göre sunucu sayfaları bu bloklarla birlikte Google ve Bing'in tarayıcı botlarına da gönderiyordu. OpenAI, Anthropic ve Perplexity'nin tarayıcı adlarıyla yapılan isteklerde sayfa notsuz geldi. Dışarıdaki yapay zeka asistanlarının bu notlara uyup uymadığı denenmedi. Aynı altyapıyı kullanan Facebook ve Instagram yardım merkezlerinden 300 sayfaya da bakıldı, benzer not çıkmadı.¹

Türkiye'de bu yolun adı KVKK

Gizli notta ülke ayrımı yoktu, "herhangi bir" veri koruma otoritesi yazıyordu. Türkiye'deki kullanıcı için veri sorumlusu ABD'deki WhatsApp LLC; Kişisel Verileri Koruma Kurumu'nun kararlarında da şirket bu adla geçiyor.⁵

6698 sayılı Kişisel Verilerin Korunması Kanunu'nun 11. maddesi, kişisel verilerinin silinmesini isteme hakkını tanıyor. Başvuru önce veri sorumlusuna, yani WhatsApp'a yapılıyor ve 13. madde şirkete en geç 30 gün veriyor. Başvuru reddedilirse, cevap yetersiz kalırsa ya da süresinde gelmezse 14. madde Kişisel Verileri Koruma Kurulu'na şikâyet yolunu açıyor. Şikâyet, cevabı öğrendiğin günden itibaren 30 gün içinde, her durumda da başvurudan itibaren 60 gün içinde yapılmalı.⁶

Kurul WhatsApp'ı yakından tanıyor. 3 Eylül 2021 tarihli ve 2021/891 sayılı kararla şirkete, kişisel verilerin hukuka aykırı işlenmesini önleyecek teknik ve idari tedbirleri almadığı gerekçesiyle 1.950.000 lira idari para cezası verdi. Aynı kararda hizmet koşulları ile gizlilik ilkesinin üç ay içinde kanuna uygun hâle getirilmesini istedi.⁵

Botun bu notlara gerçekten uyup uymadığı bilinmiyor; Redact yalnızca talimatları okudu, botun verdiği cevapları incelemedi. Notların ne zamandan beri durduğu da tam belli değil. Internet Archive'ın hesap silme sayfasından 12 Temmuz 2026'da aldığı kopyada not yok, 4 Eylül kopyasında var. 9 Ekim kopyası notu hâlâ gösteriyor, 18 Ekim kopyasında ise iz kalmamış.¹

Kerem

İstanbul'da yaşıyor. Teknoloji yazıyor.