ChatGPT, Reddit et Roblox désignés comme très grandes plateformes en ligne sous le DSA

La Commission européenne a confirmé lundi que ChatGPT, Reddit et Roblox avaient chacun dépassé 45 millions d'utilisateurs actifs mensuels moyens dans l'Union européenne, les désignant automatiquement comme très grandes plateformes en ligne (VLOP) au titre de la loi sur les services numériques. Cette décision soumet les trois à la catégorie d'obligations la plus exigeante du règlement, notamment des évaluations de risques annuelles obligatoires, des audits indépendants, des rapports de transparence et une fonction de conformité dédiée.

Le seuil n'est pas nouveau. Depuis l'entrée en vigueur du DSA en novembre 2022 et son application pleine et entière dans l'Union en février 2024, toute plateforme déclarant 45 millions ou plus de destinataires mensuels moyens dans l'UE doit en informer la Commission et, une fois désignée, se conformer au régime VLOP dans un délai de quatre mois. La Commission publie et met à jour la liste sur son registre des VLOP, qui compte désormais plus de vingt services, de Google Search et YouTube à TikTok, X, LinkedIn et Pinterest.

Ce que la désignation implique concrètement

Le statut de VLOP entraîne une série d'obligations spécifiques qui vont bien au-delà des exigences de base du DSA applicables à tous les services d'intermédiation. Les trois plateformes doivent désormais produire des évaluations annuelles des risques systémiques couvrant la diffusion de contenus illégaux, les effets négatifs sur les droits fondamentaux, le débat civique, les processus électoraux, la santé publique, la protection des mineurs et la santé mentale. Elles doivent commander des audits externes indépendants à leurs frais, publier des rapports de transparence sur la modération de contenu et les systèmes de recommandation, et maintenir une fonction de conformité interne indépendante des opérations commerciales.

Elles sont également tenues de fournir aux régulateurs et aux chercheurs accrédités un accès aux données nécessaires pour examiner les risques systémiques, et de mettre en place un mécanisme de réponse aux crises que la Commission peut activer dans des circonstances telles qu'une pandémie ou une guerre. Le non-respect peut entraîner des amendes allant jusqu'à 6 % du chiffre d'affaires annuel mondial et, en cas de violations répétées ou graves, une suspension temporaire du service dans l'UE par décision de justice.

ChatGPT devient le premier chatbot d'IA sous le régime VLOP

L'inclusion de ChatGPT marque la première fois qu'un agent conversationnel d'IA générative est capturé par le niveau supérieur du DSA. OpenAI, l'entreprise américaine derrière le service, fait désormais face à un double cadre réglementaire : les obligations de risque systémique du DSA et la loi sur l'IA, entrée en vigueur en août 2024, qui classe les modèles d'IA à usage général présentant un risque systémique, catégorie susceptible d'inclure les modèles alimentant ChatGPT, sous un régime distinct d'évaluation, de documentation et de déclaration d'incidents.

Ce chevauchement est intentionnel. La Commission a soutenu que le DSA traite la couche plateforme, c'est-à-dire la manière dont le contenu est distribué, amplifié et modéré, tandis que la loi sur l'IA cible la couche modèle, c'est-à-dire la manière dont le système sous-jacent est entraîné, testé et déployé. Pour OpenAI, cela signifie maintenir deux programmes de conformité parallèles, chacun avec des lignes de reporting, des exigences d'audit et des autorités de contrôle distinctes. La loi sur l'IA désigne le Bureau européen de l'IA au sein de la Commission comme organe de supervision central pour les modèles à usage général, alors que l'application du DSA pour les VLOP est dirigée par la Commission directement, soutenue par les coordinateurs nationaux des services numériques.

Reddit et Roblox rejoignent une liste croissante de plateformes à contenu généré par les utilisateurs

Reddit et Roblox suivent une trajectoire différente. Toutes deux reposent sur du contenu généré par les utilisateurs, Reddit comme réseau de forums communautaires, Roblox comme plateforme où les utilisateurs créent et monétisent des jeux, et toutes deux ont argué par le passé que leur structure décentralisée rendait la modération descendante plus difficile que sur des fils d'actualité centralisés. La désignation de la Commission rejette cette distinction pour ce qui concerne le risque systémique. Avec 45 millions d'utilisateurs mensuels chacune, leur seule échelle déclenche la présomption que leurs choix de conception peuvent amplifier les préjudices dans le marché unique.

Pour Reddit, qui s'est introduit à la Bourse de New York en mars 2024, la désignation intervient alors que l'entreprise est sous pression pour démontrer sa rentabilité tout en développant son activité publicitaire. Les restrictions du DSA sur la publicité ciblée utilisant des données sensibles et son interdiction des motifs trompeurs dans les interfaces de consentement contraindront certaines des stratégies de monétisation explorées par Reddit. Roblox, dont la base d'utilisateurs penche fortement vers les enfants et les adolescents, fait face à un examen particulier sur la protection des mineurs. La Commission a déjà signalé que la vérification de l'âge, les paramètres de confidentialité par défaut et la conception des économies virtuelles seront des domaines prioritaires pour les audits VLOP en 2025 et 2026.

Comment la Commission décide et ce qui suit

Le chiffre de 45 millions n'est pas une estimation. Les plateformes sont légalement tenues de publier leur nombre moyen de destinataires actifs mensuels dans l'UE au moins tous les six mois, calculé selon une méthodologie définie dans un règlement délégué. La Commission utilise ces chiffres autodéclarés, recoupés le cas échéant avec des données tierces, pour adopter une décision de désignation formelle. Une fois publiée au Journal officiel, l'horloge de conformité de quatre mois démarre. Le règlement DSA permet également à la Commission de désigner une plateforme en deçà du seuil si elle considère que le service présente des risques systémiques, bien que ce pouvoir n'ait pas encore été utilisé.

Les trois nouvelles VLOP doivent désormais soumettre leurs premières évaluations des risques systémiques début 2025, en supposant que la décision de désignation a été adoptée fin août 2024. Elles devront également nommer un responsable de la conformité reportant directement au conseil d'administration, publier un rapport de transparence couvrant le second semestre 2024, et subir leur premier audit indépendant dans les douze mois. La Commission a indiqué qu'elle donnera la priorité à l'évaluation des systèmes de recommandation, des ressources de modération de contenu pour les langues de l'UE, et de l'efficacité des mécanismes de notification et d'action pour les contenus illégaux.

Paysage de l'application et le précédent TikTok

La volonté de la Commission d'utiliser l'ensemble de sa boîte à outils d'application a été démontrée plus tôt cette année lorsqu'elle a ouvert des procédures formelles contre TikTok pour des manquements allégués à l'évaluation de la conception addictive de son programme de récompenses « Lite » et à la fourniture d'accès aux données aux chercheurs. Cette enquête, toujours en cours, pourrait aboutir aux premières amendes VLOP sous le DSA. Le message à ChatGPT, Reddit et Roblox est clair : la Commission attend une conformité substantielle, pas une simple case à cocher procédurale.

Les coordinateurs nationaux des services numériques, le Coimisiún na Meán irlandais pour la plupart des plateformes américaines ayant leur siège européen à Dublin, mais aussi les régulateurs d'autres États membres, assureront la supervision quotidienne des obligations non-VLOP et soutiendront la Commission sur l'application VLOP. Le mécanisme de coordination est encore en rodage ; la première inspection conjointe d'une VLOP n'a eu lieu qu'à la mi-2024.

Ce qui va suivre

Le test immédiat pour les trois plateformes est la soumission de leurs premières évaluations des risques systémiques, dues quatre mois après l'entrée en vigueur de la décision de désignation. Ces documents seront examinés par la Commission et, sous forme expurgée, mis à disposition du public. Les chercheurs et les organisations de la société civile ont déjà signalé des préoccupations spécifiques : pour ChatGPT, le potentiel de désinformation synthétique à grande échelle et l'opacité des mises à jour de modèle ; pour Reddit, la modération des communautés extrémistes et l'impact de l'amplification algorithmique sur la polarisation ; pour Roblox, l'exposition des enfants à des contenus inappropriés et l'économie de sa monnaie virtuelle. La Commission a fixé une échéance à février 2025 pour le premier cycle de rapports de transparence VLOP couvrant l'intégralité du second semestre 2024, qui fournira le premier jeu de données comparable sur la liste élargie.