ChatGPT est désormais considéré comme un moteur de recherche dans l'UE : quelles conséquences pour les logiciels basés sur l'IA ?
Le 31 août 2026, il a été annoncé que la Commission européenne avait désigné ChatGPT comme « très grand moteur de recherche en ligne » au titre du règlement sur les services numériques (Digital Services Act en anglais, dit DSA).
Qu'est-ce que cela signifie concrètement ?
Le DSA est le cadre réglementaire général de l'UE pour les services en ligne, qui couvre les plateformes, les places de marché et les moteurs de recherche. Il a été rédigé avant l'apparition de la génération actuelle de produits d'IA et porte davantage sur le contenu, la sécurité et la transparence que sur l'intelligence artificielle. Il s'applique aux services selon un système à plusieurs niveaux, de sorte que les obligations deviennent progressivement plus contraignantes à mesure qu'un service se développe, le niveau le plus contraignant étant réservé aux services comptant au moins 45 millions d'utilisateurs mensuels en moyenne dans l'UE. Ce niveau est divisé entre les très grandes plateformes en ligne, qui couvrent des services tels que les réseaux sociaux et les places de marché, et les très grands moteurs de recherche en ligne, qui couvraient jusqu'à présent la recherche web classique.
Une «désignation» est une décision formelle classant un service donné dans l’une de ces catégories. Il ne s’agit ni d’une amende, ni d’une constatation d’infraction, ni d’une critique du fonctionnement du service. Elle a pour effet de déclencher un ensemble défini d’obligations, ainsi qu’une supervision directe par la Commission européenne et la perspective de sanctions pouvant atteindre 6 % du chiffre d’affaires annuel mondial en cas de non-respect de ces obligations.
Plutôt que de considérer un assistant IA comme nécessitant une nouvelle classification, la Commission a examiné ce que fait le service lorsqu’un utilisateur lui pose une question ; elle a conclu que la récupération et la synthèse de résultats web en temps réel constituent, d’un point de vue fonctionnel, une activité de recherche, et a appliqué en conséquence les règles existantes relatives aux moteurs de recherche.
La Commission a conclu qu’un assistant IA qui récupère des résultats en temps réel sur le web remplit la fonction d’un moteur de recherche, et a appliqué une réglementation existante sur cette base. Cette approche de la classification concerne un très grand nombre d’entreprises qui ne se qualifieraient pas elles-mêmes de plateformes, et elle donne une indication utile sur la manière dont les régulateurs européens entendent traiter les produits d’IA qui ne s’inscrivent pas clairement dans les catégories autour desquelles la loi a été élaborée.
Décision de la Commission
Le 31 août 2026, la Commission a désigné ChatGPT comme « très grand moteur de recherche en ligne », et Reddit et Roblox comme « très grandes plateformes en ligne », en vertu de la loi sur les services numériques. Chaque service avait déclaré atteindre au moins 45 millions d’utilisateurs mensuels moyens dans l’UE, ce qui correspond au seuil fixé à l’article 33 du règlement sur les services numériques (DSA) déclenchant cette désignation. OpenAI a déclaré environ 159 millions d’utilisateurs actifs mensuels moyens de la recherche ChatGPT dans l’UE pour le semestre clos en mars 2026, soit plus de trois fois le seuil requis.
Ces trois services disposent d’un délai de quatre mois à compter de la notification, soit jusqu’en janvier 2027, pour se conformer aux obligations supplémentaires applicables à ce niveau. La supervision incombe à la Commission elle-même plutôt qu’à une seule autorité nationale de régulation ; elle travaille en collaboration avec la Coimisiún na Meán irlandaise, en tant que coordinatrice des services numériques pour ChatGPT et Reddit, et avec l’Autorité néerlandaise des consommateurs et des marchés pour Roblox.
Quelles sont les exigences réelles du statut VLOSE ?
Les obligations associées à ce niveau sont nettement plus strictes que les règles de base du DSA, et la plupart d’entre elles nécessitent des changements opérationnels plutôt qu’une simple documentation.
Les services désignés doivent réaliser une évaluation annuelle des risques systémiques portant sur un ensemble défini de préjudices. Ceux-ci comprennent la diffusion de contenus illicites sur le service, les préjudices causés aux enfants, les atteintes à la santé physique et mentale des utilisateurs, les atteintes aux droits fondamentaux, la déformation du débat public et des élections, ainsi que les menaces pour la sécurité publique. Ils doivent évaluer dans quelle mesure leurs systèmes de modération des contenus, de recommandation et de publicité contribuent à chacun de ces risques, mettre en place des mesures d’atténuation et être en mesure de démontrer l’efficacité de ces mesures. Ils doivent ensuite se soumettre à un audit indépendant au moins une fois par an et publier le rapport d’audit, accompagné d’un rapport de mise en œuvre lorsque les résultats ne sont pas satisfaisants.
Ce niveau d’exigence impose également au moins une option de recommandation ne reposant pas sur le profilage, un registre public des publicités, l’accès aux données pour la Commission et les coordinateurs nationaux afin d’évaluer la conformité, l’accès aux données pour les chercheurs agréés étudiant les risques systémiques, une fonction interne de conformité dotée de responsables désignés, des rapports de transparence à une fréquence plus élevée que pour les services de moindre envergure, ainsi que le paiement d’une redevance annuelle de surveillance destinée à couvrir les coûts de la supervision exercée par la Commission. Tout manquement à ces obligations peut entraîner des amendes pouvant atteindre 6 % du chiffre d’affaires annuel mondial.
Pourquoi le raisonnement de la Commission revêt une importance qui dépasse le cadre d’OpenAI
Dans son raisonnement, la Commission a considéré ChatGPT comme un service présentant plusieurs caractéristiques et a estimé qu’il répondait à la définition d’un moteur de recherche en ligne, car une partie de son fonctionnement consiste à recueillir la requête d’un utilisateur et à rechercher des informations sur le web ouvert afin d’y répondre. L’évaluation s’est fondée sur la fonction plutôt que sur la forme. La description que le produit donne de lui-même, ainsi que la nouveauté de la technologie sous-jacente, n’ont pas déterminé l’issue. Ce qui a été déterminant, c’est le rôle que le service remplit pour l’utilisateur.
Ce raisonnement s’applique donc bien au-delà de cette désignation particulière. Les régulateurs européens n’attendent pas que les règles spécifiques à l’IA soient au point pour appliquer celles qui existent déjà ; si une partie de votre produit remplit une fonction déjà réglementée par le droit de l’Union européenne — qu’il s’agisse de recherche, d’hébergement de contenus fournis par vos utilisateurs, d’intermédiation dans des transactions entre tiers ou de traitement de données à caractère personnel —, vous devez vous attendre à ce que le régime existant s’applique à cette fonction. La manière dont le produit est décrit sur le plan commercial ne sera probablement pas le facteur déterminant, pas plus que le fait que la fonction soit fournie par le biais d’un modèle plutôt que d’un logiciel classique.
Cette désignation établit également un seuil que d’autres fournisseurs franchiront dans le cadre normal de leur croissance. Tout assistant destiné aux consommateurs atteignant 45 millions d’utilisateurs mensuels dans l’UE entre d’office dans le champ d’application de ce régime, ce qui signifie que les lancements en Europe de grands produits d’IA impliquent désormais de prendre en compte les obligations du DSA dès la conception, plutôt que de les traiter ultérieurement.
Dans quelle mesure le DSA est-il réellement appliqué ?
Le DSA a désormais généré environ 890 millions d’euros d’amendes, ce qui suggère que cette désignation entraîne des conséquences concrètes et pas seulement des répercussions sur la réputation. X s’est vu infliger une amende de 120 millions d’euros en décembre 2025, la première sanction prononcée en vertu de ce règlement, pour une conception trompeuse de son interface, des lacunes dans son registre publicitaire et le blocage de l’accès aux chercheurs. Temu s’est vu infliger une amende de 200 millions d’euros en mai 2026 pour des manquements en matière de risques systémiques dans sa gestion des produits illégaux. AliExpress a reçu une amende de 550 millions d’euros en juillet 2026 concernant des marchandises illégales et contrefaites.
Deux de ces trois sanctions concernaient des manquements liés à l’infrastructure de transparence – à savoir le registre publicitaire et l’accès des chercheurs aux données – plutôt que des manquements à l’obligation de supprimer les contenus préjudiciables. Ce sont là les obligations qui ont tendance à paraître de nature administrative et qui sont le plus facilement reléguées au second plan par une entreprise en pleine expansion ; jusqu’à présent, ce sont celles que la Commission s’est montrée la plus disposée à sanctionner.
Cela vous concerne-t-il si vous êtes loin d’atteindre les 45 millions d’utilisateurs ?
Le DSA n’a jamais été uniquement un régime applicable aux grandes plateformes. Ses obligations de base s’appliquent aux services d’intermédiation proposés aux utilisateurs dans l’UE, quel que soit le lieu d’établissement du prestataire et quelle que soit sa taille. Si votre produit stocke ou transmet des informations fournies par vos clients ou leurs utilisateurs finaux, vous pouvez être considéré comme un service d’hébergement ou une plateforme en ligne au sens du DSA, même si vous ne vous décrivez pas en ces termes. Les outils de collaboration, les places de marché, les fonctionnalités communautaires, les systèmes d’avis, le partage de fichiers et tout type de contenu généré par les utilisateurs peuvent tous faire entrer un service dans le champ d’application du DSA.
Un prestataire établi en dehors de l’UE qui propose des services à des utilisateurs sur son territoire doit désigner un représentant légal dans un État membre et publier un point de contact unique à l’intention des autorités et des utilisateurs. Les services d’hébergement doivent disposer d’un mécanisme de notification et d’action et sont tenus de motiver leurs décisions lorsqu’ils suppriment ou restreignent un contenu. Les micro-entreprises et les petites entreprises sont exemptées de plusieurs obligations applicables aux plateformes en ligne, mais pas de celles relatives aux intermédiaires et à l’hébergement ; cette exemption disparaît à mesure que l’entreprise se développe. Ces exigences sont relativement peu coûteuses à mettre en place dès le départ, mais considérablement plus difficiles à intégrer a posteriori sous la pression réglementaire.
Il convient de mentionner que l’utilisation de ChatGPT ou de son API ne fait pas de vous un VLOSE, et que cette désignation s’applique à OpenAI plutôt qu’à ses clients. Vous devez néanmoins vous attendre à des répercussions en aval au cours des prochains mois, notamment des conditions contractuelles révisées, des exigences supplémentaires en matière de journalisation et de surveillance qui vous seront répercutées, des mesures de protection renforcées concernant certaines catégories d’utilisation, et éventuellement des restrictions sur des cas d’utilisation actuellement disponibles. Un fournisseur américain de SaaS ayant développé une fonctionnalité destinée à ses clients sur un assistant tiers pourrait voir le fonctionnement de cette fonctionnalité évoluer en Europe pour des raisons qui échappent totalement à son contrôle.
En quoi le DSA vient-il compléter le règlement sur l’IA ?
Cette désignation est intervenue un mois après l’entrée en vigueur des règles de transparence du règlement sur l’IA. À compter du 2 août 2026, les chatbots et autres systèmes d’IA interactifs devront indiquer aux utilisateurs qu’ils ont affaire à une IA plutôt qu’à une personne, les deepfakes devront être étiquetés, et les contenus générés ou modifiés par l’IA devront porter des marques lisibles par machine afin de pouvoir être détectés comme synthétiques. Le Bureau de l’IA de la Commission et les autorités nationales ont commencé à faire appliquer la loi sur l’IA à cette même date, y compris les obligations qui s’appliquent aux fournisseurs de modèles d’IA à usage général.
Concrètement, cela signifie qu’une même fonctionnalité peut donner lieu à deux procédures distinctes de mise en conformité auprès de deux régulateurs différents. La législation sur l’IA vérifie si les utilisateurs savent qu’ils ont affaire à une IA et si le contenu synthétique est marqué. Le DSA examine quels risques systémiques le service engendre à grande échelle et quelles mesures sont prises pour les réduire. Une seule réponse concernant une élection pourrait déclencher simultanément les obligations de transparence prévues par la législation sur l’IA et les obligations d’atténuation des risques prévues par le DSA, par des voies juridiques totalement distinctes.
Cela a des conséquences tant organisationnelles que juridiques. Lorsque la gestion de la transparence en matière d’IA relève de l’équipe produit et que la gestion des risques liés au contenu relève du service « confiance et sécurité », ces deux fonctions devront se coordonner, car la même fonctionnalité relève désormais des deux régimes.
Il convient également de distinguer, dans votre planification, la supervision au niveau européen de celle au niveau national. Le DSA et la législation sur l’IA sont tous deux des règlements qui s’appliquent directement dans toute l’UE sans transposition nationale, mais leur mise en œuvre est partagée avec les autorités nationales. En France, l’Arcom est l’autorité de coordination des services numériques, la CNIL étant compétente pour les dispositions relatives à la publicité et au profilage, et la DGCCRF pour celles concernant les places de marché et la traçabilité des professionnels. Vendre dans plusieurs États membres peut donc impliquer de traiter avec plusieurs autorités de régulation, même lorsque les règles sous-jacentes sont identiques, et l’expérience pratique de la mise sous contrôle en France ne sera pas la même qu’en Irlande ou aux Pays-Bas.
Ce qu’il faut vérifier dès maintenant
La première question est de savoir si une partie de votre service constitue un service d’intermédiation ou d’hébergement au sens du DSA, car la réponse détermine tout ce qui suit et un nombre considérable d’entreprises de logiciels ne se sont jamais penchées sur cette question. Si la réponse est oui, ou éventuellement oui, les questions suivantes sont de savoir si vous avez désigné un représentant légal dans un État membre, publié un point de contact et mis en place un mécanisme de signalement et d’intervention opérationnel.
La deuxième question porte sur la conformité de vos fonctionnalités d’IA aux règles de transparence entrées en vigueur le 2 août 2026, en particulier tout ce qui génère du texte, des images, de l’audio ou de la vidéo qu’un utilisateur raisonnable pourrait considérer comme étant le fruit d’une création humaine. Le marquage lisible par machine est une exigence technique qui doit être intégrée au produit plutôt que simplement mentionnée dans vos conditions d’utilisation.
Le troisième point concerne vos fournisseurs. Il est utile de demander directement à vos fournisseurs d’IA quel est leur statut réglementaire au sein de l’UE, quels changements ils anticipent avant janvier 2027, et si votre contrat leur permet de modifier le comportement des modèles, de restreindre les cas d’utilisation ou de changer le filtrage des résultats sans vous en informer. Le programme de conformité d’un fournisseur peut modifier le fonctionnement de votre produit aux yeux de vos propres clients, et il est plus facile de s’y préparer à l’avance que d’y réagir après coup.
Lorsqu’un service se situe à la limite de l’une de ces catégories, et en particulier lorsqu'il associe du contenu généré par les utilisateurs à une fonctionnalité d’IA, il est judicieux de demander conseil sur la classification avant d’élaborer un programme de conformité fondé sur une hypothèse. La classification revêt une grande importance dans les deux régimes, et la Commission a désormais appliqué ces catégories à un service que ses propres développeurs auraient décrit différemment.
Comment Gerrish Legal peut vous aider?
Gerrish Legal est un cabinet juridique numérique et dynamique. Nous sommes fiers de prodiguer des conseils juridiques experts et de haute qualité à nos précieux clients. Nous sommes spécialisés dans de nombreux aspects du droit numérique tels que le RGPD, la confidentialité des données, le droit numérique et technologique, le droit commercial et la propriété intellectuelle.
Nous offrons aux entreprises le soutien dont elles ont besoin pour gérer leurs activités avec succès et en toute confiance tout en se conformant aux réglementations légales, sans avoir à se plier aux exigences numériques en constante évolution.
Nous sommes là pour vous aider, contactez-nous dès aujourd’hui pour plus d’informations.
Article de Nathalie Pouderoux, Consultante pour Gerrish Legal