ChatGPT entra en la máxima vigilancia europea

Al ver titulares que dicen que Bruselas ha situado a ChatGPT, Reddit y Roblox bajo sus normas más estrictas de seguridad digital, conviene evitar una lectura equivocada: no se trata de una sanción ni de una declaración de culpabilidad. La Comisión Europea ha incorporado los tres servicios a la categoría reservada a plataformas cuyo tamaño hace que sus decisiones de diseño puedan afectar al conjunto de la sociedad, y no solo a quienes las usan. La lógica se parece menos a una multa por incumplimiento que al paso de un edificio de revisiones voluntarias a inspecciones obligatorias.

La regla del tamaño

La Ley de Servicios Digitales fija un umbral claro: cualquier servicio en línea con más de 45 millones de usuarios mensuales en la UE entra en el nivel máximo de supervisión (Comisión Europea). Esa cifra equivale aproximadamente a una décima parte de la población de la Unión, el punto a partir del cual Bruselas considera que la arquitectura de un servicio puede producir efectos a escala europea (resumen de la Comisión sobre la DSA).

Los tres han superado ese listón. ChatGPT declaró unos 159 millones de usuarios en la UE para su función de búsqueda, Reddit 57,2 millones y Roblox alrededor de 47 millones (Euronews, Yahoo News). Con estas incorporaciones, el número total de servicios designados asciende ya a 28 (IEU Monitoring).

Reddit aloja contenido generado por usuarios. Roblox aloja juegos creados por usuarios. Ambos encajan con bastante claridad en el tipo de plataformas para las que se diseñó la Ley de Servicios Digitales. El caso de ChatGPT es más delicado. El servicio sintetiza respuestas a partir de información disponible en la web y las presenta en una conversación única; por eso, la Comisión lo ha clasificado como motor de búsqueda, al entender que recupera y ordena información externa cuando se le formula una pregunta (Straits Times). Un buscador condiciona lo que se encuentra. Un chatbot que busca en la web va un paso más allá, porque funde varias fuentes en una sola respuesta y dificulta ver por qué se recibió esa contestación y no otra.

Es la primera vez que un chatbot de inteligencia artificial de uso masivo entra en esta categoría. La Ley de Inteligencia Artificial, una norma distinta, impone obligaciones de transparencia a los chatbots. La designación bajo la Ley de Servicios Digitales opera en otro plano: trata el servicio como una infraestructura de información lo bastante grande como para generar daños por su diseño a gran escala, no por una publicación o una respuesta concreta (Les Echos, ZDNet France).

Revisión anual, auditor externo y libros abiertos

Los tres servicios disponen de cuatro meses desde la notificación para cumplir las nuevas obligaciones. En la práctica, se pasa de un «confíen en nosotros, moderamos contenidos» a una gobernanza demostrable y auditable (DSA, Reglamento 2022/2065). Cambian tres cosas.

La primera es una revisión anual del sistema. Las empresas deberán identificar los riesgos derivados de su diseño, sus algoritmos y sus patrones de uso, incluidos los contenidos ilegales, los daños a menores, los efectos sobre el debate público y la seguridad (guía de EDAA). La segunda es la intervención de un auditor externo: serán evaluadores independientes, y no las propias compañías, quienes determinen si las salvaguardas funcionan realmente (texto de Prighter sobre la DSA). La tercera es la apertura de información a investigadores. La Comisión y académicos autorizados podrán solicitar explicaciones sobre cómo los algoritmos ordenan y recomiendan contenido, conforme al marco establecido por un reglamento delegado de 2025.

Nada de esto significa que un funcionario europeo vaya a situarse entre una pregunta a ChatGPT y su respuesta, ni que apruebe publicaciones individuales en Reddit. El foco está en el sistema: la lógica de clasificación, la maquinaria de moderación, la arquitectura publicitaria y el diseño de protección de menores. Cuando la Comisión detecta infracciones, recurre a instrumentos sancionadores separados, como ya ha hecho con una multa de 120 millones de euros a X y con conclusiones preliminares contra Meta por diseños adictivos. Las multas pueden alcanzar el 6% de la facturación mundial anual (Brussels Times).

Por qué importa a las familias

Para las familias, Roblox es el caso más tangible. Alrededor del 70% de sus usuarios son menores de 18 años (Biz Chosun). Las directrices de la Ley de Servicios Digitales sobre menores prohíben la publicidad dirigida basada en perfiles cuando un servicio sabe que el usuario es un niño. La inclusión en el nivel superior obliga a Roblox a evaluar si sus juegos creados por usuarios, sus sistemas de chat y sus algoritmos de recomendación generan riesgos para los menores a gran escala (directrices de la Comisión sobre menores). Roblox ya ha introducido verificaciones de edad con reconocimiento facial, restricciones de chat por franjas de edad y moderación mediante inteligencia artificial. La cuestión es si esas herramientas funcionan de forma coordinada y a escala, y ahora la Comisión tendrá capacidad para evaluarlo.

La vicepresidenta ejecutiva Henna Virkkunen presentó estas designaciones como una forma de someter los servicios a un escrutinio proporcional a su alcance (UPI). Las competencias de ejecución que hay detrás son reales. A finales de diciembre, las compañías deberían poder mostrar evaluaciones de riesgo completas, acuerdos de auditoría y procedimientos de acceso para investigadores. Lo relevante ya no es la designación en sí, sino si la maquinaria de auditoría de la Comisión será capaz de distinguir la rendición de cuentas real de un expediente de cumplimiento bien presentado.