ChatGPT, Reddit och Roblox får EU:s strängaste digitala granskning

EU-kommissionen har placerat ChatGPT, Reddit och Roblox under den högsta tillsynsnivån i EU:s rättsakt om digitala tjänster, Digital Services Act (DSA). ChatGPT klassas som en mycket stor onlinesökmotor (Very Large Online Search Engine, VLOSE), medan Reddit och Roblox klassas som mycket stora onlineplattformar (Very Large Online Platforms, VLOP). 12

Det är mer än en etikett för stora tjänster. Beslutet innebär direkt tillsyn från EU-kommissionen och ett omfattande, löpande ansvar för att identifiera och minska systemrisker, redovisa hur tjänsterna fungerar, genomföra oberoende revisioner och ge forskare tillgång till relevant data.

Gränsen går vid 45 miljoner EU-användare

DSA:s hårdaste regler gäller plattformar och sökmotorer som når mer än 45 miljoner genomsnittliga användare per månad inom EU. Storleken avgör om tjänsten omfattas av toppkategorin, medan tjänstens funktion avgör om den räknas som plattform eller sökmotor. 14

Reddit och Roblox låter användare skapa och dela innehåll offentligt och hamnar därför i VLOP-kategorin. ChatGPTs sökfunktion låter användare söka efter och ta emot information från webben, vilket ligger till grund för klassningen som VLOSE. 14

Alla tre tjänsterna har rapporterat användarsiffror över tröskeln. Enligt EU-kommissionens lista uppgav OpenAI 159,1 miljoner genomsnittliga aktiva mottagare per månad inom EU för ChatGPT. Roblox hade rapporterat omkring 48 miljoner månatliga EU-användare. Tillgängliga uppgifter bekräftar att även Reddit passerade 45-miljonersgränsen, men de källor som ligger till grund för denna artikel anger ingen jämförbar exakt siffra för Reddit. 71314

Med de tre nya besluten uppgår antalet utpekade VLOP- och VLOSE-tjänster till omkring 30, efter tidigare tillägg och efter att Stripchat tagits bort från listan. 210

Därför räknas ChatGPT som en sökmotor

ChatGPT är den första AI-chatboten som klassas som en mycket stor onlinesökmotor. 4

Bakgrunden är ChatGPT Search. För DSA är frågan inte bara om ChatGPT skapar text, utan också vad användarna faktiskt kan göra med tjänsten. När sökfunktionen används för att efterfråga och ta emot information från webben kan tjänsten omfattas av regelverket för sökmotorer – om den samtidigt når upp till användartröskeln. 14

Klassningen skapar ett viktigt prejudikat för den digitala sektorn: en generativ AI-tjänst kan omfattas av EU:s mest långtgående plattformsregler när dess funktioner och räckvidd ger den en bred samhällspåverkan.

De nya kraven på tjänsterna

ChatGPT, Reddit och Roblox måste uppfylla flera ytterligare skyldigheter enligt DSA.

Årliga bedömningar av systemrisker

Varje tjänst ska årligen bedöma och offentliggöra risker som följer av hur den drivs. Det handlar bland annat om spridning av olagligt innehåll, påverkan på grundläggande rättigheter och det offentliga samtalet, risker för minderåriga samt hot mot den allmänna säkerheten. För ChatGPT aktualiseras dessutom frågor om informationsinhämtning och effekterna av AI-genererade svar. 1910

Åtgärder för att minska riskerna

Företagen måste vidta proportionerliga åtgärder för att minska de risker som identifieras. Kravet handlar alltså inte bara om att dokumentera möjliga problem. Tjänsterna måste också kunna visa hur system, policyer och skyddsåtgärder hanterar problemen i praktiken. 19

Vilka risker som står i centrum kan skilja sig åt. För Reddit och Roblox är användargenererat innehåll och minderårigas säkerhet särskilt relevanta frågor. För ChatGPT blir informationskvalitet, webbsökning och AI-genererade svar viktigare delar av granskningen. 19

Oberoende revisioner

Tjänsterna ska genomgå årliga oberoende revisioner av sin efterlevnad och sin riskhantering. Revisionerna lägger till en extern kontroll utöver företagens egna rapporter och interna bedömningar. 1610

Data till kommissionen och forskare

Företagen måste ge EU-kommissionen och godkända forskare tillgång till relevant data som behövs för att bedöma systemrisker och efterlevnad. Det skapar en väg för externa granskare att undersöka hur tjänsterna fungerar i stor skala, inom ramen för DSA:s regler om dataåtkomst. 16

EU-kommissionen får huvudansvaret för tillsynen

EU-kommissionen blir den huvudsakliga DSA-tillsynsmyndigheten för de utpekade VLOP- och VLOSE-tjänsterna. Den samarbetar med nationella samordnare för digitala tjänster och kan begära information, granska underlag, inspektera lokaler, kräva korrigerande åtgärder och inleda formella utredningar när det är motiverat. 12

Det innebär att tillsynen inte längre i första hand begränsas till myndigheten i det land där företaget har sin juridiska hemvist. Kommissionen kan granska de största tjänsterna genom en samordnad EU-process, inklusive deras riskbedömningar, åtgärdsplaner, revisionsrapporter och rutiner för dataåtkomst. 12

Deadline: slutet av november 2026

De tre tjänsterna har fyra månader på sig att uppfylla de ytterligare skyldigheterna. EU-kommissionens och europeiska nyhetsmediers rapportering anger att tidsfristen löper ut i slutet av november 2026. 3710

Det betyder inte att alla DSA-krav börjar gälla först då. Den fyramånadersperioden ska ge de nyutpekade tjänsterna tid att införa de krav som specifikt gäller den högsta kategorin med särskilt stor påverkan.

Böter på upp till 6 procent av omsättningen

Vid en allvarlig överträdelse av DSA kan böterna uppgå till 6 procent av företagets globala årsomsättning. 5910

Kommissionens tillsynsbefogenheter gör dessutom efterlevnaden till mer än en årlig rapporteringsövning. Myndigheten kan begära uppgifter, granska företagets skyddsåtgärder och riskbedömningar samt kräva att brister rättas till. 12

Ett nytt kapitel för AI och EU:s teknikpolitik

Besluten visar att EU vill reglera digitala tjänster utifrån vad de gör och hur stor samhällspåverkan de har, snarare än enbart utifrån traditionella kategorier som sociala nätverk, marknadsplatser eller sökmotorer. Genom ChatGPT:s VLOSE-status förs en AI-tjänst med stor räckvidd in i samma regelverk för högrisktjänster som de största etablerade plattformarna. 14

Samtidigt breddas den praktiska räckvidden för DSA:s mest krävande regler till tre olika områden: diskussionsforum, spelplattformar och AI-baserad informationssökning. Den gemensamma utlösande faktorn är användarsiffrorna, men riskerna ser olika ut beroende på tjänst.

Besluten kan också öka de transatlantiska spänningarna kring EU:s teknikregler. De tre nytillkomna tjänsterna ägs av amerikanska företag, och DSA:s mest långtgående tillsynsbefogenheter får därmed direkt betydelse för amerikansk teknikindustri. EU framhåller att reglerna är teknikneutrala och bygger på tjänsternas räckvidd och samhällspåverkan, medan kritiker har hävdat att efterlevnadskraven slår oproportionerligt hårt mot stora teknikbolag. 17

Den omedelbara juridiska effekten är däremot tydlig: ChatGPT, Reddit och Roblox måste nu leva upp till EU:s högsta nivå av fortlöpande ansvar och insyn.