OpenAI a ajouté à ChatGPT un cookie analytique appelé « __obi » qui peut suivre les activités des utilisateurs sur d’autres sites internet. Le chercheur en cybersécurité Buchodi a étudié le mécanisme pendant des mois sur des milliers de sites et a déterminé que les recherches, les consultations ou les achats effectués sur le site d’un vendeur pouvaient être associés à un compte ChatGPT. Les cookies fonctionnent grâce à de petits fragments de données placés dans le navigateur ; les annonceurs les utilisent pour suivre les activités en ligne. Buchodi a indiqué que cette méthode est standard chez des entreprises comme Google et Meta, mais qu’elle a été observée pour la première fois dans un produit de conversation basé sur l’intelligence artificielle.
OpenAI a étendu à ces pays les tests publicitaires qu’elle a lancés aux États-Unis :
- Royaume-Uni
- Mexique
- Brésil
- Japon
- Corée du Sud
L’entreprise classe le traceur dans la catégorie « Analytique » plutôt que « Marketing ». La demande de Buchodi a été transmise aux unités concernées pour examen. Le mécanisme de suivi a été observé dans Chrome pour Android et semble n’être présent que dans les versions gratuites de ChatGPT.
Pourquoi c’est important
Cette évolution soulève la possibilité que l’utilisation de ChatGPT ne se limite pas au contenu des conversations, mais puisse être associée aux comportements de certains utilisateurs sur différents sites. Cette situation met notamment en avant les questions des objectifs de la collecte des données et des entités auxquelles elles sont associées, pour les personnes qui utilisent les versions gratuites et accèdent à internet via Chrome sur Android. Le classement du mécanisme dans la catégorie Analytique plutôt que Marketing crée une incertitude quant à la manière dont l’activité de suivi est expliquée à l’utilisateur et quant à la suffisance des processus de consentement. L’extension des tests publicitaires à différents pays transforme le sujet, qui n’est plus seulement une application technique, en une question de confidentialité concernant un public d’utilisateurs plus large. Toutefois, en l’absence de vérification indépendante des conclusions, l’étendue et la certitude de l’application restent incertaines.