Chevauchement entre le DSA, la loi sur l’IA et ChatGPT : analyse des différents risques

Un chatbot ne cesse pas d’être un chatbot parce qu’un régulateur trouve la barre de recherche. C’est l’utile complication dans la nouvelle discussion européenne autour de ChatGPT : le même produit peut être traité comme un service de recherche pour un objectif juridique, et comme un système d’IA pour un autre. Si votre tableur de conformité a un seul onglet intitulé règles IA, félicitations : vous avez créé un classeur, pas un système de gouvernance.

Le point d’Interface : un produit, deux lectures juridiques

La note de politique publique d’Interface du 1er octobre 2026, Different Risks, Different Rules? The Case of ChatGPT under the DSA and the AI Act, pose clairement le problème. Selon Interface, la Commission européenne a désigné ChatGPT comme très grand moteur de recherche en ligne au titre du règlement sur les services numériques, le DSA, en août 2026. L’ajustement est maladroit, et c’est précisément le point important : Interface explique que ChatGPT récupère des informations sur le Web et génère des réponses conversationnelles, si bien qu’il peut être examiné dans le cadre du DSA même s’il ne ressemble pas à un moteur de recherche classique.

POLITICO avait déjà indiqué que le DSA était en vigueur depuis le début de 2024 et qu’une décision de la Commission concernant ChatGPT était attendue à la mi-2026. Mis en regard de la note d’Interface du 1er octobre, l’enchaînement ressemble moins à une marche législative bien ordonnée qu’à une adaptation réglementaire autour d’un produit que les gens utilisent déjà.

@title Parcours de supervision de ChatGPT dans l’UE
@source Interface
@source POLITICO

  Early 2024 ··· DSA in force
  Mid 2026 ····· decision expected
  August 2026 ·· ChatGPT designated
  October 01 2026 · Interface brief

@caption La question du DSA est passée du droit existant à une désignation de ChatGPT, puis à l’analyse d’Interface.

La leçon pratique n’est pas que chaque chatbot devient soudainement un moteur de recherche. Elle est qu’une équipe produit ne peut pas répondre à une question de champ d’application avec une étiquette choisie par le marketing. Si une fonctionnalité récupère, classe ou présente des informations du Web, la question du DSA se trouve à côté de celle de l’AI Act, au lieu d’attendre poliment dehors.

Ce que demande la voie DSA, selon POLITICO

POLITICO a rapporté que la Commission avait placé ChatGPT sous les règles les plus strictes du DSA applicables aux plateformes en le désignant comme très grand moteur de recherche en ligne, tandis que Reddit et Roblox étaient désignés comme très grandes plateformes en ligne. Le même article indiquait que les services en ligne comptant plus de 45 millions d’utilisateurs dans l’UE relèvent du régime plus strict, qui comprenait alors 28 plateformes et moteurs de recherche. ChatGPT avait attiré l’attention après avoir déclaré 120 millions d’utilisateurs l’année précédente, selon POLITICO.

Pour les équipes de développement, la voie DSA n’est pas un exercice abstrait d’éthique de l’IA. POLITICO a indiqué que la désignation entraîne une supervision directe par la Commission et des obligations d’évaluer et d’atténuer les risques systémiques, notamment les effets sur les mineurs, l’intégrité des élections et la sécurité publique. Le média a aussi rapporté que les entreprises risquent des amendes pouvant atteindre 6 % du chiffre d’affaires mondial annuel si elles ne se conforment pas aux règles dans un délai de quatre mois.

Traduction simple : votre dossier de risques DSA devrait suivre le comportement du service. Il devrait montrer où apparaissent les fonctions de type recherche, quelles informations de transparence les utilisateurs voient, comment les risques systémiques sont évalués, et qui valide lorsqu’une nouvelle fonctionnalité modifie ces risques. Dire que le modèle a été évalué dans un cadre d’IA ne répond pas à la question de savoir si le service de recherche a respecté les obligations du DSA. Loi différente, devoirs différents.

Le problème du chat ne disparaît pas

L’analyse séparée de POLITICO sur la désignation de ChatGPT a souligné la limite qui devrait pousser les juristes produit à se redresser sur leur chaise. La classification européenne comme moteur de recherche ne s’applique qu’aux parties de l’outil qui agissent comme un moteur de recherche, tandis que les conversations dans lesquelles le chatbot ajoute sa propre contribution ne semblent pas couvertes par cette désignation. POLITICO a également rapporté que la Commission aurait pu catégoriser ChatGPT comme très grande plateforme en ligne, ce qui aurait entraîné un autre ensemble d’obligations.

Cela laisse aux équipes de développement un problème de tracé de frontière à l’intérieur du produit, pas seulement dans la note juridique. Un utilisateur qui demande des informations récentes peut déclencher une logique réglementaire ; un utilisateur qui traite la même interface comme un compagnon, un tuteur ou une caisse de résonance politique peut en soulever une autre. L’interface est continue, mais les théories juridiques ne le sont pas.

C’est là que la liste de contrôle générique de conformité IA mérite sa mauvaise réputation. Une seule liste de contrôle tend à aplatir les risques en une date de revue, un responsable et une case verte. La meilleure cartographie sépare les fonctions : récupération, classement, réponses générées, mémoire conversationnelle si elle existe, et informations destinées aux utilisateurs. Ensuite, chaque fonction est reliée au régime juridique qui s’en préoccupe réellement.

Le dossier de conformité devrait se diviser avant que l’application de la loi ne le fasse

Axios a rapporté que la Federal Trade Commission enquête sur OpenAI, Anthropic et d’autres entreprises d’IA au sujet de risques potentiels pour la sécurité posés par leurs produits. Il s’agit d’une autre juridiction et d’une autre théorie d’application de la loi, mais cela fait écho à la leçon européenne. Les régulateurs n’attendent pas que les produits entrent dans des catégories bien nettes avant de demander qui contrôle quel risque.

La contribution d’Interface est de rendre ce chevauchement lisible plutôt que mystérieux. Le DSA demande ce que fait le service dans l’environnement informationnel. L’AI Act demande comment le système d’IA est gouverné dans le cadre de son propre régime. Une entreprise avisée gardera ces dossiers connectés, mais pas fusionnés. Partager les preuves est efficace ; partager les hypothèses, c’est ainsi que les surprises arrivent.

Pour les responsables produit, le prochain point à surveiller est la manière dont la Commission trace la frontière entre le comportement de recherche de ChatGPT et son comportement conversationnel. Pour les équipes de développement, l’option la plus sûre est déjà disponible : cartographier le parcours utilisateur par fonction, rattacher chaque fonction à l’obligation pertinente, et examiner les changements avant leur déploiement en Europe. Si quelqu’un dit qu’il ne s’agit que d’un seul chantier de conformité IA, demandez-lui quel régulateur il compte décevoir en premier.