ChatGPT est désormais un moteur de recherche réglementé en Europe : ce que ça change pour votre chatbot

Le 31 août 2026, la Commission européenne a discrètement créé un précédent. Elle a classé ChatGPT comme Very Large Online Search Engine (VLOSE) — grande plateforme de recherche en ligne — au titre du règlement européen sur les services numériques (DSA). C’est la première fois qu’un assistant IA est traité comme un moteur de recherche en droit européen.

Cette décision a à peine fait surface en dehors des cercles juridiques. Pourtant, si votre entreprise évalue sur quelle plateforme IA construire son chatbot client, c’est sans doute l’information réglementaire la plus importante de ces douze derniers mois.

Pourquoi ChatGPT est devenu un « moteur de recherche » au sens du DSA

Le seuil VLOSE est fixé à 45 millions d’utilisateurs actifs mensuels moyens dans l’UE. ChatGPT en compte 159 millions — plus de trois fois ce seuil.

La qualification repose sur la fonction de recherche web en temps réel de ChatGPT. Quand un utilisateur pose une question et que ChatGPT récupère des résultats sur le web, la Commission européenne considère cette interaction équivalente à celle d’un moteur de recherche. ChatGPT devient ainsi un « service hybride » : un assistant IA qui est aussi, juridiquement, un moteur de recherche.

Conséquence concrète : ChatGPT rejoint Google, Bing et Meta dans la catégorie des plateformes que l’UE considère comme systémiquement importantes. Et cette désignation s’accompagne d’obligations sérieuses.

Les trois couches réglementaires qui s’empilent sur ChatGPT

En ce début septembre 2026, toute entreprise qui utilise ChatGPT comme moteur de son chatbot client construit son interface sur une plateforme soumise simultanément à trois régimes distincts :

1. Le Cloud Act américain

OpenAI est une entreprise américaine. En vertu du Clarifying Lawful Overseas Use of Data Act, les autorités fédérales américaines peuvent obliger OpenAI à divulguer des données sur ses utilisateurs européens — indépendamment du lieu de stockage physique des données. C’était vrai avant le DSA ; le DSA ne change rien à cette exposition.

2. L’article 50 de l’EU AI Act (en vigueur depuis le 2 août 2026)

Tout système IA interagissant avec des utilisateurs doit s’identifier comme système artificiel dès le premier message. OpenAI est exposée à des amendes allant jusqu’à 15 M€ ou 3 % de son CA mondial en cas de non-conformité — et, par extension, les entreprises qui intègrent ChatGPT sans divulgation appropriée.

3. Le DSA VLOSE (en vigueur depuis le 31 août 2026)

Le nouveau niveau. En tant que grande plateforme de recherche en ligne, ChatGPT doit désormais :

• Réaliser des évaluations annuelles des risques systémiques (contenus illicites, protection des mineurs, santé mentale, intégrité des processus électoraux)
• Tenir un registre public des publicités diffusées sur la plateforme
• Ouvrir l’accès à ses données à des chercheurs agréés par la Commission européenne
• Publier des rapports de transparence deux fois par an
• Se soumettre à des audits indépendants annuels sur ses risques systémiques
• Mettre en place un mécanisme de réponse aux crises

OpenAI dispose jusqu’à décembre 2026 pour se conformer. L’amende en cas de manquement sous le DSA peut atteindre 6 % du chiffre d’affaires mondial — le double du plafond applicable sous l’article 50 de l’EU AI Act. Le superviseur désigné est le Coimisiún na Meán irlandais.

Ce que cet empilement change pour votre chatbot d’entreprise

Ces obligations ne s’appliquent pas directement aux entreprises utilisant l’API ChatGPT. Si vous intégrez un chatbot alimenté par ChatGPT sur votre site, vous n’êtes pas personnellement soumis aux audits VLOSE.

Mais posez-vous une question simple : par quelle infrastructure transitent concrètement les conversations de vos clients ?

• Une plateforme que les régulateurs européens peuvent obliger à partager des données comportementales avec des chercheurs agréés
• Un système réalisant des évaluations de risques systémiques sur les usages de ses utilisateurs — y compris dans un contexte professionnel
• Une infrastructure soumise simultanément à la juridiction fédérale américaine (Cloud Act) et à trois cadres réglementaires européens distincts

Pour de nombreux usages — FAQ produit, assistant support sur un site e-commerce public — ce niveau de risque est gérable. Pour toute entreprise traitant des données clients sensibles, c’est une question structurelle. Cabinets d’avocats, professionnels de santé, experts-comptables, services RH : le secret professionnel s’accommode mal d’un chatbot dont les conversations peuvent être intégrées dans des programmes d’accès aux données pour chercheurs.

Le Enterprise RAG Consortium, dans son rapport 2026, a établi que 71 % des systèmes RAG en production échouent sur les requêtes complexes à plusieurs étapes. C’est un problème technique. La classification DSA est un problème d’une autre nature — il s’agit de savoir à qui répond la plateforme sur laquelle tourne votre chatbot.

L’alternative : un chatbot RAG souverain qui n’est pas un moteur de recherche

DoxyChat n’est pas un moteur de recherche. Il n’a pas vocation à le devenir.

Il ne crawle pas le web. Il n’a pas 45 millions d’utilisateurs dans l’UE. Il ne diffuse aucune publicité. C’est un système RAG privé qui répond exclusivement à partir de vos documents chargés — et qui stocke tout sur l’infrastructure Scaleway, hébergée en France.

Ce que ça signifie concrètement :

Aucune exposition au Cloud Act. DoxyChat est opéré par une société française sur des serveurs français. Aucun serveur américain, aucune maison mère américaine, aucune possibilité pour une assignation fédérale d’atteindre les conversations de vos clients.

Article 50 EU AI Act natif. Chaque chatbot DoxyChat s’identifie comme système IA dès le premier message. Ce n’est pas un ajout de conformité a posteriori — c’est intégré dans le flux de conversation depuis le début.

Classification VLOSE inapplicable par construction. DoxyChat n’a pas 159 millions d’utilisateurs dans l’UE. Il n’a pas de fonction de recherche web publique. C’est un outil professionnel privé, pas une plateforme systémique. Le statut VLOSE ne peut structurellement pas lui être appliqué.

Vos conversations clients restent les vôtres. Aucun programme d’accès pour chercheurs. Aucun dataset d’évaluation de risques systémiques. Aucun audit indépendant sur les réponses de votre bot à vos clients. Ce qui se passe dans votre chatbot ne sort pas de votre instance.

RGPD natif par architecture. Résidence des données en France. Row-Level Security dans PostgreSQL qui isole les données de chaque client. Aucune donnée utilisée pour entraîner des modèles publics.

Les plans démarrent à 0 € — le plan Discovery inclut un chatbot, 10 documents, 200 requêtes par mois. Plans payants à partir de 19 €/mois. Sans frais par résolution, sans surcoût lié à la complexité réglementaire du fournisseur.

Trois questions à poser avant votre prochain choix de chatbot

La classification DSA de ChatGPT est un révélateur utile. Utilisez-la pour auditer votre configuration actuelle ou planifiée :

1. Quels régimes réglementaires gouvernent votre fournisseur IA ? Cartographiez la pile de conformité réelle : droit américain ? EU AI Act ? DSA ? Quelles autorités ont juridiction sur les données des conversations de vos clients ?

2. Votre secteur impose-t-il des obligations de confidentialité spécifiques ? Avocats, experts-comptables, professionnels de santé, services RH : tous opèrent sous des règles de secret professionnel. Un chatbot tournant sur une plateforme VLOSE crée des frictions avec ces règles qu’un chatbot RAG souverain n’engendre pas.

3. Pouvez-vous vérifier que vos données restent dans votre juridiction ? L’article 44 du RGPD encadre les transferts de données personnelles hors UE. Une plateforme soumise à la fois au Cloud Act et au DSA soulève des questions que les clauses contractuelles types ne résolvent pas entièrement.

L’UE n’a pas classé ChatGPT comme moteur de recherche pour freiner l’adoption de l’IA. Elle l’a fait parce que ChatGPT est devenu aussi systémiquement important que Google. Pour un chatbot d’entreprise, l’importance systémique est un passif, pas un avantage. Votre chatbot devrait être privé, borné, et répondre à vous seul — pas à trois régimes réglementaires qui se chevauchent.

Essayez DoxyChat gratuitement sur www.doxychat.com.