欧州委員会がChatGPTをDSAの超大規模オンライン検索エンジンに指定｜日本企業の実務に効くのはどこか

2026年8月31日、欧州委員会がデジタルサービス法(DSA、Regulation (EU) 2022/2065)のもとでChatGPTを「超大規模オンライン検索エンジン(VLOSE)」に指定しました。同時にRedditとRobloxが「超大規模オンラインプラットフォーム(VLOP)」に指定されています。欧州委員会が公開している指定サービス一覧を見る限り、AIアシスタント型のサービスがこの枠組みで指定されたのはChatGPTが最初です。

このニュースは「EUがChatGPTを規制」という短い見出しで流れがちですが、業務でChatGPTを使っている日本の会社にとって最初に必要なのは、興奮でも不安でもなく線引きです。結論を先に書くと、今回発生した義務はOpenAIの義務であって、ChatGPTを利用している企業に新しい義務が生じたわけではありません。日本企業が明日までに何かをしなければならない話ではないのです。

そのうえで、この指定には実務にじわじわ効く要素がいくつかあります。AI検索が法制度上「検索エンジン」として扱われたこと、その結果として外から見える情報が増えること、同じ物差しが他のAI検索にも当たりうること。この記事では、欧州委員会の一次情報で確認できた事実を先に固め、そのあとで実務の着眼点を切り分けます。

2026年8月31日に何が指定されたのか#

欧州委員会のプレスリリース(IP/26/1772)は、冒頭で次のように述べています。ChatGPTをVLOSEとして、RedditとRobloxをVLOPとしてDSAのもとで指定した。これらのサービスは、EU域内で平均月間4,500万人以上に到達すると申告しており、指定の閾値を満たす、という構成です。

欧州委員会が公開している指定サービスの一覧(2026年8月31日更新)には、提供者申告ベースの利用者数が載っています。

この数値には注記が付いていて、「提供者が報告したもの(透明性レポートやウェブサイト等)であり、アクティブな利用者数の算定方法に関する欧州委員会の評価を妨げない」とされています。つまり欧州委員会が独自に計測した数字ではなく、事業者の申告値です。DSAは規模を問わず全てのプラットフォーム・検索エンジンに利用者数の公表を求めており(2023年2月17日が最初の期限)、以降は少なくとも6か月ごとの更新が求められています。指定はこの申告値を土台に行われます。

監督体制は分担型です。欧州委員会がDSAの遵守を監督する権限を持ち、ChatGPTについてはアイルランドのDigital Services Coordinator(DSC)であるCoimisiún na Meán、RedditとRobloxについてはオランダのACM(Authority for Consumers and Markets)と協力して行う、と公式発表に明記されています。いずれも当該サービスが設立されている国のDSCです。

本記事の事実関係は、欧州委員会のプレスリリース(IP/26/1772、2026年8月31日公表、同年9月1日更新の注記あり)、Daily News(MEX/26/1775)、指定サービス一覧、VLOP/VLOSEの義務ページ、執行フレームワークのページ、およびEUR-LexのDSA正文で確認しました。

VLOSEはこれで3つ目#

指定の意味を掴むには、これまでの顔ぶれと並べてみるのが早道です。プレスリリースによれば、今回の追加で欧州委員会が指定したVLOP・VLOSEは28サービスになりました。

そのうちVLOSE(超大規模オンライン検索エンジン)は、公式一覧を区分別に数えるとGoogle Search、Bing、そして今回のChatGPTの3つだけです。残りはすべてVLOP(超大規模オンラインプラットフォーム)で、Amazon Store、App Store、Booking.com、Facebook、Instagram、YouTube、TikTok、X、WhatsApp、Wikipedia、Zalando、AliExpress、Temu、Shein、Snapchat、Pinterest、LinkedIn、Google Play、Google Maps、Google Shopping、成人向けサイト各種、そして今回のRedditとRobloxが並びます。

つまりVLOSEという区分は、これまで検索大手2社の検索サービスだけが入る狭い箱でした。そこに3つ目としてAIアシスタントが加わった、というのが今回の構図です。指定済みサービスの一覧を見る限り、AIアシスタント型のサービスがVLOPまたはVLOSEとして指定されたのは、これが最初の例になります。

なぜ「AIだから」ではなく「検索エンジン」なのか#

ここが今回いちばん誤解されやすい部分です。ChatGPTがVLOSEになったのは、AIサービスに対する新しい規制ができたからではありません。既存のDSAの定義に当てはめた結果です。

公式発表の説明はきわめて簡潔で、ChatGPTは利用者のプロンプトや問い合わせに対して、ウェブを検索することも含めて応答できるAIシステムであり、したがってDSA上のオンライン検索エンジンに該当するハイブリッドサービスである、という論理になっています。判断の軸は「どんな技術で作られているか」ではなく「どんな機能を持っているか」です。

DSA第3条(j)は、オンライン検索エンジンを「原則としてすべてのウェブサイト、または特定言語のすべてのウェブサイトについて、キーワード・音声・フレーズその他の入力によるあらゆる主題の問い合わせを利用者が入力して検索を行うことを可能にし、要求されたコンテンツに関連する情報が見つかるものであれば形式を問わず結果を返す仲介サービス」と定義しています。原文は「in any format(いかなる形式であれ)」で、結果の見た目を限定していません。会話形式であること、生成結果が自然文であること、モデルが応答を書いていることは、この定義の妨げになりません。

対照的に、RedditとRobloxがVLOPになった理由は「利用者が第三者コンテンツを公衆に伝播できるようにするサービスだから、DSA上のオンラインプラットフォームに該当する」という、これも定義当てはめです。同じ物差しをそれぞれの機能に当てているだけ、という構図が見えます。

指定で何が増えるのか#

DSAは、規模に応じて義務が積み上がる構造になっています。ChatGPT・Reddit・Robloxは指定前から、オンラインプラットフォームまたは検索エンジンとしての一般的な義務の対象でした(公式発表もその旨を明記しています)。指定によって、そこに追加の義務が乗ります。

欧州委員会のVLOP/VLOSEページが挙げている追加義務は、おおむね次の通りです。

• 自社サービスとアルゴリズムシステムに起因するシステミックリスクを特定・分析・評価する。対象は違法コンテンツの拡散、表現の自由や差別の禁止をはじめとする基本的権利、公共の安全と選挙プロセス、ジェンダーに基づく暴力、公衆衛生、未成年の保護、心身の健康など
• 特定したリスクを緩和する措置を講じる。サービスの設計や機能の調整、レコメンダーシステムの変更、社内リソースの強化などが例として挙げられている
• 特定したリスクが緩和されていることを担保する社内コンプライアンス機能を設置する
• 少なくとも年1回、独立した監査人による監査を受け、勧告に応じた措置をとる
• 欧州委員会および各国当局とデータを共有し、遵守状況の監視・評価を可能にする
• EU域内のシステミックリスクの検出・特定・理解に資する研究について、審査を通った研究者(vetted researchers)によるデータアクセスを認める
• レコメンダーシステムについて、利用者プロファイリングに基づかない選択肢を提供する
• 広告の公開リポジトリを備える

同じページには、当局・利用者向けの窓口の設置、犯罪の通報、分かりやすい利用規約、広告・レコメンダー・コンテンツモデレーションに関する透明性も並んでいます。ただしこれらは指定で新しく生じるものではなく、DSAが区分ごとに定める一般義務です。窓口(第11条・第12条)と利用規約(第14条)はすべての仲介サービスに、犯罪の通報(第18条)はホスティングサービスに、広告とレコメンダーの透明性(第26条・第27条)はオンラインプラットフォームに、それぞれ適用されます。検索エンジンであるChatGPTにこの全部が掛かるわけではありません。指定の前後で変わる部分と変わらない部分は、分けて読むほうが正確です。

加えて、指定によって欧州委員会は、これらのサービスの背後にある機能や関連システムを評価するための調査権限を得る、とプレスリリースは述べています。ここは「義務が増えた」だけでなく「監督者が中身を見に行ける」ようになった、という変化です。

欧州委員会の執行フレームワークのページによれば、その調査権限には、遵守状況を確認するための情報提供要求(RFI)の送付、違法コンテンツの推薦のされ方などを評価するためのデータおよびアルゴリズムへのアクセスの命令、調査対象について情報を持つ者への聞き取り(本人の同意が必要で強制はできません)、事業所への立入検査(設立国のDSCとの協議を経て行われ、当該国の裁判官による許可が必要になる場合があります)が含まれます。AIアシスタントに対してこれらの権限がどのように行使されるかは、まだ実例がありません。ここは推測せず、動向を見る領域です。

期限は「指定通知から4か月」。公式表記の揺れに注意#

期限について、二次情報では「2027年1月まで」「2026年末まで」と数字が割れています。一次情報を並べると理由が分かります。

法令上の基準はDSA第33条(6)で、当該セクションの義務は「当該提供者への通知から4か月後」に適用(または適用終了)されると定められています。起点は指定決定の通知であり、暦の月末ではありません。

そのうえで、欧州委員会の公式プレスリリース(IP/26/1772)は「指定の通知後、これらのサービスには4か月、すなわち2027年1月までに、VLOP・VLOSE向けの追加のDSA義務を遵守する期間がある」と記しています。このプレスリリースには「2026年9月1日更新」の注記が付いています。一方、同じ内容を伝えた8月31日のDaily News(MEX/26/1775)は「4か月、すなわち2026年末までに」と書いています。

本記事の執筆時点で確認すると、プレスリリース本文と欧州委員会のニュースページはどちらも「2027年1月までに」で揃っており、「2026年末」はDaily Newsだけに残っています。現行の公式表記は2027年1月に一本化されていて、更新されていない旧記載が併存している、という状況です。ただし9月1日の更新でこの日付が書き換えられたのかどうかは公表されていないため、そこは断定できません。

実務上は、どちらか一方の日付を暗記するより「基準は通知から4か月」「現行の公式表記は2027年1月」と押さえておくほうが安全です。これはOpenAI側の期限であって利用企業の期限ではないため、日付そのものを社内でカウントダウンする必要はありません。むしろ意味があるのは、この時期以降に公開情報が増える可能性がある、という点です。

EU AI Actとは別の法律です#

ここは混同が起きやすいので明確に分けます。DSAとEU AI Actは別の規則であり、義務体系も監督者も違います。

• DSA(Regulation (EU) 2022/2065)は、オンライン仲介サービスに関する規則です。違法コンテンツ、透明性、未成年保護、システミックリスクといった観点から、プラットフォームや検索エンジンに義務を課します。今回のVLOSE指定はこちらです
• EU AI Act(Regulation (EU) 2024/1689)は、AIシステムそのものに関する規則です。リスク分類に応じた要求事項や、第50条の透明性義務(対話AIの告知、生成コンテンツの機械可読マーキング等)を定めます

同じサービスが両方の対象になることはありますが、「VLOSEに指定されたのでAI Actの義務も自動的に増える」という関係ではありません。逆に「AI Actに対応しているからDSAは大丈夫」でもありません。

AI Act側の透明性義務については別記事で扱っています。自社のAI利用がEUに接点を持つかどうかの判定は、実はDSAよりもAI Actのほうが日本企業に直接効いてくる場面が多いので、まだ整理していない場合はそちらを先に読むほうが実務的です。

これは「OpenAIの義務」であって「利用企業の義務」ではない#

改めて線引きを書きます。今回のDSA上の義務主体は、指定されたサービスの提供者です。ChatGPTについてはOpenAI Ireland Limitedが該当します。ChatGPTやChatGPTのAPIを業務で使っている企業が、この指定によってDSA上の新しい義務を負ったわけではありません。

以下は、この指定から導けないことです。

• ChatGPTがEUで使えなくなる、機能が制限される、といった話は公式発表に一切ありません
• 日本企業がDSAの届出や報告をしなければならない、という話でもありません
• 「ChatGPTを業務で使うのは規制上まずい」という結論にもなりません。むしろ、監督下に入ったサービスは透明性情報が増える方向に動きます

一方で、「だから完全に無関係」とも言い切れません。次の節で、実務にじわじわ効く部分を4点に整理します。

実務にじわじわ効く4点#

1. AI検索が「検索エンジン」として扱われた意味#

自社サイトのコンテンツが検索経由でどう扱われるかは、多くの企業にとって事業上の関心事です。その「検索」の一部が、これまでの検索エンジンからAIアシスタントへ移りつつあることは、実務者の肌感覚としても共有されているところでしょう。

今回、そのAIアシスタントがDSA上の検索エンジンとして扱われたことで、少なくとも制度上は、Google SearchやBingと同じカテゴリの監督下に置かれました。VLOSEの義務には、広告の公開リポジトリ、プロファイリングによらないレコメンダー選択肢の提供(第38条)、審査を通った研究者へのデータアクセス、システミックリスク評価の報告が含まれます。これらが実際に運用されれば、外部から観測できる材料は現在より増えることになります。

ただし期待しすぎは禁物です。DSAの研究者データアクセスは「EU域内のシステミックリスクの検出・特定・理解に資する研究」に限定されており、コンテンツの露出最適化のためにデータが開放される制度ではありません。広告リポジトリも、掲載された広告の透明性を確保するための仕組みであって、AIの回答に自社サイトがどう引用されるかを教えてくれるものではありません。あくまで「これまでブラックボックスだった領域に、リスク観点の窓が開く可能性がある」という程度に見積もるのが妥当です。

それでも、方向としては押さえておく意味があります。検索の一部がAIアシスタントへ移るにつれ、自社コンテンツの扱われ方を確認する手段は減ってきました。その領域に、リスク評価の結果を示す報告、緩和措置の内容、独立監査の報告、少なくとも6か月ごとの透明性レポートといった公開情報が積み上がっていくことになります(DSA第42条)。すぐに使える材料が出るわけではありませんが、今後1年から2年の間に、これまでよりは根拠のある議論ができる材料が増える可能性はあります。

2. EU域内に拠点・従業員・顧客がある場合#

DSA上の義務主体はOpenAIですが、自社がEUに接点を持つなら、確認しておくと後で楽になる項目はあります。

• EU域内の従業員や現地法人がChatGPTを業務で使っているか。使っている場合、利用形態(個人アカウントか法人契約か)を把握しているか
• 自社のEU向けサービスにAI検索やAIアシスタント機能を組み込んでいるか。組み込んでいる場合、そのサービス自体がDSAのどの区分に当たるかを一度確認したか(規模が小さければVLOP・VLOSEには当たりません。仲介サービス・ホスティングサービスとしての義務は規模を問わず検討対象ですが、オンラインプラットフォーム向けの第20条から第28条は、零細企業・小企業には原則として適用されません(DSA第19条))
• EU域内の利用者に向けて、AI生成コンテンツを含む情報発信をしているか

これらはDSAだけでなく、AI ActやGDPRの検討とも重なる棚卸しです。別々に3回やるのではなく、1つの台帳にまとめて記録しておくほうが続きます。情報の区分と入力可否の線引きをまだ決めていない場合は、その整理から着手するのが順序として自然です。

3. 他のAI検索にも同じ物差しが当たりうる#

今回の判断の軸が「AI製品かどうか」ではなく「ウェブ検索の機能を持つか」だった以上、同じ枠組みは他のAIアシスタントにも適用されうる、と読むのが自然です。ウェブ検索機能を備え、EU域内の平均月間利用者が4,500万人の閾値に達し、その旨が申告されれば、同じ検討の対象になります。

欧州委員会のHenna Virkkunen上級副委員長(技術主権・安全保障・民主主義担当)は今回の発表で、デジタル環境を注視し続け、DSAのもとで強化された監督の閾値を満たすプラットフォームの指定をためらわない、と述べています。今後の指定を予告した発言ではありませんが、閾値を満たすかどうかが引き金になる、という運用の考え方は読み取れます。

ここで断定は避けます。特定のサービスがいつ指定されるかは、利用者数の申告と欧州委員会の判断次第であり、現時点で公表されている事実からは予測できません。実務上の意味は「AI検索を業務や自社サービスに組み込むとき、規制対象になりうるカテゴリだと認識しておく」という程度です。

4. 社内ルールとして今できること#

慌てて何かを止める必要はありませんが、この機会に済ませておくと後で効く作業はあります。なお、そもそも生成AIの利用範囲や入力してよい情報の線引きが決まっていない場合は、そちらの整備が先です。国際的な制度動向への対応は、社内ルールという土台の上でしか回りません。

自社サービスに「検索付きAI」を組み込むときの見方#

VLOP・VLOSEの追加義務は、EU域内の平均月間利用者4,500万人という閾値に達したサービスにかかるものです。日本の一般的なSaaSやWebサービスがこの水準に達することは、まずありません。その意味で、今回の義務が自社に直接降ってくる心配は不要です。

ただしDSAは、この閾値を境に「対象か対象外か」が切り替わる法律ではありません。欧州委員会の説明では、DSAはすべての企業にその規模に比例して適用され、EU域内のオンライン仲介サービスとプラットフォーム全般が射程に入るとされています。中小・零細企業については一部のルールが免除される旨も公式Q&Aに記載されています。EU域内の利用者に向けてサービスを提供しているなら、自社がどの区分に当たるかを一度確認し、その判断を記録しておく価値はあります。

今回の指定から実務者が持ち帰るべき視点は、区分は製品カテゴリではなく機能で決まる、という点です。自社サービスにAIアシスタントを載せ、そこにウェブを横断的に検索して結果を返す機能を付けたなら、社内での位置づけも「検索を提供している」前提で考えたほうが安全です。これは法的な当てはめを断定する話ではなく、設計段階でのリスク認識を1段引き上げるという話です。

制裁の水準と、過度に恐れないための距離感#

制裁の水準は把握しておく価値がありますが、これも義務主体に対するものです。欧州委員会の執行フレームワークのページによれば、不遵守の決定に伴う制裁金は、違反の性質・重大性・反復性・期間に応じて決定され、いかなる場合も提供者の全世界年間売上高の6%を超えてはならないとされています。情報提供要求への回答が不正確・誤解を招く・不完全であった場合等の制裁金は全世界年間売上高の1%まで、遅延に対する定期的な違約金は全世界の1日あたり平均売上高の5%まで、という別枠も定められています。

この枠組みが実際に使われた例もあります。2025年12月5日、欧州委員会はXに対し、DSAの透明性義務違反を理由に1億2,000万ユーロの制裁金を科しました。理由には、認証バッジの誤認を招く設計、広告リポジトリの透明性の欠如、研究者への公開データへのアクセス提供の不履行が含まれています。2026年7月20日には、違法・危険・模倣品の販売に関するリスクの評価と緩和の義務違反で、AliExpressに5億5,000万ユーロの制裁金が科されています。

Xの事例は、今回の話とつながる部分があります。制裁の理由に「広告リポジトリ」と「研究者へのデータアクセス」が含まれている、つまり透明性まわりの義務が形式的なものではなく執行対象になっている、という点です。ChatGPTが同じ義務体系に入ったことの意味は、この事例から逆算するとイメージしやすくなります。

この距離感が実務では現実的です。制度側の動きに合わせて業務を止めるのではなく、「誰の義務か」「いつからか」「自社に接点があるか」の3点を確認して、必要な範囲だけ手を動かす。今回はその3点のうち、日本企業に直接効く項目がほとんどない、というのが素直な読み方です。

まとめ#

2026年8月31日の指定で確認できた事実は、次の通りです。ChatGPTがDSAのVLOSEに、RedditとRobloxがVLOPに指定され、指定済みは28サービスになりました。ChatGPTがVLOSEになった理由は、ウェブ検索の機能を持つハイブリッドサービスとしてDSA上の検索エンジン定義に当てはまるからであり、AI製品であることが理由ではありません。追加義務は指定通知から4か月後に適用され、欧州委員会は2027年1月までという目安を示しています。

日本企業の実務としては、この指定を「対応が必要な出来事」としてタスク化する必要はありません。義務主体はOpenAIです。一方で、AI検索が制度上の検索エンジンとして扱われ、透明性義務の対象に入ったこと自体は、中期的に自社のコンテンツ戦略や委託先確認の材料になりえます。

今できるのは、社内のAI検索利用の把握と、EU向けサービスへの組み込みの棚卸し、そして「DSAとAI Actは別物」という区別を社内資料のレベルで揃えておくことです。制度の動きに振り回されないためには、事実の確認と自社への影響の判定を分けて考えることに尽きます。今回はその判定の結果が「直接の影響は小さい」となる企業がほとんどのはずです。

一方で、この指定が示した判断の軸(製品カテゴリではなく機能で区分を決める)は、今後も繰り返し出てくると考えておくのが自然です。自社がAI機能を組み込むときにも、「これはAIだから既存の枠に当てはまらない」という前提は置かないほうが安全です。何ができる機能なのかを言葉にしてから、既存の区分に照らす。今回の欧州委員会の説明は、その順序で読むと理解しやすくなります。