ChatGPT pod najostrzejszym nadzorem UE

Kiedy Bruksela obejmuje ChatGPT, Reddita i Robloxa najostrzejszym reżimem unijnych przepisów o bezpieczeństwie w sieci, łatwo odczytać to jako zarzut. Niesłusznie. Komisja Europejska nie stwierdziła, że te usługi złamały prawo. Uznała, że są na tyle duże, iż ich architektura wpływa już nie tylko na użytkowników, lecz także na debatę publiczną, bezpieczeństwo dzieci i obieg informacji w całej UE. To bardziej przejście z samokontroli do obowiązkowych przeglądów niż mandat za wykroczenie.

Reguła skali

Akt o usługach cyfrowych, czyli Digital Services Act, wyznacza prostą granicę: jeśli z usługi internetowej korzysta w UE ponad 45 mln osób miesięcznie, trafia ona do najwyższej kategorii nadzoru (Komisja Europejska). To mniej więcej jedna dziesiąta ludności Unii, a więc poziom, przy którym Bruksela zakłada, że konstrukcja serwisu może wywoływać skutki w skali całego bloku (omówienie DSA Komisji).

Cała trójka przekroczyła ten próg. ChatGPT zgłosił około 159 mln użytkowników w UE dla swojej funkcji wyszukiwania, Reddit 57,2 mln, a Roblox około 47 mln (Euronews, Yahoo News). Liczba usług objętych takim statusem wzrosła tym samym do 28 (IEU Monitoring).

Reddit opiera się na treściach tworzonych przez użytkowników. Roblox na grach budowanych przez samych użytkowników. Oba modele mieszczą się w logice, dla której DSA zostało napisane. Ciekawszy jest przypadek ChatGPT. System składa odpowiedzi z informacji dostępnych w sieci i podaje je w jednej rozmowie. Komisja zakwalifikowała go jako wyszukiwarkę, bo przy zapytaniu pobiera i porządkuje zewnętrzne informacje (Straits Times). Wyszukiwarka wpływa na to, co użytkownik znajduje. Chatbot korzystający z wyszukiwania idzie krok dalej: redukuje wiele źródeł do jednej odpowiedzi, przez co trudniej ustalić, dlaczego użytkownik zobaczył właśnie taką wersję rzeczywistości, a nie inną.

Po raz pierwszy do tej kategorii trafił powszechnie używany chatbot AI. Osobny akt o sztucznej inteligencji nakłada na chatboty obowiązki przejrzystości. Decyzja na gruncie DSA działa inaczej: traktuje usługę jako infrastrukturę informacyjną, która może powodować szkody przez własny projekt i skalę działania, a nie tylko przez pojedynczy post czy pojedynczą odpowiedź (Les Echos, ZDNet France).

Coroczny przegląd, zewnętrzny audyt, wgląd w algorytmy

Od doręczenia decyzji trzy firmy mają cztery miesiące na dostosowanie się do wymogów. W praktyce oznacza to przejście od deklaracji „moderujemy treści” do zarządzania, które da się sprawdzić i skontrolować (DSA, rozporządzenie 2022/2065). Zmieniają się trzy rzeczy.

Po pierwsze, obowiązkowa ocena ryzyka. Firmy muszą co roku wskazywać zagrożenia wynikające z projektu usługi, algorytmów i sposobu jej używania: od nielegalnych treści, przez szkody wobec dzieci, po wpływ na debatę publiczną i bezpieczeństwo (wyjaśnienie EDAA). Po drugie, kontrola z zewnątrz. To niezależni audytorzy, a nie same spółki, mają oceniać, czy zabezpieczenia rzeczywiście działają (tekst DSA, Prighter). Po trzecie, dostęp do danych dla badaczy. Komisja i zweryfikowani naukowcy mogą żądać wyjaśnień, jak algorytmy szeregują i rekomendują treści, w ramach zasad określonych w rozporządzeniu delegowanym z 2025 r..

Nie oznacza to, że urzędnik UE będzie zatwierdzał odpowiedzi ChatGPT albo pojedyncze wpisy na Reddicie. Przedmiotem nadzoru jest system: logika rankingów, mechanizmy moderacji, architektura reklamowa i rozwiązania dotyczące bezpieczeństwa dzieci. Gdy Komisja stwierdza naruszenia, sięga po osobne instrumenty egzekucyjne, czego przykładem jest już kara 120 mln EUR dla X oraz wstępne ustalenia wobec Mety dotyczące uzależniającego projektu usług. Sankcje mogą sięgać 6% rocznego globalnego obrotu (Brussels Times).

Dlaczego rodzice powinni to śledzić

Dla rodzin najbardziej namacalnym przypadkiem jest Roblox. Około 70% jego użytkowników ma mniej niż 18 lat (Biz Chosun). Wytyczne DSA dotyczące małoletnich zakazują reklam targetowanych na podstawie profilu użytkownika, jeśli serwis wie, że użytkownikiem jest dziecko. Wejście do najwyższej kategorii nadzoru oznacza, że Roblox musi ocenić, czy gry tworzone przez użytkowników, systemy czatu i algorytmy rekomendacji nie wytwarzają ryzyka dla dzieci w dużej skali (wytyczne Komisji dotyczące małoletnich).

Roblox wprowadził już weryfikację wieku opartą na rozpoznawaniu twarzy, ograniczenia czatu według grup wiekowych oraz moderację wspieraną przez AI. Teraz kluczowe jest to, czy te narzędzia tworzą spójny system i czy działają przy milionach użytkowników. Komisja będzie mogła to ocenić nie na podstawie prezentacji firmy, lecz dokumentów, audytów i danych udostępnionych w procedurze.

Wiceprzewodnicząca wykonawcza KE Henna Virkkunen przedstawiła decyzję jako dostosowanie poziomu kontroli do zasięgu tych usług (UPI). Za tą formułą stoją realne kompetencje. Do końca grudnia firmy powinny być w stanie pokazać gotowe oceny ryzyka, uzgodnione audyty i procedury dostępu dla badaczy. Sama kwalifikacja jest dopiero początkiem. Testem będzie to, czy unijna machina kontrolna potrafi odróżnić faktyczną odpowiedzialność od dobrze przygotowanej dokumentacji zgodności.