El sistema de medición publicitaria de OpenAI utiliza una cookie entre sitios llamada __obi, la cual permite vincular la actividad de un usuario en sitios web de anunciantes directamente con su cuenta de ChatGPT. Este mecanismo rastrea a los usuarios cuando visitan ChatGPT y posteriormente los redirige a OpenAI al cargar sitios que utilizan el píxel publicitario de la compañía.

El sistema de medición publicitaria de OpenAI parece utilizar una cookie entre sitios que puede vincular la actividad en los sitios web de los anunciantes con la cuenta de ChatGPT de una persona.

La cookie, llamada __obi, se crea en el momento en que un usuario visita ChatGPT y, posteriormente, la información puede ser enviada de vuelta a OpenAI cuando ese usuario carga sitios que ejecutan el píxel publicitario de OpenAI.

El mecanismo fue reproducido de forma independiente en un dispositivo móvil y se observó en 936 píxeles de anunciantes en 1.029 nombres de host. Se asemeja al seguimiento de conversiones entre sitios utilizado por las principales plataformas publicitarias. Sin embargo, su conexión con un servicio de IA plantea nuevas preguntas sobre la privacidad.

Cuando abres ChatGPT, el cliente genera un identificador aleatorio y solicita un token firmado de corta duración al backend de OpenAI. El token contiene un valor de sujeto vinculado a la cuenta, un identificador obi y una decisión de consentimiento marcada como analytics_allowed.

La cookie de seguimiento publicitario de ChatGPT rastrea a los usuarios

Luego, ChatGPT envía el token a bzr.openai.com, un recolector de publicidad de OpenAI que se cree utiliza el nombre interno “Bazaar”. El recolector responde estableciendo la cookie __obi para el dominio .openai.com.

La cookie está configurada con SameSite=None y Secure, lo que permite que los navegadores la incluyan en solicitudes entre sitios. También tiene una vida útil máxima de un año.

Esta configuración hace que __obi sea diferente de otras cookies de OpenAI, que según se informa, eran bloqueadas durante las solicitudes de terceros debido a restricciones de dominio o configuraciones de SameSite=Lax.

Los anunciantes que compran anuncios de ChatGPT pueden añadir el píxel de medición de OpenAI a sus sitios web. El píxel carga código de la infraestructura de OpenAI y envía eventos de conversión a bzr.openai.com.

Cuando un visitante ya tiene la cookie __obi, el navegador puede adjuntar el identificador a esas solicitudes automáticamente. Eso significa que OpenAI puede recibir información sobre las páginas que visitas en sitios de anunciantes externos, incluyendo páginas de productos, URLs de artículos, embudos de compra y eventos de conversión.

Aunque las cadenas de consulta fueron eliminadas de las URLs observadas, las rutas de las páginas permanecieron visibles. Según se informa, esas rutas incluían páginas relacionadas con condiciones médicas, soluciones de deuda y servicios de asesoría legal.

El software publicitario también recopila datos de las páginas de los anunciantes. Puede recibir datos pasados intencionadamente por los anunciantes y puede extraer información de formularios, contenido renderizado de la página y sistemas de gestión de etiquetas.

Según Buchodi, los datos observados incluían direcciones de correo electrónico hash, números de teléfono, nombres y campos relacionados con la ubicación. El país, la región, la ciudad y el código postal podrían transmitirse en texto plano.

Se informa que el píxel de OpenAI monitorea el window.dataLayer, la capa de datos de Adobe y las capas de Google Tag Manager renombradas. En el tráfico observado, la información de identidad extraída automáticamente apareció con más frecuencia que los datos proporcionados por el anunciante.

El rastreo puede funcionar incluso cuando no has iniciado sesión. Los usuarios anónimos reciben un identificador de sujeto vinculado al dispositivo que se mantuvo estable durante al menos 27 días. Sin embargo, el mecanismo se probó principalmente en Chrome para Android.

La Prevención de Rastreo Inteligente de Safari bloquea las cookies de terceros, lo que significa que el método de rastreo no debería funcionar en Safari ni en navegadores de iOS basados en WebKit.

La política de cookies de OpenAI enumera a __obi como una cookie de análisis, no como una cookie de marketing. Los tokens de sincronización observados se emitieron cuando se concedió el consentimiento de análisis, incluso en casos donde, según se informa, se había denegado el consentimiento de marketing.

OpenAI reconoció una consulta de privacidad, pero no proporcionó una respuesta detallada sobre la clasificación o el comportamiento del consentimiento en el momento del informe.