El pixel de ChatGPT Ads vincula la navegación en sitios de anunciantes con cuentas de ChatGPT, según un análisis de 936 pixels

El investigador de seguridad Buchodi publicó el 20 de septiembre de 2026 un análisis técnico del Measurement Pixel de OpenAI, el código que los anunciantes de ChatGPT Ads instalan en sus sitios para medir conversiones. Su conclusión: una cookie llamada __obi, ligada a la cuenta de ChatGPT, permite a OpenAI conectar lo que una persona hace en sitios de anunciantes con su identidad en ChatGPT, algo que los propios anunciantes no pueden ver desde sus scripts.

El hallazgo llega pocas semanas después de que ChatGPT Ads superara los 1.000 millones de dólares de run rate anualizado y de que HubSpot se convirtiera en el primer CRM integrado con esa plataforma publicitaria. Para cualquier equipo de marketing que ya esté midiendo campañas en ChatGPT, la pregunta dejó de ser solo de atribución y pasó a ser de gobierno de datos.

¿Qué encontró exactamente el análisis del pixel de OpenAI?

El estudio revisó 936 pixels de anunciantes distintos en 1.029 hostnames y observó a 12 sitios comerciales enviando el identificador __obi a OpenAI. Entre los sitios mencionados figuran Chewy, Wayfair, ThriftBooks, Eventbrite, HelloFresh, Coursera y SeatGeek. El investigador decodificó 932 tokens de sincronización: 736 asociados a cuentas y 196 anónimos.

• El script se carga desde bzrcdn.openai.com y envía eventos a bzr.openai.com.
• La identidad se obtiene por cuatro vías: valores que entrega el anunciante, lectura de campos de formularios, texto visible de la página e interceptación del bus del gestor de etiquetas.
• La identidad obtenida por lectura automática superó a la entregada por el anunciante: 685 eventos contra 255.
• Se observaron datos con hash (correo, teléfono, nombre) y datos en texto claro (país, región, ciudad y código postal). La extracción de código postal apareció en 28 sitios.

¿Qué dice la documentación oficial de OpenAI sobre el pixel?

La documentación para desarrolladores de OpenAI describe el Measurement Pixel como un SDK para enviar eventos de conversión desde páginas web, con eventos estándar como order_created y lead_created. Indica que el pixel detecta automáticamente información de clientes compatible en el sitio y la convierte con hash SHA-256, y afirma que la información de clientes en bruto no se envía a OpenAI mediante la coincidencia avanzada automática.

La misma documentación señala un punto que los equipos de cumplimiento deben mirar con atención: el pixel inicializa el consentimiento en verdadero por defecto, salvo que el anunciante lo configure explícitamente antes de cargarlo. El análisis de Buchodi agrega que una persona que acepta cookies analíticas pero rechaza las de marketing igual recibe el identificador.

¿Qué respondió OpenAI?

Según el investigador, el soporte de OpenAI acusó recibo de la consulta, indicó que las observaciones serían compartidas internamente para revisión y no respondió las preguntas planteadas. Notebookcheck, que replicó el hallazgo el 21 de septiembre, agrega que la cookie tiene una duración de un año y que los navegadores basados en WebKit, como Safari en iPhone y iPad, bloquean este mecanismo. Hasta la publicación de esta nota no hay un comunicado oficial de OpenAI sobre el tema.

Análisis de Revenue Hub

Para las empresas en Chile y Latinoamérica que están probando ChatGPT Ads, esta noticia no es un motivo para abandonar el canal, pero sí para dejar de instalar pixels como si fueran inofensivos. Un pixel que lee formularios y texto de la página por su cuenta convierte al anunciante en responsable de un flujo de datos que no diseñó ni puede auditar desde su propio sitio. En Chile, la Ley 21.719 de protección de datos personales entra en vigencia en diciembre de 2026 y eleva el estándar de consentimiento y transparencia justo cuando estos canales empiezan a escalar.

La recomendación concreta es tratar cada pixel publicitario como un proveedor de datos. Esta semana conviene revisar tres cosas: que el pixel de OpenAI se cargue solo después de la elección de consentimiento de marketing, no de la analítica; que la coincidencia automática esté desactivada en páginas con formularios sensibles y se envíen solo los campos que el equipo decida; y que la medición crítica viaje por integración servidor a servidor desde el CRM, con eventos y campos controlados. Si la atribución vive en el CRM, el pixel pasa a ser un complemento y no la fuente de verdad.

El patrón es el mismo que vimos con Meta y Google hace años: los canales nuevos crecen primero y ordenan su privacidad después. Quien mida ChatGPT Ads desde una arquitectura de datos propia podrá seguir invirtiendo sin sobresaltos cuando cambien las reglas. Seguimos este tema en marketing y demanda, revisamos la integración de ChatGPT Ads con el CRM en noticias de HubSpot y publicamos criterios de arquitectura de datos comerciales en el blog de Revenue Hub.