1. La notizia: cosa è successo
Il 31 agosto 2026 la Commissione europea ha emesso una designazione formale che cambierà il modo in cui OpenAI opera in Europa.
ChatGPT è stato qualificato come Very Large Online Search Engine (VLOSE) ai sensi del Digital Services Act (DSA), affiancandosi a Google Search e Bing nel livello più severo di obblighi previsto dal diritto europeo dei servizi digitali. Nella stessa giornata, Reddit e Roblox sono stati designati come Very Large Online Platforms (VLOP). Le conseguenze sono concrete: nuovi obblighi, nuovi controlli, nuovi rischi sanzionatori per OpenAI e, indirettamente, nuove aspettative di trasparenza per le aziende e i professionisti che integrano ChatGPT nei propri processi.
Il dato che ha reso inevitabile la decisione è impressionante: OpenAI ha dichiarato 159,1 milioni di destinatari attivi medi mensili nell’Unione europea nel semestre terminato il 31 marzo 2026. Una cifra che supera di oltre tre volte la soglia minima dei 45 milioni fissata dal regolamento per l’attivazione del regime rafforzato.
| GLOSSARIO IN PILLOLE Digital Services Act (DSA): È il Regolamento (UE) 2022/2065. Stabilisce un quadro uniforme di responsabilità, moderazione dei contenuti e trasparenza per i servizi digitali operanti nell’Unione europea. Motore di ricerca online (definizione DSA): Ai sensi dell’art. 2, lett. g) del DSA, è un servizio di intermediazione online che consente agli utenti di formulare ricerche e che restituisce risultati “in qualsiasi formato” (non necessariamente link a pagine web) a fronte di qualsiasi query. VLOP (Very Large Online Platform): Piattaforma online con oltre 45 milioni di utenti medi mensili nell’UE, che ospita e diffonde contenuti di terzi (es. social network, marketplace). Esempi: Meta, TikTok, YouTube. VLOSE (Very Large Online Search Engine): Motore di ricerca online con oltre 45 milioni di utenti medi mensili nell’UE. Esempi: Google Search e Bing. Rischio sistemico: Rischio che un servizio digitale, per le sue dimensioni e il suo ruolo nell’accesso alle informazioni, produca effetti negativi su scala europea: diffusione di contenuti illegali, impatti sui minori, pregiudizi ai diritti fondamentali, alterazione dei processi elettorali, minacce alla salute pubblica o al pluralismo dell’informazione. |
2. Perché ChatGPT è un “motore di ricerca” per il diritto europeo
La Commissione non ha certificato che ChatGPT sia uguale a Google Search sul piano tecnologico. Ha stabilito qualcosa di diverso e più sofisticato: che ChatGPT svolge, almeno parzialmente, la stessa funzione giuridicamente rilevante che il DSA attribuisce ai motori di ricerca online, ossia quella di consentire agli utenti di formulare una ricerca e di ottenere risultati tratti da fonti presenti sul web.
Il legislatore europeo ha costruito la definizione di “motore di ricerca online” in modo ampio.
L’art. 2, lett. g) del DSA descrive un servizio che consente ricerche su “siti web multipli” e restituisce “risultati in qualsiasi formato”. Una risposta testuale sintetizzata, un elenco, un riassunto: tutto rientra nella definizione.
ChatGPT, nella sua versione con la funzione di ricerca web attiva, interpreta una domanda dell’utente, attinge in tempo reale a contenuti pubblicati online, e restituisce una risposta elaborata. Ai fini del DSA, questo è sufficiente. La forma dell’output (un testo fluente invece di un elenco di link) non muta la sostanza della funzione svolta: intermediazione nell’accesso all’informazione.
3. Gli obblighi concreti: cosa dovrà fare OpenAI
La designazione come VLOSE attiva per OpenAI l’intero catalogo di obblighi aggiuntivi previsto dalla Sezione 5 del DSA. Non si tratta di regole nuove, ma dell’applicazione a ChatGPT di un regime già operativo per servizi come Google e Bing. Gli obblighi principali sono i seguenti.
– Valutazione dei rischi sistemici
OpenAI dovrà condurre valutazioni periodiche e documentate dei rischi sistemici associati a ChatGPT e ai suoi sistemi algoritmici. Il perimetro di questa analisi è definito dall’art. 34 del DSA e include:
- Rischio di diffusione di contenuti illegali generati o amplificati dal servizio;
- effetti negativi sull’esercizio dei diritti fondamentali, inclusi quelli alla riservatezza e alla non discriminazione;
- impatti sul benessere fisico e mentale degli utenti, in particolare dei minori;
- effetti sull’integrità dei processi elettorali e sul pluralismo dell’informazione;
- minacce alla sicurezza pubblica.
A ogni rischio identificato devono corrispondere misure concrete di mitigazione. Il DSA non prescrive un catalogo fisso: OpenAI è libera di scegliere gli strumenti, ma deve giustificare le scelte e dimostrarne l’efficacia.
Attenzione: con questa novità, le allucinazioni di Chat GPT potrebbero diventare a tutti gli effetti rischi sistemici che OpenAI ha l’obbligo legale di misurare, documentare e mitigare.
– Audit indipendenti annuali
Almeno una volta all’anno, OpenAI dovrà sottoporsi a una verifica esterna condotta da auditor indipendenti e qualificati. L’audit verificherà la conformità agli obblighi del regolamento e l’effettiva adeguatezza delle misure di mitigazione adottate.
- Trasparenza algoritmica e accesso ai dati
ChatGPT dovrà fornire informazioni più dettagliate sul funzionamento dei propri sistemi algoritmici: come vengono selezionate e ordinate le fonti, quali criteri guidano la sintesi delle risposte, se e come vengono applicati sistemi di raccomandazione.
4. Le tempistiche: la scadenza è fine dicembre 2026
A seguito della notifica delle designazioni, avvenuta il 31 agosto 2026, ChatGPT ha quattro mesi di tempo per conformarsi agli obblighi aggiuntivi previsti dal DSA per VLOP e VLOSE. La scadenza operativa è quindi la fine di dicembre 2026.
Va precisato che ChatGPT, Reddit e Roblox erano già soggetti agli obblighi generali del DSA applicabili a tutte le piattaforme e a tutti i motori di ricerca online. La nuova designazione aggiunge il livello di obblighi rafforzati (come valutazioni di rischio, audit, accesso ai dati) ma non costituisce il primo punto di contatto di questi servizi con il regolamento europeo.
In caso di mancata conformità, il DSA consente alla Commissione di applicare sanzioni fino al 6% del fatturato mondiale annuo del soggetto responsabile. Per OpenAI, con i ricavi che ha dichiarato negli ultimi anni, si tratta di una cifra nell’ordine del miliardo di euro.
5. Cosa cambia per chi usa ChatGPT: aziende, DPO e professionisti
La designazione di ChatGPT come VLOSE non produce effetti diretti sugli utenti finali del servizio, persone fisiche o aziende che lo utilizzano tramite interfaccia web o API.
Gli obblighi del DSA gravano sul fornitore del servizio, cioè su OpenAI. Tuttavia, le conseguenze indirette per chi integra ChatGPT nei propri processi sono significative e meritano attenzione, soprattutto per tre categorie di soggetti.
Per i Data Protection Officer e i responsabili compliance
Gli obblighi di trasparenza algoritmica che il DSA impone a OpenAI produrranno una documentazione più ricca e accessibile sul funzionamento di ChatGPT: come elabora i dati, quali fonti utilizza, come gestisce i contenuti sensibili.
Questa documentazione è preziosa per chi deve redigere o aggiornare una valutazione d’impatto sulla protezione dei dati (DPIA) relativa all’utilizzo di ChatGPT in un contesto aziendale.
Un DPO che oggi deve valutare l’integrazione di ChatGPT in un processo che tratta dati personali (ad esempio, un chatbot di supporto clienti o uno strumento di analisi documentale) si trova in una posizione più favorevole domani, quando OpenAI avrà pubblicato le informazioni richieste dal DSA. Tuttavia, l’obbligo di condurre la DPIA e di documentare le scelte di governance rimane sempre in capo al titolare del trattamento.
Per le aziende che hanno adottato ChatGPT nei propri processi
Le imprese che utilizzano ChatGPT tramite API nei propri prodotti o servizi devono iniziare a ragionare sull’interconnessione tra gli obblighi DSA del fornitore e i propri obblighi regolatori. Tre aree meritano attenzione specifica:
- Responsabilità civile: se un’azienda usa ChatGPT in un processo che produce output che causano un danno a un terzo (un’informazione errata, un contenuto discriminatorio), la catena di responsabilità tra fornitore e utilizzatore professionale è un territorio ancora in parte inesplorato. La maggiore trasparenza imposta dal DSA non esonera l’utilizzatore, ma rende più agevole ricostruire ex post cosa il fornitore sapeva e aveva documentato.
- Governance dei dati: l’accesso che il DSA garantirà a ricercatori e autorità sui sistemi di ChatGPT può produrre informazioni utili per valutare i rischi di bias algoritmici o di trattamento scorretto di categorie di dati.
ChatGPT si trova ora nel perimetro sia del DSA sia dell’AI Act, come sistema di IA ad uso generale (GPAI). Sono obblighi distinti, su dimensioni diverse del servizio, gestiti da autorità diverse. Ma insieme costruiscono un regime di accountability importante per un sistema di AI generativa operante nel mercato europeo.
Non solo. L’impatto del DSA si estenderà, presumibilmente, ben oltre i confini europei. I documenti di valutazione del rischio e le mitigazioni implementate per l’Europa finiranno inevitabilmente per modellare l’esperienza di ChatGPT in tutto il mondo, poiché tenere due architetture separate sarebbe troppo costoso e complesso per OpenAI.
Capire quale norma si applica a quale aspetto del servizio richiederà una lettura integrata del DSA, dell’AI Act, del GDPR e dei loro punti di contatto.