Bruxelles place ChatGPT sous le régime le plus strict du DSA, OpenAI a quatre mois pour agir

ChatGPT n’est plus traité par Bruxelles comme un simple assistant conversationnel. Avec son classement parmi les très grands moteurs de recherche en ligne (Very Large Online Search Engine, ou VLOSE), OpenAI entre dans le périmètre de contrôle le plus exigeant du Digital Services Act (DSA).

Le seuil des 45 millions d’utilisateurs fait basculer ChatGPT dans une autre catégorie

La Commission européenne a annoncé, le 31 août 2026, la désignation de ChatGPT comme VLOSE au titre du DSA. Le déclencheur est quantitatif : OpenAI a déclaré atteindre au moins 45 millions d’utilisateurs mensuels moyens dans l’Union européenne.

Ce seuil correspond à 10 % de la population européenne environ. Il ne s’agit pas d’une certification de fiabilité ni d’un jugement sur la qualité des réponses fournies par ChatGPT. Il marque le niveau d’audience à partir duquel un service numérique est considéré comme suffisamment influent pour générer des risques à l’échelle de la société européenne.

Le DSA distingue deux grandes catégories de services de très grande taille. Les très grandes plateformes en ligne (VLOP) regroupent les réseaux sociaux, places de marché ou plateformes de contenus. Les VLOSE concernent les moteurs de recherche. Le classement de ChatGPT dans cette seconde catégorie traduit une lecture précise de son usage : une part croissante des internautes s’en sert pour rechercher, trier et interpréter de l’information, même si le service repose sur un modèle génératif plutôt que sur une liste classique de liens.

La Commission a annoncé cette désignation dans le même communiqué que celles de Reddit et Roblox, deux services également soumis à des obligations renforcées au titre du DSA.

Une surveillance centrée sur les risques systémiques

La conséquence principale ne réside pas dans l’ajout d’un simple formulaire réglementaire. OpenAI devra désormais analyser de manière documentée les risques systémiques associés à ChatGPT et mettre en place des mesures pour les réduire.

Ces évaluations devront couvrir plusieurs domaines sensibles :

• la diffusion de contenus illicites ;
• la protection des mineurs ;
• les atteintes aux droits fondamentaux ;
• l’intégrité des élections et du débat public ;
• la sécurité publique ;
• les effets possibles des systèmes de recommandation et de classement de l’information.

Pour ChatGPT, l’exercice est particulièrement complexe. Un réseau social peut examiner une publication, son auteur et sa circulation. Un assistant génératif produit, lui, une réponse nouvelle à partir d’une requête, avec un risque qui dépend du contexte, de la formulation de l’utilisateur et de la capacité du modèle à résister aux tentatives de détournement.

La conformité ne consistera donc pas à vérifier manuellement chaque réponse. Elle devra porter sur l’ensemble de la chaîne : données et entraînement des modèles, dispositifs de sécurité, filtres, mécanismes de signalement, traitement des réclamations, conception des fonctionnalités et suivi des effets à grande échelle.

Cette distinction est importante. Le DSA ne transforme pas automatiquement ChatGPT en éditeur de chaque contenu généré. Il impose à son opérateur de démontrer que les risques prévisibles sont identifiés, suivis et effectivement atténués.

OpenAI dispose de quatre mois pour se mettre en conformité

La Commission accorde à OpenAI un délai de quatre mois, jusqu’à la fin décembre 2026, pour appliquer les obligations supplémentaires liées à cette désignation.

Le calendrier porte notamment sur la mise en place ou le renforcement :

• d’une évaluation annuelle des risques systémiques ;
• de mesures de réduction des risques adaptées aux mineurs et aux périodes électorales ;
• de mécanismes plus accessibles pour signaler des contenus illicites ;
• d’un traitement transparent des plaintes et des décisions de modération ;
• d’audits indépendants ;
• de rapports de transparence plus détaillés ;
• de procédures permettant à des chercheurs habilités d’accéder à certaines données utiles à l’étude des risques.

Les obligations concernent aussi les changements futurs du service. Le lancement d’une nouvelle fonction de recherche, d’un agent capable d’effectuer des actions ou d’un outil multimodal pourrait devoir être évalué sous l’angle de ses effets systémiques avant son déploiement à grande échelle.

Le statut de VLOSE place par ailleurs ChatGPT sous la surveillance directe de la Commission européenne, plutôt que sous le seul contrôle des autorités nationales. Bruxelles pourra demander des informations, conduire des enquêtes et vérifier la réalité des mesures annoncées.

Le passage d’un produit d’IA à une infrastructure d’accès à l’information

La portée politique de la décision dépasse le cas particulier d’OpenAI. Elle confirme que le cadre européen ne regarde plus les assistants d’IA uniquement comme des logiciels ou des produits commerciaux. Dès lors qu’ils deviennent une porte d’entrée vers l’information pour des dizaines de millions de personnes, leurs effets sont évalués comme ceux d’une infrastructure numérique à risque systémique.

Cette approche cible plusieurs scénarios concrets. Une erreur répétée sur un sujet électoral peut toucher une population très large. Une réponse inadaptée destinée à un mineur peut produire un préjudice direct. Une instruction permettant de contourner des protections de sécurité peut être reproduite à grande échelle. Une présentation trop affirmative d’une information incertaine peut influencer des décisions médicales, financières ou politiques.

Le DSA ne garantit pas que ces risques disparaîtront. Il oblige en revanche OpenAI à les mesurer, à publier davantage d’éléments sur sa gestion et à accepter une forme de contrôle externe. C’est un déplacement significatif de la charge de la preuve : l’entreprise devra démontrer que ses garde-fous fonctionnent, et pas seulement affirmer qu’ils existent.

Le non-respect de ces obligations expose les très grands services à des sanctions pouvant atteindre 6 % du chiffre d’affaires mondial annuel de l’entreprise concernée. La Commission peut aussi imposer des mesures correctrices et, dans les situations les plus graves, demander une restriction temporaire du service, sous réserve de la procédure prévue par le règlement.

Le prochain test sera celui de la transparence

La première échéance concrète sera donc décembre 2026. La question ne sera pas seulement de savoir si ChatGPT dispose de nouvelles règles internes, mais si OpenAI pourra fournir des éléments vérifiables sur leurs résultats : taux de détection des abus, délais de traitement des signalements, protection effective des mineurs, évolution des erreurs liées aux élections et capacité à corriger rapidement les défaillances.

Cette désignation crée un précédent pour les autres assistants d’IA à forte audience. Si leurs usages européens franchissent le même seuil, ils pourront être soumis à une logique comparable. À terme, la mesure de conformité ne portera plus uniquement sur la puissance d’un modèle, mais sur son influence réelle dans la circulation de l’information.

Sources : Commission européenne ; Représentation de la Commission européenne en France.