欧州委員会、ChatGPTをDSAの「超大規模オンライン検索エンジン」に指定

欧州委員会が2026年8月31日、ChatGPTをDSAのVLOSE（超大規模オンライン検索エンジン）に、RedditとRobloxをVLOPに指定した。対応期限は2027年1月。生成AIのチャットサービスがDSAの最上位区分に入った最初の例になる。

EU DSA OpenAI ChatGPT regulation policy

欧州委員会は2026年8月31日、ChatGPTをデジタルサービス法（DSA）に基づく 超大規模オンライン検索エンジン（VLOSE） に指定したと発表した¹。同じ発表で、RedditとRobloxが 超大規模オンラインプラットフォーム（VLOP） に指定されている¹。

指定の根拠は利用者数だ。3つのサービスはいずれも、EU域内の平均月間利用者が 4,500万人以上 であると申告し、指定のしきい値を満たしたと委員会は説明している¹。指定が通知されてから 4か月、すなわち 2027年1月 までに、VLOP／VLOSE向けの追加義務に対応する必要がある¹。これで委員会がDSAに基づき指定したサービスは 28件 になった¹。

「ウェブ検索もする」ことが分類を決めた

今回の指定でいちばん目を引くのは、ChatGPTがプラットフォーム側ではなく 検索エンジン側 に分類されたことである。

委員会はその理由を、ChatGPTが「ウェブを検索することを含めて、ユーザーのプロンプトや問い合わせに応答できるAIシステム」であり、したがって DSA上はオンライン検索エンジンに該当するハイブリッドなサービス だと整理した¹。対話型のAIアシスタントという製品カテゴリではなく、その機能のうち「ウェブを検索して答える」部分が分類の決め手になっている。

対照的に、RedditとRobloxはどちらも利用者が第三者のコンテンツを公衆に流通させるサービスであるため、オンラインプラットフォームに該当すると整理されている¹。同じ日の同じ発表でありながら、根拠となる性質はまったく別のものだ。

なお、指定されたのは ChatGPTというサービス であって、OpenAIという会社全体ではない。3サービスとも、指定前からDSAのオンラインプラットフォーム／検索エンジン向けの一般的な義務の対象ではあった¹。今回上乗せされるのは、最大規模の事業者にだけ課される追加義務のほうである。つまり、これまでDSAの枠外にいたサービスが規制対象に入ったのではなく、既に対象だったサービスの義務の水準が一段上がった、という構図になる。

2027年1月までに何を用意するのか

委員会が例として挙げているのは、サービスとそのアルゴリズムシステムに起因するシステミックリスクの評価と低減 である¹。リスクの範囲として具体的に列挙されているのは、違法コンテンツの拡散、未成年者への悪影響、利用者の心身の健康、基本的権利、選挙プロセス、そして公共の安全だ¹。

抽象的な文言に見えるが、AIチャットに当てはめると論点はかなり具体的になる。ウェブ検索を通じて違法な情報にたどり着く経路、未成年者の利用、生成される回答が選挙に関する情報環境に与える影響——いずれも、モデルの精度の問題としてではなく サービス設計とアルゴリズムの問題 として説明を求められることになる。

指定にともなって、委員会は これらのサービスの機能や関連システムを評価するための調査権限 を得る¹。事業者からの報告を受け取るだけでなく、委員会の側から機能の中身を確認しにいく余地が生まれると考えられる。Engadgetは、VLOP／VLOSE指定には委員会・当局とのデータ共有、独立監査人による年次レビュー、一定の場合の研究者へのデータ開放が伴うと報じている³。

同じ記事によれば、Redditは「EUのデジタルサービス法を順守することにコミットしている」「VLOPの要件を満たす準備を進めてきた」とコメントしている³。記事が更新された時点で、OpenAIとRobloxのコメントは掲載されていない³。

監督はブリュッセルと各国当局で分担する

DSAの監督・執行は、委員会と各加盟国の デジタルサービス調整官（Digital Services Coordinator） が分担する仕組みになっている¹。

今回については、委員会がDSA順守の監督権限を持ちつつ、ChatGPTとRedditはアイルランドの Coimisiún na Meán、Robloxはオランダの ACM（Authority for Consumers and Markets） と協力する¹。いずれも、各サービスがEU域内で設立されている国の調整官にあたる¹。EU域内に拠点を置いた国がそのまま第一の窓口になるため、どこに法人を置くかが監督関係にそのまま反映される。

Henna Virkkunen上級副委員長（技術主権・安全保障・民主主義担当）は発表のなかで、今回の指定は3つのサービスが「市民と社会に対する大きな影響に見合った、より高い水準の監視と説明責任のもとに置かれることを意味する」と述べ、しきい値を満たすプラットフォームがあれば指定をためらわないとしている¹。

AI ActとDSAは、効いてくる場所が違う

EUのAI関連規制というとAI Actの透明性義務が想起されやすいが、今回のDSA指定はそれとは別系統の枠組みである。AI Act第50条が求めているのは、チャットボットであることの明示やAI生成コンテンツの機械可読なマーキングといった、AIシステムそのものの透明性 だ。実際、Anthropicは同条の行動規範に署名し、Claudeの生成テキストに不可視の透かしを入れる方針を示している。

一方のDSAが見るのは、そのサービスが情報の流通経路としてどう振る舞うか である。リスク評価の対象がモデルの出力単体ではなく「サービスとアルゴリズムシステム」と書かれているのは、この違いによる。EU域内でAIサービスを提供する場合、この2つは片方に対応すればもう片方も満たせるという関係にはない。

EUのデジタル規制が文面上の要求にとどまらないことは、オランダのデータ保護当局がUberに約8億2,500万ユーロの制裁金を科した事例が示している。あのケースで問われたのはアルゴリズムの精度ではなく、人間の判断を挟まずに決める「決め方」そのものだった。DSAのシステミックリスク評価も、同じように設計と運用の説明を求める性質のものだと考えられる。

2027年1月という期限は、EU向けにAIサービスを出している事業者にとって、コンプライアンス設計の見直しを始める区切りになる。少なくとも、自社のサービスが「AIアシスタント」を自称していても、機能のなかにウェブ検索が含まれていれば規制上は検索エンジンとして扱われうる——という前例ができたことは、押さえておく価値がある。