ChatGPT-advertenties: targeting op e-mail, telefoon en prompts
Een test van 404 Media laat zien hoe adverteerders ChatGPT-gebruikers kunnen bereiken via klantgegevens en gespreksonderwerpen.
👁 117 keer gelezen
Journalisten van 404 Media deden iets wat redacties volgens hen niet eerder hadden gedaan: in plaats van OpenAI te vragen hoe advertenties in ChatGPT worden getarget, werden ze zelf adverteerder. Ze kochten twee campagnes, doorliepen het dashboard en beschreven welke velden ze moesten invullen. De advertentietekst was op de best journalistieke manier uitdagend: “ChatGPT is niet privé. OpenAI heeft mensen in dienst die chats van gebruikers lezen” - een vertaling van de oorspronkelijke Engelse advertentietekst, met een link naar hun eerdere onderzoek naar Project Lily.
Uit dit experiment blijkt een aantal dingen die niet uit de officiële documentatie zijn af te leiden. Het belangrijkste: een adverteerder in ChatGPT kiest niet alleen abstracte interessecategorieën, maar kan ook een lijst met specifieke mensen uploaden - op basis van e-mailadres, telefoonnummer of de advertentie-ID van een Android-telefoon. Bovendien kan de adverteerder aangeven bij welke gesprekken de advertentie mogelijk relevant is.
Drie soorten identificatiegegevens en één drempel
Ik heb geteld hoeveel verschillende identificatiegegevens OpenAI van adverteerders accepteert, want daar draait het om. Het zijn vijf varianten in drie categorieën: gewone e-mailadressen, gehashte e-mailadressen, gewone telefoonnummers, gehashte telefoonnummers en Android Advertising ID. Met gewone gegevens bedoel ik wat je zou verwachten: de adverteerder plakt echte e-mailadressen en telefoonnummers in het OpenAI-dashboard. OpenAI controleert vervolgens welke daarvan bij echte ChatGPT-accounts horen. Die mensen kunnen daarna worden getarget.
Een tweede belangrijk punt is de drempel. Om een lijst te gebruiken om mensen aan een campagne toe te voegen, moet die meer dan 25.000 records bevatten. Onder die grens kun je de lijst alleen gebruiken om mensen uit te sluiten. Formeel is deze drempel een bescherming tegen het targeten van individuele personen. Tegelijk betekent ze dat alleen partijen met een bestand van minstens 25.000 records het systeem kunnen gebruiken. Een doorsnee webwinkel heeft zo’n bestand waarschijnlijk niet. Een incassobedrijf, kredietverstrekker of databroker mogelijk wel.
De omvang van die minimale lijst is relevant: de drempel ligt op meer dan 25.000 records. Dat is de toegangseis voor een systeem waarmee een adverteerder specifieke mensen een boodschap kan tonen wanneer ze met een chatbot over hun problemen praten.
Context hints: advertenties bij onderwerpen waar je naar vraagt
Het tweede element dat 404 Media in de praktijk onderzocht, is het veld ‘context hints’. OpenAI omschrijft het als volgt:
“Beschrijf gesprekken, onderwerpen of zoekwoorden waarbij je producten of diensten relevant kunnen zijn. Deze hints sturen de matching, maar zijn geen regels voor een exacte match.” - vertaling van de door 404 Media geciteerde advertentiedocumentatie van OpenAI, te vinden bij 404 Media
De journalisten vulden in dat de advertentie relevant kon zijn voor mensen die zoeken naar privacy, de privacy van ChatGPT-chats en actuele onderwerpen rond technologie en AI. De advertentie werd getoond. Dat betekent dat de inhoud van prompts - wat gebruikers in het chatvenster typen terwijl ze ervan uitgaan dat ze privé met een machine praten - als signaal kan dienen voor advertenties. Niet noodzakelijk als letterlijk zoekwoord, maar wel als signaal.
Zach Edwards van DecryptAds, een bedrijf dat gegevens over online advertenties verzamelt voor onderzoek, zei tegen 404 Media dat de advertentieproducten van OpenAI werken zoals die van veel grote bedrijven die hun publiek te gelde maken: ze koken de kikker langzaam en hopen dat gebruikers de gevolgen voor hun privacy niet opmerken.
Hoe verhoudt ChatGPT zich tot Google en Meta?
Een eigen klantenlijst uploaden naar een advertentiesysteem is geen uitvinding van OpenAI. Google noemt dit Customer Match en Meta gebruikt de naam Custom Audiences. Ik heb de drie platforms vergeleken op basis van de gegevens die je kunt uploaden en de minimumdrempel.
| Platform | Geaccepteerde identificatiegegevens | Minimumaantal op de lijst | Signaal uit inhoud |
| ChatGPT (OpenAI) | Gewone en gehashte e-mailadressen, gewone en gehashte telefoonnummers, Android Advertising ID | 25.000 om mensen toe te voegen; geen minimum om mensen uit te sluiten | Inhoud van prompts via context hints |
| Google Ads | Gehasht e-mailadres, gehashte telefoon, adresgegevens, mobiele identificatiegegevens | Ongeveer 1.000 gematchte personen | Zoekgeschiedenis en activiteit in Google-diensten |
| Meta Ads | Gehasht e-mailadres, gehashte telefoon, adresgegevens, mobiele identificatiegegevens | Ongeveer 100 als uitgangspunt | Activiteit in apps en op websites met een pixel |
Het opvallende verschil is dat OpenAI volgens de test ook gewone e-mailadressen en telefoonnummers accepteert. Google en Meta vereisen al jaren dat adverteerders gegevens zelf hash-en voordat ze die uploaden. Het platform ziet dan niet het oorspronkelijke adres, maar alleen de hash. Dat is geen detail, maar een vorm van dataminimalisatie. Volgens de test van 404 Media kun je bij OpenAI gegevens in leesbare vorm invoeren. Dat betekent dat het bedrijf de contactgegevens van de adverteerder ontvangt en ze zelf vergelijkt met zijn gebruikersbestand.
Een tweede verschil is de drempel. De lagere drempels bij Google en Meta lijken op het eerste gezicht ongunstiger voor de privacy, maar deze platforms hebben ook andere waarborgen, zoals beperkingen op targeting op basis van gevoelige categorieën, toestemmingsvereisten en audits. Bij OpenAI is de drempel van 25.000 de belangrijkste zichtbare beperking en tegelijk een filter dat vooral grote partijen toegang geeft.
Wat betekent dit onder de AVG?
Voor het Europese recht zijn drie bepalingen van belang. Artikel 6 van de AVG vereist een rechtsgrond voor elke verwerking. Bij advertentietargeting op basis van gematchte klantenlijsten vinden toezichthouders in de EU volgens de aangehaalde redenering doorgaans dat een beroep op gerechtvaardigd belang alleen niet volstaat en dat toestemming nodig is. Artikel 5, lid 1, onder c, vereist dataminimalisatie. Het is moeilijk te verdedigen om gewone e-mailadressen te accepteren als een cryptografische hash volstaat. Artikel 22 gaat over geautomatiseerde besluitvorming.
Er is nog een kwestie waarover bij advertenties in ChatGPT weinig wordt gesproken: wie is de verwerkingsverantwoordelijke voor de lijst die een adverteerder uploadt? Als een incassobedrijf 40.000 telefoonnummers van zijn klanten uploadt om hun een advertentie in een chatbot te tonen, verwerkt het die gegevens voor een doel waarvoor die mensen mogelijk nooit toestemming hebben gegeven. De verantwoordelijkheid ligt bij de adverteerder, maar OpenAI is niet zomaar een onschuldige tussenpersoon als het de lijst ontvangt en controleert.
Op 16 oktober 2026 was er geen openbare aankondiging van een procedure tegen OpenAI over het advertentiesysteem door de Poolse toezichthouder. Dat is een Pools gegeven en zegt op zichzelf niets over toezicht in andere Europese landen. Volgens de oorspronkelijke berichtgeving heeft OpenAI zijn Europese hoofdkantoor in Ierland; binnen het one-stop-shop-mechanisme is de Ierse Data Protection Commission de leidende toezichthouder. De Italiaanse privacytoezichthouder Garante legde OpenAI in een zaak rond ChatGPT uit 2023 een boete van 15 miljoen euro op. Die zaak ging over de rechtsgrond voor het trainen van modellen, niet over advertenties.
Google · Jouw bronnenHoger in Google - met één klikToevoegen aan voorkeursbronnen →Wat kun je doen voordat er een besluit valt?
OpenAI introduceerde ChatGPT-advertenties in februari in de Verenigde Staten en breidt ze geleidelijk uit naar andere markten. Advertenties worden getoond aan gebruikers van de Free- en Go-abonnementen en sinds deze maand ook bij het genereren van afbeeldingen. De beschikbaarheid verschilt per markt; controleer bij OpenAI of advertenties al voor jou gelden.
Praktisch gezien kun je in de instellingen van je ChatGPT-account naar Data Controls gaan en de opties voor personalisatie en het gebruik van je gesprekken om het model te verbeteren controleren. Als je de tweede optie uitschakelt, verdwijnen de advertenties niet, maar beperk je wel wat verder wordt verwerkt. Als je het Free-abonnement hebt, is overstappen naar Plus de technisch eenvoudigste manier om advertenties te vermijden: dat kost 20 dollar per maand, naar schatting ongeveer 17,77 euro. Op jaarbasis komt dat neer op ongeveer 213,28 euro. Dit zijn wisselkoersschattingen, geen lokale checkoutprijzen en geen bevestiging dat de bedragen inclusief btw zijn. De werkelijke prijs kan per markt verschillen.
Wisselkoersnotitie: de eurobedragen zijn omgerekend met 1 euro = 1,1253 dollar, de ECB-referentiekoers van 16 oktober 2026. Bron: ECB.
Een tweede concreet punt: beschouw het e-mailadres waarmee je je ChatGPT-account hebt aangemaakt als een advertentie-identificatie, want het kan daarvoor worden gebruikt. Als je hetzelfde adres gebruikt voor nieuwsbrieven, loyaliteitsprogramma’s en webwinkels, kunnen bedrijven met een bestand van meer dan 25.000 records je mogelijk ook in ChatGPT terugvinden. Een apart e-mailadres voor chatbots kan dan een praktische voorzorgsmaatregel zijn.
Ten derde: als je ChatGPT op Android gebruikt, kun je in de systeeminstellingen de advertentie-ID verwijderen. Daarmee schakel je een van de vijf door 404 Media beschreven manieren van targeten uit.
Tot slot het punt dat mij in dit verhaal het meest zorgen baart. Mensen stellen ChatGPT vragen over ziekteverschijnselen, scheidingen, schulden en de vraag of hun werkgever de wet overtreedt. Ze doen dat omdat een gesprek met een model niet voelt als een gesprek met een mens en daardoor minder snel een gevoel van discretie oproept. De test van 404 Media laat zien dat het verstandig is die terughoudendheid weer aan te scherpen - niet omdat er aan de andere kant per se iemand met kwade bedoelingen zit, maar omdat er nu ook een advertentiedashboard is met een veld waarin adverteerders kunnen beschrijven bij welke gesprekken hun advertentie moet verschijnen.
Feiten gecontroleerd op 16 oktober 2026. Bronnen: 404 Media - How ChatGPT Targets Ads To You Based On Your Prompts, Phone Number, and Email, AVG-verordening op EUR-Lex, Garante per la protezione dei dati personali, Google Ads - Customer Match.
More on this from HELDER
