ChatGPT følger deg på andre nettsteder: Slik kobler OpenAI nettlesingen din til kontoen

Kapselen heter `__obi`, og den ble kartlagt av en uavhengig sikkerhetsforsker som opererer under navnet Buchodi. Ifølge analysen, som ble publisert 21. september 2026, settes kapselen når du bruker ChatGPT og sendes deretter automatisk med når du besøker nettbutikker og andre kommersielle sider som har installert OpenAIs annonsepiksel.

Det spesielle med `__obi` er at den er satt opp med `SameSite=None` og `Secure`. Blant OpenAIs egne kapsler er den den eneste som er konfigurert slik at nettleseren tar den med i forespørsler til andre nettsteder. Levetiden er ett år.

Slik virker sporingen

Prosessen starter på chatgpt.com. Tjenesten genererer en tilfeldig identifikator og signerer en JSON Web Token (JWT) som er gyldig i 60 sekunder. Ifølge den tekniske gjennomgangen binder tokenet identifikatoren til brukerens permanente interne konto-ID, kalt `sub`, før den skrives inn i `__obi`-kapselen på `.openai.com`.

Selve annonseinfrastrukturen kjører gjennom et internt system kalt Bazaar, med endepunktet `bzr.openai.com`. Nettbutikkene som er med i ordningen, laster inn en JavaScript-SDK ved navn `oaiq.min.js`, som henter data fra sidenes egne datalag (`window.dataLayer`, Adobes datalag og Google Tag Manager) og sender det tilbake sammen med kapsel-ID-en.

Les også: Elbilbatteriet svikter etter garantitiden: Slik unngår du en regning på over 100.000 kroner

Hva OpenAI faktisk samler inn

Ikke alt sendes i klartekst. E-poster, telefonnumre og navn krypteres med SHA-256 før overføring. Men en rekke andre opplysninger går uskjult over ledningen: land, region, by, postnummer og sti-delen av URL-en du befinner deg på.

Buchodis analyse dekket 936 annonsepiksler fordelt på 1.029 vertsnavn, med en Chrome-nettleser på Android som testenhet. Én enkelt identifikator ble observert å nå OpenAI fra 12 kommersielle nettsteder, blant dem Chewy, Wayfair, HelloFresh og Coursera. Enda mer følsomt: sporingen ble sett i trafikkstrømmer knyttet til medisinske tilstander, gjeldsordninger og juridiske henvendelser.

Omtrent én av fem ChatGPT-økter produserte et såkalt sync-token som knyttet nettleseren sammen med kontoen din. Anonyme enhetsidentifikatorer holdt seg stabile i minst 27 dager.

Krangelen om kategorien

OpenAI oppgir `__obi` som en analytics-kapsel i sin egen kapselpolicy, ikke som en marketing-kapsel. Det er ikke en teknisk detalj: skillet avgjør hvilken samtykkeboks den havner under når du får spørsmål om kapsler på ChatGPT.

Les også: Disse tingene bør aldri sendes på WhatsApp: Én melding kan gi svindlere tilgang til alt

Alle de 932 tokenene som ble dekodet i analysen, bar verdien `consent_decision: analytics_allowed`, også i tilfeller der brukeren hadde avslått samtykke til markedsføring. Med andre ord: har du sagt ja til analyse og nei til reklame, følger sporingen deg likevel over på tredjepartssider. Ifølge Gadget Review er avstanden mellom «analyse» og «måling av annonsekonvertering» viktig under GDPR, og de to skal ikke behandles under samme samtykke.

Buchodi sendte to spørsmål til OpenAI den 14. september: hvorfor kapselen er klassifisert som analyse og ikke markedsføring, og om et nei til markedsføring i praksis blokkerer den. OpenAI bekreftet mottakelse og lovet intern gjennomgang, men svarte ikke på spørsmålene.

Hva du kan gjøre

Nordmenn er blant Europas mest aktive ChatGPT-brukere, og undersøkelser viser at halvparten av norske tenåringer bruker tjenesten. Det er derfor en betydelig del av befolkningen som potensielt er berørt.

Selve sporingsmekanismen fungerer ikke i Safari eller andre nettlesere som bygger på WebKit, deriblant alle nettlesere på iPhone og iPad. Apples Intelligent Tracking Prevention blokkerer tredjeparts-kapsler som standard og stanser dermed hele overføringen.

Les også: Har du hatt telefonen i to år? Batteriet er sannsynligvis allerede dårlig: Slik finner du ut nå

På Chrome, Edge og Android-nettlesere er det ingen tilsvarende innebygd sperre. Der må du selv slå av tredjeparts-kapsler i nettleserens personverninnstillinger eller bruke en annonseblokker som filtrerer forespørsler til `openai.com`- og `bzr.openai.com`-domenene. I ChatGPT selv finner du samtykkevalgene under Data Controls, men i praksis endrer det ikke `__obi`-oppførselen så lenge kapselen ligger under analyse-kategorien.

Les også: Nintendo avslutter Switch i Europa: Dette betyr det for millioner av eiere