ChatGPT, Reddit et Roblox entrent dans le viseur réglementaire de Bruxelles

La Commission européenne vient de faire entrer ChatGPT, Reddit et Roblox dans la catégorie la plus exigeante du règlement sur les services numériques — le Digital Services Act (DSA). ChatGPT est désormais un très grand moteur de recherche en ligne (Very Large Online Search Engine, ou VLOSE), tandis que Reddit et Roblox sont considérés comme de très grandes plateformes en ligne (Very Large Online Platforms, ou VLOP). 12

Concrètement, ces services passent sous la supervision directe de la Commission et doivent respecter un ensemble renforcé d’obligations portant notamment sur les risques systémiques, la transparence, les audits indépendants et l’accès des chercheurs aux données. 12

Le seuil des 45 millions d’utilisateurs

Le régime réservé aux « très grands » services s’applique aux plateformes et aux moteurs de recherche qui comptent plus de 45 millions d’utilisateurs mensuels moyens dans l’Union européenne. Le seuil dépend de l’audience, tandis que la catégorie retenue dépend de la fonction du service. Reddit et Roblox permettent aux utilisateurs de publier et de partager du contenu ; ChatGPT Search permet de rechercher et de recevoir des informations provenant du web. 14

Les trois services ont déclaré dépasser ce seuil. D’après la liste officielle de la Commission, OpenAI a indiqué 159,1 millions de destinataires actifs mensuels moyens dans l’UE pour ChatGPT. Roblox avait déclaré environ 48 millions d’utilisateurs mensuels européens. Les sources disponibles confirment que Reddit a lui aussi franchi le seuil, sans fournir de chiffre exact comparable. 71314

Cette désignation n’est donc pas un simple macaron réservé aux plateformes populaires. Les VLOP et les VLOSE sont déjà soumis aux règles générales du DSA, mais ce statut déclenche les obligations les plus lourdes en matière de gestion des risques et de responsabilité. 12

Pourquoi ChatGPT est-il classé comme moteur de recherche ?

La décision concernant ChatGPT est particulièrement importante : il s’agit du premier chatbot d’intelligence artificielle à être classé comme très grand moteur de recherche en ligne. 4

Pour le DSA, la question n’est pas seulement de savoir si ChatGPT produit du texte ou si OpenAI le présente comme un assistant conversationnel. Sa fonction de recherche permet aux utilisateurs de demander des informations issues du web et de les recevoir. Lorsqu’elle est combinée à une audience dépassant le seuil légal, cette fonctionnalité place le service dans le cadre applicable aux moteurs de recherche. 14

La décision crée ainsi un précédent réglementaire : un service d’IA générative peut relever du niveau le plus strict du DSA lorsque ses fonctions et son audience lui confèrent un impact public suffisamment large.

Quelles nouvelles obligations ?

ChatGPT, Reddit et Roblox disposent de quatre mois pour se conformer aux exigences supplémentaires, soit jusqu’à fin novembre 2026. 3710

Évaluer chaque année les risques systémiques

Chaque service devra réaliser et publier une évaluation annuelle des risques systémiques liés à son activité. Cette analyse doit notamment couvrir :

• la diffusion de contenus illégaux ;
• les effets sur les droits fondamentaux et le débat public ;
• les risques pour les mineurs ;
• les menaces pour la sécurité publique ;
• les conséquences possibles sur les processus démocratiques et le bien-être des utilisateurs. 1910

Pour ChatGPT, l’examen soulève aussi des questions propres à la recherche d’informations et aux réponses générées par l’IA. Pour Reddit et Roblox, la modération des contenus publiés par les utilisateurs et la protection des mineurs figurent parmi les enjeux les plus évidents. 19

Réduire les risques identifiés

Les entreprises ne pourront pas se contenter de dresser la liste des problèmes potentiels. Elles devront mettre en place des mesures proportionnées pour les réduire et démontrer comment leurs systèmes, leurs règles et leurs dispositifs de protection répondent aux risques relevés. 19

Se soumettre à des audits indépendants

Les trois services devront faire l’objet d’un audit indépendant annuel portant sur leur conformité au DSA et sur leurs mécanismes de gestion des risques. Cette vérification externe vient compléter les rapports et évaluations produits par les entreprises elles-mêmes. 1610

Ouvrir l’accès à certaines données

La Commission européenne et les chercheurs agréés devront pouvoir accéder aux données pertinentes pour examiner les risques systémiques et vérifier la conformité des services. Cet accès doit permettre à des intervenants extérieurs d’étudier leur fonctionnement à grande échelle, dans le cadre prévu par le DSA. 16

Qui contrôlera ChatGPT, Reddit et Roblox ?

La Commission européenne devient leur principal superviseur au titre du DSA. Elle travaillera avec les coordinateurs nationaux des services numériques et pourra demander des informations, examiner les documents de conformité, inspecter des locaux, imposer des mesures correctives et ouvrir des enquêtes formelles lorsque cela sera nécessaire. 12

La supervision ne dépend donc plus uniquement de l’autorité nationale du pays où l’entreprise possède une présence juridique. Bruxelles pourra examiner de manière coordonnée les évaluations des risques, les mesures de réduction des risques, les rapports d’audit et les procédures d’accès aux données de ces services. 12

À la suite de ces désignations et des évolutions précédentes de la liste européenne, le nombre de services VLOP et VLOSE désignés atteint environ 30. 210

Quelles sanctions en cas de manquement ?

Une infraction grave au DSA peut entraîner une amende allant jusqu’à 6 % du chiffre d’affaires annuel mondial de l’entreprise. 5910

La portée de la décision dépasse donc une simple obligation de publier des informations. La Commission peut exiger des réponses, examiner les évaluations de risques et les mesures de protection, puis imposer des corrections. 12

Un précédent pour l’IA et les grandes plateformes

La désignation de ChatGPT montre que l’UE entend réguler les services numériques selon leur fonction et leur portée sociale, et pas uniquement selon des catégories traditionnelles comme les réseaux sociaux, les places de marché ou les moteurs de recherche. Un service d’IA générative destiné au grand public entre ainsi dans la même architecture réglementaire que les plus grandes plateformes en ligne. 14

Le DSA étend aussi concrètement ses exigences les plus strictes à trois univers très différents : les discussions en ligne, le jeu vidéo et la recherche d’informations assistée par l’IA. Le déclencheur commun est la taille de l’audience, mais les risques observés varieront selon les services : contenus créés par les utilisateurs et protection des mineurs pour Reddit et Roblox ; qualité de l’information, recherche et réponses générées pour ChatGPT. 19

Cette évolution devrait enfin alimenter les tensions transatlantiques autour de la régulation des entreprises technologiques américaines. La Commission défend un cadre neutre sur le plan technologique, fondé sur l’impact et le nombre d’utilisateurs. Ses détracteurs estiment, eux, que la charge de conformité pèse particulièrement lourd sur les grandes entreprises du secteur. 17

Sur le plan juridique, le résultat immédiat est néanmoins sans ambiguïté : ChatGPT, Reddit et Roblox doivent désormais rendre des comptes au niveau le plus élevé prévu par le DSA dans l’Union européenne.