ChatGPT onder zwaarste EU-toezicht

Wie de koppen zag over Brussel dat ChatGPT, Reddit en Roblox onder de strengste regels voor onlineveiligheid plaatst, kon gemakkelijk denken dat de Europese Commissie wangedrag heeft vastgesteld. Dat is niet zo. De Commissie heeft de drie diensten toegevoegd aan de categorie platforms die zo groot zijn dat hun ontwerpkeuzes gevolgen hebben voor de samenleving als geheel, niet alleen voor hun eigen gebruikers. Het lijkt minder op een boete na een overtreding dan op een gebouw dat voortaan niet meer zelf mag melden dat het onderhoud op orde is, maar periodiek inspecteurs over de vloer krijgt.

De omvangsregel

De Digital Services Act trekt een duidelijke grens: elke onlinedienst met meer dan 45 miljoen gebruikers per maand in de EU komt in de zwaarste toezichtscategorie terecht (European Commission). Dat is grofweg een tiende van de EU-bevolking. Vanaf die schaal gaat Brussel ervan uit dat de inrichting van een dienst effecten kan hebben in de hele Unie (Commission DSA overview).

Alle drie zitten ze boven die grens. ChatGPT meldde ongeveer 159 miljoen EU-gebruikers voor zijn zoekfunctie, Reddit 57,2 miljoen en Roblox circa 47 miljoen (Euronews, Yahoo News). Het totale aantal aangewezen diensten komt daarmee op 28 (IEU Monitoring).

Reddit draait op door gebruikers geplaatste berichten. Roblox draait op door gebruikers gemaakte spellen. Beide passen vrij precies in het type platform waarvoor de DSA is geschreven. ChatGPT is interessanter. De dienst vat informatie van het web samen in één gesprekstekst. De Commissie kwalificeert ChatGPT daarom als zoekmachine, omdat het systeem externe informatie ophaalt en rangschikt wanneer een gebruiker iets vraagt (Straits Times). Een zoekmachine beïnvloedt wat gebruikers vinden. Een chatbot die het web doorzoekt, gaat verder: hij perst meerdere bronnen samen tot één antwoord. Daardoor wordt het lastiger te zien waarom juist dit antwoord verschijnt en niet een ander.

Voor het eerst valt daarmee een grote AI-chatbot in deze toezichtscategorie. De AI Act, een aparte wet, legt chatbots transparantieverplichtingen op. De DSA-aanwijzing doet iets anders. Zij behandelt de dienst als informatie-infrastructuur die door haar ontwerp op grote schaal schade kan veroorzaken, niet alleen via één specifiek bericht of één afzonderlijk antwoord (Les Echos, ZDNet France).

Jaarlijkse risicoanalyse, externe controle, inzage voor onderzoekers

De drie diensten krijgen vanaf de kennisgeving vier maanden om aan de regels te voldoen. In de praktijk verschuift het regime van "vertrouw ons, wij modereren" naar aantoonbaar en controleerbaar bestuur (DSA, Regulation 2022/2065). Er veranderen vooral drie dingen.

Ten eerste komt er een jaarlijkse risicoanalyse. De bedrijven moeten in kaart brengen welke risico's voortkomen uit hun ontwerp, algoritmen en gebruikspatronen. Daarbij gaat het onder meer om illegale inhoud, schade voor kinderen, effecten op het publieke debat en veiligheid (EDAA explainer). Ten tweede volgt externe controle. Niet de bedrijven zelf, maar onafhankelijke auditors beoordelen of de beschermingsmaatregelen daadwerkelijk werken (Prighter DSA text). Ten derde moeten de boeken verder open voor onderzoekers. De Commissie en goedgekeurde academici kunnen uitleg vragen over de manier waarop algoritmen inhoud rangschikken en aanbevelen, binnen een kader dat is vastgelegd in een gedelegeerde verordening uit 2025.

Dat betekent overigens niet dat een EU-ambtenaar tussen een ChatGPT-vraag en het antwoord gaat zitten, of losse Reddit-berichten vooraf goedkeurt. Het toezicht richt zich op het systeem: rangschikkingslogica, moderatieprocessen, advertentiearchitectuur en ontwerpkeuzes rond kindveiligheid. Als de Commissie wel overtredingen vaststelt, gebruikt zij daarvoor aparte handhavingsinstrumenten. Dat gebeurde al met een boete van € 120 miljoen voor X en met voorlopige bevindingen tegen Meta over verslavend ontwerp. Boetes kunnen oplopen tot 6% van de wereldwijde jaaromzet (Brussels Times).

Waarom gezinnen dit moeten volgen

Voor ouders is Roblox het meest tastbare geval. Ongeveer 70% van de gebruikers is jonger dan 18 jaar (Biz Chosun). De DSA-richtsnoeren voor minderjarigen verbieden gerichte advertenties op basis van gebruikersprofielen wanneer een dienst weet dat de gebruiker een kind is. Door de aanwijzing in de hoogste categorie moet Roblox beoordelen of zijn door gebruikers gemaakte spellen, chatsystemen en aanbevelingsalgoritmen op grote schaal risico's voor kinderen veroorzaken (Commission minors guidelines). Roblox heeft al leeftijdscontroles met gezichtsherkenning ingevoerd, chatbeperkingen per leeftijdsgroep en AI-moderatie. De vraag is of die instrumenten samen ook werken wanneer miljoenen kinderen tegelijk op het platform actief zijn. Daarover kan de Commissie nu een oordeel vormen.

Uitvoerend vicevoorzitter Henna Virkkunen presenteerde de aanwijzingen als toezicht dat past bij het bereik van deze diensten (UPI). Achter die woorden zitten echte bevoegdheden. Tegen eind december moeten de bedrijven voltooide risicoanalyses, auditafspraken en procedures voor onderzoekerstoegang kunnen laten zien. De aanwijzing zelf is daarmee niet het belangrijkste punt. Het gaat er nu om of het Europese auditapparaat scherp genoeg blijkt om echte verantwoording te onderscheiden van nette nalevingsdocumenten.