ChatGPT tiukimpaan EU-valvontaan

Euroopan komission päätös lisätä ChatGPT, Reddit ja Roblox EU:n tiukimpien verkkoturvasääntöjen piiriin ei ole rangaistus eikä toteamus väärinkäytöksistä. Kyse on kokoluokasta. Kun palvelu on niin suuri, että sen rakenteelliset valinnat vaikuttavat käyttäjiä laajemmin koko yhteiskuntaan, EU siirtää sen kevyemmästä omavalvonnasta säännöllisen tarkastuksen piiriin.

Kokoraja ratkaisee

Digipalvelusäädös eli DSA vetää rajan 45 miljoonaan kuukausittaiseen käyttäjään EU:ssa (European Commission). Se vastaa noin kymmenesosaa EU:n väestöstä. Komission tulkinnassa palvelun tekninen rakenne voi silloin tuottaa vaikutuksia koko unionin tasolla, ei vain yksittäisissä käyttäjäryhmissä (Commission DSA overview).

Kaikki kolme ylittivät rajan. ChatGPT ilmoitti hakutoiminnolleen noin 159 miljoonaa EU-käyttäjää, Reddit 57,2 miljoonaa ja Roblox noin 47 miljoonaa (Euronews, Yahoo News). Tiukimpaan valvontaluokkaan nimettyjä palveluja on nyt yhteensä 28 (IEU Monitoring).

Reddit perustuu käyttäjien tuottamaan sisältöön. Robloxissa käyttäjät rakentavat pelejä toisille käyttäjille. Molemmat sopivat melko suoraan siihen malliin, jota varten DSA kirjoitettiin. ChatGPT on vaikeampi tapaus. Komissio luokitteli sen hakukoneeksi, koska palvelu hakee ja järjestää ulkoista tietoa käyttäjän kysymyksen perusteella (Straits Times). Hakukone vaikuttaa siihen, mitä käyttäjä löytää. Verkosta hakeva keskustelubotti menee pidemmälle: se tiivistää useita lähteitä yhdeksi vastaukseksi, jolloin käyttäjän on vaikeampi nähdä, miksi juuri kyseinen vastaus muodostui.

Tämä on ensimmäinen kerta, kun valtavirran tekoälychatbot kuuluu DSA:n ylimpään valvontaluokkaan. Erillinen tekoälysäädös asettaa chatboteille läpinäkyvyysvelvoitteita. DSA-päätös tekee muuta: se kohtelee palvelua tietoinfrastruktuurina, jonka suunnittelu voi suuressa mittakaavassa aiheuttaa haittoja ilman, että ongelma palautuu yhteen julkaisuun tai yksittäiseen vastaukseen (Les Echos, ZDNet France).

Vuosittainen riskitarkastus, ulkopuolinen arvioija ja pääsy tietoihin

Palveluilla on ilmoituksen jälkeen neljä kuukautta aikaa täyttää uudet velvoitteet. Käytännössä ne siirtyvät malliin, jossa moderointia ja turvallisuutta ei vain vakuuteta toimiviksi, vaan ne pitää pystyä osoittamaan tarkastettavasti (DSA, Regulation 2022/2065).

Muutos näkyy kolmella tavalla. Ensinnäkin yhtiöiden on tehtävä vuosittainen riskiarvio. Siinä arvioidaan, millaisia riskejä palvelun suunnittelu, algoritmit ja käyttötavat aiheuttavat laittoman sisällön, lasten suojelun, julkisen keskustelun ja turvallisuuden kannalta (EDAA explainer). Toiseksi ulkopuoliset auditoijat arvioivat, toimivatko suojatoimet käytännössä (Prighter DSA text). Kolmanneksi komissio ja hyväksytyt tutkijat voivat pyytää tietoja siitä, miten algoritmit järjestävät ja suosittelevat sisältöä. Tätä koskeva kehys määriteltiin vuoden 2025 delegoidussa asetuksessa.

EU-virkamies ei silti tarkista ChatGPT:n vastauksia etukäteen eikä hyväksy yksittäisiä Reddit-julkaisuja. Valvonnan kohteena on järjestelmä: suosittelulogiikka, moderointikoneisto, mainosarkkitehtuuri ja lasten suojaamiseen liittyvät ratkaisut. Varsinaisiin rikkomuksiin komissio puuttuu erillisillä täytäntöönpanovälineillä. Niitä on jo käytetty esimerkiksi X:lle määrätyssä 120 miljoonan euron sakossa sekä Metaa koskevissa alustavissa havainnoissa riippuvuutta lisäävästä suunnittelusta. Sakot voivat nousta 6 prosenttiin yhtiön maailmanlaajuisesta vuotuisesta liikevaihdosta (Brussels Times).

Miksi perheiden kannattaa seurata päätöstä

Vanhemmille konkreettisin tapaus on Roblox. Noin 70 prosenttia sen käyttäjistä on alle 18-vuotiaita (Biz Chosun). DSA:n alaikäisiä koskevat ohjeet kieltävät käyttäjäprofiileihin perustuvan kohdennetun mainonnan silloin, kun palvelu tietää käyttäjän olevan lapsi. Ylin valvontaluokka velvoittaa Robloxin arvioimaan, aiheuttavatko käyttäjien tekemät pelit, keskustelujärjestelmät ja suosittelualgoritmit lapsille laajamittaisia riskejä (Commission minors guidelines).

Roblox on jo ottanut käyttöön kasvojentunnistukseen perustuvia ikätarkistuksia, ikäryhmittäisiä chat-rajoituksia ja tekoälymoderointia. Ratkaisevaa on, toimivatko nämä keinot yhdessä ja miljoonien käyttäjien mittakaavassa. Komissiolla on nyt paremmat välineet arvioida sitä.

Komission johtava varapuheenjohtaja Henna Virkkunen perusteli päätöksiä sillä, että palvelujen valvonnan on vastattava niiden vaikutusvaltaa (UPI). Taustalla olevat toimivaltuudet ovat todellisia. Joulukuun loppuun mennessä yhtiöiden pitäisi pystyä näyttämään valmiit riskiarviot, auditointijärjestelyt ja tutkijoiden tiedonsaantiprosessit. Olennaista ei enää ole nimitys valvontaluokkaan, vaan se, erottaako komission tarkastusjärjestelmä aidon vastuun huolitellusta sääntöpaperista.