ChatGPT volgt je buiten de chat: zo controleer en blokkeer je het
OpenAI koppelt via het __obi-cookie je ChatGPT-account aan webshops en externe websites. Zo controleer je het en bescherm je je privacy.
👁 118 keer gelezen
Beveiligingssite Niebezpiecznik bracht een reclamemechanisme van OpenAI aan het licht: op chatgpt.com ontstaat een unieke identificatiecode gekoppeld aan je account. Deze belandt in het cookie __obi op het domein .openai.com en wordt meegestuurd naar websites van bedrijven die advertenties inkopen bij ChatGPT. In de praktijk betekent dit dat een gesprek over je gezondheid of financiën en je surfgedrag in webshops aan elkaar gekoppeld kunnen worden. Je kunt dit zelf controleren in je browser - en beslissen hoe je ermee omgaat.
Wat betekent dit voor jouw privacy?
De technologie zelf is bekend: het zijn dezelfde trackingpixels die webwinkels al jarenlang gebruiken voor Meta en Google. Nieuw is het platform waarop dit draait. Mensen delen in ChatGPT zaken die ze nooit op sociale media zouden zetten: medische klachten, schulden of juridische conflicten. Volgens het onderzoek van Niebezpiecznik classificeert OpenAI __obi als een functioneel of analytisch cookie. Daardoor blijft het actief, zelfs als je marketingcookies weigert in de cookiebanner. Dat is een heikel punt: op “weigeren” klikken haalt hier mogelijk niets uit.
De praktische conclusie: wie ChatGPT gebruikt voor gevoelige onderwerpen, kan er niet meer van uitgaan dat deze gesprekken volledig geïsoleerd blijven van de rest van je internetactiviteit. Niet omdat iemand je chats publiceert, maar omdat je accountcontext en je surfgedrag niet langer strikt gescheiden werelden zijn.
Hoe het werkt: het trackingmechanisme in drie stappen
Uit de analyse van de onderzoeker blijkt een duidelijke keten:
- Op chatgpt.com wordt een accountgebonden ID aangemaakt en opgeslagen in het cookie
__obionder.openai.com, met het attribuutSameSite=Noneen een levensduur van een jaar. Juist die instellingSameSite=Nonezorgt ervoor dat het cookie meereist met verzoeken naar andere websites. - Een adverteerder integreert de SDK van OpenAI op zijn website, ingeladen vanaf
bzrcdn.openai.com. - Je browser koppelt
__obidirect aan het ophaalverzoek van dat script. Dat gebeurt meteen zodra je de pagina laadt, zonder dat je ergens op hoeft te klikken.
Bovendien werkt het systeem ook na uitloggen: een anonieme identifier blijft stabiel en blijft minimaal 27 dagen bewaard. Even uitloggen lost het probleem dus niet op.
Welke gegevens het OpenAI-SDK verzamelt
Volgens het onderzoek verzamelt de SDK data om identiteiten te koppelen: uit formuliervelden, paginateksten en de datalaag van tagmanagers (window.dataLayer). E-mailadressen en telefoonnummers worden gehasht met SHA-256. Land, regio, stad en postcode worden in platte tekst doorgestuurd.
Het hashen van een e-mailadres klinkt veilig, maar binnen adtech is dit de standaardmethode voor identificatie: hetzelfde e-mailadres levert via hetzelfde algoritme altijd dezelfde hash op, waardoor profielen tussen verschillende systemen naadloos samengevoegd kunnen worden. Dit is pseudonimisering, geen anonimisering.
In de geanalyseerde URL-paden vond de onderzoeker onder meer pagina’s over medische behandelingen, schuldhulpverlening en intakeformulieren voor juridische procedures. OpenAI hanteert weliswaar een uitsluitingslijst voor gevoelige velden (zoals wachtwoorden, creditcardnummers en medische dossiers), maar de URL zelf - waaruit precies blijkt welke specifieke pagina je bezoekt - valt niet onder die uitzondering.
De omvang van de steekproef: 936 advertentiepixels op 1029 domeinen, waaronder onderwijsplatform Coursera. De onderzoeker stelde op 14 september gerichte vragen aan OpenAI; de supportafdeling bevestigde de ontvangst, maar gaf op geen enkele inhoudelijke vraag antwoord.
Waarom je browser belangrijker is dan je ChatGPT-instellingen
De technische analyse werd uitgevoerd in Chrome op Android. Op een iPhone werkt het mechanisme niet, omdat alle iOS-browsers draaien op WebKit, dat cookies van derden standaard blokkeert. Dat leidt tot een opvallende conclusie: in dit geval biedt je hardware- en browserkeuze meer bescherming dan welke instelling binnen de AI-tool ook.
| Configuratie | Werkt het __obi-mechanisme? | Wat betekent dit voor jou? |
|---|---|---|
| Chrome op Android | Ja - bevestigd in de analyse | Handmatige actie vereist: blokkades, apart profiel of strikt cookiebeheer |
| Elke browser op iPhone (WebKit) | Nee - blokkeert cookies van derden standaard | Standaard beschermd tegen deze trackingketen |
| Chrome/Edge op desktop | Blijkt niet uit het onderzoek | Zelf verifiëren via onderstaande stappen - ga nergens blind van uit |
| Firefox, Safari op desktop | Blijkt niet uit het onderzoek | Beschikken over ingebouwde cookie-isolatie, maar controleer je eigen browser |
We benadrukken: voor desktopsystemen ontbreken concrete testresultaten in het bronmateriaal. We doen hier dan ook geen aannames over.
De AVG en de cookiemelding: waarom weigeren mogelijk niets uithaalt
Onder de Europese AVG (GDPR) is voorafgaande toestemming vereist voor alle niet-noodzakelijke cookies. Het juridische heidense karwei zit in de classificatie. Als OpenAI __obi indeelt als analytisch, terwijl de verzamelde data feitelijk wordt ingezet voor advertentietargeting en profielopbouw, dan stopt het weigeren van marketingcookies op een webshop mogelijk niet het meezenden van dit identificatiecookie.
Dit is geen formeel oordeel van toezichthouders zoals de Autoriteit Persoonsgegevens of de Gegevensbeschermingsautoriteit, maar een redactionele beoordeling op basis van de technische werking. Een officiële uitspraak van privacytoezichthouders is op dit moment niet bekend.
Voor bedrijven in Nederland en België brengt dit directe verantwoordelijkheid mee: wie de advertentie-SDK van OpenAI op zijn website plaatst, is medeverantwoordelijk voor de gegevens die vanuit formulieren en de dataLayer naar externe partijen stromen. Het is verstandig dit vooraf technisch door te lichten.
Wat kun je zelf doen om tracking te blokkeren?
- Controleer of het cookie aanwezig is. Ga naar chatgpt.com, open de ontwikkelaarstools (F12 op de desktop), navigeer naar het tabblad Application of Storage en kijk onder Cookies bij het domein
.openai.com. Zoek naar__obien controleer de vervaldatum en het SameSite-attribuut. - Controleer datalekken naar externe websites. Open in de ontwikkelaarstools het tabblad Network, surf naar een grote webshop of nieuwsdienst en filter op
openaienbzrcdn. Zie je een netwerkverzoek naarbzrcdn.openai.com? Klik erop en controleer in de headers ofCookie: __obiwordt meegestuurd. - Pas je privacy-instellingen in ChatGPT aan. Ga binnen ChatGPT naar Settings en loop de onderdelen voor gegevensbeheer en personalisatie na. Schakel opties rondom advertenties en accountpersonalisatie uit. OpenAI past deze benamingen regelmatig aan, dus loop het hele menu zorgvuldig na. Het brondocument bevestigt niet dat hiermee het cookie
__obizelf verdwijnt, maar het beperkt het dataverkeer. - Houd ChatGPT strikt gescheiden van je surfgedrag. Gebruik ChatGPT uitsluitend in een apart browserprofiel of via Firefox Multi-Account Containers. Dit is de enige methode die gegarandeerd werkt, ongeacht hoe OpenAI zijn cookies labelt.
- Blokkeer cookies van derden. In Chrome op Android: ga naar Instellingen, Privacy en beveiliging, en kies voor het blokkeren van cookies van derden. Overweeg daarnaast het domein
bzrcdn.openai.comte blokkeren via adblockers of op DNS-niveau (bijvoorbeeld via Pi-hole of NextDNS). - Verwijder bestaande cookies. Wis alle cookies voor
openai.comen stel je browser zo in dat cookies automatisch worden opgeruimd bij het afsluiten. Aangezien de anonieme id-code minstens 27 dagen actief blijft, volstaat alleen uitloggen niet. - Houd gevoelige invoer afgeschermd. Moet je informatie verwerken over gezondheid, schulden of juridische kwesties? Doe dat in een privévenster, via een afzonderlijk account of op een ander apparaat.
- Voor website-eigenaren: inventariseer alle externe scripts, controleer de variabelen in
window.dataLayeren zorg dat er geen persoonsgegevens zoals e-mailadressen of ordergegevens onbedoeld weglekken naar advertentienetwerken.
Een simpele knop in de instellingen lost dit niet op. Effectieve bescherming vraagt om isolatie: gebruik een apart profiel voor AI-tools, blokkeer third-party cookies en houd er rekening mee dat uitloggen je niet direct anoniem maakt.
Bron
Niebezpiecznik.pl: ChatGPT wie, co robisz w sklepach internetowych i śledzi Twoje ruchy na innych stronach, 21.09.2026. Gegevens over het aantal pixels, domeinen, cookieparameters en het uitblijven van een reactie van OpenAI zijn ontleend aan dit onderzoek. Tekst samengesteld op 8.10.2026.
More on this from HELDER
magazine·Vervangt AI SEO? De strijd die er eigenlijk niet isVervangt AI SEO of vullen ze elkaar juist aan? Waarom de strijd tussen zoekmachines en taalmodellen een mythe is en wat er echt verandert voor jouw bereik.