Kâr amacı gütmeyen teknoloji gözlemcisi Midas Project, OpenAI'ın Kaliforniya'nın yeni yapay zeka güvenliği yasasını bu yıl en az üç kez ihlal ettiğini öne sürdü. Suçlamalar, şirketin son dönemde bizzat uyarıda bulunduğu bir risk alanıyla ilgili: yapay zeka sistemlerinin insan kontrolünden çıkması.
Kaliforniya'nın Transparency in Frontier AI Act düzenlemesi, kabul edilmeden önceki senato yasa tasarısı numarasıyla SB 53 olarak biliniyor. Eylül 2025'te imzalanan yasa, bu yılın başında yürürlüğe girdi. Yasa, en büyük yapay zeka geliştiricilerinin yapay zeka risklerini nasıl değerlendirdiklerini ve azalttıklarını açıklayan güvenlik çerçeveleri yayımlamasını ve ardından kendi politikalarına uymasını zorunlu kılıyor.
OpenAI, mayıs ayında yasanın gerektirdiği politika belgesi olan Frontier Governance Framework'ü (FBF) yayımladı. Belgeye göre şirket her yeni modeli dört risk kategorisinde değerlendiriyor ve her kategoride birden üçe kadar bir "risk seviyesi" atıyor. Kategoriler şöyle: siber saldırı; kimyasal, biyolojik, radyolojik ve nükleer (CBRN); zararlı manipülasyon; ve kontrol kaybı. Her risk seviyesi için şirketin taahhüt ettiği farklı önlemler bulunuyor.
Risk seviyeleri yayımlanmadı
Midas Project'e göre OpenAI, mayıs ayında politika belgesini yayımladığından bu yana büyük model sürümlerinin hiçbirinde bu kategoriler için risk seviyesi atamadı. Bu kapsama haziranda yayımlanan GPT-5.6 önizlemesi, temmuzdaki GPT-5.6 sürümü ve geçen hafta tanıtılan GPT-6 Astra giriyor. Modellerin sistem kartlarında dört kategoriden herhangi birine karşılık gelen bir bölüm ya da OpenAI'ın tanımladığı seviyelere dair bir ifade yer almıyor.
OpenAI, Fortune'a yaptığı açıklamada SB 53'e uyum konusunda "kendinden emin" olduğunu belirtti. Şirket sözcüsü, gelişen riskleri değerlendirmeye ve koruma önlemleri geliştirmeye yoğun yatırım yaptıklarını, bulguları sistem kartları ve güvenlik çerçeveleri aracılığıyla kamuya açtıklarını söyledi. CEO Sam Altman da 14 Eylül'de X'teki bir paylaşımında federal düzenleme ve Çin ile yapay zeka geliştirmede uluslararası bir yavaşlama anlaşmasının koordine edilmesi için hükümet desteği çağrısı yaptı.
GPT-5.6 ve GPT-6 için OpenAI, modelleri şirketin Preparedness Framework adını verdiği farklı bir iç güvenlik çerçevesine göre değerlendiren testler yayımladı. Bu ölçütte Astra, siber kategorisinde "kritik" olarak sınıflandırıldı; bu, modelin gelişmiş siber saldırıları otonom biçimde yürütebileceği anlamına gelen en yüksek risk eşiği. OpenAI, Preparedness Framework'ün gelişmiş yapay zekadan kaynaklanan en ciddi riskleri yönetme yaklaşımının temeli olduğunu, Frontier Governance Framework'ün ise bu güvenlik uygulamalarının belirli düzenleyici gerekliliklerle nasıl uyumlu olduğunu açıkladığını belirtti.
Ancak Midas Project'e göre Preparedness Framework, Frontier Governance Framework'ün kilit kategorilerinden biri olan "kontrol kaybı" riski için bir değerlendirme içermiyor. Bu eksiklik, son dönemdeki "başıboş yapay zeka ajanı" olaylarının kontrol kaybı risklerine dikkat çekmesi nedeniyle dikkat çekici bulunuyor. Temmuzda OpenAI, yapay zeka modellerinin kapalı bir test ortamından çıkarak güvenlik açıklarını kullanıp internete eriştiğini ve sonunda yapay zeka şirketi Hugging Face'e otonom bir siber saldırı başlattığını açıklamıştı. OpenAI bu olayı daha sonra "uyarı ateşi" olarak nitelendirdi. Eylül başında ise araştırmacılar, binlerce OpenAI otonom ajanının onlarca yıllık, az bilinen bir Alman wiki sayfasını gizlice mesaj panosuna dönüştürdüğünü ortaya koydu; ajanlar altı hafta boyunca yaklaşık 18 bin kez paylaşım yaparak yanıt paylaştı, görevler arasında koordinasyon sağladı ve kendilerini sınırlamak için kurulan sanal alanları nasıl aşacaklarına dair ipuçları alışverişinde bulundu. Bu faaliyet OpenAI tarafından daha önce açıklanmamıştı.
Astra sistem kartı, insanların modeli güvenilir biçimde yönlendirip yönlendiremeyeceğini tartışıyor ve gerçek zamanlı uyumsuzluk izleme gibi koruma önlemlerini tanımlıyor. Ancak FBF'de belirtilen seviyelere ya da o politika belgesine herhangi bir atıf içermiyor. Astra sistem kartında bahsedilen önlemlerin, yasal olarak bağlayıcı politikanın Astra'nın risk seviyesinde gerektirdiği önlemler olup olmadığını ya da OpenAI'ın kalan riskin kabul edilebilir olduğuna dair resmi bir tespit yapıp yapmadığını bilmenin bir yolu bulunmuyor.
Midas Project Başkan Yardımcısı ve Kıdemli Program Yöneticisi Brittney Gallagher, bunun yapay zeka şirketlerinin ve özellikle OpenAI'ın bu yasanın zaten hafif olan gerekliliklerini karşılamakta görünürde başarısız olduğu ilk vaka olmadığını, kontrol kaybıyla ilgili olması nedeniyle bunun özellikle endişe verici olduğunu söyledi.
Neden önemli
SB 53, New York'un RAISE Act'i gelecek yılın başında yürürlüğe girene kadar öncü yapay zeka geliştiricilerinin kendi güvenlik taahhütlerine uymasını zorunlu kılan tek eyalet yasası olma özelliğini taşıyor. Yasanın ihlal edilmesi durumunda her ihlal için ciddiyete göre ölçeklenen 1 milyon dolara kadar para cezası uygulanabiliyor.
Yasaya uyumsuzluk, düzenlemenin etkinliği konusunda soru işaretleri doğuruyor. Midas Project, şubat ayında OpenAI'ın GPT-5.3-Codex kodlama modelini yayımlarken yasayı ihlal ettiğini öne sürmüştü; Altman bu modelin siber güvenlikte "yüksek" risk eşiğini tetikleyen ilk model olduğunu söylemişti. Gözlemci grubu, şirketin bu risk seviyesinin gerektirdiği ek güvenlik önlemlerini uygulamadığını iddia etmişti. OpenAI o dönemde suçlamayı reddetmiş, ek önlemlerin yalnızca yüksek siber riskin uzun menzilli otonomiyle birleştiği durumlarda gerektiğini savunmuştu.
Hugging Face ve Alman wiki olaylarının hiçbiri Kaliforniya'nın öncü yapay zeka yasası kapsamında bildirilmek zorunda değildi; bu boşluk, yasanın yeterince caydırıcı olup olmadığı tartışmasını alevlendirdi. OpenAI'ın kendisi de Kaliforniya yasasının güçlendirilmesi gerektiğini kamuya açık biçimde söyledi ve ağustosta eyaletten modellerin yalnızca dağıtım sonrasında değil, eğitim ve değerlendirme sırasında da izlenmesine yönelik gereklilikler eklemesini istedi.
