WhatsApp’ın yardım sayfalarına, kullanıcıların göremediği ama yapay zekâ destek botunun okuduğu talimatlar gizlenmiş. Gizlilik şirketi Redact’in 19 Ekim 2026’da yayımladığı incelemeye göre 80 yardım sayfasında ekrana hiç yansımayan 102 talimat bloğu vardı. Bunlardan biri, hesabını silemeyen kullanıcılara botun “hiçbir veri koruma otoritesine, düzenleyiciye ya da denetim makamına başvurmayı önermemesini” istiyordu. Meta, metinlerin bir hata nedeniyle sayfalarda göründüğünü ve sorunun giderildiğini söyledi.

Bulguyu ilk duyuran WIRED oldu. Gizli metinler WhatsApp’ın kendi destek sohbet botu için yazılmıştı; ama talimatların içeriği, bir şirketin kullanıcıya açıkça söylediği haklar ile yapay zekâ asistanına söylettiği şeyler arasındaki açığı gözler önüne serdi.

Gizli notlar ne diyordu?

Redact, WhatsApp yardım merkezinin bağlantı verdiği 545 sayfanın tamamını okuduğunu ve her birinin kopyasını sakladığını yazıyor. Talimatlar sayfaların kodunda HelpContentGalaxyLLMInclude başlıklı bloklarda duruyordu. LLM, sohbet botlarının arkasındaki büyük dil modeli teknolojisinin kısaltması.

En dikkat çekici not, “Hesabınızı nasıl silersiniz” sayfasındaydı. Sayfanın görünen kısmı, telefonuna ya da numarasına erişimi kalmayan kullanıcıların hesabının belli bir süre sonra kendiliğinden silineceğini anlatıyor: Devre dışı bırakılan hesaplar 30 gün, kullanılmayan hesaplar genellikle 120 gün (ABD’de 365 gün) sonra siliniyor. Görünmeyen kısım ise bota şu üç talimatı veriyordu: Hiçbir veri koruma otoritesine ya da düzenleyiciye başvurmayı önerme; WhatsApp’ın hesabı kullanıcı adına elle silebileceğini ima etme; başka bir telefonla aktif bir numara kullanmayı önerme.

İkinci not “Bildirme ve engelleme” sayfasındaydı. Kullanıcı dava, avukat, mahkeme ya da hukuki işlemden söz ettiği anda bota WhatsApp’ın hizmet şartlarını ve gizlilik politikasını alıntılamaması, hukuki görüş bildirmemesi ve “kullanıcı bunları doğrudan gündeme getirse bile” GDPR, Brezilya’nın LGPD’si ya da Kaliforniya’nın CCPA’sı gibi veri koruma düzenlemelerine atıf yapmaması söyleniyordu.

Gizlilik politikasıyla çelişki

Redact’e göre bu talimatlar WhatsApp’ın kendi yayımladığı belgelerle örtüşmüyor. Şirketin 2 Temmuz 2026’dan beri geçerli Avrupa gizlilik politikası, kullanıcıların bilgilerine erişim, düzeltme ve silme talep etme hakkı olduğunu, İrlanda Veri Koruma Komisyonu’na “ya da yetkili herhangi bir veri koruma denetim makamına” şikâyette bulunabileceklerini açıkça yazıyor. Yani kullanıcının belgede okuduğu hak, destek botunun ağzından çıkmayacak şekilde ayarlanmıştı.

Redact WhatsApp’a hakkını da veriyor. Bir şirketin sohbet botunun kendi adına hukuki görüş vermesini istememesi anlaşılır; kullanıcıyı bir avukata yönlendirmek de doğru. Ancak inceleme şunu vurguluyor: Bir veri koruma kurumunun var olduğunu söylemek ya da kullanıcıyı koruyan bir yasanın adını anmak hukuki tavsiye değil. Gizli not ihtiyatın ötesine geçip doğru, kamuya açık ve işe yarar bilgiyi yanıttan çıkarıyordu.

WhatsApp sözcüsü Joshua Breckman WIRED’a talimatların kullanıcılara değil sohbet botuna yönelik olduğunu, amacın “doğru ve ilgili yanıtlar” sağlamak olduğunu söyledi. Şirket destek botlarının “WhatsApp hakkında en iyi tavsiyeyi vermeye” odaklanmasını, “hukuki tavsiye vermemesini” istediğini belirtti. Redact’e göre bütün gizli bloklar 18 Ekim’e kadar sayfalardan kaldırıldı; Internet Archive’daki eski kopyalarda ise hâlâ görülebiliyor. Notun hesap silme sayfasına ne zaman eklendiği belli değil: Arşivin 12 Temmuz kopyasında yok, 4 Eylül kopyasında var.

Neyi henüz bilmiyoruz?

Redact botun bu talimatlara gerçekten uyup uymadığını test etmediğini açıkça yazıyor; incelenen şey botun yanıtları değil, talimatları. Notların başka dillerdeki yardım sayfalarında da bulunup bulunmadığı bilinmiyor. Redact’e göre WhatsApp’ın sunucusu bu notları sayfanın geri kalanıyla birlikte Google ve Bing tarama botlarına da gönderiyordu; dış yapay zekâ asistanlarının bunlardan etkilenip etkilenmediği ise test edilmedi. Şirket, aynı sistemle çalışan Facebook ve Instagram yardım merkezlerinden 300 sayfaya baktığını ve benzer bir not bulmadığını ekliyor.

102 bloğun çoğu sıradan düzenleme notlarıydı; bazıları kullanıcıyı korumaya yönelikti. Örneğin dolandırıcılığa uğrayan birinin, kanıt olabilecek sohbet geçmişini silmek yerine bildirim yapmaya yönlendirilmesi isteniyordu. Sorun tek tek notlarda değil, şirket çıkarıyla kullanıcı hakkının çatıştığı anlarda botun hangi tarafa ayarlandığında.

Yapay zekâ destek hattı kimin çıkarına konuşuyor?

Olay, müşteri hizmetlerinin yapay zekâya devredilmesinin görünmeyen bir boyutunu açığa çıkardı. Eskiden bir çağrı merkezi çalışanının elindeki senaryo kapalı kapılar ardında kalırdı; bugün aynı senaryo bir dil modeline yazılıyor ve milyonlarca konuşmada aynı anda uygulanıyor. Kullanıcı karşısındakinin “yardımsever” bir asistan olduğunu düşünürken, o asistanın şirketin hukuki riskini azaltacak şekilde yönlendirildiğini bilmiyor.

Burada temel bir güç dengesizliği var. Kullanıcının elindeki haklar yasadan geliyor, şirketin iyi niyetinden değil. Ama bu hakları kullanmak, onlardan haberdar olmaya bağlı. Destek kanalını tek elden yöneten bir platform, hakkın varlığını söylemeyerek onu fiilen kullanılmaz hale getirebiliyor. CyberNews’in daha önce aktardığı Meta Muse dosyası ve sohbet botlarındaki reklam izleyicileri de aynı soruyu sormuştu: Yapay zekâ asistanları kullanıcı için mi, platform için mi çalışıyor?

Türkiye’deki kullanıcılar için

WhatsApp, Türkiye’de en yaygın kullanılan mesajlaşma uygulamalarından biri ve şirketin Türkiye’deki veri işleme pratikleri daha önce de KVKK’nın gündemine girdi. Kişisel Verileri Koruma Kurulu, 3 Eylül 2021 tarihli ve 2021/891 sayılı kararıyla WhatsApp LLC’ye 1.950.000 TL idari para cezası vermiş, şirketten hizmet koşullarını ve gizlilik ilkesini Kanun’a uygun hale getirmesini istemişti. Kurul o kararda, hizmetin kullanılmasının açık rızaya bağlanmasını ve yurt dışına aktarım yükümlülüklerinin yerine getirilmemesini ihlal saymıştı.

Türkiye’deki kullanıcıların hakları da bir sohbet botunun ne söylediğine bağlı değil. 6698 sayılı KVKK’nın 11. maddesi herkese kişisel verilerinin silinmesini isteme hakkı tanıyor. Veri sorumlusu başvuruyu 13. madde gereği en geç 30 gün içinde sonuçlandırmak zorunda. Başvuru reddedilir, yanıt yetersiz bulunur ya da süresinde yanıt verilmezse 14. madde, yanıtın öğrenilmesinden itibaren 30 gün, her halükârda başvuru tarihinden itibaren 60 gün içinde Kurula şikâyet yolunu açıyor.

Pratikte telefonunu ya da numarasını kaybettiği için hesabını silemeyen bir kullanıcı, otomatik silme süresini beklemek zorunda değil: WhatsApp’a yazılı silme başvurusu yapabilir, sonuç alamazsa KVKK’ya şikâyette bulunabilir. Botun bu yolu söylememesi, yolun kapalı olduğu anlamına gelmiyor.