OpenAI Pixel & Automatic Advanced Matching : installation, RGPD et configuration

Ce que fait l'Automatic Advanced Matching

La mesure de conversion sur ChatGPT Ads repose sur une source de données créée dans Ads Manager, alimentée par le pixel OpenAI, la Conversions API, ou les deux (détail de l'installation de base sur notre page pixel ChatGPT Ads). L'Automatic Advanced Matching est une fonctionnalité du pixel qui vient s'ajouter à ce suivi de base : elle aide à rattacher une conversion réalisée sur votre site à l'annonce qui l'a générée, y compris quand l'identifiant de clic n'est pas disponible, par exemple si le visiteur a fermé puis rouvert son navigateur entre le clic et l'achat.

Pour y parvenir, le pixel détecte automatiquement certaines informations client à partir des formulaires reconnaissables et d'autres sources présentes sur votre site (typiquement un e-mail ou un numéro de téléphone saisi dans un formulaire), puis les normalise et les hache en SHA-256, dans le navigateur, avant de les inclure aux événements de conversion envoyés à OpenAI.

Ce qui n'est pas envoyé, et ce qui l'est

Le point que la documentation met en avant, et qu'il faut vérifier plutôt que croire sur parole : OpenAI précise qu'aucune information client brute n'est transmise via l'Automatic Advanced Matching. Ce qui quitte le navigateur, ce sont des empreintes hachées, pas l'e-mail ou le numéro de téléphone en clair. Aucune modification manuelle de l'implémentation du pixel n'est nécessaire pour en bénéficier : le mécanisme est intégré au pixel existant.

Une nuance technique à connaître avant de conclure que « c'est anonyme, donc hors RGPD » : un hachage SHA-256 d'une donnée à faible variabilité, comme une adresse e-mail, reste théoriquement identifiable par comparaison à des tables précalculées. C'est pourquoi les autorités européennes de protection des données traitent en général les identifiants hachés comme des données personnelles pseudonymisées, pas comme des données anonymes au sens strict. Voir la section RGPD ci-dessous.

Activation par défaut : le 17 août 2026 pour les pixels existants

Le changement le plus important à connaître si vous avez un pixel OpenAI déjà installé : l'Automatic Advanced Matching est activé par défaut sur les nouveaux pixels créés depuis la mise à jour, et OpenAI l'a activé sur les pixels déjà existants à partir du 17 août 2026. C'est un mécanisme d'exclusion (opt-out), pas d'inclusion (opt-in) : si vous n'avez rien fait, la fonctionnalité tourne déjà sur votre pixel.

Pour un site qui n'a pas explicitement désactivé l'option, cela signifie que des données personnelles hachées sont envoyées à OpenAI depuis cette date, sans étape de consentement dédiée à cette fonctionnalité précise. C'est le point de vigilance central de cette page pour un site européen.

Comment vérifier et désactiver l'Automatic Advanced Matching

Le réglage se trouve dans Ads Manager, à l'emplacement de la source de données du pixel : menu Outils, puis Conversions, puis Source de données, puis Modifier le pixel. C'est là que l'option Automatic Advanced Matching s'active ou se désactive pour chaque pixel web.

Avant de trancher, vérifiez le point suivant : la présence de formulaires sur votre site qui recueillent un e-mail ou un téléphone à proximité d'un événement de conversion suivi par le pixel. Plus votre site en contient, plus la fonctionnalité a de chances d'être active en pratique, pas seulement en réglage.

RGPD : ce qu'un site européen doit vérifier

Trois points à traiter avant d'accepter cette fonctionnalité par défaut sur un site visitant des personnes en Europe :

• La base légale. Une donnée hachée reste, en pratique, une donnée à caractère personnel pseudonymisée pour la plupart des autorités européennes : sa collecte et sa transmission à un tiers (ici OpenAI, pour un service publicitaire) nécessitent en général le consentement préalable de la personne concernée, sur le même principe que les autres balises de mesure d'audience et de publicité. Un cookie de consentement qui n'informe pas spécifiquement de cet envoi ne couvre pas nécessairement cette fonctionnalité.
• L'information des personnes. Votre politique de confidentialité doit mentionner ce traitement s'il est actif : quelles données sont concernées (e-mail, téléphone), à qui elles sont transmises (OpenAI), sous quelle forme (hachée), et dans quel but (attribution publicitaire).
• Le transfert hors Union européenne. OpenAI, société américaine, peut traiter ces données hors UE. Le cadre de transfert applicable (clauses contractuelles types ou équivalent) doit figurer dans votre documentation de conformité, au même titre que pour tout autre sous-traitant américain.

Notre propre politique de confidentialité applique ce principe : nous documentons noir sur blanc chaque sous-traitant, chaque transfert hors UE et chaque base légale, plutôt que de renvoyer vers une mention générique. C'est la méthode que nous recommandons pour ce réglage précis.

Décision pratique : garder, désactiver, ou attendre

Une grille simple pour trancher :

Ce qui n'est pas documenté publiquement

Points que nous signalons comme non confirmés faute de source officielle :

• La durée de conservation des empreintes hachées côté OpenAI n'est pas publiée.
• La liste exhaustive des champs de formulaire reconnus par la détection automatique n'est pas détaillée.
• Le comportement de l'AAM combiné aux exigences spécifiques du marché européen (ChatGPT Ads y étant lancé sans personnalisation publicitaire) n'est pas précisé publiquement.