ChatGPT rammes af EU’s hårdeste tilsyn

Når Bruxelles placerer ChatGPT, Reddit og Roblox under EU’s skrappeste regler for onlinetjenester, er det ikke i sig selv en dom over, at de har gjort noget forkert. Det er en konstatering af størrelse og samfundsbetydning. EU-Kommissionen har føjet alle tre til den gruppe af tjenester, hvor designvalg ikke kun påvirker brugerne, men også den offentlige samtale, børns digitale hverdag og adgangen til information. Det svarer mindre til en bøde for dårlig sikkerhed og mere til, at en bygning går fra egenkontrol til obligatorisk bygningssyn.

Størrelsesreglen

Forordningen om digitale tjenester, Digital Services Act, trækker en klar grænse: En onlinetjeneste med mere end 45 millioner månedlige brugere i EU kommer ind i det højeste tilsynslag (EU-Kommissionen). Tallet svarer omtrent til en tiendedel af EU’s befolkning og markerer det punkt, hvor Kommissionen vurderer, at en tjenestes tekniske indretning kan få virkninger på tværs af hele unionen (Kommissionens DSA-overblik).

Alle tre passerede grænsen. ChatGPT har oplyst omkring 159 millioner EU-brugere for sin søgefunktion, Reddit 57,2 millioner, og Roblox omkring 47 millioner (Euronews, Yahoo News). Dermed er der nu 28 tjenester under denne særlige udpegning (IEU Monitoring).

Reddit bygger på brugernes egne opslag. Roblox bygger på spil skabt af brugerne. Begge ligner den type store platforme, som DSA’en blev skrevet til. ChatGPT er det mere principielle tilfælde. Tjenesten samler svar fra nettet i én samtaleform, og Kommissionen har klassificeret den som en søgemaskine, fordi den henter og rangerer ekstern information, når brugeren spørger (Straits Times). En søgemaskine former, hvad brugerne finder. En chatbot med websøgning går et skridt videre, fordi den koger flere kilder ned til ét svar. Dermed bliver det sværere at se, hvorfor netop det svar kom frem, og hvilke alternativer der blev sorteret fra.

Det er første gang, en udbredt AI-chatbot rykkes op i dette tilsynslag. AI-forordningen, som er en anden EU-lov, pålægger chatbots gennemsigtighedskrav. DSA-udpegningen gør noget andet: Den behandler tjenesten som informationsinfrastruktur, der kan skabe skade gennem sit design i stor skala, ikke kun gennem et enkelt opslag eller et enkelt svar (Les Echos, ZDNet France).

Årligt eftersyn, ekstern kontrollant, åbne bøger

De tre tjenester har fire måneder fra underretningen til at leve op til kravene. I praksis flytter DSA’en dem fra “stol på os, vi modererer” til dokumenterbar og kontrollerbar styring (DSA, forordning 2022/2065). Tre ting ændrer sig.

For det første skal selskaberne lave et årligt eftersyn af risici. De skal identificere problemer, der følger af deres design, algoritmer og brugsmønstre, blandt andet ulovligt indhold, skade på børn, påvirkning af den offentlige debat og sikkerhedsrisici (EDAA-forklaring). For det andet kommer der en ekstern kontrollant. Uafhængige revisorer, ikke selskaberne selv, skal vurdere, om sikkerhedsforanstaltningerne faktisk virker (Prighter DSA-tekst). For det tredje åbnes der for forskeradgang. Kommissionen og godkendte forskere kan kræve forklaringer på, hvordan algoritmer rangerer og anbefaler indhold, efter en ramme fastlagt i en delegeret forordning fra 2025.

Det betyder ikke, at en EU-embedsmand sidder mellem en ChatGPT-prompt og svaret eller godkender Reddit-opslag enkeltvis. Tilsynet retter sig mod systemet: rangeringslogik, moderationsapparat, annoncemodel og design for børnesikkerhed. Når Kommissionen finder overtrædelser, bruger den særskilte håndhævelsesredskaber. Det har den allerede gjort med en bøde på 120 mio. euro til X og foreløbige konklusioner mod Meta om vanedannende design. Bøderne kan nå op på 6 % af den globale årlige omsætning (Brussels Times).

Hvorfor familier bør følge med

For forældre er Roblox det mest konkrete tilfælde. Omkring 70 % af brugerne er under 18 år (Biz Chosun). DSA’s retningslinjer for mindreårige forbyder målrettet reklame baseret på brugerprofiler, når en tjeneste ved, at brugeren er et barn. Udpegningen til det øverste tilsynslag betyder, at Roblox skal vurdere, om de brugerskabte spil, chatsystemer og anbefalingsalgoritmer skaber børnerisici i stor skala (Kommissionens retningslinjer for mindreårige). Roblox har allerede indført alderskontrol med ansigtsgenkendelse, aldersopdelte chatbegrænsninger og AI-moderation. Spørgsmålet er, om værktøjerne virker sammen og i stor skala. Det får Kommissionen nu bedre mulighed for at vurdere.

Kommissionens ledende næstformand, Henna Virkkunen, fremstillede udpegningerne som et spørgsmål om at matche tilsynet med tjenesternes rækkevidde (UPI). Beføjelserne bag ordene er reelle. Senest i slutningen af december bør selskaberne kunne fremvise risikovurderinger, revisionsaftaler og processer for forskeradgang. Det afgørende bliver ikke selve udpegningen, men om Kommissionens kontrolapparat kan skelne reel ansvarlighed fra pænt poleret compliance-papir.