Cookie __obi OpenAI Diduga Lacak Aktivitas Lintas Situs, Klasifikasi 'Analitik' Dipertanyakan

Sebuah cookie bernama __obi yang ditanam OpenAI melalui layanan ChatGPT dilaporkan mampu menjembatani aktivitas pengguna di situs pengiklan pihak ketiga dengan identitas akun ChatGPT. Temuan ini berasal dari investigasi teknis independen yang dipublikasikan pada 20–21 September 2026, menyusul pembaruan kebijakan cookie OpenAI pada 10 September 2026 yang masih mengategorikan cookie tersebut sebagai 'analitik'.

Mekanisme yang diungkap melibatkan pertukaran token: ChatGPT menghasilkan token berumur pendek, mengirimkannya ke domain bzr.openai.com, lalu menerima token bertanda tangan yang kemudian menetapkan cookie __obi. Cookie ini bersifat persisten, berlaku satu tahun, dan memiliki atribut SameSite=None, Secure, serta HttpOnly—konfigurasi yang memungkinkannya disertakan dalam permintaan lintas situs. Namun, penyertaan itu hanya terjadi jika situs pengiklan telah memuat piksel pengukuran OpenAI dan memulai permintaan lintas asal ke server OpenAI.

Situs pengiklan yang menggunakan piksel tersebut dilaporkan memuat skrip dari bzrcdn.openai.com/sdk/oaiq.min.js. Selanjutnya, situs mengirimkan peristiwa konversi ke bzr.openai.com/v1/sdk/events, dan permintaan itu dapat membawa cookie __obi kembali ke OpenAI bersama data halaman, sinyal identitas dari formulir, serta aktivitas konversi. Pola ini menyerupai teknik yang pernah diungkap dalam kasus aplikasi pengawasan rahasia.

Investigator independen, Buchodi, juga mengamati adanya token anonim dalam pertukaran tersebut, yang mengindikasikan bahwa akun ChatGPT yang login mungkin tidak diperlukan agar cookie muncul. Meski demikian, Buchodi mengakui bahwa penggabungan identitas di sisi server tidak teramati secara langsung. Rantai lengkap yang menghubungkan perilaku di luar platform dengan identitas ChatGPT tertentu masih merupakan inferensi dari mekanisme yang dilaporkan, bukan fakta yang terkonfirmasi.

OpenAI menyebut __obi sebagai cookie analitik yang membantu perusahaan memahami efektivitas layanan dan upaya pemasarannya. Namun, temuan Buchodi menunjukkan bahwa cookie ini berfungsi lebih mirip pengukuran konversi iklan. Perbedaan kategori ini penting karena dalam kerangka privasi seperti GDPR, prinsip pembatasan tujuan mewajibkan data yang dikumpulkan untuk satu tujuan tidak dialihkan ke tujuan lain. Apakah klasifikasi OpenAI lolos dari uji tersebut masih menjadi tanda tanya.

"'Analitik' dan 'pengukuran konversi iklan' bukanlah kategori yang sama dalam sebagian besar kerangka privasi," demikian inti temuan investigasi, yang menekankan pentingnya pembatasan tujuan.

OpenAI tidak memberikan jawaban langsung atas pertanyaan mengapa __obi menyandang label analitik atau apakah persetujuan analitik saja memang dimaksudkan untuk mencakup penggunaan ini. Menurut laporan tersebut, perusahaan mengakui adanya pertanyaan dan menyatakan akan meninjau secara internal.

Bagi pengguna di Indonesia, isu ini menyentuh langsung kebiasaan sehari-hari. Banyak pengguna ChatGPT di Tanah Air yang mengakses layanan melalui ponsel Android dan mungkin telah menyetujui cookie analitik tanpa menyadari implikasinya. Indonesia memiliki Undang-Undang Perlindungan Data Pribadi (UU PDP) yang mulai berlaku penuh pada Oktober 2024, dengan prinsip serupa soal persetujuan dan pembatasan tujuan. Jika mekanisme serupa diterapkan di wilayah Indonesia, pengguna berhak mengetahui apakah persetujuan analitik mereka juga mencakup pelacakan lintas situs untuk kepentingan iklan. Otoritas perlindungan data di Eropa dan Amerika Serikat dikabarkan semakin gencar menelusuri praktik semacam ini, dan gelombang pengawasan itu bisa merembet ke Asia Tenggara, termasuk Indonesia.

Untuk saat ini, pengguna dapat meninjau atau mengubah preferensi cookie melalui pengaturan ChatGPT, menu Data Controls. Jika opsi tersebut tidak tersedia di wilayah tertentu, formulir permintaan privasi OpenAI menjadi jalur alternatif. Langkah ini penting karena pilihan yang tampak sederhana—menerima cookie analitik tetapi menolak cookie pemasaran—ternyata bisa jadi tidak sejelas yang dibayangkan.

Ke depan, pertanyaan besarnya bukan hanya soal satu cookie, melainkan sejauh mana label 'analitik' masih bisa dipertanggungjawabkan ketika mekanismenya menjangkau perilaku di luar platform. Regulator di berbagai yurisdiksi, termasuk Indonesia, dituntut untuk tidak hanya mengandalkan pengungkapan perusahaan, tetapi juga melakukan audit teknis independen. Tanpa itu, persetujuan pengguna berisiko menjadi formalitas belaka.