EU setter ChatGPT under DSA: første KI-chatbot som svært stor søkemotor

Europakommisjonen har flyttet ChatGPT inn i samme tilsynskategori som de største søkemotorene i EU. Mandag 31. august 2026 utpekte Kommisjonen ChatGPT som svært stor nettsøkemotor, VLOSE, under forordningen om digitale tjenester. Reddit og Roblox ble samtidig utpekt som svært store nettplattformer, VLOP.

Tjenestene har selv meldt at de når minst 45 millioner gjennomsnittlige månedlige brukere i EU. Det er terskelen for den strengeste DSA-ordningen. Etter varsel har de fire måneder, det vil si til januar 2027, på å oppfylle tilleggspliktene.

Dette er første gang en KI-chatbot får VLOSE-status. For norske styrer, CIO og CISO er poenget konkret: ChatGPT er ikke lenger bare et AI Act-produkt. Det er også en regulert søkeoverflate med systemrisiko, klageplikt og kommisjonstilsyn.

Hva Kommisjonen faktisk gjør

Utpekingen gir Kommisjonen etterforskningskompetanse over funksjonene bak tjenestene, og der det er relevant over tilknyttede systemer. Tilsynet skal skje sammen med nasjonale koordinatorer for digitale tjenester: irske Coimisiún na Meán for ChatGPT og Reddit, nederlandske ACM for Roblox. OpenAI og Reddit er etablert i Irland. Roblox er etablert i Nederland.

ChatGPT beskrives som et hybridsystem. Det svarer på spørsmål og kan søke på nettet. Derfor kvalifiserer det som nettsøkemotor under DSA, ikke som vanlig chatbot og ikke som innholdsplattform. Reddit og Roblox kvalifiserer som plattformer fordi brukere kan spre tredjepartsinnhold offentlig.

Kommisjonen understreker at de tre allerede er underlagt de alminnelige DSA-pliktene for plattformer og søkemotorer. Det nye er den forsterkede ordningen. EU har nå utpekt 28 svært store plattformer og søkemotorer.

Henna Virkkunen, visepresident for teknologisk suverenitet, sikkerhet og demokrati, sier at ChatGPT, Reddit og Roblox nå holdes til en høyere standard for gransking og ansvar, i tråd med virkningen på innbyggere og samfunn. Hun legger til at Kommisjonen følger det digitale landskapet tett og ikke vil nøle med å utpeke tjenester som møter terskelen.

Hva fire måneder faktisk betyr

Tilleggspliktene Kommisjonen peker på, er å vurdere og dempe systemrisiko fra tjenesten og algoritmene. Listen er bred: spredning av ulovlig innhold, negative virkninger på mindreårige, brukernes fysiske og psykiske helse, grunnleggende rettigheter, valgprosesser og offentlig sikkerhet.

Når en tjeneste får VLOSE- eller VLOP-status, treffer det også det eksisterende DSA-regelsettet for svært store aktører: uavhengig revisjon, mer åpenhet om anbefalingssystemer, forskertilgang til data og skjerpede klage- og varslingsløp. Ved brudd kan Kommisjonen, etter vanlig DSA-håndheving, ilegge bøter på inntil seks prosent av global årsomsetning. Det er ikke en ny sanksjon i mandagens vedtak. Det er prisen som allerede ligger i loven når den strengeste kategorien aktiveres.

Fristen er januar 2027, ikke «snart» og ikke «neste år engang». Fire måneder er kort for en virksomhet som skal dokumentere risiko i søk, svar, barnesikring og valg. Det er enda kortere for kunder som må vite hva som endres i enterprise-kontrakter, logging og alderskontroller.

Tallene og OpenAIs svar

Kommisjonens pressemelding slår fast terskelen, ikke ChatGPTs eksakte EU-tall. Politico, som siterer selskapenes egne DSA-rapporter, skriver at Reddit har oppgitt 57,2 millioner brukere i EU og Roblox 46,6 millioner. Roblox ligger like over terskelen. EU-medier som viser til OpenAIs DSA-rapportering, har oppgitt rundt 159 millioner gjennomsnittlige månedlige brukere i EU for ChatGPTs søkefunksjon i perioden fram til 31. mars 2026. Det er selskapets eget tall, ikke et Kommisjonsfunn.

OpenAI-talsperson Oscar Haines sier til Politico at ChatGPT-søk drives som en søketjeneste under DSA, og at selskapet forbereder seg på de ekstra etterlevelseskravene som følger av VLOSE-utpekingen. Reddit sier de har forberedt seg på VLOP-kravene. Roblox kaller det en milepæl og viser til sikkerhetsarbeid. Ingen av kommentarene endrer fristen.

The Verge har skrevet at fristen er utgangen av desember 2026. Primærkilden er tydeligere: fire måneder etter varsel, det vil si januar 2027. Bruk den datoen i styrepapirene.

Dobbelt regelsett, ikke enten-eller

ChatGPT er allerede under KI-forordningen. DSA treffer nå bruken og skalaen: søk, svarflate, anbefaling og risiko for barn, helse, valg og offentlig sikkerhet. Det er to ulike lover med to ulike tilsynslogikker.

AI Act spør hva modellen kan, hvordan den er trent, og hvilken risikoklasse den har. DSA spør hva tjenesten gjør mot millioner av brukere, og om systemrisikoen er kartlagt og dempet. For en norsk virksomhet som bruker ChatGPT som intern søkemotor, saksbehandlerhjelp eller kundeflate, betyr det at leverandørstyringen må dekke begge.

Utpekingen er ikke et vedtak om at ChatGPT har brutt loven. Den er et vedtak om at tjenesten er stor nok til å tåle samme gransking som Google Søk.

Hva norske ledere bør gjøre nå

Kartlegg hvor ChatGPT faktisk brukes som søk. Det er ikke bare chatgpt.com. Det er nettlesing i chat, svar med kilder, custom GPT-er mot åpne data, og agenter som henter sider. Hvis svaret erstatter en treffliste, er det en søkeoverflate. Da er DSA-logikken relevant, også når dere kjører enterprise.

Be OpenAI, og eventuelle forhandlere, om en skriftlig plan mot januar 2027. Hva endres i logging, alderskontroll, innholdsklager, forskertilgang og risikorapport? Hva gjelder for ChatGPT Enterprise og API, og hva gjelder bare for forbrukerflaten? Ikke godta at «det er et EU-forbrukerproblem». Tilsynet treffer tjenesten, og tjenesten treffer dere.

Sett CISO og jus sammen med innkjøp. DSA-risikoene Kommisjonen lister, er de samme som styret allerede skal forstå for plattformer: ulovlig innhold, barn, helse, ytringsfrihet, valg og samfunnssikkerhet. Hvis ChatGPT brukes i kundeservice, HR, skole, helse eller offentlig saksbehandling, er det styresaker, ikke IT-notiser.

Planlegg for mer dokumentasjon, ikke mindre modellkraft. VLOSE-status gir Kommisjonen innsyn i funksjoner. Det kan gi mer åpenhet for kunder, men også mer friksjon: nye samtykker, strengere logging, endrede lagringsrutiner og krav om menneskelig overprøving der svaret treffer mindreårige eller politisk innhold.

Ikke vent på at Google, Microsoft eller Anthropic «sikkert får samme merkelapp». Kommisjonen sier den vil utpeke tjenester som møter terskelen. Gemini, Copilot og Claude kan komme etter hvis brukertallene i EU tilsier det. Den norske jobben er å ha en leverandørmatrise som tåler at flere KI-flater blir regulert som plattform eller søk, ikke som nøytral programvare.

FSB advarte i går om frontier-AI som cyberrisiko i finans. Dagens sak er den europeiske styringsfølgen av samme skala: når en KI-tjeneste blir stor nok, behandles den som samfunnskritisk infrastruktur. For et norsk styre er det samme spørsmål på to språk. Hvem eier risikoen når svaret kommer fra en søkemotor som også er en modell?

Kilder og medier

Primærkilde: European Commission, pressemelding IP/26/1772, «Commission designates ChatGPT, Reddit, Roblox under Digital Services Act», 31. august 2026: https://ec.europa.eu/commission/presscorner/detail/en/ip_26_1772

Kommisjonens PDF, oppdatert 31. august 2026 kl. 17.00: https://ec.europa.eu/commission/presscorner/api/files/document/print/en/ip_26_1772/IP_26_1772_EN.pdf

Politico, «EU places ChatGPT, Reddit, Roblox under its strictest platform rules», 31. august 2026: https://www.politico.eu/article/chatgpt-reddit-roblox-face-eus-strictest-platforms-regime/

The Verge, «ChatGPT to face tougher regulation in the EU», 31. august 2026: https://www.theverge.com/ai-artificial-intelligence/986682/openai-chatgpt-eu-dsa

Euractiv, «OpenAI's ChatGPT falls under strictest EU online rules», 31. august 2026: https://www.euractiv.com/news/openais-chatgpt-falls-under-strictest-eu-online-rules/

Thumbnail: OpenAI Image 2 / hogby.ai