Quando in un condominio i proprietari diventano più di otto, il codice civile chiede di nominare un amministratore. Non perché qualcuno abbia sbagliato: oltre una certa dimensione le cose comuni chiedono regole in più. Il Digital Services Act (DSA), il regolamento europeo sui servizi digitali, ragiona così. Dai 45 milioni di utenti attivi al mese nell’Unione in su, circa il 10% della popolazione, la Commissione designa un servizio «di dimensioni molto grandi» e gli chiede di rendere conto di ciò che fa alla società.
Il 31 agosto la Commissione europea ha designato ChatGPT motore di ricerca online di dimensioni molto grandi (VLOSE, very large online search engine), e Reddit e Roblox piattaforme online di dimensioni molto grandi (VLOP). Tutti e tre, scrive il comunicato, hanno dichiarato di raggiungere almeno 45 milioni di utenti medi mensili. Nell’elenco dei servizi designati, ora 28, ChatGPT è il terzo motore di ricerca dopo Google Search e Bing, e il primo chatbot.
Perché un motore di ricerca
Per il DSA un motore di ricerca è un servizio che permette di fare domande per cercare, «in linea di principio», su tutti i siti web, e che restituisce i risultati «in qualsiasi formato». La Commissione applica la definizione alla lettera: ChatGPT è un sistema di AI che risponde alle richieste degli utenti «anche cercando sul web», dunque è un servizio ibrido che rientra fra i motori di ricerca (le traduzioni dall’inglese sono nostre). Reddit e Roblox sono invece piattaforme, perché permettono di diffondere al pubblico contenuti di terzi. L’ipotesi era già nell’AI Act del 2024, al considerando 119: un chatbot che cerca su tutti i siti e combina i risultati in un’unica risposta può fornire un motore di ricerca online.
Come un modello linguistico interroga un indice, recupera i passaggi pertinenti e li mette nel prompt prima di rispondere, cioè il meccanismo che fa di un chatbot anche un motore di ricerca, è spiegato nel libro.
Il numero lo pubblica OpenAI, come il DSA richiede: nei sei mesi chiusi il 31 marzo 2026 ChatGPT search, cioè le funzioni di ricerca, ha avuto in media circa 159,1 milioni di destinatari attivi al mese nell’Unione. La Commissione lo riporta «come dichiarato dal fornitore». Riguarda la ricerca, non tutti gli usi di ChatGPT, e fin dove arrivino gli obblighi il comunicato non lo dice in dettaglio: parla di poteri di indagine sulle «funzionalità» dei servizi e, «ove applicabile», su «ogni sistema collegato».
Che cosa deve fare, e da quando
Gli obblighi aggiuntivi scattano quattro mesi dopo la notifica della designazione (articolo 33): «cioè entro gennaio 2027», scrive la Commissione. La data esatta dipende dalla notifica, e la decisione, nell’elenco della Commissione, non è ancora disponibile. Da allora OpenAI dovrà, per ChatGPT:
- valutare i rischi sistemici che derivano dalla progettazione, dal funzionamento e dall’uso del servizio, compresi i sistemi algoritmici (articolo 34): contenuti illegali, diritti fondamentali (dalla privacy alla libertà d’informazione ai diritti dei minori), dibattito civico ed elezioni, sicurezza e salute pubblica, violenza di genere, benessere fisico e mentale. La prima entro la data di applicazione, poi ogni anno e prima di ogni funzione che possa incidere in modo critico su quei rischi;
- attenuarli con misure ragionevoli, proporzionate ed efficaci (articolo 35), per esempio modifiche al servizio e all’interfaccia, test dei sistemi algoritmici, tutele per i minori come la verifica dell’età, contrassegni ben visibili sui deepfake;
- sottoporsi ogni anno a un audit indipendente, a proprie spese (articolo 37);
- aprire i dati (articolo 40) alla Commissione e al coordinatore nazionale, con spiegazioni su progettazione e funzionamento degli algoritmi, e, su richiesta del coordinatore, ai ricercatori abilitati che studiano i rischi sistemici;
- istituire una funzione di conformità indipendente, pubblicare rapporti di trasparenza ogni sei mesi, pagare il contributo annuale per la vigilanza (articoli 41-43).
A vigilare è la Commissione, in cooperazione con Coimisiún na Meán, il coordinatore dei servizi digitali dell’Irlanda, dove ha sede OpenAI Ireland. Le multe arrivano fino al 6% del fatturato mondiale annuo (articolo 74).
DSA e AI Act: due regimi, non uno
Il DSA non è l’AI Act. L’AI Act guarda al prodotto: come sono fatti e documentati i modelli di OpenAI, modelli per finalità generali (OpenAI ha firmato il relativo codice di buone pratiche), e che cosa deve fare ChatGPT come sistema, per esempio dichiararsi un’AI e marcare i contenuti che genera. Lo fa rispettare l’AI Office, con multe fino al 3% o a 15 milioni di euro per i modelli e, per i sistemi, fino al 7% o a 35 milioni se si tratta di pratiche vietate. Il DSA guarda al servizio come intermediario: che cosa vi circola, che effetti ha sugli utenti e sulla società. Due leggi, due elenchi di obblighi, due tetti di sanzione, una stessa istituzione.
Le due leggi, però, si toccano in tre punti. Il primo è una norma: l’Omnibus digitale sull’IA, il regolamento 2026/1744 in vigore dal 27 luglio, ha riscritto l’articolo 75 dell’AI Act e dato all’AI Office la competenza esclusiva sui sistemi di AI che sono, o stanno dentro, una piattaforma o un motore di ricerca designati dal DSA. ChatGPT era già dell’AI Office, perché sistema e modello sono dello stesso fornitore: la designazione aggiunge un secondo titolo. Il secondo è il considerando 32 dello stesso Omnibus: per questi sistemi il «punto di partenza» sono la valutazione dei rischi, l’attenuazione e gli audit del DSA, salvo il potere dell’AI Office di contestare violazioni a posteriori; le autorità si coordinano nel rispetto del ne bis in idem, e ciò che si raccoglie con una legge si usa per l’altra solo con il consenso dell’impresa. Il terzo è il considerando 118 dell’AI Act: per sistemi e modelli integrati in servizi designati, gli obblighi corrispondenti «si dovrebbe ritenere» che siano adempiuti attraverso la gestione dei rischi del DSA, salvo rischi sistemici significativi che il DSA non copre. Un considerando orienta l’interpretazione, non la vincola; come verrà applicato al primo caso concreto, per ora non si sa.
Reddit e Roblox, in breve
Reddit, forum a comunità tematiche, dichiara 57,2 milioni di utenti attivi al mese nell’Unione; Roblox, piattaforma di giochi creati e pubblicati dagli stessi utenti, 46,6 milioni, appena sopra la soglia. La Commissione le vigilerà con l’autorità olandese per i consumatori e i mercati (ACM), e anche per loro gli obblighi scattano dopo quattro mesi.
La posta in gioco va oltre OpenAI. Finora un chatbot si misurava con regole pensate per un prodotto: come è fatto, che cosa dichiara, che cosa genera. Ora anche con quelle pensate per le infrastrutture dell’informazione: che cosa fa alle elezioni, ai minori, al benessere di chi lo usa ogni giorno. Entro gennaio arriva l’amministratore. Resta da capire se le sue regole varranno per la casa intera o per la sola stanza in cui si cerca sul web.
I commenti sono riservati agli iscritti.
Accedi per commentare