Il 31 agosto la Commissione europea ha designato ChatGPT come Very Large Online Search Engine, o VLOSE, ai sensi del Digital Services Act. La decisione segue la dichiarazione del servizio di raggiungere almeno 45 milioni di utenti medi mensili nell’Unione, la soglia che fa scattare il livello più rigoroso della normativa. Nello stesso provvedimento Reddit e Roblox sono stati classificati come piattaforme online di dimensioni molto grandi. Per ChatGPT la categoria scelta è quella del motore di ricerca, perché una parte essenziale dell’esperienza recupera e organizza informazioni per rispondere alle domande. La designazione non è una sanzione e non indica che ChatGPT abbia già violato la legge. È un atto che attribuisce responsabilità aggiuntive in base alla scala e al possibile impatto sociale del servizio. OpenAI ha quattro mesi dalla notifica, quindi fino a gennaio 2027, per adeguarsi agli obblighi specifici. Il servizio resta disponibile nel frattempo e la Commissione non ha annunciato blocchi, nuovi limiti d’età o modifiche immediate ai piani. Confondere la classificazione con un divieto produce allarme senza aiutare a capire che cosa verrà controllato.
Perché è importante
- La Commissione ha designato ChatGPT come Very Large Online Search Engine dopo la dichiarazione di almeno 45 milioni di utenti medi mensili nell’UE.
- OpenAI ha quattro mesi, quindi fino a gennaio 2027, per applicare obblighi aggiuntivi su rischi sistemici, audit, dati e trasparenza.
- La decisione non vieta ChatGPT, non certifica l’accuratezza delle risposte e non modifica automaticamente funzioni, prezzi o accesso il 31 agosto.
La soglia dei 45 milioni cambia il livello di responsabilità, non l’accesso al servizio
Il DSA tratta in modo più severo i servizi molto grandi perché un errore di progettazione o una scelta algoritmica può interessare milioni di persone contemporaneamente. Nel caso di un assistente AI, una risposta può riassumere fonti, consigliare un’azione o presentare un’informazione falsa con tono convincente. La nuova cornice non promette risposte perfette: obbliga il fornitore a identificare rischi sistemici, documentare le contromisure e consentire verifiche più strutturate da parte delle autorità e di soggetti indipendenti. Questa classificazione si aggiunge alle altre regole europee. Il GDPR continua a governare il trattamento dei dati personali; l’AI Act copre obblighi legati a determinati sistemi e usi; le norme di settore restano valide per salute, finanza, scuola e lavoro. Essere VLOSE non equivale a una certificazione generale di sicurezza o conformità. Significa che la Commissione assume un ruolo diretto di supervisione sui doveri aggiuntivi previsti per i servizi con la maggiore portata nell’Unione.
Audit, valutazioni dei rischi e accesso ai dati: che cosa dovrà dimostrare OpenAI
OpenAI dovrà valutare e mitigare i rischi sistemici legati al servizio e ai suoi sistemi algoritmici. La Commissione elenca aree come contenuti illegali, tutela dei minori, benessere fisico e mentale, diritti fondamentali, processi elettorali e sicurezza pubblica. Non basta affermare che esistono filtri: l’azienda deve spiegare come misura i problemi, quali misure applica e come verifica che funzionino. Una mitigazione può riguardare design, avvisi, controlli d’età, gestione degli abusi o procedure di risposta agli incidenti. I servizi designati devono avere una funzione interna di conformità, sottoporsi almeno ogni anno a un audit indipendente e rispondere alle raccomandazioni. Devono inoltre condividere dati con Commissione e autorità nazionali quando servono a valutare il rispetto del DSA. I ricercatori qualificati possono ottenere accesso a dati utili allo studio dei rischi sistemici, nel rispetto di condizioni di indipendenza e sicurezza. L’obiettivo è ridurre la distanza tra ciò che una piattaforma sostiene pubblicamente e ciò che può essere osservato attraverso dati, procedure e risultati misurabili.
Il DSA richiede anche trasparenza su pubblicità, sistemi di raccomandazione e decisioni di moderazione, oltre a condizioni d’uso comprensibili e punti di contatto per utenti e autorità. L’applicazione esatta a un’interfaccia conversazionale richiederà dettagli operativi: un chatbot non presenta contenuti nello stesso modo di un social network. Non è corretto dedurre oggi che ogni risposta mostrerà un’etichetta nuova o che l’algoritmo diventerà pubblico. La Commissione vigilerà sul risultato normativo; OpenAI dovrà tradurlo in misure verificabili adatte al prodotto. La sorveglianza può portare a richieste di informazioni, indagini e sanzioni se emergono violazioni, ma la decisione del 31 agosto non contiene una multa. Il calendario corretto è in due tempi: designazione ora, applicazione degli obblighi aggiuntivi entro gennaio 2027. Nei prossimi mesi conteranno le comunicazioni ufficiali su valutazione dei rischi, audit, accesso dei ricercatori e modifiche del servizio. Presentare oggi come certa una funzione futura significherebbe trasformare una regola concreta in una previsione.
Cosa puoi farci concretamente
- Verificare le risposte importanti sulle fonti originali: la designazione riguarda i doveri del servizio, non rende infallibile ogni output.
- Controllare memoria, cronologia e app collegate, separando gli account quando lavoro e vita privata richiedono permessi diversi.
- Per scuole e imprese, aggiornare valutazione dei rischi e regole interne quando OpenAI pubblicherà le misure europee, senza anticipare cambiamenti non annunciati.
Quello che conta adesso
Per una persona in Italia, l’effetto più concreto dovrebbe emergere nella trasparenza e nei rimedi, non in una schermata che cambia dall’oggi al domani. Quando un servizio limita un contenuto, personalizza un’esperienza o applica una misura di sicurezza, l’utente deve ricevere informazioni comprensibili e avere canali di contestazione. Le regole per i servizi molto grandi rafforzano inoltre la sorveglianza sui rischi per minori, salute, discriminazione e libertà di espressione. La qualità dipenderà da quanto le spiegazioni saranno specifiche e utilizzabili, non dal numero di pagine legali pubblicate. La designazione non garantisce che una risposta sia vera, completa o imparziale. Il DSA governa il servizio e i suoi rischi, non sostituisce il controllo delle fonti. Per salute, denaro, diritti, lavoro o sicurezza occorre ancora aprire il documento originale, verificare data e autore e distinguere un suggerimento da una decisione professionale. Un assistente può riassumere bene una pagina sbagliata o interpretare male una fonte corretta. La nuova responsabilità rende più scrutinabile il sistema, ma non trasferisce automaticamente al fornitore la responsabilità di ogni scelta.
Famiglie e scuole dovrebbero osservare soprattutto le misure dedicate ai minori: impostazioni predefinite, segnalazioni, gestione di contenuti dannosi e valutazioni d’impatto. Le imprese dovrebbero seguire trasparenza, disponibilità dei dati e procedure di incidente, senza confondere il DSA con una certificazione per qualunque uso aziendale. Per dati personali, segreti commerciali o decisioni automatizzate continuano ad applicarsi anche privacy, contratti e regole di settore. La classificazione VLOSE aggiunge un livello di controllo; non cancella gli altri doveri. Resta una questione tecnica: distinguere il motore che cerca informazioni, il modello che genera testo e le app collegate che eseguono azioni. Un rischio può nascere da una fonte inaffidabile, da una sintesi errata, da una personalizzazione o da un’autorizzazione troppo ampia. Un avviso generico sull’AI non risolve una fonte falsa; un filtro più severo non sostituisce un controllo dei permessi. Fino ai nuovi documenti valgono pratiche semplici: limitare i dati inseriti, controllare memoria e collegamenti, chiedere fonti e aprirle, usare un secondo riscontro per le decisioni importanti.
Fonti
Documenti, comunicati e pubblicazioni consultati per ricostruire dati e contesto.
