La Commission européenne a formellement désigné ChatGPT d'OpenAI comme Très Grand Moteur de Recherche en Ligne, et Reddit et Roblox comme Très Grandes Plateformes en Ligne au titre de la loi sur les services numériques, étendant le régime réglementaire le plus strict de l'UE à la recherche par IA générative pour la première fois. La décision, annoncée lundi, porte à 28 le nombre de services soumis à une surveillance renforcée.
Les trois franchissent le seuil légal de 45 millions d'utilisateurs mensuels moyens dans l'Union européenne. Ce chiffre, fixé par le DSA, déclenche une cascade d'obligations qui vont bien au-delà des règles de base applicables aux plateformes plus petites. ChatGPT, Reddit et Roblox ont désormais jusqu'à la fin janvier 2027 pour mettre en place les évaluations de risques, mesures d'atténuation, rapports de transparence et audits indépendants requis.
Ce que signifient réellement ces désignations
Une désignation comme Très Grande Plateforme en Ligne (VLOP) ou Très Grand Moteur de Recherche en Ligne (VLOSE) n'est pas une simple étiquette. Elle soumet le service à tout le poids du cadre des risques systémiques du DSA. Les entreprises doivent évaluer et atténuer les risques découlant de leurs services et systèmes algorithmiques dans six domaines : diffusion de contenus illégaux, effets négatifs sur les mineurs, impacts sur le bien-être physique et mental des utilisateurs, menaces aux droits fondamentaux, ingérence dans les processus électoraux, et risques pour la sécurité publique.
En outre, la Commission obtient des pouvoirs d'enquête pour examiner les fonctionnalités derrière ces services et tous systèmes connexes. Cela inclut le droit de demander des documents internes, de mener des entretiens et d'effectuer des inspections sur site. Le non-respect peut entraîner des amendes allant jusqu'à 6 % du chiffre d'affaires annuel mondial et, dans les cas extrêmes, une interdiction temporaire du marché de l'UE.
ChatGPT entre en territoire réglementaire inexploré
L'inclusion de ChatGPT est l'élément le plus conséquent de la décision de lundi. Jusqu'à présent, la catégorie VLOSE était occupée exclusivement par les moteurs de recherche traditionnels, Google Search et Microsoft Bing. La désignation de ChatGPT reflète la position de la Commission selon laquelle le service opère comme un service de recherche au sens du DSA, position que OpenAI ne conteste pas. Un porte-parole d'OpenAI a déclaré à PYMNTS que l'entreprise se prépare à satisfaire aux exigences de conformité supplémentaires et a noté que la désignation illustre l'adoption rapide par l'Europe de nouvelles méthodes de recherche.
Cela crée un défi réglementaire inédit. Les moteurs de recherche traditionnels indexent et classent les pages web existantes. La recherche par IA générative produit des réponses synthétisées tirées de données d'entraînement et, de plus en plus, de récupération en temps réel. La méthodologie des risques systémiques développée pour les services d'indexation ne s'applique pas nécessairement à un système qui peut halluciner, amplifier les biais ou être manipulé par injection de prompt. Les pouvoirs d'enquête de la Commission seront mis à l'épreuve alors qu'elle cherche à comprendre les fonctionnalités derrière les réponses de ChatGPT.
Reddit et Roblox font entrer la communauté et le jeu dans le champ d'application
La désignation de Reddit comme VLOP était largement attendue. Les plus de 45 millions d'utilisateurs UE de la plateforme se concentrent dans des communautés très actives et thématiques où la modération de contenu est largement déléguée à des modérateurs bénévoles. Le DSA exigera de Reddit qu'il démontre que son modèle de gouvernance, y compris la relation entre salariés et modérateurs bénévoles, atténue adéquatement les risques systémiques. Un porte-parole de Reddit a indiqué que l'entreprise se prépare aux exigences VLOP et se réjouit de coordonner avec les régulateurs européens tout en assurant la transparence pour les utilisateurs.
La désignation de Roblox est plus inhabituelle. Elle devient la première plateforme de jeu à atteindre le seuil VLOP, une étape que l'entreprise décrit comme portée par sa communauté de développeurs et soutenue par un engagement pour une expérience sûre, civile et adaptée à l'âge. Roblox a mis en avant ses systèmes pionniers de vérification d'âge pour le chat et le contenu, ainsi que les protections par défaut pour les jeunes joueurs. Le modèle de contenu généré par les utilisateurs de la plateforme, combiné à une base d'utilisateurs majoritairement jeune, rend les exigences du DSA sur la protection des mineurs et le bien-être mental particulièrement saillantes.
L'horloge de la conformité tourne dès maintenant
L'échéance de janvier 2027 laisse aux trois entreprises environ cinq mois pour réaliser leurs premières évaluations des risques systémiques, publier des rapports de transparence, nommer des responsables conformité et établir des mécanismes d'audit indépendants. Elles doivent également mettre en place une fonction de conformité DSA dédiée et fournir à la Commission l'accès aux données nécessaires à la supervision. Pour ChatGPT, la tâche la plus complexe pourrait être la conception d'une méthodologie d'évaluation des risques qui capture les modes de défaillance uniques de l'IA générative, hallucination, complaisance, contournement de garde-fous, dans les six catégories de risques du DSA.
La Commission a indiqué qu'elle n'attendrait pas l'échéance pour entamer l'engagement. Henna Virkkunen, vice-présidente exécutive pour la souveraineté technologique, la sécurité et la démocratie, a déclaré que l'UE continuera de surveiller de près le paysage numérique et n'hésitera pas à désigner toute plateforme atteignant le seuil. Sa déclaration signale que d'autres désignations sont probables, notamment à mesure que de nouveaux services se développent rapidement sur le marché de l'UE.
Un cadre réglementaire conçu pour l'échelle
L'approche par paliers du DSA, obligations de base pour tous les services d'intermédiation, obligations renforcées pour les VLOP et VLOSE, a été conçue pour concentrer les ressources réglementaires là où l'impact sociétal est le plus grand. Le seuil de 45 millions d'utilisateurs capture environ 10 % de la population de l'UE. Lorsque la législation a été négociée en 2021 et 2022, les cibles principales étaient les géants établis : Google, Meta, Amazon, Apple, Microsoft. Le fait qu'un service d'IA générative, un forum communautaire et une plateforme de jeu aient désormais franchi la ligne démontre à quelle vitesse le paysage numérique a changé.
Cela soulève aussi des questions sur le seuil lui-même. Plusieurs services avec une portée significative dans l'UE, Discord, Telegram, Pinterest, Snapchat, restent sous la barre des 45 millions ou n'ont pas encore été désignés. La volonté de la Commission de désigner de nouvelles catégories de services suggère qu'elle surveille activement le marché, mais le processus repose sur l'auto-déclaration des chiffres d'utilisateurs et la vérification de la Commission. Cela crée un décalage entre le moment où un service atteint le seuil et sa désignation formelle.
Implications mondiales d'un règlement européen
Le DSA a un effet extraterritorial : il s'applique à tout service offrant ses services dans l'UE, quel que soit le lieu d'incorporation de l'entreprise. Cela signifie qu'OpenAI, Reddit et Roblox, tous basés aux États-Unis, doivent construire des systèmes de conformité qui satisfont les régulateurs européens. En pratique, beaucoup des changements requis, tels que les rapports de transparence et les évaluations de risques, seront mis en œuvre mondialement car maintenir des versions de produit distinctes pour l'UE est techniquement et financièrement impraticable.
Cette dynamique, souvent appelée l'effet Bruxelles, a déjà façonné les pratiques mondiales de modération de contenu, de transparence algorithmique et de divulgation publicitaire. L'extension à la recherche par IA générative pourrait accélérer le développement de normes industrielles pour la sécurité et la responsabilité de l'IA, les entreprises cherchant à démontrer leur conformité non seulement à la Commission mais aux régulateurs au Royaume-Uni, au Canada, en Australie et ailleurs qui observent de près l'expérience du DSA.
L'application définira la crédibilité du régime
La désignation n'est que la première étape. La crédibilité du DSA dépend de l'application. La Commission a ouvert des procédures formelles contre X, Meta, TikTok et AliExpress depuis que le régime est devenu pleinement applicable, mais aucune décision de manquement finale n'a encore été publiée. Les premières amendes, lorsqu'elles arriveront, signaleront à quel point la Commission traite sérieusement les défaillances procédurales par rapport à l'atténuation substantielle des risques. Pour les services nouvellement désignés, l'approche de la Commission face au premier tour d'évaluations de risques, attendues début 2027, fixera la référence.
OpenAI, Reddit et Roblox ont tous signalé leur volonté de coopérer. C'est la posture rationnelle : le coût de la non-conformité dépasse de loin celui de l'engagement. Mais le défi technique et organisationnel est substantiel. Chaque entreprise doit désormais traduire les catégories de risques abstraites du DSA en métriques concrètes, systèmes de surveillance et mesures d'atténuation pour des services qui n'ont pas été conçus avec l'auditabilité réglementaire à l'esprit.
Personnalités mentionnées
-
OpenAI spokesperson
Organisations
European Commission · OpenAI · Reddit · Roblox · Microsoft · Google
