EU kiristää ChatGPT:n, Redditin ja Robloxin valvontaa – mitä uudet säännöt tarkoittavat?

Euroopan komissio on luokitellut ChatGPT:n, Redditin ja Robloxin EU:n digitaalipalvelusäädöksen (DSA) tiukimpaan palveluluokkaan. ChatGPT on nyt erittäin suuri verkkohakukone (VLOSE), kun taas Reddit ja Roblox ovat erittäin suuria verkkoalustoja (VLOP). Käytännössä tämä tarkoittaa komission suoraa valvontaa sekä jatkuvia lisävelvoitteita, jotka koskevat muun muassa järjestelmäriskejä, läpinäkyvyyttä, riippumattomia auditointeja ja tutkijoiden tiedonsaantia. 12

Mitä luokittelu tarkoittaa?

DSA:n erittäin suuria palveluja koskevaa sääntelyä sovelletaan verkkoalustoihin ja hakukoneisiin, joilla on EU:ssa yli 45 miljoonaa keskimääräistä kuukausittaista käyttäjää. Raja perustuu palvelun käyttäjämäärään, mutta palveluluokka määräytyy sen toiminnan mukaan: Redditissä ja Robloxissa käyttäjät voivat luoda ja jakaa sisältöä julkisesti, kun taas ChatGPT:n hakutoiminnon avulla käyttäjät etsivät ja vastaanottavat tietoa verkosta. 14

Kaikki kolme palvelua ilmoittivat ylittävänsä rajan. Komission nimeämien palvelujen listan mukaan OpenAI ilmoitti ChatGPT:lle 159,1 miljoonaa keskimääräistä kuukausittaista aktiivista käyttäjää EU:ssa. Robloxin ilmoitettu määrä oli noin 48 miljoonaa kuukausittaista EU-käyttäjää. Saatavilla olevat lähteet vahvistavat myös Redditin ylittäneen 45 miljoonan käyttäjän rajan, mutta eivät anna sille vastaavaa tarkkaa lukua. 71314

Kyse ei ole vain uudesta tittelistä. VLOP- ja VLOSE-palveluihin sovelletaan jo DSA:n yleisiä sääntöjä, mutta nimitys tuo mukaan lain laajimmat riskienhallinta- ja tilivelvollisuusvaatimukset. 12

Miksi ChatGPT luokiteltiin hakukoneeksi?

ChatGPT:n nimitys on merkittävä, koska se on ensimmäinen tekoälychatbot, joka on luokiteltu erittäin suureksi verkkohakukoneeksi. 4

Ratkaisu perustuu ChatGPT Search -toiminnon rooliin. DSA:n kannalta ratkaisevaa ei ole ainoastaan se, että ChatGPT tuottaa tekstiä, vaan myös se, että sen hakutoiminto antaa käyttäjille mahdollisuuden pyytää ja vastaanottaa tietoa verkosta. Kun käyttäjämäärä ylittää rajan, toiminto tuo palvelun DSA:n hakukoneita koskevan sääntelyn piiriin. 14

Päätös luo tärkeän ennakkotapauksen: generatiivisen tekoälyn palvelu voi kuulua EU-sääntelyn tiukimpaan luokkaan, jos sen toiminnallisuus ja käyttäjämäärä synnyttävät lain tarkoittaman laajan yhteiskunnallisen vaikutuksen.

Mitä uusia velvoitteita palveluille tulee?

ChatGPT:n, Redditin ja Robloxin on täytettävä DSA:n perusteella useita lisävaatimuksia.

Vuosittaiset järjestelmäriskien arvioinnit

Jokaisen palvelun on arvioitava ja julkaistava vuosittain toimintansa järjestelmäriskejä koskeva selvitys. Tarkasteltaviin riskeihin kuuluvat laittoman sisällön leviäminen, vaikutukset perusoikeuksiin ja julkiseen keskusteluun, alaikäisiin kohdistuvat riskit sekä yleiseen turvallisuuteen kohdistuvat uhat. ChatGPT:n kohdalla arviointi nostaa esiin myös tiedonhakua ja tekoälyn tuottamia vastauksia koskevia kysymyksiä. 1910

Riskien vähentäminen

Yritysten on toteutettava oikeasuhteisia toimia tunnistamiensa riskien pienentämiseksi. Velvollisuus ei siis rajoitu mahdollisten haittojen kirjaamiseen, vaan palvelujen on osoitettava, miten niiden järjestelmät, toimintaperiaatteet ja suojatoimet vastaavat riskeihin. 19

Riippumattomat auditoinnit

Palveluille on tehtävä vuosittainen riippumaton auditointi, jossa arvioidaan niiden sääntöjen noudattamista ja riskienhallintajärjestelyjä. Ulkopuolinen tarkastus tuo valvontaan lisäkerroksen yritysten omien raporttien ja sisäisten arvioiden rinnalle. 1610

Tietojen luovuttaminen viranomaisille ja tutkijoille

Yritysten on annettava Euroopan komissiolle ja hyväksytyille tutkijoille pääsy sellaisiin tietoihin, joita tarvitaan järjestelmäriskien ja sääntöjen noudattamisen arviointiin. Näin ulkopuoliset arvioijat voivat tarkastella palvelujen toimintaa suuressa mittakaavassa DSA:n määrittelemän tiedonsaantikehyksen puitteissa. 16

Kuka palveluja valvoo?

Euroopan komissiosta tulee nimettyjen VLOP- ja VLOSE-palvelujen pääasiallinen DSA-valvoja. Komissio työskentelee yhdessä kansallisten digitaalisten palvelujen koordinaattoreiden kanssa ja voi pyytää tietoja, tarkastaa vaatimustenmukaisuutta koskevia aineistoja, tehdä tarkastuksia, vaatia korjaavia toimia ja käynnistää tarvittaessa muodollisia tutkintoja. 12

Tämä on olennainen muutos, sillä valvonta ei enää rajoitu sen maan viranomaiseen, jossa yrityksellä on juridinen kotipaikka tai muu läsnäolo. Komissio voi arvioida suurimpia palveluja EU:n tasolla ja tarkastella niiden järjestelmäriskien arviointeja, riskien vähentämistoimia, auditointiraportteja ja tiedonsaantijärjestelyjä. 12

Komission nimeämien kolmen uuden palvelun myötä DSA:n piiriin kuuluu noin 30 nimettyä VLOP- tai VLOSE-palvelua, kun aiemmat lisäykset ja Stripchatin nimityksen päättäminen otetaan huomioon. 210

Milloin sääntöjä on noudatettava?

Palveluilla on neljä kuukautta aikaa täyttää lisävelvoitteet. Komission ja eurooppalaisten uutislähteiden mukaan määräaika päättyy marraskuun 2026 lopussa. 3710

Nimitys ei tarkoita, että kaikki velvoitteet alkaisivat vasta määräpäivänä. Neljän kuukauden siirtymäaika antaa äskettäin nimetyille palveluille aikaa ottaa käyttöön erityisesti DSA:n suurimman vaikutuksen palveluille asetetut lisävaatimukset.

Millaisia sakkoja voi seurata?

DSA:n vakavasta rikkomisesta voidaan määrätä sakko, joka on enintään 6 prosenttia yrityksen maailmanlaajuisesta vuosiliikevaihdosta. 5910

Komission laajat valvontavaltuudet tekevät sääntöjen noudattamisesta enemmän kuin kertaluonteisen raportointitehtävän. Se voi vaatia lisätietoja, perehtyä yrityksen suojatoimiin ja riskinarviointeihin sekä määrätä korjaavia toimia. 12

Miksi päätös on merkittävä myös näiden palvelujen ulkopuolella?

Nimitykset osoittavat, että EU:n digisääntelyä sovelletaan palvelujen toiminnan ja yhteiskunnallisen tavoittavuuden perusteella, ei ainoastaan perinteisten luokkien, kuten sosiaalisen median, verkkokaupan tai hakukoneen, mukaan. ChatGPT:n VLOSE-status tuo suuren yleisön generatiivisen tekoälypalvelun samaan korkean vaikutuksen sääntelykehykseen, jota sovelletaan suurimpiin verkkopalveluihin. 14

Samalla DSA:n vaativimpien sääntöjen käytännön soveltamisala laajenee verkkokeskusteluihin, pelaamiseen ja tekoälyavusteiseen tiedonhakuun. Yhteinen nimittäjä on palvelujen koko, mutta viranomaisten tarkastelemat riskit vaihtelevat: Redditissä ja Robloxissa korostuvat käyttäjien tuottama sisältö ja alaikäisten suojelu, kun taas ChatGPT:n kohdalla huomio kohdistuu erityisesti tiedon laatuun, tiedonhakuun ja tekoälyn tuottamiin vastauksiin. 19

Päätökset voivat myös kiristää keskustelua siitä, miten EU sääntelee unionin ulkopuolelle sijoittautuneita teknologiajättejä. Kaikki kolme uutta palvelua ovat yhdysvaltalaista omistusta, joten komission tiukin valvonta kohdistuu jälleen suuriin yhdysvaltalaisiin teknologiayrityksiin. EU korostaa sääntöjen olevan teknologia- ja toimivaltaneutraaleja sekä perustuvan palvelujen vaikutukseen ja käyttäjämäärään. Kriitikot ovat puolestaan väittäneet EU:n digisääntelyn compliance-taakan osuvan erityisen raskaasti suuriin teknologiayhtiöihin. 17

Välitön oikeudellinen seuraus on kuitenkin selvä: ChatGPT:n, Redditin ja Robloxin on nyt täytettävä EU:ssa digitaalipalvelusäädöksen korkein jatkuvan tilivelvollisuuden taso.