ChatGPT entra nella stretta UE

Se avete letto titoli secondo cui Bruxelles avrebbe sottoposto ChatGPT, Reddit e Roblox alle regole più dure sulla sicurezza online, l’equivoco più facile è pensare che si tratti di una condanna. Non è così. La Commissione europea ha inserito tutti e tre in una lista di servizi talmente grandi che le scelte di progettazione non incidono soltanto sugli utenti, ma sulla società nel suo insieme. Più che una sanzione, è il passaggio dalla manutenzione autocertificata alle ispezioni obbligatorie.

La soglia dimensionale

Il Digital Services Act traccia una linea precisa: ogni servizio online usato nell’UE da oltre 45 milioni di persone al mese entra nel livello massimo di vigilanza (European Commission). È una cifra pari a circa un decimo della popolazione europea, il punto oltre il quale Bruxelles ritiene che l’architettura di una piattaforma possa produrre effetti su scala continentale (Commission DSA overview).

Tutti e tre hanno superato la soglia. ChatGPT ha dichiarato circa 159 milioni di utenti nell’UE per la funzione di ricerca, Reddit 57,2 milioni e Roblox circa 47 milioni (Euronews, Yahoo News). Il numero complessivo dei servizi designati sale così a 28 (IEU Monitoring).

Reddit ospita contenuti prodotti dagli utenti. Roblox ospita giochi creati dagli utenti. Entrambi rientrano nello schema per cui il DSA è stato concepito. ChatGPT è il caso più interessante: sintetizza risposte attingendo al web e le restituisce in forma conversazionale; la Commissione lo ha quindi classificato come motore di ricerca, perché quando l’utente formula una domanda il servizio recupera e ordina informazioni esterne (Straits Times). Un motore di ricerca influenza ciò che gli utenti trovano. Un chatbot che cerca sul web va oltre, perché comprime fonti diverse in un’unica risposta, rendendo meno visibile il motivo per cui si sia ottenuta proprio quella risposta e non un’altra.

È la prima volta che un chatbot di intelligenza artificiale di largo consumo entra in questa fascia. L’AI Act, che è una normativa distinta, impone obblighi di trasparenza ai chatbot. La designazione ai sensi del DSA fa un’altra cosa: tratta il servizio come un’infrastruttura informativa abbastanza grande da generare danni attraverso il disegno complessivo del sistema, e non attraverso un singolo post o una singola risposta (Les Echos, ZDNet France).

Controllo annuale, ispettore esterno, libri aperti

I tre servizi hanno quattro mesi dalla notifica per adeguarsi. In concreto, gli obblighi segnano il passaggio da «fidatevi, moderiamo i contenuti» a una governance dimostrabile e verificabile (DSA, Regulation 2022/2065). Cambiano tre cose.

La prima è un controllo annuale dello stato di salute del sistema. Le società devono individuare i rischi creati dal design, dagli algoritmi e dai modelli d’uso, includendo contenuti illegali, danni ai minori, effetti sul dibattito pubblico e sicurezza (EDAA explainer). La seconda è un ispettore esterno: saranno revisori indipendenti, non le società, a valutare se le misure di protezione funzionino davvero (Prighter DSA text). La terza è l’apertura dei libri ai ricercatori. La Commissione e gli accademici accreditati potranno chiedere spiegazioni su come gli algoritmi ordinino e raccomandino contenuti, secondo il quadro fissato da un regolamento delegato del 2025.

Nulla di tutto questo significa che un funzionario dell’UE si collochi tra un prompt e la risposta di ChatGPT, o approvi i singoli post su Reddit. Il bersaglio è il sistema: logiche di classificazione, meccanismi di moderazione, architettura pubblicitaria, dispositivi di tutela dei minori. Quando la Commissione riscontra violazioni, usa strumenti di enforcement separati, come ha già fatto con la multa da 120 milioni di euro a X e con le conclusioni preliminari contro Meta sul design capace di creare dipendenza. Le sanzioni possono arrivare al 6% del fatturato annuo mondiale (Brussels Times).

Perché le famiglie dovrebbero guardare con attenzione

Per i genitori, Roblox è il caso più concreto. Circa il 70% degli utenti ha meno di 18 anni (Biz Chosun). Le linee guida del DSA sui minori vietano la pubblicità mirata basata sui profili quando un servizio sa che l’utente è un minore. La designazione nella fascia più alta impone a Roblox di valutare se i giochi creati dagli utenti, i sistemi di chat e gli algoritmi di raccomandazione producano rischi per i minori su larga scala (Commission minors guidelines). Roblox ha già introdotto controlli dell’età tramite riconoscimento facciale, restrizioni alle chat per fasce d’età e moderazione con intelligenza artificiale. Il punto è capire se questi strumenti funzionino insieme e su vasta scala; ora la Commissione avrà gli elementi per valutarlo.

La vicepresidente esecutiva Henna Virkkunen ha presentato le designazioni come un modo per sottoporre questi servizi a un controllo proporzionato alla loro portata (UPI). Dietro quelle parole ci sono poteri reali. Entro la fine di dicembre, le società dovrebbero essere in grado di mostrare valutazioni dei rischi completate, accordi di audit e procedure per l’accesso dei ricercatori. Ora conta meno la designazione in sé che la capacità della macchina di controllo della Commissione di distinguere tra responsabilità effettiva e modulistica di compliance ben confezionata.