Per la Commissione europea ChatGPT è diventato un motore di ricerca. La definizione vale nel perimetro giuridico del Digital Services Act e riguarda la funzione con cui il servizio risponde alle domande cercando informazioni sul web. ChatGPT è stato designato Very Large Online Search Engine; Reddit e Roblox entrano invece tra le Very Large Online Platforms.
La decisione annunciata dalla Commissione non accerta un illecito. Applica il livello più severo del DSA a servizi che hanno dichiarato almeno 45 milioni di utenti medi mensili nell’Unione. OpenAI ha pubblicato una stima di 159,1 milioni di destinatari attivi mensili per le funzioni di ricerca di ChatGPT nei sei mesi conclusi il 31 marzo 2026; il numero è calcolato dall’azienda per gli obblighi del DSA e la stessa pagina informativa di OpenAI avverte di non utilizzarlo per altri scopi. Reddit ha dichiarato 57,2 milioni di utenti e Roblox 46,6 milioni.
Quattro mesi per documentare i rischi
I tre servizi hanno quattro mesi dalla notifica, fino a gennaio 2027, per applicare gli obblighi aggiuntivi. Dovranno valutare e mitigare i rischi sistemici collegati a contenuti illegali, diritti fondamentali, processi elettorali, sicurezza pubblica, tutela dei minori e benessere fisico e mentale. Il regime comprende audit indipendenti, una funzione interna di conformità, maggiore trasparenza su pubblicità e sistemi di raccomandazione e accesso ai dati per autorità e ricercatori qualificati.
La Commissione ottiene poteri di richiesta delle informazioni, ispezione e accesso a dati e algoritmi. Sono strumenti più pesanti di un impegno volontario, ma il loro valore dipenderà dal tipo di informazioni che verranno richieste e dalla capacità di leggerle. Un archivio di policy ben scritto può convivere con un prodotto opaco; un audit utile deve arrivare ai processi che selezionano le fonti, personalizzano le risposte e modificano il comportamento del sistema.
Il chatbot costringe una legge per piattaforme a cambiare sguardo
ChatGPT combina funzioni che il diritto aveva trattato separatamente. Cerca sul web, sintetizza fonti, conserva input, ospita strumenti costruiti da terzi e genera una risposta nuova. L’utente non riceve una pagina ordinata di risultati, ma un testo nel quale materiali differenti vengono assorbiti e riscritti. La Commissione lo considera un servizio ibrido e usa la categoria del motore di ricerca per raggiungere almeno questa parte dell’attività senza attendere una legge concepita appositamente per i chatbot.
Il DSA si aggiunge all’AI Act, con un oggetto diverso. L’AI Act disciplina sistemi e modelli in base a funzioni e rischi; il DSA osserva il servizio intermediario che raggiunge il pubblico. Per ChatGPT le due cornici si sovrappongono: una guarda la tecnologia, l’altra il luogo nel quale quella tecnologia distribuisce informazioni e organizza l’accesso alle fonti.
Qui emerge la difficoltà. Molti indicatori del DSA sono nati per feed, marketplace e motori con risultati osservabili. Nel sistema generativo il rischio può formarsi attraverso una sequenza privata di conversazioni, cambiare con la formulazione del prompt, dipendere dalla personalizzazione e mutare dopo un aggiornamento del modello. Un audit annuale rischia facilmente di fotografare un servizio già diverso da quello esaminato.
La risposta unica concentra il governo del racconto
Un motore tradizionale mostra più risultati e lascia visibile, almeno in parte, la pluralità delle fonti. L’assistente tende a restituire una sintesi. Riduce attrito e tempo, mentre concentra la selezione: quali materiali entrano, come vengono pesati, cosa scompare nella parafrasi e quanto facilmente l’utente può ricostruirne origine e finanziamento.
Il problema è già concreto. L’inchiesta sul falso centro studi costruito per influenzare i chatbot ha mostrato che soggetti politici possono produrre documenti con l’obiettivo dichiarato di entrare nelle risposte delle macchine. La designazione non impedisce queste operazioni; permette però agli organi di controllo di chiedere come il rischio venga misurato, quali mitigazioni siano applicate e quali dati sostengano le conclusioni dell’azienda.
La Commissione dovrà distinguere errori occasionali, difetti ripetuti e campagne manipolative organizzate. Dovrà farlo senza pretendere la pubblicazione indiscriminata di segreti industriali, ma ottenendo prove sufficienti per capire se il servizio conosce i propri rischi e corregge i meccanismi quando il danno emerge.
La categoria giuridica esistente ha permesso all’Europa di non lasciare fuori gli assistenti generativi diventati infrastrutture informative. Adesso arriva il lavoro meno spettacolare e più importante: costruire strumenti di controllo capaci di osservare una risposta che cambia da utente a utente e da un aggiornamento all’altro.