L'UE classe ChatGPT comme moteur de recherche sous le régime numérique le plus strict

La Commission européenne a placé ChatGPT, Reddit et Roblox sous le niveau le plus exigeant de sa loi sur les services numériques, tranchant un débat contentieux sur la façon de classer le chatbot d'OpenAI en le déclarant moteur de recherche. La décision, annoncée lundi, place trois services américains sous la supervision directe de la Commission et leur impose d'évaluer et d'atténuer les risques systémiques, notamment les préjudices aux mineurs, l'intégrité des élections et la sécurité publique.

La classification importe car la DSA traite différemment les plateformes et les moteurs de recherche. Une très grande plateforme en ligne, ou VLOP, doit évaluer les risques liés à la distribution de contenu, à la publicité et à la manipulation des utilisateurs. Un très grand moteur de recherche en ligne, ou VLOSE, doit évaluer la façon dont ses algorithmes de classement et la présentation des résultats façonnent l'accès à l'information. En désignant ChatGPT comme moteur de recherche plutôt que comme plateforme, la Commission a décidé que la fonction principale du service est de diriger les utilisateurs vers l'information, non d'héberger leur contenu. Cette distinction façonnera ce qu'OpenAI devra faire pour se conformer.

La classification en moteur de recherche qui a divisé Bruxelles

La désignation potentielle de ChatGPT est suivie de près à Bruxelles depuis qu'OpenAI a déclaré 120 millions d'utilisateurs dans l'UE l'an dernier. La question était simple en principe mais délicate en pratique : un IA conversationnelle qui synthétise des réponses à partir de données d'entraînement est-elle un moteur de recherche, une plateforme de contenu, ou quelque chose que les rédacteurs de la DSA n'avaient pas anticipé ?

La DSA définit un moteur de recherche en ligne comme un service qui permet aux utilisateurs de saisir des requêtes et renvoie des résultats sous tout format, y compris des liens vers des sites tiers. OpenAI a intégré des fonctionnalités de recherche dans ChatGPT depuis la fin 2024, ajoutant des résultats web en direct aux textes générés. La désignation de la Commission porte sur cette fonction de recherche plutôt que sur les capacités conversationnelles plus larges du chatbot. Le porte-parole d'OpenAI, Oscar Haines, a confirmé la lecture de l'entreprise : "ChatGPT search operates as a search service under the DSA, and we are preparing to meet the additional compliance requirements that come with this Very Large Online Search Engine designation."

La classification n'est pas seulement sémantique. Un VLOSE doit mener des évaluations de risques annuelles couvrant la façon dont ses algorithmes peuvent contribuer à la diffusion de contenu illégal ou à la manipulation des résultats de recherche. Il doit assurer la transparence sur les paramètres de classement et permettre aux chercheurs d'accéder aux données. Ces obligations s'appliquent raisonnablement bien à Google Search ou Bing, où un utilisateur tape une requête et reçoit une liste classée de liens. Elles s'adaptent moins bien à un service qui génère un unique paragraphe synthétisé, cite des sources seulement par intermittence, et peut produire des contre-vérités plausibles sans lien externe pour les vérifier.

Bruxelles a essentiellement décidé que la fonction de recherche est suffisamment dominante pour placer l'ensemble du service sous le régime VLOSE. La question de savoir si le cadre de conformité conçu pour les moteurs de recherche à base de liens peut répondre adéquatement aux risques des réponses générées par l'IA est une question que régulateurs et OpenAI devront désormais résoudre ensemble.

Ce que le régime le plus strict de la DSA exige

La DSA, entrée en vigueur pleinement en février 2024, établit un système d'obligations gradué selon la taille et la portée des services en ligne. Le seuil pour le régime le plus strict est de 45 millions d'utilisateurs actifs mensuels dans l'UE. Une fois qu'un service est désigné comme VLOP ou VLOSE par la Commission, il a quatre mois pour se conformer à l'ensemble complet des obligations, sous peine d'amendes pouvant atteindre 6 % du chiffre d'affaires annuel mondial.

Ces obligations incluent la réalisation d'évaluations de risques systémiques annuelles, l'adoption de mesures d'atténuation des risques et la soumission à des audits indépendants. Les VLOP doivent également fournir un répertoire publicitaire, restreindre la publicité ciblée envers les mineurs et s'abstenir d'utiliser des données personnelles sensibles pour le ciblage publicitaire. Les VLOSE font face à des exigences analogues calibrées pour la recherche : ils doivent évaluer la façon dont les algorithmes de classement et de recommandation peuvent amplifier du contenu nuisible et doivent offrir au moins une option de résultats de recherche qui ne repose pas sur le profilage.

Le régime donne également à la Commission une autorité d'exécution directe. Pour les plateformes plus petites, les régulateurs nationaux tiennent la laisse. Pour les VLOP et VLOSE, Bruxelles supervise elle-même la conformité, une structure conçue pour empêcher les grandes entreprises américaines de chercher des régulateurs plus indulgents dans les petits États membres.

Reddit et Roblox rejoignent la liste des VLOP

Reddit, la plateforme de discussion fondée en 2005, a déclaré 57,2 millions d'utilisateurs dans l'UE en juillet, confortablement au-dessus du seuil de 45 millions. Sa désignation comme VLOP la soumet au régime complet des plateformes, couvrant la modération de contenu, la transparence des rapports et la divulgation publicitaire. La porte-parole de Reddit, Jen Molina, a déclaré que l'entreprise s'engageait à se conformer à la désignation. "We've been preparing to meet the VLOP requirements and look forward to coordinating with EU regulators while providing transparency for Reddit users."

Roblox, la plateforme de jeu populaire auprès des enfants, a déclaré 46,6 millions d'utilisateurs dans l'UE. Sa désignation soulève des questions particulières sur la sécurité des enfants, puisque les dispositions de la DSA sur les risques systémiques exigent des VLOP qu'ils évaluent et atténuent les risques pour les mineurs. Joost Hagesteijn, directeur général de Roblox pour l'Europe, a présenté la désignation comme un point positif : "We are proud to be the first gaming platform to reach this milestone in the EU. Safety is foundational to everything we do and we look forward to continuing our constructive engagement with the European Commission."

Avec ces ajouts, 28 services relèvent désormais du régime le plus strict de la DSA. La liste comprenait déjà X, TikTok, YouTube, Facebook, Instagram, Amazon Marketplace et plusieurs autres. L'ajout d'une plateforme de jeu et d'un forum de discussion signale que la Commission applique la loi à des services qui ne correspondent pas au moule des médias sociaux mais atteignent suffisamment d'utilisateurs européens pour justifier le même examen.

Double régulation : la DSA rencontre la loi sur l'IA

ChatGPT n'arrive pas à la DSA sans régulation. La loi sur l'intelligence artificielle, que le Parlement européen a adoptée en mars 2024 et qui est déployée progressivement jusqu'en 2026 et 2027, impose déjà des obligations de transparence et de gestion des risques aux modèles d'IA à usage général tels que GPT-4. OpenAI doit documenter les données d'entraînement, publier des résumés du matériel protégé par le droit d'auteur utilisé, et assurer une cybersécurité adéquate. Les dispositions de la loi sur l'IA concernant les risques systémiques pour les modèles les plus puissants ajoutent une seconde couche de surveillance.

Le chevauchement entre les deux régimes n'est pas accidentel. La DSA régit la façon dont un service opère sur le marché : quel contenu il distribue, comment il classe les résultats, quelle publicité il affiche. La loi sur l'IA régit la façon dont le modèle sous-jacent est construit et déployé. Un chatbot désigné comme VLOSE devra satisfaire simultanément aux deux ensembles d'obligations, et les deux textes n'ont pas été rédigés en tenant compte des spécificités de l'autre. La Commission devra coordonner sa propre exécution en interne pour éviter de donner à OpenAI des instructions contradictoires sur ce qu'une évaluation des risques doit contenir.

Pour OpenAI, la charge pratique est gérable en termes financiers mais significative en termes opérationnels. L'entreprise doit produire une évaluation des risques systémiques couvrant ses algorithmes de recherche, établir une fonction de conformité redevable devant la Commission, et se soumettre à des audits indépendants. Elle doit également fournir un mécanisme permettant aux utilisateurs et aux autorités de signaler du contenu illégal dans les résultats de recherche, une exigence qui s'accorde mal avec un produit qui génère du texte plutôt que de renvoyer vers des pages tierces.

L'horloge de la conformité démarre maintenant

La fenêtre de conformité de quatre mois donne aux trois entreprises jusqu'à environ la fin décembre 2026 pour démontrer qu'elles respectent les exigences de la DSA. En pratique, cela signifie soumettre des évaluations de risques systémiques, publier des rapports de transparence et établir des points de contact pour la Commission et pour les utilisateurs.

L'exécution suivra. La Commission a déjà ouvert des procédures contre X pour violations présumées de la DSA et a envoyé des demandes d'information à plusieurs autres VLOP. Le schéma suggère que la désignation est le début de l'examen, pas sa fin. Bruxelles a montré sa volonté de tester ses pouvoirs contre de grandes plateformes américaines, et le statut nouveau de ChatGPT comme moteur de recherche propulsé par l'IA en fait un candidat évident pour un examen approfondi.

La question plus large est de savoir si le cadre de la DSA, rédigé avant que l'IA générative ne devienne un produit grand public, s'avère adéquat. La régulation des moteurs de recherche était conçue pour un monde de liens bleus. L'appliquer à un système qui rédige ses propres réponses, parfois avec exactitude et parfois non, testera si les principes généraux de la loi peuvent gérer une technologie que les rédacteurs n'avaient pas prévue.