ChatGPT sous surveillance renforcée de l’Union européenne

De la régulation des modèles à la surveillance des usages

L’Union européenne s’apprête à soumettre ChatGPT à un niveau de contrôle plus exigeant. Selon The Verge, le service conversationnel d’OpenAI doit être traité sous le régime renforcé prévu par le Digital Services Act, ou DSA, le règlement européen sur les services numériques. Le changement est significatif : Bruxelles ne regarde plus uniquement l’intelligence artificielle sous l’angle de la conception des modèles, de leurs données d’entraînement ou de leurs performances. Elle s’intéresse aussi, et de plus en plus directement, aux conséquences sociales d’un assistant utilisé par un très grand nombre de personnes.

Le sujet dépasse donc le seul cas d’OpenAI. ChatGPT est devenu l’un des symboles de la diffusion grand public de l’IA générative depuis son lancement, à la fin de 2022. Son format conversationnel a accéléré l’adoption de ces outils dans les études, le travail de bureau, le développement logiciel, la recherche d’information, la création de contenus et les usages personnels. Cette proximité avec les utilisateurs fait aussi surgir des risques qui ne se résument pas aux erreurs factuelles d’un modèle : exposition de mineurs, recommandations inappropriées, contenus illégaux, manipulation, atteinte à la dignité, dépendance émotionnelle ou effets potentiels sur la santé mentale.

Dans le cadre décrit par The Verge, ChatGPT serait ainsi concerné par les obligations applicables aux très grandes plateformes en ligne. Le DSA prévoit ce statut pour les services qui atteignent un seuil de 45 millions de destinataires actifs mensuels dans l’Union européenne, soit environ 10 % de la population européenne. OpenAI a indiqué que ChatGPT comptait 120 millions de destinataires actifs mensuels en moyenne dans l’UE sur une période de référence récente. Ce niveau place le service largement au-dessus du seuil réglementaire.

Mise à jour du 06/09/2026 — Le 31 août 2026, la Commission européenne a désigné ChatGPT comme « très grand moteur de recherche en ligne » au titre du DSA, le plaçant sous une surveillance renforcée. OpenAI doit se conformer d’ici janvier 2027 à des obligations supplémentaires d’évaluation et d’atténuation des risques systémiques, notamment pour les mineurs, les contenus illicites et les droits fondamentaux. (digital-strategy.ec.europa.eu)

Cette donnée est importante pour deux raisons. D’une part, elle montre que l’assistant n’est plus un produit technologique spécialisé, réservé à une population d’initiés. D’autre part, elle fournit à la Commission européenne un critère quantitatif pour envisager un encadrement systémique. Le DSA a été conçu pour répondre à l’influence de services numériques de masse, comme les réseaux sociaux, les places de marché ou les moteurs de recherche. Son application à un assistant conversationnel à base d’IA illustre l’adaptation progressive du cadre européen aux nouveaux points d’entrée de l’information en ligne.

La question posée par Bruxelles n’est donc pas seulement : « un modèle d’IA est-il suffisamment sûr ? » Elle devient : « quels risques un service conversationnel très largement utilisé crée-t-il dans la vie quotidienne, et quelles mesures son fournisseur doit-il prendre pour les réduire ? » Ce déplacement de perspective peut avoir des conséquences durables pour tous les assistants généralistes proposés au public européen.

Ce que le DSA impose aux services à très grande échelle

Le Digital Services Act est entré en vigueur en novembre 2022 et s’applique pleinement depuis février 2024. Il ne constitue pas une loi spécifique aux modèles d’intelligence artificielle. Il organise plutôt les responsabilités des intermédiaires en ligne, avec des exigences graduées selon la nature et la taille du service. Les très grandes plateformes en ligne et les très grands moteurs de recherche font l’objet des obligations les plus poussées, car leur portée leur permet d’influencer fortement la circulation de l’information, les comportements et l’accès aux contenus.

Le mécanisme central est celui de l’évaluation des risques systémiques. Une entité désignée doit identifier, analyser et documenter les risques liés à son service. Elle doit ensuite mettre en place des mesures de réduction adaptées, en vérifier l’efficacité et les ajuster si nécessaire. L’enjeu n’est pas de promettre l’absence totale de danger, objectif irréaliste pour un outil de communication ou de recherche à grande échelle. Il s’agit de démontrer que les risques connus sont pris au sérieux, que les choix de conception sont documentés et que les mécanismes de protection ne sont pas seulement déclaratifs.

Pour ChatGPT, les sujets signalés par The Verge incluent les effets potentiels sur les mineurs et la santé mentale, ainsi que la diffusion de contenus illégaux. Ces thèmes correspondent à l’évolution du débat sur l’IA conversationnelle. Un chatbot généraliste peut répondre à des questions ordinaires, produire du texte ou aider à organiser une tâche. Mais il peut également intervenir dans des échanges intimes, répondre à une personne en situation de vulnérabilité, reformuler des informations erronées avec assurance ou faciliter la production de contenus problématiques. Sa forme dialoguée peut renforcer l’impression de personnalisation et de confiance, même lorsque la réponse résulte d’une prédiction statistique de texte et non d’une compréhension humaine.

Le DSA vise aussi la transparence et la responsabilité. Les acteurs concernés doivent produire des rapports, coopérer avec les autorités compétentes, donner accès à certaines informations aux chercheurs agréés et accepter des audits indépendants. Ils doivent également prévoir des dispositifs permettant de signaler les contenus ou activités illégales, puis de les traiter selon les obligations applicables. Le règlement ne transforme pas les entreprises en juges universels de la légalité, mais il leur impose des procédures, des moyens et une traçabilité proportionnés à leur poids dans l’espace numérique.

Dans le cas d’un assistant comme ChatGPT, l’application pratique de ces principes soulève des questions plus complexes que pour une publication classique sur un réseau social. Une réponse peut être générée instantanément, varier d’un utilisateur à l’autre et ne pas être visible publiquement. Elle peut combiner une requête ambiguë, du contexte conversationnel et des outils externes éventuels. La détection d’un contenu illégal ou dangereux ne peut donc pas reposer sur les mêmes méthodes que la modération d’un fil public. C’est précisément l’une des raisons pour lesquelles l’éventuelle désignation du service est suivie de près : elle forcera à préciser comment les obligations du DSA s’appliquent à une interface conversationnelle.

Le texte européen prévoit des délais et une supervision spécifique après désignation. La Commission européenne dispose d’un rôle direct pour les très grands services, aux côtés des coordinateurs nationaux des services numériques. Des sanctions peuvent être prononcées en cas de non-respect des obligations. Le plafond prévu par le DSA peut atteindre 6 % du chiffre d’affaires mondial annuel du fournisseur. Au-delà de la sanction financière, le risque pour une entreprise est aussi opérationnel : devoir revoir ses systèmes d’évaluation, ses parcours de signalement, ses contrôles internes et ses choix de déploiement sur le marché européen.

Mineurs, santé mentale et contenus illégaux : les risques au cœur du dossier

La protection des mineurs est devenue l’un des thèmes les plus sensibles de la régulation des plateformes et des services d’IA. Les jeunes utilisateurs peuvent se tourner vers un assistant conversationnel pour les devoirs, les loisirs, les relations personnelles, la sexualité, la santé ou des situations de détresse. Dans ces contextes, un outil qui paraît disponible, patient et personnalisé peut prendre une place particulière. Les régulateurs européens cherchent donc à savoir si les mécanismes de sécurité, les avertissements, les restrictions d’accès et les modalités de réponse sont adaptés à cette réalité.

La difficulté tient au fait qu’un même système sert des publics très différents. Une réponse utile à un adulte peut être mal adaptée à un adolescent ou à un enfant. De même, un outil destiné à une interaction générale peut recevoir des messages révélant une crise, une automutilation, un trouble alimentaire, un harcèlement ou une demande d’information explicitement dangereuse. L’évaluation demandée dans le cadre du DSA ne se limite pas à l’existence de politiques internes. Elle porte sur les risques effectifs créés par le fonctionnement et la diffusion du service, ainsi que sur les mesures concrètes de mitigation.

La santé mentale occupe une place croissante dans cette réflexion. Il serait excessif d’assimiler automatiquement un assistant IA à un professionnel de santé, et les fournisseurs de ces services rappellent généralement que leurs outils ne remplacent pas une aide médicale ou psychologique. Mais l’usage réel ne suit pas toujours les catégories prévues par les entreprises. Des utilisateurs peuvent demander des conseils émotionnels, chercher du réconfort ou interpréter les réponses de la machine comme une forme d’autorité. La question réglementaire est donc moins de savoir si ChatGPT « fait de la thérapie » que d’évaluer les situations où son comportement conversationnel peut aggraver une vulnérabilité ou donner des conseils inappropriés.

Les autorités se préoccupent également de la possibilité que des systèmes génératifs facilitent la production ou la circulation de contenus illégaux. Le risque dépend de la nature des demandes, des garde-fous du modèle, des services connectés et des modalités de partage des réponses. Il peut concerner des contenus violents, des abus, des escroqueries, des atteintes aux droits, des instructions dangereuses ou d’autres catégories interdites par le droit européen et national. Le DSA ne crée pas toutes ces interdictions : il impose surtout aux très grandes plateformes de prendre en compte leur diffusion et de mettre en place des réponses proportionnées.

Cette approche est plus large que la simple modération de mots-clés. Les systèmes génératifs peuvent contourner des filtres par reformulation, langue, contexte fictif ou enchaînement de requêtes. À l’inverse, une modération trop brute peut bloquer des demandes légitimes d’information, notamment dans les domaines de la santé, de l’éducation ou de la prévention. L’équilibre est délicat : protéger les personnes sans empêcher l’accès à des informations licites et utiles. La réglementation européenne ne donne pas une recette technique unique, mais elle oblige les opérateurs à démontrer qu’ils examinent ces arbitrages de manière structurée.

Le sujet touche aussi à la qualité de l’information. Un assistant conversationnel peut produire des réponses convaincantes mais erronées, phénomène souvent appelé « hallucination » dans l’industrie. Le DSA traite notamment les risques liés aux effets négatifs sur le discours civique, les processus électoraux et la santé publique. Même si les obligations précises dépendront de la qualification et de la désignation du service, la logique est claire : à très grande échelle, la fiabilité ne relève plus uniquement de l’expérience produit. Elle devient une question de risque systémique, en particulier lorsqu’un outil sert d’interface d’accès à la connaissance.

Le point de bascule européen ne tient pas seulement à la puissance d’un modèle : il tient au nombre de personnes qui reçoivent ses réponses, à la nature de leurs demandes et aux effets possibles de ces réponses dans le monde réel.

Un cadre qui complète l’AI Act, sans s’y substituer

La montée en puissance du DSA pour ChatGPT ne doit pas être confondue avec l’AI Act, le règlement européen consacré à l’intelligence artificielle. L’AI Act est entré en vigueur le 1er août 2024 et son application est progressive. Il repose sur une logique de classification des risques : certaines pratiques sont interdites, certains systèmes à haut risque doivent satisfaire à des exigences renforcées, tandis que les modèles d’IA à usage général font l’objet de règles spécifiques, notamment en matière de transparence, de documentation et, pour les modèles présentant des risques systémiques, d’évaluation et de sécurité.

Le DSA et l’AI Act poursuivent donc des objectifs voisins sur certains points, mais ils n’abordent pas l’IA au même niveau. L’AI Act s’intéresse notamment au système d’IA, à son fournisseur, à ses usages et à ses obligations de mise sur le marché. Le DSA s’intéresse au service numérique qui organise l’accès et la diffusion de contenus à une très grande échelle. Une entreprise peut ainsi devoir répondre simultanément à plusieurs corpus européens : AI Act, DSA, règlement général sur la protection des données, droit de la consommation, règles sur les contenus illicites et législations nationales pertinentes.

Cette superposition est parfois présentée comme un fardeau réglementaire. Elle traduit aussi la diversité des problèmes. La question de la protection des données personnelles n’est pas identique à celle des biais d’un modèle. La question de la cybersécurité n’est pas identique à celle de l’exposition d’un mineur à un échange nocif. La question des obligations documentaires d’un fournisseur n’est pas identique à celle de la réponse d’un produit grand public utilisé chaque jour par des dizaines de millions de personnes. L’Europe construit ainsi une régulation par couches, avec le risque de complexité que cela implique, mais aussi avec une capacité à cibler des situations distinctes.

OpenAI se trouve au centre de cette évolution parce que ChatGPT a installé l’IA générative dans les usages de masse. L’entreprise a été fondée en 2015 et a mis ChatGPT à la disposition du public en novembre 2022. Le service a très vite popularisé l’idée qu’un utilisateur pouvait dialoguer directement avec un modèle de langage. Microsoft a, de son côté, intégré des technologies d’OpenAI dans ses produits et développé l’offre Copilot. Google propose Gemini. Anthropic développe Claude. Meta a déployé Meta AI dans certaines de ses applications et régions. Tous ces acteurs font face, à des degrés différents, au même enjeu : plus l’assistant devient une couche générale d’interaction avec le numérique, plus ses effets sociaux attirent l’attention des autorités.

La comparaison doit toutefois rester prudente. Les produits ne proposent pas tous les mêmes fonctions, ne sont pas disponibles de la même façon dans chaque pays européen et n’atteignent pas nécessairement le même nombre de destinataires actifs mensuels. La désignation au titre du DSA dépend d’éléments juridiques et de données d’audience propres à chaque service. Il ne serait donc pas exact d’affirmer que tous les chatbots relèvent déjà du même régime. Mais le cas de ChatGPT crée un précédent pratique : il oblige à définir les méthodes de mesure, d’audit et de mitigation adaptées aux assistants génératifs.

Le précédent est également institutionnel. Les premières grandes désignations au titre du DSA concernaient principalement des plateformes sociales, des places de marché et des moteurs de recherche. Avec ChatGPT, le débat se déplace vers une catégorie hybride. Un chatbot ne ressemble pas entièrement à un réseau social : il n’organise pas nécessairement un espace public de publications entre utilisateurs. Il ne ressemble pas non plus exactement à un moteur de recherche : il synthétise et génère une réponse plutôt que de fournir uniquement une liste de liens. Pourtant, il peut devenir une porte d’entrée majeure vers les informations, les conseils et les contenus. C’est ce rôle fonctionnel, plus que l’étiquette technique, qui explique l’intérêt européen.

Les conséquences pour OpenAI et pour le marché européen

Pour OpenAI, un encadrement renforcé signifie d’abord une obligation de gouvernance. L’entreprise devra pouvoir expliquer comment elle évalue les risques liés à ChatGPT dans l’Union européenne, quels dispositifs elle met en place pour les réduire et comment elle mesure leurs résultats. Cela suppose des équipes de conformité, des processus d’escalade, une documentation plus détaillée, des audits et une capacité de dialogue avec les autorités. Ces exigences ne garantissent pas mécaniquement une réponse parfaite à chaque interaction, mais elles rendent plus difficile une approche reposant seulement sur des règles générales ou des promesses de sécurité.

Le sujet peut aussi affecter la conception du produit. Lorsqu’une obligation porte sur les mineurs ou la santé mentale, les décisions pertinentes peuvent concerner les paramètres par défaut, la présentation de certains avertissements, la manière de détecter des signaux de vulnérabilité, les restrictions sur certaines requêtes, les voies de recours ou les outils de signalement. Lorsqu’elle concerne les contenus illégaux, elle peut impliquer des systèmes de prévention, d’examen et de traçabilité. Chaque mesure soulève toutefois des questions de confidentialité, de liberté d’expression, de précision technique et de risque de surblocage.

Pour les utilisateurs européens, l’effet le plus visible pourrait être une plus grande formalisation des protections et des informations fournies par le service. Les internautes français, comme ceux des autres États membres, sont concernés directement : le seuil retenu par le DSA s’apprécie à l’échelle de l’Union, mais les obligations visent les destinataires européens. La France dispose déjà d’un environnement réglementaire dense sur le numérique, avec un rôle de la CNIL sur les données personnelles et de l’Arcom sur plusieurs sujets liés aux services en ligne. Le DSA ajoute une dimension européenne de supervision des très grandes plateformes.

Les entreprises et administrations françaises qui utilisent des assistants d’IA doivent également suivre cette évolution. Elles ne deviennent pas automatiquement responsables de toutes les obligations qui pèsent sur OpenAI. En revanche, elles doivent comprendre les limites des outils qu’elles déploient, les règles de protection des données applicables à leurs propres usages et les risques liés aux réponses fournies à leurs salariés, clients ou usagers. Dans les secteurs sensibles, une dépendance excessive à une réponse générée automatiquement peut poser des problèmes de qualité, de sécurité et de responsabilité, indépendamment du statut DSA de la plateforme.

Le marché européen de l’IA pourrait connaître un double effet. D’un côté, les obligations de conformité représentent un coût important, surtout pour les entreprises qui approchent une audience massive. Les évaluations de risques, les audits, les rapports et les dispositifs de contrôle demandent des compétences juridiques, techniques et opérationnelles. De l’autre, un cadre plus prévisible peut favoriser la confiance des organisations européennes, notamment lorsque celles-ci hésitent à intégrer des assistants génératifs dans leurs processus.

Cette tension est particulièrement forte pour les acteurs européens. Ils doivent concurrencer des groupes américains déjà dotés d’infrastructures de calcul, de modèles très connus et de budgets considérables, tout en respectant un cadre juridique exigeant sur leur marché domestique. Mais l’Europe cherche précisément à éviter que l’innovation ne se fasse sans mécanisme de responsabilité lorsque les services atteignent une échelle très élevée. L’enjeu n’est pas de traiter chaque jeune entreprise comme une très grande plateforme. Le seuil de 45 millions de destinataires actifs mensuels sert à réserver les obligations les plus lourdes aux services dont la portée peut produire des effets systémiques.

Vers une régulation des assistants comme infrastructures d’information

Le cas de ChatGPT pourrait marquer une étape dans la manière dont les autorités européennes perçoivent les assistants d’IA. Pendant plusieurs années, l’attention publique s’est concentrée sur les modèles eux-mêmes : taille des jeux de données, puissance de calcul, performances aux tests, droits d’auteur, consommation énergétique ou biais. Ces enjeux demeurent essentiels. Mais un modèle n’existe pas dans le vide. Il devient socialement déterminant lorsqu’il est intégré à une interface utilisée quotidiennement par des millions de personnes, parfois comme premier réflexe pour poser une question, rédiger un document ou demander un conseil.

Dans cette perspective, l’assistant conversationnel peut être vu comme une infrastructure d’information. Il ne décide pas seul de ce qui est vrai ou faux, mais il sélectionne, reformule et hiérarchise des réponses. Il ne remplace pas forcément les médias, les moteurs de recherche, les enseignants, les soignants ou les administrations, mais il peut s’interposer entre eux et l’utilisateur. Il ne publie pas toujours dans un espace visible de tous, mais ses réponses peuvent orienter des comportements individuels à très grande échelle. Cette influence diffuse est précisément plus difficile à surveiller que la viralité traditionnelle d’un réseau social.

La référence au DSA fournit à la Commission européenne un outil déjà existant pour traiter cette influence. Plutôt que d’attendre une nouvelle loi entièrement dédiée aux chatbots, Bruxelles peut exiger d’un service très populaire une analyse des risques systémiques et des mesures de mitigation. La méthode comporte des limites : l’application de règles pensées pour les plateformes classiques à des interactions privées et générées en temps réel nécessitera des interprétations nouvelles. Elle ouvre néanmoins un espace de contrôle concret, fondé sur l’audience et sur les effets du service.

La question décisive sera celle de l’exécution. Une obligation de rapport peut améliorer la transparence, mais elle ne suffit pas si les indicateurs sont trop généraux ou si les audits ne permettent pas de tester les situations réellement problématiques. Une mesure de sécurité peut réduire certains risques, mais aussi déplacer les usages vers d’autres outils ou créer de nouveaux contournements. Une restriction destinée à protéger les mineurs peut être inefficace si la vérification de l’âge reste fragile. Une réponse prudente sur la santé mentale peut éviter un conseil dangereux, sans pour autant résoudre l’isolement ou la détresse qui a conduit l’utilisateur à consulter le chatbot.

Pour les régulateurs, le défi est de maintenir une exigence élevée sans réduire la conformité à une liste administrative. Pour les entreprises, il sera de démontrer que la sécurité est intégrée au produit, et non ajoutée après coup sous la seule pression d’une désignation. Pour les utilisateurs européens, l’enjeu est de conserver les bénéfices d’outils capables d’assister, traduire, expliquer ou créer, tout en évitant qu’ils ne deviennent des interlocuteurs sans garde-fous dans les situations les plus sensibles.

La trajectoire de ChatGPT dans l’Union européenne sera donc observée bien au-delà d’OpenAI. Si le contrôle renforcé décrit par The Verge se traduit par des exigences opérationnelles précises, il pourrait servir de référence aux futurs assistants grand public qui franchiront une audience comparable. L’Europe ne chercherait plus seulement à réguler l’intelligence artificielle comme une technologie : elle encadrerait les assistants conversationnels comme des services de masse dont les réponses, les protections et les défaillances peuvent avoir des effets directs sur les citoyens.