ChatGPT'ye Fotoğraf ve Belge Atmak Güvenli mi?

ChatGPT'ye bir fatura, tahlil sonucu ya da sözleşme fotoğrafı attığında dosya telefonundan çıkar, OpenAI'ın sunucularına gider ve hesabına kaydedilir. Çoğu kişinin bilmediği kısım şu: sohbeti silmek dosyayı silmeye yetmeyebilir. Aşağıda OpenAI'ın Ekim 2026'daki yardım sayfalarına göre neyin nerede durduğunu, hangi ayarı kapatman gerektiğini ve hangi belgeyi hiç yüklememen gerektiğini anlatıyorum.

ChatGPT'ye yüklediğim fotoğraf ve belgelere ne oluyor?

ChatGPT'ye yüklediğin dosya sohbetle birlikte hesabında saklanır ve ayrıca Kitaplık (Library) bölümüne otomatik kaydedilir. OpenAI'ın Library yardım sayfası bunu açıkça yazıyor: sohbete yüklenen belge, tablo, sunum ve görseller ayrı bir alanda saklanır. Dosyalar sen elle silene kadar orada kalır.

Asıl önemli cümle de aynı sayfada: dosya içeren bir sohbeti silmek, Kitaplık'taki dosyayı silmez. Yani kimlik fotoğrafını yükleyip sohbeti sildiysen, fotoğraf büyük ihtimalle hâlâ hesabında duruyor.

30 günlük silme süresinin iki istisnası var. Sohbet daha önce kimliksizleştirilip hesabından ayrıldıysa ya da OpenAI'ın güvenlik veya yasal bir yükümlülüğü varsa veri daha uzun tutulabilir.

Fotoğrafım ChatGPT'nin eğitiminde kullanılır mı?

Bireysel planlarda (Free, Plus, Pro gibi) fotoğrafın ve dosyan, "Improve the model for everyone" ayarı açıksa modeli geliştirmek için kullanılabilir. OpenAI'ın tüketici verisi sayfası istemlerin ve yanıtların yanında görsel ve dosyaların da bu kapsama girdiğini söylüyor.

Ayarı kapatınca yeni sohbetlerin eğitime girmez. Eski sohbetler silinmez, geçmişte durmaya devam eder. Business, Enterprise ve Edu çalışma alanlarında ise içerik varsayılan olarak eğitimde kullanılmaz.

Gözden kaçan bir ayrıntı var. Ayarı kapattıktan sonra bir yanıta beğeni ya da beğenmeme verirsen, OpenAI'a göre o geri bildirime bağlı sohbetin tamamı eğitimde kullanılabilir. Hassas bir belge yüklediğin sohbette geri bildirim düğmesine basma.

Ayarı kapatma adımları (web):

1. Sol alttaki hesap menüsünü aç.
2. Settings (Ayarlar) bölümüne gir.
3. Data controls (Veri kontrolleri) sekmesini seç.
4. Improve the model for everyone seçeneğini kapat ve kaydet.

Telefonda yol benzer: kenar çubuğu, profil simgesi, Settings, Data controls. Giriş yapmışsan ayar tüm cihazlarında geçerli olur. Hesap açmadan kullanıyorsan tercih yalnız o tarayıcıda saklanır. Türkçe arayüzde menü adları farklı çevrilmiş olabilir. Simgeleri takip etmen yeter.

ChatGPT'ye yüklediğim belgeyi bir insan görebilir mi?

Evet, sınırlı durumlarda yetkili OpenAI personeli ve gizlilik yükümlülüğü olan hizmet sağlayıcılar içeriğe erişebilir. OpenAI dört gerekçe sayıyor: kötüye kullanım ya da güvenlik olayını incelemek, senin açtığın destek talebine bakmak, hukuki süreçler ve model geliştirme. Sonuncusu yalnız eğitim ayarın açıksa geçerli.

OpenAI'ın kendi cümlesi çok net: incelenmesini ya da kullanılmasını istemediğin hassas bilgiyi girme. Bu uyarı bir yardım sayfasında, şirketin kendi ağzından yazıyor.

Hangi belgeleri ChatGPT'ye hiç yüklememeliyim?

Kimlik, kart, sağlık raporu, imzalı sözleşme ve parola içeren hiçbir belgeyi yükleme, eğitim ayarı kapalı olsa bile. Bu belgeler tek başına zarar verir. Hesabın ele geçirilirse Kitaplık'taki her şey saldırganın eline geçer.

1. Nüfus cüzdanı, ehliyet ve pasaportun ön ve arka yüzü.
2. Banka ya da kredi kartının fotoğrafı.
3. IBAN ve hesap hareketi görünen dekont ya da ekstre.
4. Tahlil sonucu, epikriz, reçete, sağlık raporu.
5. İmzalı sözleşme, kira kontratı, vekâletname.
6. Parola, kurtarma kodu ya da iki adımlı doğrulama QR kodu içeren ekran görüntüsü.
7. İşyerine ait müşteri listesi, bordro, kaynak kod, gizli yazışma.

Kimlik kartında ad, TC kimlik numarası, doğum tarihi ve yüz bir arada durur. Dolandırıcının sahte başvuru için istediği paket tam olarak budur. KVKK'nın Kasım 2025 tarihli üretken yapay zekâ rehberi de bireylere kimlik ve iletişim bilgisi paylaşmamayı, sağlık ve finans bilgisinde çok temkinli olmayı öneriyor.

Başkasının fotoğrafını ya da belgesini yüklemek sorun olur mu?

Başkasına ait kişisel veriyi onun bilgisi olmadan bir yapay zekâ aracına yüklemek, o kişinin verisini üçüncü bir şirkete vermek demektir. 6698 sayılı KVKK'ya göre kişisel veri, kimliği belirli ya da belirlenebilir bir kişiye ait her bilgidir. Yüzün göründüğü fotoğraf da buna girer.

• Kendi verin: Karar da risk de senin.
• Aile ya da arkadaş: Ekran görüntüsündeki mesajlar, yüzler ve numaralar onlara ait. Haberleri yoksa yükleme.
• İş verisi: Veri sorumlusu çalıştığın kurumdur. Müşteri belgesini kişisel hesabından yüklemek, kurumu KVKK önünde zor durumda bırakabilir. Kurumun yapay zekâ politikası yoksa yöneticine sor.

Kendi verinin silinmesini bir şirketten nasıl isteyeceğini KVKK başvurusu ve veri silme talebi yazısında adım adım anlattık.

Yüklemem gerekiyorsa belgeyi nasıl maskelerim?

Belgeyi yüklemeden önce sorunun cevabı için gerekmeyen her alanı kırp ya da opak bir kutuyla kapat. Yapay zekâ bir faturayı açıklamak için senin adını bilmeye ihtiyaç duymaz.

1. Soruyu netleştir. "Bu faturadaki gecikme bedeli nereden çıkmış?" diye soracaksan yalnız tutar satırları yeter.
2. Kırp. Belgenin sadece gereken bölümünü bırak.
3. Kapat. Ad, TC kimlik numarası, adres, barkod ve QR kodunun üstüne düz, opak bir kutu çiz. Hafif bulanıklaştırma ve yarı saydam kalem güvenilir değil.
4. Üst veriyi düşün. Telefonla çekilen fotoğraf dosyası konum bilgisi taşıyabilir. Fotoğrafın ekran görüntüsünü alıp onu yüklemek bu riski azaltır.
5. Arka planı kontrol et. Masadaki zarf, ekrandaki bildirim, aynadaki yüz da veridir.
6. Metni elle yaz. Mümkünse fotoğraf yerine gerekli satırları takma adla kendin yaz.

Metin için basit bir örnek:

Riskli:  "Ayşe Kaya, TCKN 1234..., 4 Mart tarihli raporumu özetle"
Güvenli: "[KİŞİ], [TARİH] tarihli raporun şu paragrafını sade dille anlat: ..."

Fotoğrafın içindeki yazı ChatGPT'yi kandırabilir mi?

Evet, görselin içine yazılmış bir cümle modele talimat gibi ulaşabilir. Buna dolaylı istem enjeksiyonu denir. Kendi çektiğin fotoğrafta bu risk çok düşük. Kaynağını bilmediğin PDF'lerde, ekran görüntülerinde ve internetten indirilen görsellerde ise artar.

Pratik kural: güvenmediğin bir belgeyi özetlettikten sonra modelin önerdiği bağlantıya tıklamadan ve verdiği komutu çalıştırmadan önce dur. Mekanizmanın nasıl işlediğini prompt injection nedir yazısında, görsel kanalın riskini de Görselden gelen talimat dersinde görebilirsin.

Hangi ayarları bugün kontrol etmeliyim?

On dakikalık bir kontrol, riskin büyük kısmını keser. Sıra önemli: önce hesabı koru, sonra eski yüklemeleri temizle.

Hafızayla ilgili bir not daha: OpenAI'ın hafıza sayfasına göre bir sohbeti silmek, o sohbetten oluşturulmuş kayıtlı anıyı otomatik silmez. Anıyı ayrıca silmen gerekir.

Hesabın ele geçirilirse geçmiş yüklemelerin hepsi açığa çıkar. Bu yüzden çok faktörlü doğrulama, eğitim ayarından bile önce gelir. Genel kurallar için ChatGPT güvenli kullanım rehberine, Google'ın asistanındaki karşılıkları için Gemini güvenli mi yazısına bak.

Sırada ne var?

Modelin neyi hatırlayıp neyi sızdırabildiğini kendi gözünle görmek, kuralları ezberlemekten daha kalıcıdır. AltaySec Akademi'de Modelin hatırladıkları ve KVKK, TCKN ve maskeleme derslerini okuyup PII Kaçağı laboratuvarını çözebilirsin. Konunun bütün haritası için yapay zekâ güvenliği nedir yazısıyla devam et.

Kaynaklar

• OpenAI Help: Using Library to manage files in ChatGPT
• OpenAI Help: Chat and file retention in ChatGPT
• OpenAI Help: Data controls in ChatGPT
• OpenAI Help: Temporary chat in ChatGPT
• OpenAI Help: How OpenAI handles data in consumer services
• OpenAI Help: Memory in ChatGPT
• KVKK: Üretken Yapay Zekâ ve Kişisel Verilerin Korunması Rehberi (Kasım 2025, PDF)
• 6698 sayılı Kişisel Verilerin Korunması Kanunu (mevzuat.gov.tr)