CHRONIQUE : Bruxelles range ChatGPT au rayon « risque systémique »

Ni tout à fait moteur, ni tout à fait plateforme

Un cas juridique inédit. Une catégorie nouvelle.

La Commission a qualifié ChatGPT de « service hybride », écrit Euractiv. La fonction de recherche web du chatbot, qui répond aux requêtes en cherchant sur internet, tombe dans la catégorie « moteur de recherche » du DSA.

C’est une première mondiale pour un chatbot d’IA générative, souligne Euronews.

Pas une plateforme. Un moteur.

Pourquoi ce choix change tout

La question a longtemps taraudé Bruxelles. « The Commission has had a hard time deciding whether the flagship service run by OpenAI is a search engine or a platform », confirme Politico Europe.

La réponse a été fonctionnelle. Un chatbot qui répond aux requêtes en scannant le web « fonctionne, en termes réglementaires, comme un moteur de recherche », résume Euronews.

La classification importe. Elle rapproche ChatGPT du régime déjà appliqué à Google Search et à Bing, listés comme VLOSE depuis avril 2023, précise Euractiv.

Un chatbot payé pour parler. Bruxelles a décidé qu’il cherchait aussi.

Un modèle qui répond est un modèle qui indexe.

La phrase de la vice-présidente

Une phrase officielle. Une phrase courte.

« These new designations mean that ChatGPT, Reddit and Roblox will now be held to a higher standard of scrutiny and accountability in the European Union, in line with their large impact on our citizens and society », a déclaré Henna Virkkunen, vice-présidente exécutive pour la souveraineté technologique, la sécurité et la démocratie, citée par Euronews.

Traduction. Ils devront rendre des comptes.

Le mot « accountability » n’est pas anodin. Il a fait fuir Meta, X, TikTok des concessions faciles depuis 2023.

Le style Virkkunen

La Finlandaise ne bavarde pas. Elle a repris la Commission après Thierry Breton, en 2024. Elle a hérité d’un DSA déjà armé, déjà rodé.

Sous elle, la Commission a déjà infligé 870 millions d’euros environ d’amendes DSA cumulées, selon le décompte de Euronews.

AliExpress a pris 550 millions en juillet. Temu 200 millions en mai. X 120 millions en décembre 2025, précise la même source.

Un régime qui n’a pas besoin de nouveaux textes. Il a des dossiers.

Bruxelles ne parle plus, Bruxelles facture.

Quatre mois pour tout

Le compte à rebours a démarré. Il finit fin novembre 2026, écrit Euractiv.

Quatre mois. Le délai est prévu par l’article 33 du DSA.

Ce n’est pas long. Ce n’est pas court non plus. C’est ce que la Commission a estimé nécessaire pour bâtir des équipes de conformité, des interfaces de transparence, des rapports d’audit prêts à être déposés.

Le premier lot de 19 VLOPs désignés en 2023 avait obtenu le même délai.

Ce qui doit tenir avant l’échéance

Un point de contact pour les autorités. Des conditions d’utilisation lisibles. Des rapports de transparence publics tous les 6 mois. La liste vient de la page DSA-VLOPs de la Commission.

Des évaluations annuelles de risques systémiques sur le contenu illégal, les droits fondamentaux, les élections, les mineurs, la santé mentale et physique, précise la même page.

Un audit indépendant annuel. Un référentiel public d’annonces publicitaires. Une option de recommandation sans profilage. Tout est écrit noir sur blanc.

Les données doivent être partagées avec la Commission et avec les chercheurs agréés, ajoute la page officielle.

Une plateforme qui n’ouvre pas ses données ne prouve rien.

L’arme lourde

Six pour cent.

Le chiffre ne bouge plus depuis l’entrée en vigueur du DSA en 2022. 6 % du chiffre d’affaires mondial annuel pour non-conformité substantielle, prévu par l’article 74, rappelle Verfassungsblog.

Pour Google, l’exposition théorique se compte « en dizaines de milliards », note le même blog constitutionnel.

Pour OpenAI, l’ordre de grandeur est plus modeste. Mais l’entreprise brûle du cash. Une amende à trois chiffres ferait mal.

Ce que 6 % veut dire

C’est plus que le RGPD. Le règlement de 2016 plafonnait à 4 %.

Le DSA a monté d’un cran. En cas de violation grave et répétée, Bruxelles peut aussi bannir un service du marché unique, précise le communiqué IP/22/6906 de la Commission.

Un bannissement. Sur 27 États membres. Sur 450 millions de consommateurs.

C’est théorique. C’est aussi juridique.

Le vrai plafond, ce n’est pas l’amende, c’est la porte.

Qui supervise quoi

La supervision est partagée. Elle a été fixée dès le communiqué du 31 août.

Pour ChatGPT et pour Reddit, le coordinateur national est l’Irish Coimisiún na Meán, précise Euronews.

Pour Roblox, c’est l’Autorité néerlandaise des consommateurs et marchés (ACM), écrit la même source.

Deux capitales. Deux régulateurs. Une Commission au-dessus.

Le rôle de Bruxelles

La Commission garde la main pour les VLOPs. Elle peut enquêter directement, sans passer par les régulateurs nationaux, note CryptoBriefing.

Elle peut demander des documents. Interroger des dirigeants. Perquisitionner des bureaux.

Roblox est déjà sous enquête. L’ACM néerlandaise l’examine depuis janvier pour insuffisance de protection des enfants, rapporte Euractiv.

La désignation VLOP change l’échelle. Elle transfère le dossier à Bruxelles, ou plutôt le double.

Un enfant dans un jeu, c’est aussi un dossier en cours.

Le club fermé

Vingt-huit.

C’est le nouveau total de plateformes et de moteurs classés VLOP ou VLOSE, selon Politico Europe.

Meta y est. TikTok y est. X aussi, malgré la brouille avec Elon Musk. AliExpress, Temu, Zalando, YouTube, Google Search, Bing.

Et maintenant, ChatGPT, Reddit, Roblox.

L’IA générative rejoint la table

La liste avait, jusque-là, un centre de gravité clair. Réseaux sociaux, marketplaces, moteurs. Un monde de flux, pas de génération.

Depuis lundi, l’IA générative s’est assise à la même table.

« Le premier chatbot d’IA générative jamais placé dans le régime le plus strict du DSA », résume AI/TLDR. Ce statut est plus qu’un titre.

Il fait du contenu généré par IA un objet réglementé, au même titre qu’un post Facebook, qu’une recherche Google, qu’un flux TikTok.

Un texte inventé par une machine reste un contenu qui blesse.

L’article qui compte

L’article 34 est court. Il porte tout.

Il oblige les VLOPs et VLOSEs à identifier, analyser et évaluer les risques systémiques découlant de la conception, du fonctionnement ou de l’usage de leur service, cite Verfassungsblog.

Contenu illégal. Droits fondamentaux. Élections. Bien-être mental et physique.

Quatre catégories. Chacune est un dossier annuel, chacune peut devenir une amende.

Ce que ça change pour un modèle

Un modèle d’IA générative n’est pas un post. C’est un système. Un système peut biaiser des millions de réponses par jour.

Le DSA parle de « design ou fonctionnement du service et de ses systèmes algorithmiques », précise la page officielle. Le mot « algorithmique » est mis exprès.

OpenAI devra publier une évaluation de risques. Puis un rapport d’audit indépendant, sous un an, cite l’EDAA.

Un rapport public. Ouvert. Comparable, année après année.

C’est ce qui change la donne pour OpenAI, plus que l’amende théorique.

Ce qui compte n’est pas la sanction, c’est la lecture.

La réponse d’Oscar Haines

OpenAI a répondu vite. Sans dramatiser.

« ChatGPT search operates as a search service under the DSA, and we are preparing to meet the additional compliance requirements that come with this Very Large Online Search Engine designation », a déclaré le porte-parole Oscar Haines, cité par Politico Europe.

Un communiqué de sujet ordonné. Pas de contestation. Pas d’assaut judiciaire annoncé.

OpenAI a compris. Contester serait perdre. Négocier vaut mieux qu’attaquer.

La stratégie discrète d’Altman

Sam Altman parle beaucoup d’IA. Rarement de DSA.

Depuis un an, OpenAI a discrètement construit son point de contact unique européen, cité dans la page d’aide dédiée au DSA. La conformité est un exercice de plomberie. Longue et coûteuse.

Un jour, Altman a dit publiquement qu’il pourrait « quitter » l’Europe si le règlement devenait insoutenable. Il ne l’a pas dit ce lundi. Il a envoyé un porte-parole.

C’est un choix. C’est déjà une reddition partielle.

Quand on prépare l’audit, on ne prépare plus la fuite.

Les deux voix des désignés

Reddit a répondu, aussi. Jen Molina, porte-parole. « We’ve been preparing to meet the VLOP requirements and look forward to coordinating with EU regulators while providing transparency for Reddit users », a-t-elle déclaré, selon Politico Europe.

Roblox a joué la carte de la fierté. Joost Hagesteijn, general manager Europe : « we are proud to be the first gaming platform to reach this milestone in the EU », cite Politico Europe.

Fier d’être surveillé. Fier d’être classé à risque systémique. La formule est audacieuse.

Elle traduit une conviction : rester dans le marché européen vaut le prix de la conformité.

Ce que le silence des concurrents dit

Meta n’a pas réagi. Google non plus. TikTok a laissé passer la nouvelle sans un mot.

Le club des vingt-cinq déjà classés VLOP ne bouge pas quand un nouveau entre. Il attend. Il regarde. Il compare les stratégies.

Un concurrent audité ferme est un concurrent ralenti. Le silence est intéressé.

Personne ne pleure pour un rival au bloc opératoire.

L’écart avec les États-Unis

Aux États-Unis, rien de comparable.

Pas de DSA. Pas d’article 34. Pas de seuil de 45 millions avec obligations différenciées. Le Congrès parle beaucoup d’IA mais légifère peu.

Le seul texte fédéral significatif reste la Section 230, qui exonère plutôt qu’il ne contraint. L’IA générative y avance à ciel ouvert.

Une régulation par silence. Un modèle de laisser-faire.

Le 21 août 2025, l’AI Executive Order de Biden a été révoqué. La Federal Trade Commission a serré la vis sur les mineurs, sans plus.

La colère de Trump

La Maison-Blanche n’a pas apprécié la ligne européenne. Elle avait qualifié les amendes DMA infligées à Apple et Meta de « nouvelle forme d’extorsion économique », rappelle Euronews.

Le président avait menacé de mesures de rétorsion contre les pays adoptant des règles ciblant les entreprises tech américaines, note la même source.

Trois désignations. Trois entreprises américaines. Un motif de plus pour Trump de crier.

Le DSA vise pourtant les usages, pas les nationalités. Ce sont les tailles européennes qui parlent, pas les drapeaux.

Mais dans la langue de Trump, tout ce qui contraint une tech US est une agression.

On ne convainc pas Mar-a-Lago avec un article de règlement.

Le principe fondateur

Le DSA s’applique aux services offerts dans l’UE, quelle que soit la nationalité du fournisseur. C’est écrit à l’article 2.

« Irrespective of where the providers of those intermediary services have their place of establishment », cite le DSA Observatory.

Un test de « connexion substantielle » à l’Union détermine l’applicabilité, ajoute une analyse académique de Cambridge University Press.

C’est le même mécanisme que le RGPD. Adopté sept ans plus tôt, il est devenu la norme mondiale de facto.

La limite de l’extraterritorialité

Une nuance. Le DSA « applies exclusively within the European Union to all services provided therein », ont clarifié des juristes cités par Stanford Cyberlaw.

La juridiction est extraterritoriale. Les obligations, elles, ne concernent que le service tel qu’il est offert dans l’UE.

OpenAI n’a pas à changer ChatGPT pour ses utilisateurs américains. Elle doit ajuster ChatGPT pour ses utilisateurs européens.

C’est plus subtil qu’un « Brussels effect » automatique. C’est plus radical qu’une simple règle locale.

Une frontière juridique passe désormais dans le prompt.

Les prochains sur la liste

Trois noms flottent. Claude d’Anthropic. Gemini de Google. Perplexity.

Aucun n’a encore publié de chiffres UE supérieurs à 45 millions. Aucun n’est encore désigné.

Mais Gemini est mentionné explicitement par Verfassungsblog comme un chatbot dont le fonctionnement est fonctionnellement similaire aux moteurs de recherche.

La grille de lecture bruxelloise est claire. Si un chatbot dépasse le seuil, il est éligible. La question devient : quand publieront-ils leurs chiffres ?

Le prochain domino

OpenAI a été forcée de publier ses données EU parce qu’elle est cotée au régime DSA « intermediaire ». Les autres suivront.

L’article 24(2) impose de publier ces chiffres deux fois par an. Anthropic et Google devront s’y plier.

Perplexity aussi, dès qu’elle franchira le seuil. Sa croissance en Europe est réelle, portée par ses fonctionnalités de recherche générative et son intégration mobile.

La question n’est plus si. C’est quand. Et à quelle vitesse la Commission bougera la ligne rouge.

Un régulateur a-t-il déjà, ailleurs dans le monde, une capacité aussi structurée à intégrer des modèles génératifs dans un régime préexistant ?

Le prochain nom est déjà en train de compter ses utilisateurs.

Signé Maxime Marquette, chroniqueur