La Commissione europea ha designato ChatGPT come Very Large Online Search Engine (VLOSE) ai sensi del Digital Services Act. La decisione, annunciata il 31 agosto 2026, segue i dati dichiarati dal servizio: 159,1 milioni di utenti attivi mensili medi nell’Unione europea, quindi ben oltre la soglia dei 45 milioni prevista per i servizi di dimensioni molto grandi.
La notizia è importante, ma va letta senza scorciatoie. Non significa che ogni impresa che usa ChatGPT diventi direttamente soggetta agli obblighi aggiuntivi riservati ai VLOSE. Quegli obblighi ricadono sul fornitore del servizio designato. Significa però che uno strumento ormai integrato in ricerca, scrittura, assistenza e processi decisionali entra in un regime europeo di supervisione più intenso, centrato sui rischi sistemici, sulla trasparenza e sulla verificabilità.
Per imprese e pubbliche amministrazioni il messaggio è pratico: la governance dell’AI non può limitarsi a scegliere un modello e distribuire licenze. Deve considerare anche il ruolo del servizio nell’ecosistema informativo, la dipendenza dal fornitore e la capacità dell’organizzazione di controllare come le risposte vengono usate.
Cosa ha deciso la Commissione europea
Il DSA distingue i servizi che superano la soglia del 10% della popolazione dell’Unione, equivalente a 45 milioni di utenti mensili, perché la loro scala può amplificare effetti su diritti fondamentali, sicurezza pubblica, processi elettorali, salute e benessere. La designazione non è un giudizio sulla liceità del servizio e non equivale a una sanzione: è l’atto che attiva un livello aggiuntivo di responsabilità.
Secondo la Commissione, ChatGPT è stato qualificato come motore di ricerca online di dimensioni molto grandi. Il fornitore avrà quattro mesi dalla notifica per conformarsi agli obblighi supplementari; la pagina ufficiale indica gennaio 2027 come orizzonte di applicazione.
Il perimetro comprende, tra le altre cose, valutazioni dei rischi sistemici, misure di mitigazione, una funzione interna di conformità, audit indipendenti almeno annuali, condivisione di dati con autorità competenti e accesso per ricercatori qualificati quando necessario a studiare i rischi nell’Unione. La Commissione è responsabile in via principale della vigilanza sugli obblighi aggiuntivi dei VLOSE e dei VLOP.
Perché ChatGPT viene trattato anche come infrastruttura informativa
L’uso dei sistemi generativi è cambiato rapidamente. Molte persone non li consultano soltanto per produrre un testo: li usano per cercare informazioni, sintetizzare fonti, confrontare opzioni e orientare decisioni. In questo contesto la risposta generata diventa una porta di accesso alla conoscenza, pur restando diversa dal tradizionale elenco di risultati di un motore di ricerca.
La designazione fotografa proprio questa trasformazione. La scala del servizio rende rilevanti non soltanto l’accuratezza della singola risposta, ma anche gli effetti aggregati del sistema: quali informazioni vengono rese più visibili, come possono propagarsi contenuti illeciti o fuorvianti, quali gruppi risultano più esposti a errori e manipolazioni, quali conseguenze possono emergere per minori, salute, diritti e dibattito pubblico.
È un cambio di prospettiva utile anche per chi adotta l’AI in azienda. Un assistente generativo non è semplicemente un software di produttività. Può diventare un livello intermedio tra persone, documenti, dati e decisioni. Più cresce questa funzione, più servono controlli proporzionati al contesto d’uso.
Cosa non cambia per imprese e PA
La prima distinzione da mantenere è tra obblighi del fornitore e responsabilità dell’organizzazione utilizzatrice. La designazione VLOSE riguarda il servizio designato. Non trasferisce automaticamente a clienti e utenti gli obblighi di audit, valutazione sistemica o accesso ai dati previsti dal DSA per i grandi operatori.
Non sostituisce nemmeno gli altri quadri applicabili. Un’organizzazione deve continuare a valutare, in base al proprio ruolo e al caso d’uso, GDPR, AI Act, segreto professionale, proprietà intellettuale, sicurezza, norme di settore e obblighi contrattuali. Un servizio sottoposto a vigilanza rafforzata non diventa per questo adatto a qualunque dato o processo.
Infine, la classificazione europea non certifica la correttezza delle risposte. La valutazione critica delle fonti e l’intervento umano restano necessari, soprattutto quando l’output influenza persone, diritti, accesso a servizi o decisioni con impatti significativi.
Cosa cambia nella governance del fornitore
La novità offre però un segnale concreto ai responsabili procurement, compliance, IT e risk management. Quando un servizio entra nel perimetro VLOSE, la relazione con il fornitore non può essere letta soltanto attraverso prezzo, funzionalità e disponibilità tecnica.
Valutare la dipendenza informativa
Occorre sapere in quali processi il sistema viene usato come fonte, filtro o sintetizzatore. Se un team non consulta più i documenti originari e accetta l’output come risposta finale, la dipendenza non è soltanto tecnologica: è anche conoscitiva. Conviene quindi distinguere gli usi di supporto da quelli in cui la risposta orienta una decisione e richiede evidenze verificabili.
Collegare vendor management e AI governance
Le informazioni che il fornitore pubblicherà su rischi, mitigazioni, trasparenza e funzionamento del servizio dovrebbero alimentare le revisioni periodiche dell’organizzazione. Questo non significa attendere passivamente i documenti del provider. Significa inserirli in un processo già capace di confrontare promesse contrattuali, configurazioni effettive, log disponibili e comportamento osservato.
Preparare reclami, incidenti e continuità
Il DSA rafforza i meccanismi di responsabilità della piattaforma, ma l’impresa deve sapere come reagire a un output problematico, a una sospensione, a un cambiamento del servizio o a un risultato che viola le proprie policy. Servono un canale interno per le segnalazioni, criteri di escalation e un’alternativa operativa per i processi che non possono fermarsi.
Una checklist per chi usa AI generativa
La designazione è un buon momento per verificare alcuni controlli essenziali:
- censire processi, team e dati coinvolti nell’uso del servizio;
- classificare gli utilizzi per impatto e grado di autonomia concesso all’output;
- richiedere fonti o evidenze quando la risposta supporta decisioni rilevanti;
- definire dati vietati, dati ammessi e configurazioni approvate;
- conservare prompt, output e revisioni nei casi che richiedono tracciabilità;
- integrare aggiornamenti del fornitore, audit e report pubblici nella vendor review;
- predisporre segnalazione interna, escalation e continuità operativa;
- formare gli utenti a distinguere assistenza, ricerca e decisione.
La checklist non deve diventare burocrazia indistinta. Un brainstorming interno e una risposta destinata a una pratica amministrativa non hanno lo stesso rischio. La governance funziona quando rende esplicite queste differenze e assegna controlli più forti dove l’impatto è maggiore.
DSA e AI Act: due piani da tenere insieme
Il DSA osserva il ruolo del servizio online e i suoi effetti sistemici. L’AI Act disciplina invece sistemi e modelli di intelligenza artificiale attraverso ruoli, rischi e obblighi specifici. I due quadri possono incontrarsi sullo stesso prodotto, ma non sono intercambiabili.
Per questo è utile costruire una mappa unica delle fonti di responsabilità. Da un lato si monitora ciò che il provider deve rendere più trasparente come VLOSE; dall’altro si valutano gli obblighi dell’organizzazione rispetto allo specifico sistema e al modo in cui viene utilizzato. A questi livelli si aggiungono privacy, sicurezza, contratti e regole settoriali.
La semplificazione non consiste nel scegliere una sola norma. Consiste nel riutilizzare le stesse evidenze — inventario, ruoli, valutazioni, registri, incidenti, controlli sui dati — per rispondere in modo coerente a requisiti diversi.
Dalla notizia a una governance verificabile
La designazione di ChatGPT come VLOSE conferma che l’AI generativa è ormai parte dell’infrastruttura informativa europea. La supervisione rafforzata del fornitore può migliorare trasparenza e accountability, ma non elimina il lavoro che spetta a chi integra il servizio nei propri processi.
Per le organizzazioni la domanda decisiva resta quindi interna: sappiamo dove l’AI viene usata, con quali dati, per quali decisioni e con quali verifiche? Se vuoi trasformare questa domanda in una mappa operativa di ruoli, rischi e controlli, contattami: posso aiutarti a collegare AI governance, vendor management e processi aziendali in modo concreto e proporzionato.
Fonti
- Commissione europea, Commission designates ChatGPT, Reddit, Roblox under Digital Services Act, 31 agosto 2026
- Commissione europea, Supervision of the designated very large online platforms and search engines under DSA
- Commissione europea, DSA: Very large online platforms and search engines
- Commissione europea, Digital Services Act: Questions and Answers
- EUR-Lex, Regolamento (UE) 2022/2065 — Digital Services Act
Nota di trasparenza: il testo e le immagini associati a questo articolo sono stati realizzati in parte con il supporto di sistemi di intelligenza artificiale e sottoposti a revisione editoriale umana.