Pixel OpenAI : faut-il s'inquiéter du cookie __obi ?

Pixel OpenAI : que révèle l'analyse du 20 septembre 2026 ?

Le pixel OpenAI ne se contente pas de mesurer les conversions des publicités ChatGPT : d'après le chercheur en sécurité Buchodi, il permet aussi à OpenAI de reconnaître un utilisateur de ChatGPT lorsqu'il visite un site annonceur. Son analyse technique, publiée le 20 septembre 2026, décrit un cookie nommé __obi, rattaché au domaine openai.com, valable un an et conçu pour circuler d'un site à l'autre.

Concrètement, dès qu'un internaute connecté à ChatGPT ouvre une page équipée du pixel, son navigateur renvoie ce cookie aux serveurs d'OpenAI avec les données collectées sur la page. Le chercheur a recensé 936 pixels d'annonceurs distincts répartis sur 1 029 noms de domaine, dont ceux de Chewy, Wayfair, ThriftBooks, Eventbrite, HelloFresh, Coursera et SeatGeek.

Trois constats ressortent de ses relevés, réalisés sur ses propres tests et non vérifiés à ce jour par un tiers indépendant :

• Plus de données aspirées que transmises : le script a récupéré davantage d'informations d'identité en lisant lui-même les formulaires et le texte des pages (685 événements) que les annonceurs n'en avaient volontairement transmis (255 événements).
• Des pages sensibles concernées : des chemins d'URL liés à une pathologie médicale, à un parcours de rachat de dettes et à un formulaire de litige ont été observés.
• Un classement contesté : tous les jetons décodés portaient la mention « analytics_allowed », y compris quand l'utilisateur avait accepté la mesure d'audience mais refusé le marketing.

OpenAI, contacté par le chercheur le 14 septembre, n'a pas répondu à ses deux questions, selon Buchodi et Notebookcheck. À la date de publication de cet article, aucune autorité de protection des données n'a communiqué sur le sujet.

Comment fonctionne le cookie __obi, étape par étape ?

Le cookie __obi fonctionne comme un badge d'identification partagé entre ChatGPT et les sites annonceurs. Le mécanisme décrit par Buchodi se déroule en trois temps, tous invisibles pour l'utilisateur.

• Étape 1, le jeton : ChatGPT génère un jeton signé (un JWT, sorte de laissez-passer numérique chiffré) qui associe un identifiant aléatoire à votre compte. Ce jeton expire au bout de 60 secondes.
• Étape 2, le cookie : le jeton est envoyé à bzr.openai.com, qui dépose le cookie __obi sur le domaine .openai.com, avec une durée de 31 536 000 secondes (un an) et le réglage « SameSite=none » qui l'autorise à voyager entre sites.
• Étape 3, la collecte : quand vous visitez un site qui charge le script bzrcdn.openai.com/sdk/oaiq.min.js, votre navigateur renvoie automatiquement __obi à OpenAI, accompagné des événements mesurés sur la page.

Ce que le pixel transmet est documenté par OpenAI lui-même. Selon la documentation officielle du Measurement Pixel, l'e-mail, le téléphone, le prénom, le nom et l'identifiant client sont hachés en SHA-256 dans le navigateur (transformés en empreinte illisible). En revanche, le pays, la ville, la région et le code postal partent en clair.

Point technique important : le suivi via __obi repose sur un cookie tiers. Notebookcheck précise que le mécanisme fonctionne surtout sur Chrome, en particulier sur Android, tandis que les navigateurs WebKit (Safari sur iPhone et iPad) bloquent ce type de cookie par défaut. Le chercheur indique aussi qu'un visiteur déconnecté reste repérable grâce à des identifiants anonymes stables pendant au moins 27 jours.

Actualité IA · Septembre 2026

Pixel OpenAI et cookie __obi : ce que montre l'analyse de Buchodi

• 1 an durée de vie du cookie __obi, lié au compte ChatGPT
• 936 pixels d'annonceurs repérés sur 1 029 domaines
• 685 / 255 événements d'identité aspirés par le script / transmis par l'annonceur
• 27 jours minimum de suivi d'un visiteur déconnecté

Envoyé haché (SHA-256)

• E-mail
• Téléphone
• Prénom
• Nom
• ID client

Envoyé en clair

• Code postal
• Ville
• Région
• Pays

À retenir : par défaut, le pixel OpenAI démarre avec un consentement réglé sur « true ». En France, c'est à l'annonceur de le bloquer tant que le visiteur n'a pas accepté les cookies publicitaires.

Télécharger l'infographie (PNG)

ChatGPT Ads en France : où en est la publicité d'OpenAI ?

La publicité dans ChatGPT est disponible en France depuis le 24 août 2026, dans le cadre d'un déploiement sur 31 marchés européens. OpenAI a ensuite ouvert l'accès en libre-service via son Ads Manager, selon son annonce mise à jour le 31 août. Les annonces s'affichent uniquement aux utilisateurs des offres Free et Go ; les abonnés Plus, Pro, Business et Enterprise n'en voient pas.

Le rythme est rapide. Le premier test avait été annoncé en janvier 2026 aux États-Unis, ce que nous décrivions alors dans notre article sur le test de la publicité dans ChatGPT par OpenAI. Le 31 août 2026, OpenAI a annoncé que ChatGPT Ads avait atteint 1 milliard de dollars de revenus annualisés (environ 870 millions d'euros) en moins de 200 jours, avec des dizaines de milliers d'annonceurs et plus de 50 partenaires techniques.

Pour l'Europe, OpenAI a fait un choix prudent au lancement : pas de publicité personnalisée dans l'Espace économique européen et en Suisse. La sélection des annonces repose sur la conversation en cours, la localisation et la langue. C'est précisément ce qui rend l'affaire __obi délicate : un outil de mesure qui relie la navigation au compte ChatGPT sort du cadre « non personnalisé » que beaucoup d'annonceurs européens avaient compris.

• Audience : plus d'un milliard d'utilisateurs hebdomadaires de ChatGPT revendiqués par OpenAI fin août 2026.
• Achat média : enchères au CPM (coût pour mille affichages) et au CPC (coût par clic), ce dernier représentant l'essentiel des dépenses selon Digiday.
• Mesure : pixel OpenAI (OpenAI Pixel), API Conversions côté serveur et intégrations de mesure tierces.

Analytics ou marketing : pourquoi le classement du cookie pose problème

Le cœur de la polémique tient à une case : __obi serait traité comme un cookie de mesure d'audience (« analytics ») alors qu'il sert à relier un compte ChatGPT à des visites sur des sites tiers. En France, cette distinction n'est pas cosmétique, elle détermine si le consentement est obligatoire ou non.

La CNIL admet qu'un traceur de mesure d'audience soit exempté de consentement, mais à des conditions strictes. Il doit servir uniquement à mesurer l'audience du site pour le compte de son éditeur, produire des statistiques anonymes et ne pas permettre de suivre la navigation d'une personne sur plusieurs sites. La CNIL recommande aussi une durée de vie d'environ 13 mois pour ces cookies.

Un identifiant qui suit un internaute d'un site annonceur à l'autre et le rattache à un compte nominatif ne coche aucune de ces cases. Quelle que soit l'étiquette que lui donne OpenAI, un site français qui déclencherait le pixel OpenAI sans accord préalable du visiteur s'exposerait donc à un manquement. Précision importante : nous ne disposons pas, à ce jour, de réponse officielle d'OpenAI ni d'analyse d'une autorité de contrôle. Les constats de Buchodi restent ceux d'un chercheur indépendant.

Le débat n'est pas propre à OpenAI. Les pixels de Meta, TikTok ou Google Ads posent des questions similaires depuis des années. La différence, c'est que ChatGPT est devenu un outil de travail quotidien, où beaucoup confient des informations professionnelles et personnelles. La confiance est son principal actif.

Ce que risque un annonceur français qui installe le pixel

En droit français, c'est l'éditeur du site qui répond du dépôt des traceurs sur les terminaux de ses visiteurs, y compris ceux de ses partenaires publicitaires. Si vous ajoutez le pixel OpenAI à votre site vitrine ou à votre boutique, sa conformité devient votre sujet, pas seulement celui d'OpenAI.

Le danger principal se trouve dans la documentation même d'OpenAI : le pixel initialise le consentement à « true » par défaut, sauf si vous le réglez sur « false ». Un pixel OpenAI collé tel quel dans l'en-tête d'un site, sans passer par la plateforme de gestion du consentement (CMP), enverra donc des données dès la première page vue.

• Risque de conformité : dépôt de traceurs publicitaires sans consentement, catégorie régulièrement sanctionnée par la CNIL.
• Risque de données sensibles : la correspondance automatique lit les champs de formulaire, ce qui peut capter des informations sur des pages santé, crédit ou juridique.
• Risque d'image : un client qui découvre qu'une visite sur votre site a été reliée à son compte ChatGPT ne fera pas la différence entre vous et OpenAI.

Chez Digital-m, lors des audits de sites que nous menons pour des PME et des e-commerçants, nous tombons régulièrement sur des pixels publicitaires rangés dans la catégorie « mesure d'audience » du bandeau cookies, souvent par simple copier-coller d'un tutoriel. Avec un nouveau pixel comme celui d'OpenAI, ce réflexe risque de se reproduire à grande échelle.

Comment installer le pixel OpenAI sans se mettre en faute ?

Vous pouvez utiliser ChatGPT Ads et mesurer vos conversions en restant dans les clous, à condition de paramétrer le pixel OpenAI vous-même au lieu de faire confiance aux réglages par défaut. Voici la méthode que nous recommandons à nos clients.

• Bloquer par défaut : appelez oaiq("consent", false) avant l'initialisation, puis passez à true uniquement quand le visiteur accepte les cookies publicitaires, comme le prévoit la documentation OpenAI.
• Déclarer OpenAI dans la bonne catégorie : rangez le pixel dans « publicité » ou « marketing » de votre CMP, jamais dans « mesure d'audience ».
• Exclure les pages sensibles : ne chargez pas le script sur les formulaires de santé, de financement, de réclamation ou d'espace client.
• Préférer le côté serveur : l'API Conversions permet de n'envoyer que les événements utiles (commande, lead) après consentement, sans laisser un script lire toute la page.
• Vérifier dans le navigateur : ouvrez l'onglet Réseau des outils développeur, refusez les cookies, et contrôlez qu'aucune requête ne part vers bzr.openai.com.
• Mettre à jour la politique de confidentialité : citez OpenAI parmi les destinataires des données et précisez la finalité publicitaire.

Ce contrôle prend une trentaine de minutes sur un site WordPress bien tenu. Si votre site accumule les scripts de suivi au fil des campagnes, un audit technique complet est plus prudent : c'est l'un des points que l'équipe GEO et SEO de Digital-m vérifie systématiquement avant tout lancement publicitaire.

Et côté réglementation européenne ?

Le sujet s'ajoute aux obligations de transparence qui pèsent déjà sur les acteurs de l'IA, détaillées dans notre article sur l'article 50 de l'AI Act entré en application le 2 août 2026. L'AI Act ne régit pas les cookies, qui relèvent du RGPD et de la directive ePrivacy, mais il renforce l'attention des régulateurs européens sur les pratiques des grands fournisseurs de modèles.

Publicité ChatGPT et GEO : payer ne remplace pas être cité

La publicité dans ChatGPT et la visibilité organique dans ses réponses sont deux canaux séparés. OpenAI l'affirme noir sur blanc : « Advertising does not influence the answers ChatGPT provides ». Acheter des annonces et installer le pixel OpenAI ne vous fera donc pas citer dans les réponses générées, et ne pas en acheter ne vous pénalise pas.

C'est une bonne nouvelle pour les PME au budget serré. Les annonces ne touchent que les comptes Free et Go, alors que les réponses organiques s'adressent à tous les utilisateurs, abonnés payants compris. Et le même travail de fond sert ailleurs : les réponses de Gemini, Perplexity, Mistral Le Chat, Grok ou Claude obéissent à leurs propres logiques de citation, sur lesquelles aucune enchère ne joue.

Pour être recommandé par les assistants IA, les leviers restent les mêmes : contenus structurés, données originales, avis clients et surtout les mentions de marque, premier levier GEO en 2026. Si vous hésitez encore sur l'offre à utiliser en interne, notre comparatif ChatGPT gratuit ou payant rappelle aussi quelles formules affichent de la publicité.

Notre conseil de terrain : testez ChatGPT Ads si votre cible y passe du temps, mais ne sacrifiez pas le budget de contenu. Une annonce s'arrête le jour où la campagne s'arrête, une citation organique continue de travailler.

Ce qu'il faut retenir

Le pixel OpenAI est l'outil officiel de mesure des conversions de ChatGPT Ads, disponible en France depuis le 24 août 2026. L'analyse de Buchodi, publiée le 20 septembre, affirme qu'un cookie __obi d'un an relie la navigation sur les sites annonceurs au compte ChatGPT, et qu'il serait classé en « analytics ». OpenAI n'a pas encore répondu publiquement.

• Pour les internautes : bloquer les cookies tiers suffit à empêcher l'envoi de __obi vers les sites annonceurs.
• Pour les annonceurs : réglez le consentement du pixel sur false par défaut, classez-le en marketing et excluez vos pages sensibles.
• Pour votre visibilité : la publicité n'influence pas les réponses de ChatGPT, le GEO reste le seul moyen d'y être cité durablement.

Vous prévoyez de lancer des campagnes ChatGPT Ads ou vous voulez savoir si les pixels déjà présents sur votre site sont conformes ? Contactez Digital-m pour un audit de vos traceurs et de votre visibilité dans les IA. Et pour monter en compétence en interne, notre formation GEO certifiée Qualiopi couvre aussi les nouveaux canaux publicitaires des assistants.