ChatGPT får EU:s hårdaste tillsyn

Rubriker om att Bryssel placerar ChatGPT, Reddit och Roblox under EU:s hårdaste regler för onlinesäkerhet kan lätt läsas som att bolagen har fällts för överträdelser. Så är det inte. EU-kommissionen har fört upp alla tre på listan över tjänster som är så stora att deras tekniska utformning kan påverka samhället, inte bara de egna användarna. Det handlar mer om obligatorisk extern kontroll än om en anmärkning efter en konstaterad incident.

Storleksgränsen

EU:s rättsakt om digitala tjänster, Digital Services Act, drar gränsen vid 45 miljoner användare per månad i EU. När en onlinetjänst passerar den nivån hamnar den i den högsta tillsynskategorin (EU-kommissionen). Siffran motsvarar ungefär en tiondel av EU:s befolkning och markerar den punkt där kommissionen anser att en tjänsts arkitektur kan få effekter i hela unionen (kommissionens DSA-översikt).

Alla tre tjänsterna passerade gränsen. ChatGPT rapporterade omkring 159 miljoner EU-användare för sin sökfunktion, Reddit 57,2 miljoner och Roblox omkring 47 miljoner (Euronews, Yahoo News). Det totala antalet utsedda tjänster är nu 28 (IEU Monitoring).

Reddit bygger på användargenererat innehåll. Roblox bygger på spel som användarna själva skapar. Båda passar väl in i den typ av plattformar som DSA skrevs för. ChatGPT är mer principiellt intressant. Tjänsten sammanställer svar från webben i ett enda samtalssvar, och kommissionen klassar den som sökmotor eftersom den hämtar och rangordnar extern information när användaren ställer en fråga (Straits Times). En sökmotor påverkar vad användare hittar. En chattbot som söker på webben gör dessutom flera källor till ett enda svar, vilket gör det svårare att se varför just det svaret gavs.

Det är första gången en bred AI-chattbot förs in i denna tillsynskategori. AI-förordningen, som är en separat EU-lag, ställer transparenskrav på chattbotar. DSA-beslutet gör något annat: det behandlar tjänsten som informationsinfrastruktur som kan skapa risker genom sin utformning i stor skala, inte bara genom ett enskilt inlägg eller svar (Les Echos, ZDNet France).

Årlig hälsokontroll, extern granskare, öppna böcker

De tre tjänsterna har fyra månader från underrättelsen på sig att följa kraven. I praktiken innebär skyldigheterna ett skifte från egen försäkran om moderering till styrning som kan bevisas och granskas (DSA, förordning 2022/2065). Tre saker ändras.

För det första krävs en årlig riskgenomgång. Bolagen måste identifiera risker som uppstår genom tjänsternas design, algoritmer och användningsmönster. Det gäller olagligt innehåll, skador för barn, påverkan på det offentliga samtalet och säkerhetsrisker (EDAA). För det andra krävs extern revision. Oberoende granskare, inte bolagen själva, ska bedöma om skyddsåtgärderna faktiskt fungerar (Prighter). För det tredje öppnas systemen för forskarinsyn. Kommissionen och godkända akademiker kan begära förklaringar av hur algoritmer rangordnar och rekommenderar innehåll, inom ramen för en delegerad förordning från 2025.

Det betyder inte att en EU-tjänsteman sitter mellan en ChatGPT-fråga och svaret, eller godkänner enskilda inlägg på Reddit. Tillsynen riktas mot systemet: rangordningslogik, modereringsapparat, annonsstruktur och skydd för barn. När kommissionen anser att regler har brutits används separata sanktionsverktyg, som redan har skett genom en bot på 120 miljoner euro mot X och preliminära bedömningar mot Meta om beroendeframkallande design. Böter kan uppgå till 6 procent av den globala årsomsättningen (Brussels Times).

Därför berörs familjer

För föräldrar är Roblox det tydligaste fallet. Omkring 70 procent av användarna är under 18 år (Biz Chosun). DSA:s riktlinjer om minderåriga förbjuder riktad reklam baserad på användarprofiler när en tjänst vet att användaren är ett barn. Den högsta tillsynskategorin kräver också att Roblox bedömer om användarskapade spel, chattsystem och rekommendationsalgoritmer skapar risker för barn i stor skala (kommissionens riktlinjer om minderåriga). Roblox har redan infört ålderskontroller med ansiktsigenkänning, åldersindelade chattbegränsningar och AI-moderering. Nu ska kommissionen kunna bedöma om verktygen fungerar tillsammans och i stor skala.

EU-kommissionens vice ordförande Henna Virkkunen beskrev besluten som ett sätt att ge tjänsterna en granskning som motsvarar deras räckvidd (UPI). Bakom formuleringen finns verkliga sanktionsmöjligheter. Senast i slutet av december ska bolagen kunna visa färdiga riskbedömningar, revisionsarrangemang och processer för forskartillgång. Det avgörande blir om kommissionens granskning kan skilja faktisk ansvarighet från välputsad regelefterlevnad på papper.