ChatGPT, Reddit e Roblox entrano nella fascia più regolamentata del Digital Services Act

La Commissione europea ha designato ChatGPT, Reddit e Roblox ai sensi del Digital Services Act (DSA), il regolamento dell’UE che disciplina le piattaforme e i servizi digitali. ChatGPT è ora un motore di ricerca online di dimensioni molto grandi (Very Large Online Search Engine, VLOSE), mentre Reddit e Roblox sono piattaforme online di dimensioni molto grandi (Very Large Online Platforms, VLOP). 12

In concreto, per tutti e tre si apre una fase di supervisione diretta da parte della Commissione e di obblighi continuativi più ampi su rischi sistemici, trasparenza, audit indipendenti e accesso ai dati per ricercatori qualificati. 12

La soglia dei 45 milioni di utenti

Il DSA applica il suo regime più severo alle piattaforme e ai motori di ricerca che raggiungono più di 45 milioni di utenti medi mensili nell’Unione europea. La soglia dipende dalla portata del servizio; la categoria, invece, dipende dalla sua funzione. Reddit e Roblox permettono agli utenti di creare e condividere pubblicamente contenuti, mentre la funzione di ricerca di ChatGPT consente di chiedere e ricevere informazioni dal web. 14

Tutti e tre i servizi hanno comunicato numeri pari o superiori alla soglia. Nell’elenco ufficiale della Commissione, OpenAI dichiara per ChatGPT 159,1 milioni di destinatari attivi mensili medi nell’UE. Roblox aveva comunicato circa 48 milioni di utenti mensili nell’Unione; le fonti disponibili confermano inoltre che Reddit ha superato il limite, senza però fornire un dato esatto comparabile. 71314

Non si tratta quindi di un semplice bollino per indicare che un servizio è molto popolare. I VLOP e i VLOSE sono già soggetti alle regole generali del DSA, ma la designazione aggiunge gli obblighi più articolati in materia di gestione dei rischi e responsabilità pubblica. 12

Perché ChatGPT è diventato un VLOSE

La decisione è particolarmente rilevante perché ChatGPT è il primo chatbot basato sull’intelligenza artificiale a essere identificato come motore di ricerca online di dimensioni molto grandi. 4

La classificazione riguarda il funzionamento di ChatGPT Search. Per il DSA non conta soltanto il fatto che ChatGPT generi testo, né il modo in cui l’azienda definisce il prodotto: conta anche ciò che il servizio permette di fare. Quando la funzione consente agli utenti di cercare informazioni online e ricevere risultati dal web, il servizio rientra nel quadro previsto per i motori di ricerca, se supera anche la soglia di utenti stabilita dalla legge. 14

La designazione crea così un precedente importante: un servizio di IA generativa può rientrare nella fascia più severa del DSA quando la sua funzione e la sua diffusione producono un impatto pubblico di ampia portata.

I nuovi obblighi per ChatGPT, Reddit e Roblox

Valutazioni annuali dei rischi sistemici

Ciascun servizio dovrà valutare e pubblicare ogni anno i rischi sistemici legati al proprio funzionamento. Tra questi rientrano la diffusione di contenuti illegali, gli effetti sui diritti fondamentali e sul dibattito pubblico, i rischi per i minori e le minacce alla sicurezza pubblica. Per ChatGPT, l’analisi riguarda anche il recupero delle informazioni e gli effetti delle risposte generate dall’IA. 1910

Misure per ridurre i rischi

Le aziende dovranno adottare misure proporzionate per limitare i rischi individuati. Il DSA non chiede quindi soltanto di elencare i possibili danni: i servizi designati dovranno dimostrare in che modo sistemi, regole e protezioni affrontano concretamente quei rischi. 19

Audit indipendenti

ChatGPT, Reddit e Roblox dovranno sottoporsi ogni anno ad audit indipendenti sulla conformità al DSA e sui propri sistemi di gestione del rischio. Gli audit aggiungono un controllo esterno alle comunicazioni e alle verifiche interne delle aziende. 1610

Accesso ai dati per Commissione e ricercatori

Le società dovranno fornire alla Commissione europea e ai ricercatori autorizzati l’accesso ai dati pertinenti per valutare i rischi sistemici e il rispetto delle regole. Il meccanismo consente a soggetti esterni di esaminare il funzionamento dei servizi su larga scala, secondo le garanzie e le procedure previste dal DSA. 16

Chi controllerà i tre servizi?

La Commissione europea diventa il principale supervisore del DSA per i VLOP e i VLOSE designati. Opererà insieme ai coordinatori nazionali dei servizi digitali e potrà chiedere informazioni, esaminare i documenti di conformità, effettuare ispezioni, imporre misure correttive e avviare indagini formali quando necessario. 12

Questo assetto è importante perché la vigilanza non resta confinata all’autorità nazionale del Paese in cui l’azienda ha la propria presenza giuridica. La Commissione può valutare i maggiori servizi digitali attraverso un processo coordinato a livello europeo, compresi i loro piani di valutazione e riduzione dei rischi, i rapporti di audit e le modalità di accesso ai dati. 12

La scadenza è alla fine di novembre 2026

I tre servizi hanno quattro mesi per adeguarsi agli obblighi aggiuntivi. Le comunicazioni della Commissione e i resoconti della stampa europea collocano la scadenza alla fine di novembre 2026. 3710

Questo non significa che tutte le regole del DSA inizieranno ad applicarsi da zero alla scadenza. Il periodo di quattro mesi serve piuttosto a permettere ai servizi appena designati di mettere in atto gli adempimenti aggiuntivi specifici della categoria a più alto impatto.

Le possibili sanzioni

Una violazione grave del DSA può comportare una multa fino al 6% del fatturato annuo mondiale di un’azienda. 5910

I poteri di supervisione della Commissione rendono inoltre la conformità qualcosa di più di un esercizio annuale di trasparenza. L’autorità può richiedere informazioni, esaminare le misure di protezione e le valutazioni dei rischi e imporre interventi correttivi. 12

Perché la decisione va oltre i tre servizi

La designazione mostra che la regolamentazione digitale dell’UE viene applicata in base alla funzione e alla portata sociale dei servizi, non soltanto secondo categorie tradizionali come social network, marketplace o motore di ricerca. Con lo status di VLOSE, un servizio di IA generativa rivolto al grande pubblico entra nell’architettura normativa prevista per i maggiori servizi online. 14

La decisione estende inoltre nella pratica gli obblighi più impegnativi del DSA a tre ambiti diversi: discussione online, videogiochi e ricerca di informazioni assistita dall’IA. Il fattore comune è la scala, ma i rischi analizzati varieranno: per Reddit e Roblox saranno centrali i contenuti creati dagli utenti e la tutela dei minori; per ChatGPT peseranno soprattutto la qualità delle informazioni, il loro recupero e le risposte generate dall’intelligenza artificiale. 19

Infine, la scelta potrebbe alimentare il confronto sul modo in cui l’UE regola le grandi aziende tecnologiche con sede fuori dall’Unione. La Commissione presenta il DSA come un quadro neutrale rispetto alla tecnologia e legato all’impatto e al numero di utenti; i critici della regolamentazione digitale europea sostengono invece che gli oneri di conformità ricadano in modo sproporzionato sui grandi gruppi tecnologici. L’effetto giuridico immediato, tuttavia, è chiaro: ChatGPT, Reddit e Roblox dovranno ora rispettare il livello più alto di responsabilità continuativa previsto dal DSA nell’UE. 17