art. 20 — toute publicité accessible par un service de communication au public en ligne « doit pouvoir être clairement identifiée comme telle » et rendre identifiable la personne pour le compte de laquelle elle est réaliséeart. L. 121-1 et L. 121-4, 11° — pratiques commerciales trompeuses ; publicité rédactionnelle non identifiée comme telleart. 4, 11), art. 6, § 1, a), art. 7 — définition et conditions du consentement ; art. 9 — données sensibles ; art. 21, § 2 — opposition à la prospectionart. 82 (transposition de l'art. 5, § 3, de la directive 2002/58/CE) — lecture et écriture d'informations sur le terminal, compétence de la CNIL sur les traceurs publicitairesart. 3, i) et j) — définitions de la plateforme en ligne et du moteur de recherche en ligne ; art. 26 — transparence de la publicité ; art. 26, § 3 — interdiction du ciblage fondé sur des données sensibles ; art. 28, § 2 — interdiction du ciblage publicitaire par profilage des mineursart. 33 — seuil de 45 millions d'utilisateurs actifs mensuels dans l'Union ; art. 39 — registre public des publicités imposé aux très grandes plateformes et aux très grands moteurs de recherche qui présentent de la publicitéart. 50, § 1 — information de la personne qu'elle interagit avec un système d'IALe 18 août 2026, OpenAI a annoncé l'extension de « ChatGPT Ads » à 31 marchés européens, dont la France, l'Allemagne, l'Espagne, l'Italie et les Pays-Bas, avec un déploiement annoncé pour « la semaine prochaine » — soit à partir du 24 août 2026 selon les reprises de presse. Le dispositif reprend celui des marchés existants : les annonces ne sont affichées qu'aux utilisateurs des formules Free et Go, tandis que les abonnements Plus, Pro et Enterprise restent sans publicité. OpenAI y expose ses principes : les conversations restent « privées vis-à-vis des annonceurs », les données clients ne sont « jamais vendues », les publicités sont « toujours clairement étiquetées et séparées des réponses » de ChatGPT, la publicité « n'influence pas les réponses » du modèle, et l'utilisateur « garde la main sur la personnalisation publicitaire ».
L'annonce clôt six mois d'expansion : pilote aux États-Unis en février 2026, puis huit marchés supplémentaires, avant cette « plus large expansion à ce jour ». Côté outillage, OpenAI revendique le passage du CPM et du CPC à l'optimisation à la conversion, le ciblage géographique, des audiences personnalisées, ainsi qu'une mesure élargie via l'OpenAI Pixel, une Conversions API et des intégrations de mesure tierces. La presse spécialisée relève que l'entreprise construit son offre européenne « sur le consentement », le RGPD exigeant un consentement explicite pour le ciblage personnalisé à défaut d'un intérêt légitime démontré.
Reste une question de statut, ouverte à ce jour : après qu'OpenAI a communiqué en octobre 2025 un chiffre de 120,4 millions d'utilisateurs actifs mensuels dans l'Union pour la fonction de recherche de ChatGPT — largement au-dessus du seuil de 45 millions de l'art. 33 du DSA —, la Commission a indiqué évaluer une désignation comme très grand moteur de recherche en ligne (VLOSE). Aucune décision formelle de désignation n'est intervenue à la date du présent module, un porte-parole de la Commission ayant indiqué que ces qualifications se feraient « au cas par cas ».
Le réflexe serait de dire « DSA » et de passer à autre chose. C'est précisément l'erreur d'analyse. Les obligations de transparence publicitaire de l'art. 26 du DSA visent les fournisseurs de plateformes en ligne, c'est-à-dire, à l'art. 3, i), des services d'hébergement qui diffusent au public l'information stockée à la demande d'un utilisateur. Or une réponse de ChatGPT s'affiche dans une conversation privée : la qualification n'a rien d'automatique. Et une désignation en VLOSE — l'hypothèse aujourd'hui examinée par la Commission — n'emporterait pas mécaniquement l'application de l'art. 26, réservé aux plateformes ; elle déclencherait en revanche l'art. 39, qui impose un registre public des publicités aussi bien aux très grandes plateformes qu'aux très grands moteurs de recherche qui en diffusent, ainsi que les obligations d'évaluation et d'atténuation des risques systémiques.
Pendant que ce statut se décide, deux corps de règles s'appliquent, eux, sans condition. D'abord la LCEN de 2004 : sa promesse d'annonces « clairement étiquetées et séparées des réponses » n'est pas une faveur commerciale, c'est le minimum de l'art. 20, doublé de la prohibition des pratiques commerciales trompeuses. La difficulté est technique autant que juridique : dans une interface conversationnelle, la frontière entre le contenu payé et la réponse générée est ténue, dynamique et non standardisée — il n'existe pas d'équivalent du bandeau « Annonce » d'un moteur de recherche classique, et la démonstration qu'une annonce n'a pas « influencé » la réponse relève de l'audit, pas de la déclaration. Ensuite le RGPD et l'art. 82 de la loi de 1978 : c'est là que se joue la personnalisation, l'usage éventuel de l'historique conversationnel comme signal publicitaire, le sort du pixel et de la Conversions API — donc des flux vers des tiers annonceurs. Pour un praticien de la sécurité, l'objet du contrôle est identifiable dès aujourd'hui : bandeau de recueil du consentement et granularité réelle des choix, différence mesurable entre un compte ayant refusé la personnalisation et un compte l'ayant acceptée, marquage effectif des réponses sponsorisées, requêtes réseau déclenchées par l'affichage d'une annonce, et — sujet neuf — résistance du dispositif publicitaire à l'injection de prompt, un contenu commercial capable d'orienter une réponse ruinant à lui seul l'engagement de non-influence.