↓ Version .md brute (pour NotebookLM)

ChatGPT, très grand moteur de recherche : ce que change la désignation du 31 août 2026

Le fait

Le 31 août 2026, la Commission européenne a annoncé, par le communiqué IP/26/1772, qu'elle désignait ChatGPT comme très grand moteur de recherche en ligne — en anglais *Very Large Online Search Engine*, VLOSE — au titre du règlement (UE) 2022/2065, connu sous le nom de règlement sur les services numériques, ou DSA. Le même jour, elle désignait Reddit et Roblox comme très grandes plateformes en ligne, ou VLOP. Ces trois services avaient eux-mêmes déclaré atteindre au moins quarante-cinq millions d'utilisateurs mensuels moyens dans l'Union européenne, seuil fixé par l'article 33, paragraphe 1, du règlement. Pour ChatGPT, l'ordre de grandeur est bien supérieur : OpenAI Ireland Limited, qui publie ces chiffres tous les six mois en application de l'article 24, paragraphe 2, déclarait environ 159,1 millions de destinataires actifs mensuels moyens pour les fonctionnalités de recherche de ChatGPT dans l'Union, sur la période de six mois close le 31 mars 2026.

Avec ces trois ajouts, vingt-huit services sont désormais soumis au régime le plus exigeant du DSA. La surveillance en incombe principalement à la Commission européenne, qui coopère avec les autorités nationales du pays d'établissement : le Coimisiún na Meán, coordinateur irlandais pour les services numériques, s'agissant de ChatGPT et de Reddit, et l'Autorité néerlandaise des consommateurs et des marchés, l'ACM, s'agissant de Roblox. Henna Virkkunen, vice-présidente exécutive de la Commission chargée de la souveraineté technologique, de la sécurité et de la démocratie, a déclaré que ces services seraient « désormais soumis à un niveau accru de contrôle et de responsabilité dans l'Union européenne, à la mesure de leur incidence considérable sur nos citoyens et notre société ».

La question de qualification, qui est le vrai sujet

Le DSA ne régule pas les technologies, il régule des catégories de services, emboîtées comme des poupées russes. Tout service intermédiaire supporte un socle d'obligations. Les services d'hébergement en supportent davantage. Les plateformes en ligne — définies à l'article 3, point i), comme des services d'hébergement qui, à la demande d'un utilisateur, stockent et diffusent au public des informations — en supportent encore plus. Les moteurs de recherche en ligne, définis au point j) du même article, forment une catégorie distincte. Et par-dessus tout cela, le chapitre III, section 5, ajoute un régime réservé aux très grandes plateformes et aux très grands moteurs de recherche.

La question posée par ChatGPT était donc, avant toute chose, une question de rangement. Un assistant conversationnel qui produit des réponses en langage naturel n'héberge pas, au sens classique, des contenus déposés par ses utilisateurs pour être diffusés au public. Il ne ressemble pas non plus, intuitivement, à Google Search ou à Bing. La Commission a tranché en le décrivant comme un « service hybride » : parce que ChatGPT interagit avec les utilisateurs, répond à leurs demandes et le fait notamment en effectuant des recherches sur le web, il relève de la catégorie des moteurs de recherche en ligne au sens du DSA. C'est la première fois qu'une intelligence artificielle générative entre dans la catégorie la plus surveillée du règlement, et elle y entre par cette porte-là.

Ce choix a des conséquences très concrètes, parce que plusieurs obligations du DSA sont écrites pour les seuls fournisseurs de plateformes en ligne. C'est le cas de la section 3 du chapitre III, qui contient notamment l'article 26 sur la publicité — identification claire de chaque annonce, indication de l'annonceur et des principaux paramètres de ciblage, interdiction de la publicité fondée sur un profilage utilisant des catégories particulières de données au sens du RGPD. Un service classé parmi les moteurs de recherche n'est pas soumis à ces dispositions à ce titre. En revanche, la section 5, celle des très grandes plateformes et des très grands moteurs de recherche, s'applique intégralement.

Ce que la section 5 exige, en pratique

L'article 34 impose d'identifier, d'analyser et d'évaluer, au moins une fois par an, les risques systémiques découlant de la conception du service, de ses systèmes algorithmiques et de son usage : diffusion de contenus illicites, atteintes aux droits fondamentaux, effets sur le discours civique et les processus électoraux, sur la sécurité publique, sur les mineurs, sur le bien-être physique et mental des utilisateurs. L'article 35 impose ensuite d'y répondre par des mesures d'atténuation raisonnables, proportionnées et effectives. L'article 37 exige un audit indépendant annuel. L'article 38 impose, pour tout système de recommandation reposant sur le profilage, d'offrir au moins une option qui n'en repose pas. L'article 40 ouvre l'accès aux données aux chercheurs agréés par le coordinateur pour les services numériques, un mécanisme précisé depuis par un acte délégué. L'article 42 impose des rapports de transparence tous les six mois. L'article 43 institue une redevance de surveillance annuelle, plafonnée à 0,05 % du résultat net mondial annuel du fournisseur. Et l'article 74, paragraphe 1, fixe le plafond des amendes à 6 % du chiffre d'affaires mondial annuel.

L'article 39 mérite une mention particulière, parce qu'il est le point de contact le plus direct avec l'actualité industrielle. Il vise expressément les fournisseurs de très grandes plateformes en ligne ou de très grands moteurs de recherche en ligne qui présentent de la publicité sur leurs interfaces. Il leur impose de tenir un registre de toutes les publicités présentées, consultable au moyen d'un outil fiable permettant des requêtes multicritères et accessible par interface de programmation, contenant le contenu de l'annonce, l'identité de l'annonceur et de la personne qui a payé, la période de présentation, les paramètres de ciblage principaux et le nombre de destinataires atteints, avec conservation pendant un an après la dernière présentation.

Or, sept jours avant la désignation, le 24 août 2026, OpenAI lançait précisément la publicité dans ChatGPT sur trente et un marchés européens, dont la France — annonce faite le 18 août et largement relayée par la presse spécialisée. Le format décrit est celui d'un bloc « sponsorisé » distinct, placé sous la réponse, contextuel par défaut, la personnalisation supposant un consentement explicite, les conversations n'étant pas partagées avec les annonceurs. Rien de tout cela n'est en soi contraire au droit ; mais à compter de l'échéance, ce dispositif publicitaire devra être documenté dans un registre public et interrogeable.

Le délai, et ce qu'il implique

L'article 33, paragraphe 6, prévoit que les obligations de la section 5 s'appliquent au service désigné quatre mois après la notification adressée à son fournisseur. La version française du communiqué de la Commission indique « la fin décembre 2026 » ; la version anglaise écrit « January 2027 ». L'écart tient à l'arrondi, la notification étant intervenue le 31 août.

Quatre mois, pour un service qui n'a jamais été audité sous ce régime, c'est peu. La conformité y est moins une affaire de politique publiée qu'une affaire d'instrumentation : savoir compter des destinataires actifs sans les profiler, journaliser chaque impression publicitaire avec ses paramètres de ciblage et son annonceur, exposer une interface de programmation stable et documentée pour le registre, produire des jeux de données exploitables par des chercheurs tiers sans exfiltrer de données personnelles, et surtout démontrer par la mesure — et non par l'affirmation — qu'un modèle génératif ne produit pas, ou plus, les risques énumérés à l'article 34.

Il faut enfin situer cette désignation dans un paysage plus large. ChatGPT relève simultanément du DSA au titre de sa désignation, du RGPD pour le traitement des données personnelles, et du règlement (UE) 2024/1689 sur l'intelligence artificielle, dont l'article 50 impose depuis le 2 août 2026 des obligations de transparence sur les contenus générés, avec un délai de grâce au 2 décembre 2026 pour le marquage lisible par machine des systèmes déjà sur le marché. Trois régimes, trois logiques d'imputation, trois calendriers — et un même produit.

Une précision de méthode pour finir : une désignation n'est ni une sanction, ni le constat d'un manquement. C'est une décision d'assujettissement, qui ouvre un régime et des pouvoirs d'enquête. Ce que la Commission fera de ces pouvoirs, et ce qu'OpenAI aura mis en place fin décembre, reste entièrement à écrire.

Angles de lecture pour NotebookLM (à coller dans « Personnaliser » de l'Audio Overview)

Choisis l'angle qui correspond à ce que tu veux entendre, et colle le paragraphe correspondant dans le champ de personnalisation.

Angle 1 — Audit offensif : que faut-il tester pour prouver la conformité ? Concentre-toi sur les points de contrôle vérifiables par un auditeur externe. Comment tester qu'un registre de publicité au sens de l'article 39 est complet, que son API ne perd pas d'annonces retirées avant expiration du délai d'un an, et que les paramètres de ciblage déclarés correspondent à ceux réellement appliqués ? Comment éprouver un système génératif contre les risques de l'article 34 — contenus illicites, atteinte aux mineurs, manipulation du discours civique — par des campagnes de test reproductibles plutôt que par des attestations ? Discute de ce qu'un audit de l'article 37 devrait exiger comme preuves techniques.

Angle 2 — Architecture et API : compter, journaliser, exposer. Prends au sérieux les trois chaînes techniques que la désignation impose de construire. D'abord le comptage des destinataires actifs de l'article 24, paragraphe 2, qui doit être fiable et publiable sans profilage individuel. Ensuite la journalisation publicitaire : identifiant d'annonce, annonceur, payeur, période, paramètres de ciblage, destinataires atteints par État membre, avec conservation d'un an après la dernière présentation. Enfin l'interface de programmation du registre et le canal d'accès des chercheurs de l'article 40, qui suppose des exports minimisés et une gestion d'habilitations. Décris les points de rupture : latence, volumétrie, rétention contradictoire avec d'autres obligations, et fuite d'information par agrégation.

Angle 3 — Comparaison avec les autres régimes déjà traités dans le dépôt. Mets cette désignation en regard des modules précédents de Droit Vivant : l'enquête DSA ouverte contre X à propos de Grok le 26 janvier 2026, les nouvelles pratiques interdites de l'article 5 de l'AI Act applicables au 2 décembre 2026, l'article 50 et le filigrane des contenus générés, l'obligation de signalement à vingt-quatre heures de l'article 14 du Cyber Resilience Act, et la sanction de 825 millions d'euros infligée à Uber sur le terrain des décisions automatisées. Montre que le point d'imputation et le fait déclencheur changent à chaque fois — un seuil d'audience ici, une mise sur le marché là, un incident ailleurs — et compare les plafonds de sanction : 6 % du chiffre d'affaires mondial pour le DSA, 7 % pour les pratiques interdites de l'AI Act, 4 % pour le RGPD.

Angle 4 — Veille réglementaire automatisée sur la supervision des services désignés. Propose une méthode concrète pour suivre ce dossier sans le relire à la main : sources à surveiller (liste officielle des VLOP et VLOSE désignés, communiqués de la Commission et procédures DSA ouvertes, base de données de transparence du DSA, publications du Coimisiún na Meán, actes délégués publiés au Journal officiel de l'Union, rapports de transparence semestriels des fournisseurs), granularité utile, mots-clés de filtrage, et déclencheurs d'alerte pertinents : mise en ligne effective du registre publicitaire de ChatGPT, publication du premier rapport de risque systémique, première demande d'information adressée à OpenAI, contestation de la désignation devant le Tribunal de l'Union.

Angle 5 — Prospective : la qualification tiendra-t-elle ? Projette les zones grises. Un assistant conversationnel est-il durablement un « moteur de recherche » lorsqu'il répond de mémoire, sans requête web ? Que se passe-t-il si le service évolue vers l'hébergement de contenus partagés — bibliothèques publiques de conversations, agents publiés par des tiers — et bascule vers la catégorie « plateforme en ligne », avec l'article 26 et l'article 28 sur les mineurs qui s'appliqueraient alors ? Comment s'articulera un contentieux en annulation de la désignation devant le Tribunal, sur le terrain du calcul des destinataires actifs ? Et comment un fournisseur devra-t-il concilier l'accès des chercheurs de l'article 40 avec la confidentialité revendiquée des conversations et avec le secret des affaires sur les poids et les paramètres du modèle ?