Publicités ChatGPT : e-mail, téléphone et prompts ciblés

👁 119 lectures

Les journalistes de 404 Media ont fait ce qu’aucune rédaction n’avait fait auparavant : au lieu de demander à OpenAI comment fonctionne le ciblage publicitaire dans ChatGPT, ils sont devenus annonceurs. Ils ont acheté deux campagnes, parcouru l’interface et décrit les champs à remplir. Leur publicité était provocatrice, au sens journalistique du terme : « ChatGPT n’est pas privé. OpenAI emploie des humains pour lire les conversations des utilisateurs » (traduction de la publicité originale), avec un lien vers leur précédente enquête sur Project Lily.

Cette expérience révèle plusieurs détails absents de la documentation officielle. D’abord, les annonceurs sur ChatGPT ne choisissent pas seulement des catégories d’intérêt abstraites : ils peuvent importer une liste de personnes précises, à partir de leur adresse e-mail, de leur numéro de téléphone ou de l’identifiant publicitaire d’un téléphone Android. Ils peuvent aussi indiquer au système à quels types de conversations leur publicité pourrait correspondre.

Trois types de données et un seuil de 25 000 entrées

J’ai compté les identifiants différents qu’OpenAI accepte de la part des annonceurs : cinq variantes réparties en trois catégories. Il s’agit des adresses e-mail en clair ou hachées, des numéros de téléphone en clair ou hachés, et de l’Android Advertising ID. « En clair » signifie exactement ce que l’on imagine : l’annonceur saisit dans l’interface d’OpenAI de véritables adresses et de véritables numéros. OpenAI vérifie ensuite lesquels correspondent à des comptes ChatGPT existants. Les personnes concernées peuvent alors être ciblées.

Autre paramètre important : le seuil. Pour utiliser une liste afin d’inclure des personnes dans une campagne, elle doit contenir plus de 25 000 entrées. En dessous de ce nombre, elle ne peut servir qu’à les exclure. Ce seuil est officiellement une protection contre le microciblage d’individus. Mais il a aussi un autre effet : seuls les acteurs disposant d’une base d’au moins 25 000 contacts peuvent utiliser cette fonction. Un commerçant en ligne ordinaire n’a généralement pas une telle liste ; une société de recouvrement, un prêteur ou un courtier en données peut en avoir une.

Un calcul simple à partir de données de marché donne une idée de la barrière à l’entrée : dans certaines bases marketing vérifiables, les adresses e-mail s’achètent en gros pour quelques fractions de centime à quelques centimes l’unité. Au tarif de 3 centimes par adresse, constituer une liste minimale de 25 000 entrées coûterait 750 euros. Cette somme suffirait à accéder à un système permettant de montrer un message à des personnes précises au moment où elles parlent de leurs problèmes avec un chatbot. À cela s’ajoute le budget publicitaire.

Les « context hints » : des publicités liées à vos questions

Le deuxième élément que 404 Media a testé en pratique est le champ « context hints ». OpenAI le décrit ainsi :

« Décrivez les conversations, les sujets ou les mots-clés auxquels vos produits ou services pourraient être pertinents ; ces indications orientent la mise en correspondance, mais ne constituent pas des règles de correspondance exacte. » (traduction de la documentation publicitaire d’OpenAI, citée par 404 Media)

Les journalistes y ont indiqué les personnes qui s’intéressent à la vie privée, à la confidentialité des conversations sur ChatGPT, ainsi qu’aux sujets d’actualité liés à la technologie et à l’IA. La publicité est apparue. Cela signifie que le contenu des prompts - ce que les utilisateurs saisissent dans la fenêtre de discussion en pensant parler à une machine en privé - peut servir de signal pour orienter une publicité. Pas nécessairement comme un mot-clé exact, mais comme un indice.

Zach Edwards, de DecryptAds, une entreprise qui collecte des données sur la publicité en ligne à des fins de recherche, a commenté la découverte auprès de 404 Media sans détour : les produits publicitaires d’OpenAI fonctionnent comme ceux de nombreuses grandes entreprises qui commencent à monétiser leur audience ; elles « font bouillir la grenouille » en espérant que les utilisateurs ne remarquent pas les conséquences pour leur vie privée.

ChatGPT face à Google Ads et Meta Ads

L’importation d’une liste de clients dans une plateforme publicitaire n’est pas une invention d’OpenAI. Google appelle cette fonction Customer Match et Meta, Custom Audiences. Voici une comparaison des données à fournir et des seuils indiqués dans l’article de 404 Media.

La différence la plus frappante est l’acceptation d’adresses e-mail et de numéros de téléphone en clair. Google et Meta exigent depuis des années que les annonceurs hachent eux-mêmes ces données avant de les envoyer : la plateforme reçoit alors une empreinte, et non l’adresse originale. Ce n’est pas un détail, mais une mesure concrète de minimisation des données. Selon le test de 404 Media, OpenAI permet de saisir des données lisibles ; l’entreprise reçoit donc la liste de contacts de l’annonceur sous une forme compréhensible et la compare à sa propre base d’utilisateurs.

Autre différence : le seuil. Les seuils plus faibles de Google et Meta peuvent sembler moins protecteurs, mais ces plateformes appliquent d’autres garde-fous, notamment des interdictions de ciblage par catégories sensibles, des exigences de consentement au traitement et des audits. Chez OpenAI, le seuil de 25 000 est la principale limite visible et, dans le même temps, un filtre qui réserve l’accès aux acteurs de grande taille.

Ce que prévoit le RGPD pour le ciblage publicitaire

Trois dispositions du droit européen sont particulièrement importantes. L’article 6 du RGPD exige une base juridique pour chaque traitement. Pour le ciblage publicitaire fondé sur la correspondance avec des listes de clients, les autorités de contrôle de l’UE considèrent régulièrement que l’intérêt légitime ne suffit pas et qu’un consentement est nécessaire. L’article 5, paragraphe 1, point c, impose la minimisation des données : accepter des adresses en clair lorsqu’une empreinte cryptographique suffit est difficile à justifier. L’article 22 porte sur la prise de décision automatisée.

Une autre question est rarement abordée à propos des publicités dans ChatGPT : qui est responsable du traitement des données figurant dans la liste importée par l’annonceur ? Si une société de recouvrement transmet 40 000 numéros de téléphone de débiteurs afin de leur montrer une publicité dans le chatbot, elle utilise ces données à une fin à laquelle les personnes concernées n’ont jamais consenti. La responsabilité incombe à l’annonceur, mais OpenAI, qui reçoit la liste et la vérifie, n’est pas pour autant un intermédiaire sans responsabilité.

Au 16 octobre 2026, aucune procédure publique de l’autorité irlandaise de protection des données, la Data Protection Commission, contre OpenAI au sujet de son système publicitaire n’avait été annoncée. Le siège européen d’OpenAI se trouve en Irlande. Dans le cadre du mécanisme de guichet unique, l’autorité irlandaise est donc l’autorité chef de file ; les autorités d’autres pays de l’UE peuvent notamment recevoir les plaintes des utilisateurs et les transmettre. Dans le cas de ChatGPT bloqué en Italie en 2023, la procédure menée par le Garante s’est conclue par une amende de 15 millions d’euros. Cette affaire portait toutefois sur la base juridique de l’entraînement des modèles, et non sur la publicité.

Comment limiter l’exposition de vos données

OpenAI a lancé les publicités ChatGPT aux États-Unis en février et les étend progressivement à d’autres marchés. Elles s’affichent auprès des utilisateurs des offres Free et Go et, depuis octobre 2026, également lors de la génération d’images. Leur disponibilité peut varier selon le pays : vérifiez les informations communiquées par OpenAI pour votre compte et votre région.

En pratique, ouvrez les paramètres de votre compte ChatGPT, puis la section Data Controls. Vérifiez l’option de personnalisation et celle concernant l’utilisation de vos conversations pour améliorer le modèle. Désactiver cette deuxième option ne supprime pas les publicités, mais limite les données transmises pour un traitement ultérieur. Si vous utilisez l’offre Free, l’abonnement Plus est un moyen de supprimer les publicités dans cet écosystème : son prix officiel est de 20 $ par mois, soit environ 17,77 € (20 $). Cette estimation au taux de référence de la BCE du 16 octobre 2026 ne correspond pas au prix de paiement local et ne tient pas compte d’éventuelles taxes. Sur un an, cela représente 240 $.

Autre conseil concret : considérez l’adresse e-mail associée à votre compte ChatGPT comme un identifiant publicitaire, puisque le système peut s’en servir pour vous retrouver. Si vous utilisez la même adresse pour des newsletters, des programmes de fidélité et des inscriptions sur des boutiques, chaque organisation qui dispose d’une liste de plus de 25 000 entrées peut potentiellement vous retrouver sur ChatGPT. Réserver une adresse distincte aux conversations avec les chatbots peut relever d’une bonne hygiène numérique, plutôt que de la paranoïa.

Enfin, si vous utilisez ChatGPT sur Android, vous pouvez supprimer l’identifiant publicitaire dans les paramètres du système. Cela désactive l’un des cinq types d’identifiants de ciblage recensés par 404 Media.

Ce qui m’inquiète le plus dans cette affaire, c’est la nature des questions que les gens posent à ChatGPT : symptômes médicaux, divorce, dettes, ou comportement potentiellement illégal d’un supérieur. Ils le font parce qu’une conversation avec un modèle ne ressemble pas à une conversation avec une personne et ne déclenche pas le même réflexe de discrétion. Le test de 404 Media rappelle qu’il faut retrouver ce réflexe, non parce qu’une personne malveillante se trouverait nécessairement de l’autre côté, mais parce qu’un panneau publicitaire permet désormais de décrire les conversations auxquelles une publicité doit correspondre.

Faits vérifiés le 16 octobre 2026. Sources : 404 Media - How ChatGPT Targets Ads To You Based On Your Prompts, Phone Number, and Email, Règlement général sur la protection des données (RGPD), Garante per la protezione dei dati personali, Google Ads - Customer Match. Pour la conversion indicative du prix en dollars : taux de référence de la BCE du 16 octobre 2026, 1 € = 1,1253 $ ; source : BCE.

// lire la suiteNVIDIA dévoile Cosmos 3 Edge pour la robotique embarquéeActualitésSuno v6: trois modèles, accords avec les majors et nouveautésActualitésOpenAI DevDay 2026 : Dots, GPT-6.1 Sol, Pro 500 et annoncesActualités

Kinetyra