Il DSA alla prova dell’IA generativa: cosa cambia dopo la designazione di ChatGPT, Reddit e Roblox

Il 31 agosto 2026 la Commissione europea ha inserito ChatGPT, Reddit e Roblox tra i servizi soggetti al regime più severo previsto dal Digital Services Act, il regolamento (UE) 2022/2065.

ChatGPT è stato qualificato come motore di ricerca online di dimensioni molto grandi (VLOSE), Reddit e Roblox come piattaforme online di dimensioni molto grandi (VLOP). La ragione è la dimensione: i tre servizi hanno dichiarato rispettivamente 159,1, 57,2 e 46,6 milioni di utenti attivi medi mensili nell’Unione, tutti sopra la soglia dei 45 milioni fissatadall’art. 33. I servizi vigilati direttamente da Bruxelles salgono così a ventotto.

La novità vera è che per la prima volta un assistente conversazionale entra nel perimetro del DSA. E ci entra come motore di ricerca. La scelta ha una sua logica: il regolamento classifica i servizi per quello che fanno, non per la tecnologia che utilizzano, e la Commissione descrive ChatGPT come un servizio ibrido, che risponde alle domande dell’utente anche cercando sul web. Resta però un punto delicato: un motore di ricerca restituisce risultati che esistono già da qualche parte, mentre un assistente conversazionale la risposta la costruisce. È una differenza che prima o poi arriverà davanti a un giudice, perché dalla qualificazione dipende tutto il resto.

Gli obblighi scattano quattro mesi dopo la notifica, quindi a fine dicembre 2026. Il primo, e il più impegnativo, è la valutazione dei rischi sistemici previstadall’art. 34: i provider devono analizzare e documentare che cosa il loro servizio può provocare su larga scala, dalla diffusione di contenuti illegali agli effetti sui diritti fondamentali, sul dibattito pubblico e sulle elezioni, sulla sicurezza, sui minori, sull’equilibrio fisico e psichico delle persone. Fatta la diagnosi, l’art. 35 impone di adottare misure di attenuazione proporzionate ed efficaci, fino a rendere riconoscibili i contenuti generati o manipolati artificialmente.

Attorno a questo obbligo ruota un intero apparato di controllo: un audit esterno annuale, a spese del provider, una funzione interna di compliance che risponde ai vertici aziendali, l’apertura dei dati ai ricercatori autorizzati e relazioni pubbliche di trasparenza ogni sei mesi. Su questi profili vigila direttamente la Commissione, che può arrivare a sanzioni pari al 6% del fatturato mondiale annuo. Non è un rischio teorico: nel dicembre 2025 X ha ricevuto la prima multa DSA, 120 milioni di euro, e ha presentato ricorso.

C’è però un’asimmetria che merita attenzione. Alcuni obblighi del DSA — tra cuil’art. 28, dedicato alla tutela dei minori — si applicano soltanto alle piattaforme online. Reddit e Roblox li devono rispettare, ChatGPT no, proprio perché è stato qualificato come motore di ricerca. Per l’assistente conversazionale i minori restano protetti solo attraverso la valutazione del rischio sistemico: uno strumento più flessibile, ma anche meno preciso.

Le due discipline guardano a cose diverse, ed è questa la chiave per non confonderle. L’AI Act (regolamento (UE) 2024/1689) si occupa del modello: come è costruito, come è documentato, quali informazioni il fornitore deve dare a chi lo integra, quali test deve svolgere se il modello presenta rischi sistemici. Il DSA si occupa del servizio: quali effetti produce una volta che milioni di persone lo usano ogni giorno. Il primo segue una logica di conformità del prodotto, il secondo una logica di gestione continua del rischio. Si sommano, non si sostituiscono.

Sui tempi il quadro è ormai chiaro: gli obblighi sui modelli per finalità generali si applicano dal 2 agosto 2025 e la Commissione può sanzionarne i fornitori dal 2 agosto 2026, data dalla quale sono operativi anche gli obblighi di trasparenza dell’art. 50; il Digital Omnibus (regolamento (UE) 2026/1744) ha invece rinviato al 2027 e al 2028 le regole sui sistemi ad alto rischio, senza toccare i divieti e la disciplina dei modelli generali.

Il rischio di sovrapposizione è concreto ed è già visibile sui contenuti sintetici: sia il DSA sia l’AI Act chiedono di rendere riconoscibile ciò che è generato dall’intelligenza artificiale, ma lo fanno con norme diverse e con autorità diverse. Il problema non è pagare due volte, è dover costruire due impianti di analisi paralleli, affidati a funzioni aziendali distinte e fondati su criteri distinti, per rispondere in sostanza alla stessa domanda.

Più insidiosa è la lacuna opposta. L’AI Act misura il rischio sistemico guardando alla potenza di calcolo del modello, il DSA guardando al numero di utenti del servizio. Un modello poco potente ma utilizzato da 159 milioni di persone e un modello potentissimo ma distribuito a poche migliaia finiscono in categorie opposte. Nessuno dei due criteri, da solo, dice quanto quel servizio pesi davvero.

È qui che si intravede il profilo più interessante. L’art. 34 chiede di valutare i rischi che derivano dalla progettazione e dal funzionamento del servizio «o dall’uso che è fatto» di esso. È un criterio che non passa dalla conoscenza del singolo contenuto illecito e che si aggiunge, senza cancellarlo, al tradizionale regime di esonero di responsabilità degli intermediari.

Ne esce un obbligo di diligenza organizzativa che qualunque giurista d’impresa riconosce: struttura, procedure, documentazione, verifica esterna. È la stessa logica dell’accountability del GDPR e dei modelli organizzativi previsti dal d.lgs. 231/2001. In altre parole: il provider non risponde di ciò che il modello ha detto, ma di non aver previsto che potesse dirlo e di non aver fatto quanto ragionevolmente possibile per evitarlo.

Il meccanismo funziona, però, solo se il rischio si può misurare. Per gli algoritmi di raccomandazione qualche indicatore esiste: quante persone vedono un contenuto, quanto viene amplificato. Per le risposte di un’intelligenza artificiale generativa — le allucinazioni, gli effetti sull’equilibrio psicologico di chi le legge, la fiducia riposta in ciò che il sistema afferma — indicatori condivisi non ce ne sono, e nessuna delle due normative si preoccupa di stabilirli.

Il vero banco di prova, quindi, non è la designazione di agosto, ma il primo audit indipendente: dirà se questa nuova responsabilità è un obbligo davvero gestibile o una formula elastica, che l’autorità riempirà di contenuto caso per caso.

_________

*Giuseppe Vaciago – partner di 42 Law Firm