何が起きたか
欧州委員会は、ChatGPTをDSA（Digital Services Act）上の「超大規模検索エンジン（VLOSE）」に指定しました。ChatGPTがウェブを検索してユーザーの質問に答える機能を持つことが、DSA上の検索エンジンに該当すると判断された根拠です。指定の閾値であるEU域内の月間利用者4,500万人を超えたことが要件を満たしました。
同時に、RedditとRobloxが「超大規模オンラインプラットフォーム（VLOP）」に分類変更されました。理由は、他のユーザーが作成したコンテンツを共有できる仕組みを持つためです。DSAの指定対象は、これで合計28のプラットフォーム・検索エンジンとなりました。
3サービスはいずれも4か月、つまり2026年12月末までに追加義務への対応を求められます。義務の中身は、違法コンテンツ・未成年への危険・選挙干渉といったリスクの評価に加え、実務面では公開型の広告アーカイブ、承認された研究者へのデータアクセス提供、半期ごとの透明性報告、違法コンテンツの通報窓口と異議申立てプロセス、危機対応メカニズムです。欧州委員会のヘンナ・ヴィルックネン副委員長は、これらのサービスがより厳格な監督下に置かれると述べています。
なぜ重要か
これまでAIチャットボットは、既存のプラットフォーム規制の枠組みにきれいには収まらない存在でした。今回の指定が意味するのは、「AIだから新しい枠組みを待つ」のではなく、既存のDSAという道具でチャットボットを捕捉できるという実証です。ChatGPTは検索機能を持つがゆえに検索エンジンとして扱われた──この論理は、ウェブ検索を組み込んだ他のAIアシスタントにも同じ形で適用できます。
もう一点重要なのは、欧州委員会が得るのが主に「監査権限」だという構造です。ChatGPTに関して委員会が手にするのは、リスクと動作の仕組みに対する監査の権利であり、アイルランドおよびオランダの当局と連携して執行にあたります。一方で、今回の指定は委員会がモデルを直接テストすることを明示的に認めるものではありません。つまり、外部から見える挙動と提出書類を通じた監督が中心になります。
論点：データアクセスはどこまで及ぶか
争点はDSA第40条のデータアクセス義務の射程です。アムステルダム大学の法学教授ナタリ・ヘルベルガー氏はTech Policy Pressに対し、今回の指定は「データアクセス権の範囲、そしてシステミックリスクの特定や緩和措置の評価に必要であれば、第40条のアクセス義務が学習データやモデルの重みへのアクセスまで含みうるか、という興味深い問いを提起する」と述べています。法律専門家の間でも、学習データやモデルウェイトが対象になるかは見解が分かれています。
これは論争のための論争ではありません。もし学習データや重みが研究者アクセスの対象に含まれうるとなれば、モデル開発企業にとっての「営業秘密の境界線」が規制側から動かされることになります。逆に含まれないと整理されれば、DSAによるAI監督は出力の観察にとどまり、実効性の議論が続くことになります。年内の対応期限に向けたOpenAIの開示の出し方が、この論点の最初の実例になります。
出典
THE DECODER
💼 事業会社視点：これは自社にどう効くか
日本企業にとっての含意は3つあります。第一に、EU向けにAIアシスタント機能を持つプロダクトを提供しているSaaS・EC事業者は、自社サービスの「検索機能」がDSA上どう評価されるかを整理しておく必要があります。ChatGPTが検索エンジンと判定された論拠は「ウェブを検索して回答する」という機能面です。月間4,500万人という閾値は大半の日本企業には遠いものの、判定の論理は規模に関係なく参照されます。
第二に、AIを組み込んだ受託開発やSIerにとって、EU顧客向け案件の要件定義は変わります。違法コンテンツ通報窓口、異議申立てフロー、半期の透明性報告、危機対応の仕組み──これらは後付けが難しく、設計段階でのアーキテクチャ判断になります。今後、EU顧客のRFPにこの種の項目が入ってくることを前提に、対応可能な実装パターンを社内に持っておくべきです。
第三に、ChatGPTを業務基盤として使っている全事業者は、OpenAIが12月末に向けて行う対応がEU向け機能の挙動変更を伴う可能性を見ておくべきです。役員レベルでの判断としては、単一ベンダー依存の度合いと、規制起因の仕様変更が自社業務に波及する経路を、今のうちに棚卸ししておくことを勧めます。