Consentimiento para el píxel de OpenAI

El 24 de agosto, los anuncios de ChatGPT comenzarán a aparecer en 31 mercados europeos. Junto con ellos, llega el píxel de conversión de OpenAI, que probablemente se añadirá a un número creciente de sitios web europeos.

Para los profesionales del marketing, la configuración resultará familiar. El píxel de OpenAI sigue un modelo muy similar al de Meta y Google: un SDK basado en el navegador, eventos de conversión estándar, una API de conversiones del lado del servidor y la eliminación de duplicados entre eventos del navegador y del servidor.

También incluye un control de consentimiento. Esto suena tranquilizador, pero hay un detalle importante: a menos que cambies la configuración, el consentimiento se activa automáticamente.

Cómo funciona el control de consentimiento de OpenAI

El píxel proporciona un comando de consentimiento sencillo. OpenAI espera que establezcas el estado de consentimiento del visitante antes de inicializar el píxel y que lo actualices cuando el visitante haga una elección:

oaiq("consent", false);

oaiq("init", {
pixelId: "<TU-ID-DE-PÍXEL>",
});

// Llama a esta función después de que el usuario otorgue su consentimiento para la medición.

oaiq("consent", true);

Si has trabajado con Meta Pixel, el patrón te resultará familiar. Meta utiliza fbq('consent', 'revoke') antes de la inicialización y fbq('consent', 'grant') después. OpenAI utiliza valores booleanos en lugar de cadenas, pero el principio es prácticamente el mismo.

Desafortunadamente, el problema subyacente también lo es.

El valor predeterminado contraviene los requisitos de consentimiento de la UE

Según la documentación de OpenAI, el consentimiento se establece por defecto en verdadero a menos que se configure explícitamente como falso o que el píxel detecte un rechazo previamente almacenado.

Esto es de gran importancia en los sitios web europeos.

Si añades el píxel utilizando la implementación estándar de inicio rápido y no realizas ningún otro cambio, se comportará como si cada visitante ya hubiera aceptado la medición. Por lo tanto, la actividad de conversión puede comenzar desde la primera página vista.

Las normas de privacidad de la UE generalmente exigen el enfoque opuesto. Según el marco de privacidad electrónica y el RGPD, normalmente se requiere el consentimiento antes de que las tecnologías no esenciales almacenen información en el dispositivo del visitante o accedan a ella.

En otras palabras, el punto de partida regulatorio es, en la práctica, «no». El punto de partida técnico del píxel es «sí».

OpenAI no es la única empresa que actúa así. Meta y gran parte del ecosistema de tecnología publicitaria operan de forma similar. Esto refuerza la lección práctica: el anunciante es responsable de garantizar que la implementación se ejecute correctamente.

Hay otro punto que merece la pena analizar.

OpenAI afirma que, si el consentimiento es falso, no se envían solicitudes de eventos de medición y los eventos suprimidos antes del consentimiento no se reproducen retroactivamente una vez otorgado este.

Lo que la documentación no parece garantizar es que el SDK no se cargue ni que no se escriba nada en el dispositivo del visitante.

El SDK sigue siendo servido por la infraestructura de OpenAI. OpenAI también documenta por separado el uso de una cookie __oppref de origen para almacenar la referencia de clic de oppref, de modo que pueda reutilizarse en visitas posteriores a la página.

Por este motivo, si su implementación se basa únicamente en oaiq("consent", false), conviene probar el comportamiento real previo al consentimiento en el navegador, en lugar de asumir que la bandera de consentimiento impide cualquier forma de almacenamiento o comunicación.

La coincidencia avanzada automática también está habilitada por defecto

El píxel de OpenAI también admite la coincidencia avanzada. Esto permite que identificadores como la dirección de correo electrónico, el número de teléfono, el nombre y el ID externo se conviertan en un hash y se envíen con los eventos de conversión, lo que mejora la capacidad de OpenAI para identificar conversiones cuando no se dispone de un identificador de clic.

Puede proporcionar estos valores explícitamente a través de un objeto de usuario. Sin embargo, OpenAI también ofrece la coincidencia avanzada automática, que está habilitada por defecto en los píxeles web recién creados.

Cuando está habilitada, el píxel puede identificar la información del cliente compatible disponible en su sitio, normalizarla, aplicarle un hash SHA-256 en el navegador y enviar el hash resultante con los eventos de conversión. No se requiere ninguna implementación adicional.

OpenAI afirma que la información subyacente del cliente no se transmite en texto plano. Esto es claramente preferible a enviar identificadores sin procesar.

Sin embargo, esto no anonimiza los datos resultantes a efectos del RGPD. El hashing es generalmente una forma de pseudonimización, no de anonimización. Un hash SHA-256 de una dirección de correo electrónico es determinista: la misma dirección de correo electrónico produce el mismo hash siempre. Una entidad que ya posee la dirección de correo electrónico puede aplicarle un hash de forma independiente y comparar el resultado.

Esa capacidad de coincidencia es el objetivo principal de la función.

El considerando 26 del RGPD deja claro que la información pseudonimizada puede seguir siendo datos personales cuando aún se puede atribuir a una persona identificable mediante información adicional.

Por lo tanto, las organizaciones deben considerar la coincidencia avanzada automática como una decisión de privacidad deliberada. Una función que lee información del cliente de su sitio web y envía identificadores derivados a una plataforma publicitaria debe tener una base legal adecuada y no debe aceptarse simplemente porque esté habilitada por defecto.