OpenAI, Avrupa Birliği’nin AI Act kapsamındaki uygulama süreci yaklaşırken güvenlik, emniyet ve şeffaflık çalışmalarını Genel Amaçlı Yapay Zekâ (GPAI) Code of Practice ile nasıl hizaladığını ayrıntılandırdı. Şirket, hem GPAI Code of Practice’e hem de AI tarafından üretilen içeriğin şeffaflığına odaklanan ayrı koda katkı sunduğunu ve bu metinleri desteklediğini belirtiyor. Bu iki çerçeve, AB içinde satılan veya devreye alınan genel amaçlı modeller için ortak bir şeffaflık, güvenlik ve emniyet eşiği oluşturmayı amaçlıyor.
Şirkete göre bugün izlenen birçok uygulama bu çıtaya zaten yakın duruyor. Bunlar arasında model yayımlanmadan önce yapılan testler, büyük lansmanlarla birlikte paylaşılan system card belgeleri ve Red Teaming Network üzerinden yürütülen dış red-team çalışmaları yer alıyor. OpenAI ayrıca model davranışını nasıl şekillendirdiğini açıklayan kamuya açık bir Model Spec dokümanı tuttuğunu da vurguluyor. Bu yapı, yalnızca model yeteneklerini değil, risklerin nasıl tanımlandığını ve sınırların nasıl çizildiğini de daha görünür hale getirmeyi hedefliyor.
Bu çalışmaların altında iki iç çerçeve bulunuyor. İlk olarak 2023’te yürürlüğe giren ve 2025’te güncellenen Preparedness Framework, gelişmiş sistemlerden doğabilecek ciddi risklerin nasıl belirlendiğini, değerlendirildiğini ve yönetildiğini tanımlıyor. Buna eklenen Frontier Governance Framework ise güvenlik ve emniyet uygulamalarının yasal yükümlülüklerle, özellikle de GPAI Code ile nasıl eşleştiğini açıklıyor. OpenAI’nin anlatımına göre bu iki belge birlikte risk değerlendirmesi, koruma önlemleri, model raporlama, güvenlik duruşu, olay müdahalesi ve dış uzmanların sürece ne şekilde dahil edildiği gibi başlıkları yönlendiriyor.
Şirket, bu yaklaşımın yalnızca kendi iç süreçlerine dayanmadığını da öne çıkarıyor. Frontier Model Forum içindeki katılımına, ABD’deki Center for AI Standards and Innovation ve Birleşik Krallık’taki AI Security Institute ile yürütülen iş birliklerine işaret ediyor. Ayrıca üçüncü taraf değerlendirme standartlarının geliştirilmesine daha geniş ölçekte katkı verdiğini söylüyor. Buradaki amaç, tek bir şirketin sınırları içinde kalan denetimlerden ziyade sektör genelinde paylaşılabilen güvenlik araştırmaları ve daha net test kıstasları oluşturmak.
Şeffaflık tarafında ise odak başka bir soruna kayıyor: Bir içeriğin AI tarafından üretildiğini veya değiştirildiğini insanların nasıl anlayacağı. OpenAI’nin yaklaşımı birbirini tamamlaması amaçlanan iki mekanizmaya dayanıyor. C2PA standardı üzerine kurulu Content Credentials, bağlam bilgisini doğrudan dosyanın içine ekliyor. Buna karşılık SynthID watermarking, bu üstverinin aktarım sırasında silinmesi veya kaybolması durumunda yedek bir sinyal sağlamayı hedefliyor. Şirket, tek başına hiçbir yöntemin tüm senaryoları kapsamadığını açık biçimde kabul ediyor.
Bu kapsamın görüntülerin ötesine geçtiği de belirtiliyor. OpenAI, kapsamanın ses çıktıları için genişlediğini, ayrıca temel standartlar ve araçlar olgunlaştıkça metin dahil başka modalitelere de köken bilgisi önlemlerini yaymayı hedeflediğini söylüyor. Bunun yanında, kendi modelleri üzerine ürün geliştiren ve kendi şeffaflık yükümlülüklerini yerine getirmesi gereken geliştiriciler için ek sinyaller ve yönlendirmeler üzerinde çalıştığını aktarıyor. Böylece yükümlülük yalnızca model sağlayıcısında değil, üstüne uygulama inşa eden tarafta da daha görünür hale geliyor.
Yine de köken doğrulama konusu çözülmüş değil. Üstveri farklı platformlar arasında taşınırken kaybolabiliyor, etiketler her zaman korunmuyor ve ister kriptografik ister watermark temelli olsun, tek bir işaret her içeriği güvenilir biçimde yakalayamıyor. OpenAI bu boşluğu kapatan tek bir sihirli çözüm iddiasında bulunmak yerine katmanlı bir yaklaşımı savunuyor. Şirketin yaklaşımı, teknik sinyallerin bir araya getirilmesini ve daha geniş standart topluluğuyla süren çalışmaları birlikte ilerletmeye dayanıyor.
Siber güvenlik ise uyarlanabilir yönetişim için somut bir test alanı olarak öne çıkarılıyor. Savunmacıların açıkları tespit edip yamalamasına yardımcı olabilecek yetenekler, aynı zamanda saldırganların bu açıkları daha erken bulmasına da yarayabiliyor. OpenAI, bu denge için Trusted Access for Cyber programını öne sürüyor. Programın amacı, doğrulanmış savunma tarafına daha gelişmiş siber yeteneklere erişim vermek, buna karşılık kötüye kullanım riskini sınırlandırmak. Bu yaklaşım, güçlü model yeteneklerinin herkese aynı şekilde açılmaması fikrine dayanıyor.
Şirket, bu programın artık Avrupa’da da bir uygulama ayağı bulunduğunu belirtiyor. Açıklamaya göre EU Cyber Action Plan, Mayıs 2026’nın başında devreye alındı. Plan kapsamında AB ve ulusal siber kurumlar, özel sektör ortakları ve kritik altyapı işletmecileriyle çalışılarak daha gelişmiş siber modellere erişim sağlanıyor. İlan edilen hedef, kıta genelinde siber dayanıklılığı güçlendirmek. Ancak bu “en gelişmiş” yeteneklerin söz konusu kurumlarda ölçülebilir savunma kazanımlarına dönüşüp dönüşmediği konusunda bağımsız bir doğrulama sunulmuyor; mevcut çerçeve, esas olarak şirketin kendi beyanlarına dayanıyor.
OpenAI, bu çalışmaların Avrupa Komisyonu’nun Cybersecurity and Artificial Intelligence Action Plan yaklaşımıyla uyumlu olduğunu savunuyor. Söz konusu yaklaşım, AI’ın risklerinin koordine biçimde ele alınmasını ve aynı zamanda savunma kapasitesini güçlendirmek için kullanılmasını, özellikle siber güvenlik amaçlı güvenli erişim düzenlemeleriyle birlikte düşünmeyi öneriyor. Şirket de kendi programını bu çizgiye yerleştirerek, güçlü modellerin hem fayda hem de risk üretebildiği alanlarda kontrollü erişim modelini öne çıkarıyor.
Önümüzdeki dönemde OpenAI, AB AI Act uygulaması ilerledikçe uyum yaklaşımını güncellemeyi sürdüreceğini ifade ediyor. Şirket, düzenleyicilerden ve kuralların şekillenmesine katkı veren daha geniş topluluktan öğrenmeye devam edeceğini de ekliyor. Bununla birlikte mevcut belgeler tamamlanmış ve nihai bir paket olarak sunulmuyor. GPAI Code ile Transparency Code nispeten yeni araçlar olmaya devam ederken, uyum dokümantasyonu da hareketli bir hedef niteliğinde. Bu nedenle düzenlemeye tabi Avrupa pazarlarında OpenAI modelleri üzerine ürün geliştiren ekiplerin system card belgelerini ve Frontier Governance Framework’ü kendi inceleme süreçleri için başlangıç noktası olarak görmesi, ancak bunu bağımsız durum tespiti yerine koymaması gerekiyor.
