欧州委員会は2026年8月31日、ChatGPT、Reddit、Robloxをデジタルサービス法（DSA）の超大規模サービスに指定した。基準になったのは個別の違反ではなく、EU域内で月間4,500万人以上が使う規模である。ChatGPTは利用者の問いに答え、ウェブ検索も行えるハイブリッドサービスとして検索エンジンに分類された。一方、第三者が作った投稿やゲームを公開するRedditとRobloxはオンラインプラットフォームに当たり、3社には通知から4か月後、システム全体のリスクを継続して検証する義務が加わる。
違反認定ではなく、規模で上位区分へ
DSA第33条は、EU域内の月間アクティブ利用者が4,500万人以上に達したオンラインプラットフォームと検索エンジンを、欧州委員会が超大規模サービスに指定できると定める。今回、3サービスはいずれもこの基準以上の利用規模を申告した。欧州委員会が発表したのは、特定の回答や投稿、ゲームが違法だという判断ではない。削除命令や制裁金の決定とも別である。
3社はこれまでもDSAの一般義務を負ってきた。OpenAIは違法コンテンツの通報窓口やモデレーション決定への異議申立てを案内し、RedditとRobloxもEU利用者向けの通報・不服申立て手続きを用意している。今回の指定で変わるのは、個々の通報を処理する仕組みに加え、サービス設計やアルゴリズムが広い範囲へ及ぼす影響を定期的に評価し、その結果を監査できる状態にする点だ。
指定が発動させるのは、超大規模サービス向けに用意された追加義務である。DSA第33条6項では、提供者への通知から4か月後に適用が始まる。欧州委員会の発表は2027年1月までの対応を求めており、指定によって法令順守の時計が動き始めたことになる。
ChatGPTとRedditはアイルランド、RobloxはオランダをEU域内の拠点としている。このため欧州委員会は、前者2サービスについてアイルランドのCoimisiún na Meán、RobloxについてオランダのAuthority for Consumers and Marketsと協力して監督する。今回の3件を加え、DSAの超大規模オンラインプラットフォームと検索エンジンは合計28サービスとなった。
4,500万人の線からどれほど離れているか
各社がDSA対応のために公表したEU利用者数を、指定基準の4,500万人と比べると距離には大きな差がある。ただし、測定期間と対象範囲はそろっていない。ここでは市場シェアではなく、指定基準をどの程度上回ったかだけを比べた。
| サービス | 各社の公表値 | 測定期間 | 4,500万人基準からの距離 |
|---|---|---|---|
| ChatGPT検索 | 約1億5,910万人 | 2026年3月31日までの6か月平均 | 約3.54倍、約1億1,410万人上 |
| 5,720万人以下 | 2026年1月1日〜6月30日の平均 | 最大約1.27倍、最大1,220万人上 | |
| Roblox | 推計4,660万人 | 2026年8月13日までの6か月平均 | 約1.04倍、160万人上 |
Robloxの4,660万人は同社の推計値である。DSAの指定基準4,500万人に対し、ChatGPT検索は約1億5,910万人で約3.54倍、基準を約1億1,410万人上回る。Redditの公表値は5,720万人以下で、基準比は最大約1.27倍、超過幅は最大1,220万人となる。Robloxは4,660万人で約1.04倍、超過幅は160万人であり、3サービスの中では基準に最も近い。さらにOpenAIの数字はChatGPT全体ではなくオンライン検索機能を対象とし、Robloxは自社のDAUや地域別指標と算定方法が異なると注意している。したがって、この表から3サービスの利用頻度や市場での強さは順位づけできない。
それでも、指定の法的な引き金は共通している。サービスの種類がAIチャット、掲示板、ゲーム制作基盤と異なっても、EUで4,500万人以上へ届き、欧州委員会が指定すれば、同じ上位層の監督を受ける。
削除件数より先に、リスクを測って監査する
上位区分で最初に重くなるのは、コンテンツを何件消したかという集計より、サービスとアルゴリズムが生むシステミックリスクを特定し、軽減策を検証する仕事である。DSA第34条と第35条は、違法コンテンツの拡散や基本的人権への影響を評価対象とする。未成年者への悪影響と利用者の心身の健康も含まれ、さらに選挙過程や公共の安全への影響まで検討しなければならない。
評価範囲は、違法コンテンツの有無に加えて、サービスの設計と機能、関連するアルゴリズム、利用のされ方に及ぶ。事業者は見つけたリスクに合わせ、合理的で比例的かつ有効な軽減策を講じる必要がある。DSAはモデレーション強化一辺倒を求めず、軽減策が基本的人権へ及ぼす影響も評価対象にする。
この義務は、公開済みの利用規約を一度書き換えれば終わる性質ではない。超大規模サービスは少なくとも年1回、自費で独立監査を受ける。欧州委員会などの当局は監督に必要なデータへのアクセスを求めることができ、条件を満たす審査済み研究者にも、システミックリスクを調べるためのデータ提供経路が開かれる。
独立監査とデータアクセスは役割が異なる。監査は事業者が義務を守る仕組みを定期的に検証し、当局のアクセスは監督に必要な情報を確かめるために使われる。審査済み研究者への経路が加わることで、システミックリスクの調査を事業者と規制当局の内部だけに閉じない設計となっている。
3社は指定前から通報と異議申立ての窓口を持っていたが、今後は製品変更とリスク評価のつながりを説明し、監査人や当局がたどれる記録を残す必要が生じる。欧州委員会は、サービスを支える機能と関連システムを調査する権限を持つことになる。意図的または過失による違反が認定された場合、DSA第74条の制裁金は前会計年度の全世界年間売上高の最大6%に達し得る。ただし、今回の指定そのものに制裁金は伴わない。
ChatGPTを検索エンジンとみなした意味
ChatGPTの指定は、サービスの名称より機能を見てDSAの区分を決めた事例である。欧州委員会は、ChatGPTがAIシステムとして利用者のプロンプトや問い合わせに応答し、その中でウェブを検索できる点を挙げた。そこで同サービスを、AIとオンライン検索を組み合わせたハイブリッドサービスとして扱っている。
生成AIという名称ではなく、検索機能と利用規模が監督区分を決めた。規制上の入口は、企業が名乗る製品カテゴリでは決まらない。
RedditとRobloxの分類は、利用者が第三者のコンテンツを公衆へ広める仕組みに基づく。これに対しChatGPTでは、少なくとも公表利用者数は「ChatGPT検索」を対象としている。追加義務が通常の会話機能とウェブ検索機能のどこまでを一体として扱うのか、公開資料だけでは細部を確定できない。今後のリスク評価や監査で、対象機能と測定方法がどう定義されるかが実務上の分岐点になる。
欧州委員会の発表は、3社が通知から4か月後、2027年1月までに追加義務へ対応するとしている。法的な起算点は各社への通知日であり、公開文から具体的な適用開始日までは断定できない。各社が最初のリスク評価でどの機能を対象にし、独立監査でどこまで検証可能なデータを示すかが、今回の指定が製品運用を実際に変えるかを決める。
