DSA : ChatGPT, Reddit et Roblox basculent dans le régime renforcé, avec quatre mois pour s’y conformer

ChatGPT, Reddit et Roblox entrent dans le régime le plus strict du droit numérique européen. La Commission européenne les a désignés le 31 août 2026 au titre du règlement (UE) 2022/2065, dit règlement sur les services numériques (DSA). C’est la première fois qu’un service d’intelligence artificielle générative franchit cette porte.

Le déclencheur n’est ni une plainte, ni une enquête, ni un jugement sur la dangerosité d’une technologie. C’est un nombre. ChatGPT déclare 159,1 millions d’utilisateurs actifs mensuels moyens dans l’Union ; le règlement place la barre à 45 millions.

La décision ne produit pas son effet le jour de l’annonce. Le DSA laisse quatre mois au fournisseur, à compter de la notification. Notification le 31 août 2026, obligations supplémentaires exigibles fin décembre 2026. Entre les deux, chaque maillon commande le suivant : le chiffre publié par le service, la qualification retenue par la Commission, la notification, puis le décompte.

Le compteur qui déclenche la désignation est publié par le service lui-même

Le point de départ est une obligation d’affichage. L’article 24, paragraphe 2, du DSA impose à tout fournisseur de plateforme ou de moteur de recherche en ligne de publier son audience européenne au moins une fois tous les six mois. La donnée attendue est précise : la moyenne mensuelle des destinataires actifs dans l’Union. Elle doit figurer dans une section publique de l’interface du service.

Cette obligation ne date pas de 2026. Les dispositions qui portent la publication des audiences et la procédure de désignation — les articles 24(2) et 33(3) à (6) — s’appliquent depuis le 16 novembre 2022, selon l’article 93 du règlement. Le reste du DSA est entré en application le 17 février 2024, pour l’ensemble des services intermédiaires.

La Commission n’a donc pas mesuré l’audience de ChatGPT, de Reddit ni de Roblox. Elle a lu ce que chaque service publiait, puis l’a comparé au seuil de l’article 33, paragraphe 1 : 45 millions de destinataires actifs mensuels moyens dans l’Union. Les chiffres déclarés sont repris tels quels, sans que la méthodologie de comptage du fournisseur soit pour autant validée.

Le mécanisme est déclaratif. Un service entre dans le régime renforcé par sa propre publication, pas par une investigation ouverte contre lui.

Reste à situer ce que mesure le seuil. 45 millions, c’est une audience. Ni un chiffre d’affaires, ni une valorisation, ni un effectif. Un service gratuit y entre au même titre qu’un service payant. Une entreprise modeste très utilisée dans l’Union bascule avant un groupe puissant peu utilisé en Europe.

159,1 millions d’utilisateurs déclarés pour ChatGPT, contre un seuil de 45 millions

Rapportés à la barre des 45 millions, les trois chiffres ne disent pas la même chose.

• ChatGPT — 159,1 millions d’utilisateurs actifs mensuels moyens dans l’Union, soit plus de trois fois et demie le seuil ;
• Reddit — 57,2 millions, soit 12,2 millions au-dessus ;
• Roblox — 46,6 millions, soit 1,6 million au-dessus.

Un chiffre brut n’apprend rien tant qu’il n’est pas rapporté au seuil qui le rend opérant. Pour Roblox, une audience arrondie autour de 48 millions circule aussi ; la valeur déclarée précise, et celle qui se compare au seuil, est 46,6 millions.

Cet écart au seuil a une portée juridique directe. La désignation n’est pas acquise pour toujours : l’article 33, paragraphe 5, prévoit que la Commission y met fin lorsque le service reste sous les 45 millions pendant une période ininterrompue d’un an. Un service qui dépasse la barre de 1,6 million ne se trouve pas dans la même position qu’un service dont l’audience vaut plus de trois fois et demie le seuil. Le premier peut repasser sous le seuil au gré d’une variation d’usage ; le second en est très loin.

La catégorie reste étroite. La liste officielle de la Commission ne compte que trois très grands moteurs de recherche en ligne : Google Search, Bing et, depuis le 31 août 2026, ChatGPT.

Classé moteur de recherche parce qu’il répond aux requêtes en interrogeant le web

Les trois services n’ont pas reçu la même étiquette. ChatGPT est désigné très grand moteur de recherche en ligne (VLOSE, pour very large online search engine). Reddit et Roblox sont désignés très grandes plateformes en ligne (VLOP, pour very large online platform).

Le motif retenu pour les deux plateformes tient à leur fonction : elles permettent de diffuser au public des contenus produits par des tiers. Pour ChatGPT, la Commission s’appuie sur la manière dont le service traite les demandes de ses utilisateurs — « un système d’intelligence artificielle qui dialogue avec les demandes et les requêtes des utilisateurs et y répond, y compris en cherchant sur le web ». Ce sont ces mots qui font entrer un agent conversationnel dans la catégorie des moteurs de recherche plutôt que dans celle des plateformes.

La qualification n’est pas une formalité de classement. Le DSA empile ses règles par catégorie de service : un socle commun à tous les intermédiaires, une couche pour les plateformes en ligne, une autre pour les très grands services. Ce qui pèse sur une plateforme n’est donc pas identique à ce qui pèse sur un moteur de recherche. Le socle exactement applicable à ChatGPT se lit dans la décision de désignation elle-même, dont le corps n’est pas public à cette date. Le détail de ce socle n’est donc pas vérifiable pour l’instant.

Un contresens est à écarter. La désignation ne sanctionne pas les risques de l’intelligence artificielle et ne vise pas ChatGPT en tant qu’IA. Elle est déclenchée par un seuil d’audience déclaré, indépendamment de toute appréciation de dangerosité. Le versant « données personnelles » de l’encadrement des services d’IA relève d’un autre corpus, celui du règlement général sur la protection des données (RGPD) et des positions des autorités nationales — voir les modèles d’IA ouverts et les données qu’ils mémorisent.

La notification du 31 août ouvre le délai de quatre mois

Trois dates existent, et une seule déclenche l’effet. Il y a le communiqué de presse, il y a la publication de la liste au Journal officiel de l’Union européenne, et il y a la notification de la décision au fournisseur. C’est la troisième qui compte.

L’article 33, paragraphe 6, du DSA fixe la règle : les obligations supplémentaires s’appliquent quatre mois après cette notification. La notification aux trois services est intervenue le 31 août 2026. Cette date est portée par le communiqué de la Commission ; la décision elle-même n’est pas publiée. Les obligations deviennent donc exigibles fin décembre 2026. À partir de cette date, et pas avant, un manquement à ces obligations-là devient sanctionnable.

La version anglaise de l’annonce institutionnelle arrondit l’échéance à janvier 2027, là où la Commission écrit fin décembre 2026 en français. Les deux formulations désignent le même instant : notification du 31 août 2026, plus quatre mois.

Le même article 33, paragraphe 6, impose la publication de la liste des services désignés au Journal officiel de l’Union européenne. Au 1ᵉʳ septembre 2026, ni le communiqué ni la liste officielle ne la mentionnent pour la décision du 31 août. Elle ne conditionne pas le décompte, qui court depuis la notification.

Aucune pause n’est ouverte d’ici fin décembre. ChatGPT, Reddit et Roblox relèvent déjà du DSA depuis le 17 février 2024, comme tout service intermédiaire actif dans l’Union. Conditions générales lisibles, dispositif de signalement des contenus illicites, motivation des décisions de retrait : ces obligations-là sont exigibles depuis plus de deux ans. La désignation du 31 août ajoute une couche au-dessus. Elle ne fait pas entrer ces services dans le règlement.

Recenser les risques systémiques, corriger, puis faire auditer chaque année

La couche ajoutée porte un nom : l’évaluation des risques systémiques. Son contenu se lit dans le règlement et sur les pages officielles de la Commission. Le communiqué IP/26/1772 du 31 août 2026, lui, annonce l’acte sans en publier le corps.

L’évaluation n’est pas un rapport de plus. Elle oblige le service à examiner ses propres algorithmes et son propre design. Il doit ensuite en tirer des mesures d’atténuation, puis faire vérifier l’ensemble par un auditeur indépendant, chaque année. L’obligation porte sur la conception du service, pas seulement sur la modération au cas par cas.

Les catégories de risques à examiner sont énumérées :

• la diffusion de contenus illicites ;
• les effets négatifs sur les mineurs ;
• le bien-être physique et mental des utilisateurs ;
• les droits fondamentaux ;
• les processus électoraux ;
• la sécurité publique.

La protection des mineurs figure donc dans le champ obligatoire de l’examen, pour un service de jeu comme Roblox comme pour un agent conversationnel. Le levier est ici européen et réglementaire. D’autres leviers, nationaux, visent le même objectif par un autre chemin, à l’image de l’interdiction du téléphone au lycée.

Un fil sans profilage, un registre des publicités, des données ouvertes aux chercheurs

Une partie du dispositif reste invisible pour l’utilisateur. Un audit annuel se lit dans un rapport ; une mesure d’atténuation se constate rarement de l’extérieur. Trois obligations, en revanche, produisent un effet directement observable une fois le délai écoulé.

Une recommandation sans profilage. Le service doit proposer au moins une option de recommandation de contenus qui ne repose pas sur le profilage de l’utilisateur. Concrètement, un fil ou un classement que le service ne construit pas à partir de ce qu’il sait de vous. L’option se constate depuis l’interface.

Un registre public des publicités. Chaque publicité diffusée doit être versée à un registre consultable par n’importe qui, sans compte ni accréditation. La durée de conservation est fixée par l’article 39, paragraphe 1, du règlement (UE) 2022/2065 : le service conserve l’information pendant toute la période durant laquelle il présente la publicité, puis jusqu’à un an après la dernière présentation de celle-ci sur ses interfaces en ligne. Une campagne arrêtée reste donc consultable un an après sa dernière diffusion ; le même article impose un outil de recherche fiable, autorisant des requêtes multicritères, et un accès par interface de programmation.

L’accès des chercheurs agréés aux données. Cette obligation ne s’adresse pas au grand public. Elle change pourtant ce qu’il est possible de savoir : des travaux indépendants sur le fonctionnement réel de ces services deviennent réalisables sans passer par le bon vouloir de l’entreprise.

Les deux premières se vérifient depuis l’application ou le site. La troisième produit ses effets à retardement, par les publications qu’elle rend possibles.

Deux régulateurs nationaux derrière la Commission, et un plafond à 6 % du chiffre d’affaires mondial

La supervision fonctionne à deux étages. La Commission européenne est directement compétente pour les obligations propres aux très grands services. Le coordinateur pour les services numériques de l’État membre d’établissement reste dans la boucle pour le reste, en coopération avec elle.

L’État d’établissement n’est pas celui de l’utilisateur. Un lecteur français ne relève pas d’un régulateur français pour ces obligations-là. Il relève de l’autorité du pays où le fournisseur est établi.

Pour OpenAI Ireland Limited, cette autorité est le Coimisiún na Meán, en Irlande. Pour Roblox, la Commission renvoie à l’Autorité des consommateurs et des marchés (ACM), aux Pays-Bas.

Pour Reddit, les sources officielles ne concordent pas. Le communiqué de la Commission et sa représentation en France rattachent le service au Coimisiún na Meán. La liste officielle des services désignés, elle, identifie l’entité Reddit Netherlands B.V., ce qui pointe vers l’ACM néerlandaise. Les deux mentions coexistent à ce jour, et la liste officielle reste le document à consulter pour l’entité juridique retenue.

Reste la question des sanctions. L’article 74, paragraphe 1, du DSA plafonne l’amende à 6 % du chiffre d’affaires mondial annuel total réalisé au cours de l’exercice précédent. Un manquement portant sur la seule fourniture d’informations est plafonné à 1 %. Ce sont des plafonds généraux, applicables en cas de manquement constaté. Aucun manquement n’est constaté à ce stade pour les trois services désignés, et la procédure ne commence pas par une amende. L’autre volet du paquet numérique européen, le règlement sur les marchés numériques (DMA), vise d’autres très grands acteurs : voir l’App Store d’Apple face au règlement sur les marchés numériques.

Vérifier la désignation sur la liste publique de la Commission

Deux vérifications sont à la portée de n’importe quel lecteur, sans expertise juridique.

La première est la liste officielle des services désignés, tenue par la Commission. Elle donne, pour chaque service, la date de désignation et l’entité juridique responsable. Les trois nouveaux venus y portent la date du 31.08.2026, avec les entités OpenAI Ireland Limited, Reddit Netherlands B.V. et Roblox. Une désignation s’y vérifie d’un coup d’œil, sans rien connaître du règlement.

La seconde est la page d’audience que chaque service publie tous les six mois, en application de l’article 24, paragraphe 2. Elle donne le chiffre à partir duquel le seuil se juge.

Un point de méthode sur le décompte : 28 services sont actuellement désignés très grande plateforme ou très grand moteur de recherche, chiffre donné par la Commission elle-même. La liste, elle, affiche 29 entrées : elle conserve la trace d’une désignation levée, celle de Stripchat, à laquelle la Commission a mis fin le 27 mai 2025. Compter les lignes donne donc un total supérieur au nombre de services effectivement soumis au régime renforcé.

Trois services, trois qualifications, une même échéance de fin décembre 2026

La prochaine échéance vérifiable est donc la fin décembre 2026. À cette date, ouvrez l’interface du service concerné : l’option de recommandation sans profilage et le registre des publicités sont les deux points qu’un utilisateur peut contrôler seul, sans attendre qu’un régulateur le fasse.

Questions fréquentes

ChatGPT, Reddit et Roblox n’étaient-ils pas déjà soumis au DSA ?

Ils l’étaient. Le règlement (UE) 2022/2065 s’applique à l’ensemble des services intermédiaires depuis le 17 février 2024 : conditions générales lisibles, dispositif de signalement des contenus illicites, motivation des décisions de retrait. La désignation du 31 août 2026 ne les fait pas entrer dans le DSA. Elle les fait basculer dans le régime renforcé réservé aux très grands services.

À partir de quelle date les nouvelles obligations s’appliquent-elles ?

Quatre mois après la notification de la décision au fournisseur, selon l’article 33, paragraphe 6, du DSA. La notification est intervenue le 31 août 2026, ce qui place l’échéance fin décembre 2026. La version anglaise de l’annonce de la Commission arrondit cette échéance à janvier 2027 : il s’agit du même point de départ et du même délai.

Pourquoi 45 millions d’utilisateurs, et pas un critère de chiffre d’affaires ?

Parce que l’article 33, paragraphe 1, du DSA raisonne en audience, pas en richesse. Le seuil est de 45 millions de destinataires actifs mensuels moyens dans l’Union. Un service gratuit y entre au même titre qu’un service payant, et une entreprise modeste très utilisée dans l’Union bascule avant un groupe puissant peu utilisé en Europe.

ChatGPT, Reddit et Roblox risquent-ils une amende de 6 % ?

Le taux de 6 % du chiffre d’affaires mondial annuel total est le plafond général prévu à l’article 74, paragraphe 1, du DSA, applicable en cas de manquement constaté. Un manquement portant sur la fourniture d’informations est plafonné à 1 %. Aucun manquement n’est constaté à ce jour pour ces trois services : la désignation ouvre un délai de mise en conformité, elle ne sanctionne rien.

Comment vérifier soi-même qu’un service est désigné ?

La Commission européenne tient une liste publique des très grandes plateformes et des très grands moteurs de recherche désignés. Elle indique pour chacun la date de désignation et l’entité juridique responsable. La page d’audience que chaque service publie tous les six mois, en application de l’article 24, paragraphe 2, permet de contrôler le chiffre qui a fait franchir le seuil.