Le Digital Services Act (DSA), entré pleinement en vigueur en 2024, distingue plusieurs catégories de plateformes selon leur audience dans l’Union européenne. Au-delà de 45 millions d’utilisateurs actifs mensuels, une plateforme peut être désignée comme « Very Large Online Platform » (VLOP) ou « Very Large Online Search Engine » (VLOSE). Ces statuts déclenchent un régime de contrôle nettement plus exigeant que le droit commun : évaluations annuelles des risques systémiques, mesures d’atténuation documentées, rapports de transparence, audits externes indépendants et sanctions pouvant atteindre 6 % du chiffre d’affaires mondial en cas de manquement.
ChatGPT revendique désormais 120,4 millions d’utilisateurs actifs mensuels dans l’UE, soit près de trois fois le seuil réglementaire. Le 6 août 2026, lors d’une conférence de presse, la Commission européenne a confirmé qu’elle examinait ces chiffres et qu’une classification de ChatGPT comme VLOSE était « définitivement possible » et pourrait intervenir « tôt ou tard ». Aucune décision formelle n’a encore été prise, mais le signal envoyé par Bruxelles est sans ambiguïté : l’ère de la régulation légère pour les IA conversationnelles grand public touche à sa fin.
Un cadre pensé pour les réseaux sociaux, désormais face à l’IA générative
Conçu à une époque où la régulation visait principalement les réseaux sociaux, les marketplaces et les moteurs de recherche classiques, le DSA a jusqu’ici désigné Google Search, YouTube et quelques grandes plateformes de contenu. Classer ChatGPT dans cette catégorie constituerait une extension notable du périmètre : pour la première fois, un assistant conversationnel basé sur un modèle de langage se retrouverait sous un régime comparable à celui des géants de la recherche en ligne.
La différence n’est pas anodine. Un moteur de recherche indexe et classe des pages ; un modèle comme ChatGPT génère des réponses, synthétise des sources et formule des avis. Les risques systémiques ne sont pas exactement les mêmes : désinformation par hallucination, biais dans les synthèses, influence sur les opinions via des formulations partiales, ou encore exposition de données sensibles partagées par des utilisateurs. Ce sont précisément ces risques-là que la Commission devra évaluer, en adaptant ses critères à une activité que le texte initial du DSA n’avait pas explicitement anticipée.
Selon l’article du Le Monde Informatique , les chiffres d’audience ont été transmis par OpenAI et sont en cours d’examen. La Commission n’a pas précisé de calendrier pour sa décision.
Ce que les obligations imposeraient concrètement à OpenAI
En cas de désignation, OpenAI devrait conduire une évaluation annuelle des risques systémiques liés à ChatGPT : risques pour la santé mentale des utilisateurs, pour les processus démocratiques, pour la protection des données personnelles, pour la cybersécurité. Ces évaluations devraient être documentées et soumises à un audit externe indépendant, dont les résultats seraient publiés.
L’ouverture des données à des chercheurs accrédités et aux autorités nationales constitue un autre volet central du régime VLOSE. Pour OpenAI, cela signifierait potentiellement fournir un accès structuré aux données d’interaction, dans des conditions à définir avec la Commission, ce qui pose des questions inédites sur la confidentialité des échanges entre les utilisateurs et le modèle. Les sanctions prévues en cas de non-conformité peuvent atteindre 6 % du chiffre d’affaires annuel mondial. Pour une entreprise dont les revenus progressent rapidement, ce plafond financier est à prendre au sérieux dans les arbitrages stratégiques liés au marché européen.
Des effets en cascade pour les entreprises utilisatrices
La désignation VLOSE d’OpenAI n’est pas sans conséquences indirectes pour les organisations qui utilisent ChatGPT au quotidien. Une surveillance renforcée de la plateforme implique des politiques d’usage plus strictes, des conditions générales potentiellement modifiées et une documentation accrue des usages. Les éditeurs de logiciels SaaS qui embarquent ChatGPT dans leurs produits, les intégrateurs et les développeurs qui s’appuient sur l’API d’OpenAI devront probablement adapter leurs pratiques en matière de gestion des données et de transparence vis-à-vis de leurs propres clients.
Pour les directions juridiques et les responsables conformité de PME et d’ETI françaises qui n’ont pas encore formalisé leurs politiques internes d’utilisation de l’IA générative, ni conduit d’analyse d’impact sur les données traitées via ces outils, ce mouvement réglementaire est un signal d’alerte concret. La désignation créerait de fait un effet de cascade : les partenaires et clients d’OpenAI seront, eux aussi, questionnés sur leur propre conformité.
L’Europe combine régulation et investissement souverain
Cette actualité réglementaire ne se lit pas isolément. Elle s’inscrit dans une stratégie européenne qui articule deux leviers : encadrer les plateformes d’IA américaines déjà présentes sur le marché, tout en investissant massivement pour développer des capacités concurrentes sur le continent. Le Scaleup Europe Fund, géré par EQT et opérationnel depuis le 4 août 2026, dispose d’une cible de 5 milliards d’euros pour financer les scale-ups européennes, dont des acteurs comme Mistral. En parallèle, l’UE a lancé un appel d’offres pour la construction de jusqu’à sept gigafactories d’IA pour un investissement cible supérieur à 30 milliards d’euros, destinées à doter le continent de capacités de calcul à la hauteur de ses ambitions.
Ces deux chantiers dessinent la réponse européenne à la domination américaine dans l’IA : ni fermeture ni naïveté, mais régulation d’un côté et investissement souverain de l’autre. La possible désignation de ChatGPT comme VLOSE s’inscrit dans cette logique : elle affirme la compétence du régulateur sur les outils d’IA les plus utilisés, quel que soit leur pays d’origine, tout en imposant des standards de transparence que les acteurs européens émergents devront, eux aussi, respecter à terme.
La Commission européenne n’a pas donné de calendrier précis. Le précédent des VLOP montre que la procédure peut prendre plusieurs mois entre l’examen des chiffres d’audience et la notification officielle à l’entreprise concernée. Ce qui est acquis, c’est que la question n’est plus de savoir si les IA conversationnelles entreront dans le champ du DSA, mais quand. Pour les décideurs IT et les directions juridiques, le moment est venu d’intégrer cette dimension dans leurs analyses de risque liées à l’adoption de l’IA générative.
