La Commissione europea ha inserito ChatGPT nella categoria dei Very Large Online Search Engine (VLOSE), i motori di ricerca online di grandi dimensioni disciplinati dal Digital Services Act. La decisione, pubblicata il 31 agosto, segue la dichiarazione del servizio di avere almeno 45 milioni di utenti medi mensili nell’Unione europea: la soglia prevista dal regolamento.

La classificazione non equivale a una sanzione e non certifica che ChatGPT sia sicuro per qualsiasi impiego. Avvia invece un livello più rigoroso di obblighi e vigilanza. Per chi usa l’AI in azienda, il punto utile è distinguere ciò che dovrà fare il fornitore da ciò che resta responsabilità del cliente.

Cosa prevede la designazione di ChatGPT nel DSA

Secondo la Commissione, OpenAI avrà quattro mesi dalla notifica, quindi fino a gennaio 2027, per adeguare ChatGPT agli obblighi aggiuntivi applicabili ai VLOSE. La stessa decisione ha classificato Reddit e Roblox come Very Large Online Platform, ma con una categoria giuridica diversa.

Per i servizi designati, il DSA richiede di individuare, analizzare e ridurre i rischi sistemici collegati al funzionamento del servizio e dei suoi sistemi algoritmici. La pagina esplicativa della Commissione indica, tra gli ambiti da valutare:

  • diffusione di contenuti illegali;
  • effetti sui diritti fondamentali e sulla tutela dei consumatori;
  • sicurezza pubblica e processi elettorali;
  • protezione dei minori;
  • benessere fisico e mentale.

Il quadro prevede inoltre una funzione interna di conformità, audit indipendenti almeno annuali, accesso ai dati per Commissione e autorità nazionali e, a determinate condizioni, per ricercatori qualificati. Non sono promesse volontarie del fornitore: derivano dal Regolamento (UE) 2022/2065 e sono sottoposte alla vigilanza europea.

Cosa cambia per utenti e PMI italiane

La designazione riguarda direttamente il servizio, non introduce da sola un nuovo modulo o una nuova certificazione per ogni impresa che usa ChatGPT. Una PMI non deve quindi trattare gennaio 2027 come una scadenza aziendale equivalente a quelle rivolte a OpenAI.

Cambia però il contesto nel quale valutare il fornitore. Documenti pubblici su rischi, audit, trasparenza e misure correttive possono diventare elementi utili nella due diligence, soprattutto quando ChatGPT viene collegato a processi interni, basi documentali o dati dei clienti.

Questo passaggio non sostituisce l’AI Act, il GDPR, gli obblighi contrattuali o le regole di settore. Il DSA disciplina i servizi intermediari e i rischi sistemici delle piattaforme e dei motori di ricerca di grandi dimensioni. La conformità del fornitore a quel quadro non rende automaticamente conforme ogni uso aziendale del prodotto.

Tre controlli da aggiungere alla valutazione del fornitore

1. Separare il servizio consumer dall’uso aziendale

Annota quale piano, configurazione e trattamento dei dati stai usando. La designazione riguarda ChatGPT come servizio, ma conservazione, accessi amministrativi e condizioni contrattuali possono cambiare tra un account personale e un’offerta aziendale.

2. Collegare ogni rischio a una misura verificabile

Non fermarti alla frase “il fornitore è regolato in Europa”. Per ogni processo indica i dati inviati, le persone autorizzate, la possibilità di revisione umana, i log disponibili e la procedura per disattivare l’integrazione. La vigilanza DSA opera a livello sistemico; il controllo del singolo flusso resta nelle mani dell’organizzazione.

3. Seguire gli esiti, non soltanto l’annuncio

La designazione apre il percorso di adeguamento. Conviene monitorare la documentazione che OpenAI e la Commissione renderanno pubblica, eventuali audit e successive decisioni di vigilanza. Oggi non è possibile dedurre l’esito di controlli che devono ancora svolgersi.

Limiti della decisione

La soglia dei 45 milioni misura la portata del servizio nell’Unione, non la qualità delle risposte di ChatGPT. La classificazione non dimostra accuratezza, assenza di bias, protezione automatica dei segreti aziendali o adeguatezza a un settore regolato.

Allo stesso modo, l’obbligo di valutare e mitigare i rischi non significa che ogni rischio possa essere eliminato. Il DSA costruisce un sistema di responsabilità, documentazione e controllo. La prova concreta arriverà dall’applicazione delle misure e dalla vigilanza successiva.

Takeaway pratico

Aggiungi una riga “evidenze regolatorie” alla scheda con cui valuti ChatGPT o altri servizi AI. Registra la designazione DSA, la scadenza indicata dalla Commissione, i documenti di trasparenza disponibili e il responsabile interno che li ricontrollerà. Poi mantieni separata la verifica del tuo caso d’uso: dati inviati, autorizzazioni, revisione umana, log e piano di uscita.

La nuova classificazione rende più strutturata la supervisione europea su ChatGPT. Non elimina la necessità di decidere, processo per processo, quali informazioni affidare al sistema e quali controlli tenere dentro l’azienda.