ChatGPT sous surveillance renforcée dans l’UE

La Commission européenne a placé ChatGPT, Reddit et Roblox sous le régime le plus strict du Digital Services Act. Il ne s’agit pas d’une sanction, mais d’un changement de statut : ces services sont désormais traités comme des infrastructures numériques capables de produire des effets à l’échelle de l’Union.

Lire cette décision comme une accusation serait une erreur. Bruxelles ne dit pas que ChatGPT, Reddit ou Roblox ont enfreint la loi ; elle constate que leur taille les fait entrer dans une autre catégorie de responsabilité. À ce niveau, les entreprises ne peuvent plus seulement affirmer qu’elles modèrent leurs services correctement. Elles doivent le démontrer, documents, audits et accès aux chercheurs à l’appui.

La règle de taille

Le Digital Services Act, ou DSA, fixe un seuil clair : tout service en ligne utilisé par plus de 45 millions de personnes par mois dans l’Union européenne entre dans le régime de surveillance le plus élevé (Commission européenne). Ce chiffre représente environ un dixième de la population de l’UE, le niveau à partir duquel Bruxelles estime que l’architecture d’un service peut avoir des effets systémiques (présentation du DSA par la Commission).

Les trois plateformes franchissent ce seuil. ChatGPT a déclaré environ 159 millions d’utilisateurs dans l’UE pour sa fonction de recherche, Reddit 57,2 millions, et Roblox environ 47 millions (Euronews, Yahoo News). Le nombre total de services désignés atteint désormais 28 (IEU Monitoring).

Reddit héberge des contenus produits par ses utilisateurs. Roblox héberge des jeux créés par ses utilisateurs. Ces deux cas correspondent assez directement au modèle que le DSA visait dès l’origine. ChatGPT pose une question plus neuve : la Commission le classe comme moteur de recherche parce que le service récupère et hiérarchise des informations externes lorsqu’un utilisateur l’interroge (Straits Times). Or un moteur de recherche influence ce que l’on trouve ; un chatbot qui cherche sur le web va plus loin, en condensant plusieurs sources dans une seule réponse, ce qui rend plus difficile de comprendre pourquoi cette réponse apparaît plutôt qu’une autre.

C’est la première fois qu’un chatbot d’IA grand public entre dans cette catégorie. Le règlement sur l’intelligence artificielle, texte distinct, impose déjà des obligations de transparence aux chatbots. Le DSA agit sur un autre terrain : il traite le service comme une infrastructure d’information dont les choix de conception peuvent produire des risques à grande échelle, indépendamment d’un message, d’un post ou d’une réponse isolée (Les Echos, ZDNet France).

Examen annuel, audit externe, accès aux données

Les trois services disposent de quatre mois à compter de leur notification pour se mettre en conformité. Le basculement est concret : on passe d’une gouvernance déclarative à une gouvernance vérifiable (DSA, règlement 2022/2065).

Première obligation : une évaluation annuelle des risques. Les entreprises doivent identifier les risques créés par leur conception, leurs algorithmes et leurs usages, qu’il s’agisse de contenus illégaux, de protection des mineurs, d’effets sur le débat public ou de sécurité (EDAA). Deuxième obligation : un audit indépendant. Ce ne sont plus seulement les entreprises qui jugent leurs propres garde-fous ; des auditeurs extérieurs doivent évaluer leur efficacité (Prighter). Troisième obligation : un accès encadré aux données. La Commission et des chercheurs agréés peuvent demander des explications sur la manière dont les algorithmes classent et recommandent les contenus, dans le cadre fixé par un règlement délégué de 2025.

Cela ne signifie pas qu’un fonctionnaire européen s’interposera entre une question posée à ChatGPT et sa réponse, ni qu’il validera les publications sur Reddit. La cible du DSA est le système : logique de classement, dispositifs de modération, architecture publicitaire, protection des mineurs. Lorsque la Commission constate des infractions, elle utilise ensuite ses outils d’exécution, comme elle l’a déjà fait avec une amende de 120 millions d’euros contre X et des conclusions préliminaires contre Meta sur les mécanismes de conception addictive. Les amendes peuvent atteindre 6 % du chiffre d’affaires annuel mondial (Brussels Times).

Pourquoi les familles sont concernées

Pour les parents, Roblox est le cas le plus immédiat. Environ 70 % de ses utilisateurs ont moins de 18 ans (Biz Chosun). Les lignes directrices du DSA sur les mineurs interdisent la publicité ciblée fondée sur le profilage lorsque le service sait que l’utilisateur est un enfant. Avec cette désignation, Roblox devra évaluer si ses jeux créés par les utilisateurs, ses systèmes de discussion et ses algorithmes de recommandation exposent les mineurs à des risques à grande échelle (lignes directrices de la Commission sur les mineurs).

Roblox a déjà mis en place des contrôles d’âge par reconnaissance faciale, des restrictions de discussion par tranche d’âge et des outils de modération par IA. Le sujet n’est plus seulement l’existence de ces dispositifs, mais leur efficacité combinée, à l’échelle réelle du service. C’est précisément ce que le DSA permet désormais à la Commission d’examiner.

La vice-présidente exécutive Henna Virkkunen a présenté ces désignations comme une manière de soumettre les grands services numériques à un niveau de contrôle proportionné à leur portée (UPI). Les pouvoirs qui accompagnent cette formule sont réels. D’ici fin décembre, les entreprises devraient pouvoir présenter leurs évaluations de risques, leurs dispositifs d’audit et leurs procédures d’accès pour les chercheurs. Le vrai test commence là : il faudra voir si la machine de contrôle européenne sait distinguer une responsabilité effective d’un dossier de conformité bien présenté.