ChatGPT sous le régime renforcé du DSA européen

Le 31 août 2026, la Commission européenne a rangé ChatGPT dans une catégorie qui n’avait jamais accueilli d’agent conversationnel : celle des très grands moteurs de recherche en ligne. Reddit et Roblox sont désignés le même jour comme très grandes plateformes.

La qualification mérite qu’on s’y arrête, parce qu’elle est plus intéressante que la décision elle-même.

Un chatbot requalifié en moteur de recherche

Le règlement sur les services numériques, le DSA, ne connaît pas la catégorie « intelligence artificielle ». Il connaît des plateformes et des moteurs de recherche. Plutôt que d’attendre le déploiement complet du règlement sur l’IA, la Commission a constaté que ChatGPT interroge le web en direct et restitue des contenus tiers, et l’a traité comme ce qu’il fait plutôt que comme ce qu’il est.

C’est un choix de méthode. Il évite le vide juridique, mais il fait entrer un service génératif dans un cadre écrit pour des services qui indexent.

Le seuil de désignation est un chiffre : 45 millions d’utilisateurs mensuels moyens dans l’Union. D’après la presse spécialisée, la fonction de recherche de ChatGPT en déclare environ 159 millions sur les six mois arrêtés en mars 2026, Reddit près de 57 millions, Roblox environ 48 millions. Le communiqué de la Commission que nous avons pu consulter ne détaille pas ces volumes ; nous les donnons donc pour ce qu’ils sont, des chiffres de presse issus des déclarations des entreprises.

Ce que la désignation déclenche vraiment

Quatre mois pour se mettre en conformité, soit une échéance en janvier 2027. Ce que la Commission exige tient en une obligation centrale : évaluer et atténuer les risques dits systémiques.

Elle en énumère six familles : la diffusion de contenus illicites, les effets négatifs sur les mineurs, le bien-être physique et mental des utilisateurs, les droits fondamentaux, les processus électoraux et la sécurité publique.

Lisez la troisième. Le bien-être mental des utilisateurs devient, pour un assistant conversationnel utilisé par des dizaines de millions de personnes, un objet d’évaluation réglementaire. C’est probablement la conséquence la plus lourde de la journée du 31 août, et la moins commentée.

S’y ajoutent l’audit indépendant, l’accès des chercheurs aux données, et la transparence sur les systèmes de recommandation. Les sanctions encourues vont, selon les reprises de presse, jusqu’à 6 % du chiffre d’affaires mondial annuel — un plafond que le communiqué que nous avons lu ne mentionne pas.

Un détour utile sur ce que vaut une menace de sanction

Deux jours plus tôt, le 29 août 2026, la chambre du contentieux de la Cour des comptes se prononçait sur un tout autre dossier : Scribe, le logiciel de rédaction des procédures pénales lancé en 2015 pour la police nationale, abandonné après six ans. Coût total du programme : 257 millions d’euros. Préjudice financier retenu : 30,21 millions. Amendes prononcées contre six responsables : 18 002 euros au total, dont deux amendes symboliques d’un euro.

Les deux régimes n’ont évidemment rien à voir. L’un sanctionne la gestion de fonds publics, l’autre encadre des plateformes privées. Le rapprochement ne vaut que sur un point, et il est de bon sens : entre le montant qu’un texte autorise et le montant qu’une autorité prononce, il y a souvent un ordre de grandeur. Les 6 % du DSA sont un plafond, pas une prévision.

Ce que ça change pour une entreprise française

Vous n’êtes pas désigné. Aucune obligation nouvelle ne pèse sur vous du fait de cette décision. Mais trois effets méritent d’être anticipés.

Le premier est fonctionnel. Un service qui doit atténuer des risques systémiques modifie ses garde-fous, ses refus de réponse et ses filtres. Si vous avez bâti une procédure interne sur le comportement actuel de l’outil, attendez-vous à ce qu’il change d’ici janvier 2027, et testez plutôt que de découvrir.

Le deuxième est documentaire. La logique du DSA (identifier les risques, écrire comment on les réduit, se faire auditer) est exactement celle que le règlement sur l’IA demande, à son échelle, aux organisations qui déploient des systèmes. Nous avons détaillé ce calendrier dans AI Act : ce qui change au 2 août 2026. Une PME qui utilise l’IA n’a pas à produire une analyse de risques systémiques, mais elle gagne à savoir écrire ce qu’elle a vérifié.

Le troisième est plus prosaïque. Une désignation DSA rend un service plus prévisible et plus auditable, ce qui est plutôt une bonne nouvelle quand on l’intègre à un processus professionnel. Elle ne dit rien, en revanche, de la qualité des réponses : le DSA encadre les risques, pas l’exactitude.

Si vous voulez poser ces garde-fous à l’échelle de vos équipes, c’est l’objet de nos parcours de formation à l’IA. Précision constante : DTJ Training n’est pas certifié Qualiopi, sa déclaration d’activité est enregistrée sous le numéro 32800278480, et aucun financement OPCO ou France Travail n’est mobilisable à ce jour.

Une question restera ouverte jusqu’en janvier 2027. Un moteur de recherche renvoie vers des sources que l’utilisateur peut vérifier ; un modèle génératif produit une réponse qui se suffit à elle-même. Appliquer à l’un les règles écrites pour l’autre va se heurter à cette différence, et personne ne sait encore où.

Sources

Commission européenne, « Commission designates ChatGPT, Reddit, Roblox under Digital Services Act », 31 août 2026 (communiqué consulté directement).
Commission européenne, revue de presse quotidienne du 31 août 2026.
Computing et agences, reprises du 31 août 2026, pour les volumes d’utilisateurs déclarés et le plafond de sanction.
Cour des comptes, chambre du contentieux, décision du 29 août 2026 sur le programme Scribe ; reprises Epoch Times et agences, 29 août 2026.
FrenchBreaches, « ChatGPT, Reddit et Roblox risquent gros : l’Europe les place sous surveillance renforcée », 31 août 2026, et « Fiasco à 257 millions d’euros », 30 août 2026 — signalement initial des deux sujets.