Il 31 agosto 2026 la Commissione Europea ha designato ChatGPT come Very Large Online Search Engine, o VLOSE, ai sensi del Digital Services Act.
La decisione è importante perché mostra come l’intelligenza artificiale generativa stia assumendo un ruolo che va oltre quello di semplice chatbot: per milioni di utenti è ormai anche uno strumento attraverso cui cercare, sintetizzare e accedere alle informazioni.
La fonte istituzionale è la Commissione Europea. Secondo la Commissione, ChatGPT ha dichiarato di raggiungere almeno 45 milioni di utenti medi mensili nell’Unione Europea, la soglia prevista dal DSA per la designazione. Nello stesso provvedimento Reddit e Roblox sono stati designati Very Large Online Platforms. Dal momento della notifica, ChatGPT avrà quattro mesi per adeguarsi agli obblighi aggiuntivi applicabili ai VLOSE.
Che cosa significa VLOSE
Il Digital Services Act distingue alcuni servizi online di grandissima scala perché il loro funzionamento può produrre effetti sistemici.
Per questi soggetti non valgono soltanto gli obblighi generali previsti per i servizi digitali: esiste un livello ulteriore di responsabilità legato alla dimensione e all’impatto della piattaforma.
La Commissione indica tra gli obblighi aggiuntivi la valutazione e mitigazione dei rischi sistemici derivanti dal servizio e dai sistemi algoritmici.
I rischi citati comprendono:
- la diffusione di contenuti illegali,
- gli effetti negativi sui minori e sul benessere fisico e mentale degli utenti,
- i diritti fondamentali,
- i processi elettorali
- e la sicurezza pubblica.
La designazione non significa che ChatGPT sia stato dichiarato illecito o non sicuro! Significa che, raggiunta una determinata scala, il servizio entra in una categoria regolatoria che richiede controlli più approfonditi sui rischi sistemici.
L’AI non è regolata soltanto dall’AI Act
Per le aziende questo passaggio è utile soprattutto per correggere un equivoco frequente: parlare di regolamentazione dell’intelligenza artificiale non significa parlare soltanto di AI Act.
Un sistema AI può essere interessato da più normative contemporaneamente. Il GDPR continua a essere centrale quando vengono trattati dati personali. Il Digital Services Act può applicarsi a determinate piattaforme e servizi online. NIS2 e altre norme possono diventare rilevanti a seconda dell’organizzazione e dell’infrastruttura. L’AI Act introduce poi un quadro specifico basato su ruoli, categorie di sistemi e livelli di rischio.
Questo rende poco utile cercare una generica “conformità AI” come se fosse una certificazione unica.
La domanda corretta è quali obblighi si applicano a un determinato caso d’uso e quale ruolo ricopre l’organizzazione nella catena del valore.
Per un’impresa che utilizza ChatGPT, la designazione VLOSE non trasferisce automaticamente gli obblighi di OpenAI sul cliente. È però un segnale della crescente attenzione europea verso i sistemi AI che svolgono funzioni di accesso all’informazione su larga scala.
Dalla scelta del modello alla governance del provider
Quando un’azienda introduce AI generativa o agentica, spesso la prima domanda riguarda la qualità del modello.
“Quale LLM risponde meglio? Quale scrive meglio? Quale è più economico?”
Con la maturazione del mercato diventano importanti anche altre domande:
- dove vengono trattati i dati?
- quali log vengono conservati?
- è possibile cambiare provider?
- come vengono gestiti gli accessi?
- quali informazioni aziendali vengono inviate al modello?
- quali fonti sono autorizzate?
- come viene ricostruita una risposta in caso di audit?
Questi aspetti non dipendono soltanto dalle caratteristiche del provider. Dipendono anche dall’architettura scelta dall’organizzazione.
Se documenti, knowledge base, workflow e conversazioni sono completamente inglobati in una piattaforma esterna, cambiare servizio può essere complesso. Se invece la conoscenza aziendale rimane separata dal motore generativo, il provider diventa più sostituibile.
Il ruolo di RAG e minimizzazione del contesto
Una delle strategie possibili consiste nel mantenere localmente la knowledge base e il retrieval.
Quando un utente pone una domanda, il sistema ricerca prima i documenti pertinenti e costruisce un contesto limitato. Solo quel contesto viene eventualmente inviato al modello esterno.
Questo approccio non elimina i rischi e non produce automaticamente conformità. Può però ridurre la quantità di dati trasferiti e rendere più chiaro quali informazioni sono state utilizzate per generare una risposta.
Il controllo deve estendersi ai permessi.
Un sistema RAG aziendale non dovrebbe recuperare un documento che l’utente non è autorizzato a consultare. La governance della knowledge base deve quindi essere collegata alla gestione delle identità e degli accessi.
Anche l’audit diventa importante. Per attività sensibili può essere necessario conservare informazioni sul modello utilizzato, sulle fonti recuperate, sul workflow eseguito e sulle azioni compiute.
Un segnale per l’AI enterprise europea
La designazione di ChatGPT come VLOSE è rilevante anche perché evidenzia la convergenza tra chatbot, motori di ricerca e agenti.
I confini tra queste categorie stanno diventando meno netti.
Un assistente può cercare sul web, interrogare documenti aziendali, utilizzare strumenti e compiere azioni. La stessa interfaccia può quindi svolgere funzioni molto diverse, ciascuna con rischi e responsabilità differenti.
Per le organizzazioni questo suggerisce di evitare adozioni frammentate.
Se ogni reparto utilizza strumenti indipendenti senza inventario centrale, diventa difficile sapere quali dati vengono elaborati, quali provider sono coinvolti e quali workflow possono agire sui sistemi.
Gol-IA e una governance indipendente dal provider
Gol-IA nasce per affrontare proprio questo problema organizzativo.
L’obiettivo è creare un hub nel quale utenti, modelli, knowledge base, fonti e workflow possano essere governati in modo centralizzato.
L’organizzazione può utilizzare modelli completamente locali quando il caso d’uso lo consente oppure adottare un’architettura ibrida.
In quest’ultimo caso applicazione, documentazione, retrieval e chat possono rimanere nell’infrastruttura aziendale, mentre a un modello esterno viene fornito soltanto il contesto necessario alla richiesta.
Questa infrastruttura fornisce elementi tecnici utili per affrontare la governance: controllo delle fonti, minimizzazione, tracciabilità, scelta dei modelli e minore dipendenza da un singolo provider.
Contattaci per avere informazioni in anteprima su Gol-IA:
Una Consulenza AI dovrebbe partire da questo inventario: quali sistemi vengono utilizzati, quali dati elaborano, dove risiedono, quali utenti possono accedervi, quali provider intervengono e quali processi richiedono supervisione umana.
La decisione della Commissione su ChatGPT mostra che l’AI generativa sta diventando infrastruttura.
Per le aziende la conseguenza è altrettanto chiara: l’adozione non può più essere soltanto una scelta di prodotto. Deve diventare una scelta di architettura e governance.