欧州委員会は、OpenAIのChatGPTを初めて「超大規模オンライン検索エンジン」として分類した。ChatGPTは会話型AIとして広く知られているが、ウェブを検索し、利用者の質問に答える機能を備える。そのため欧州連合（EU）のデジタルサービス法、通称DSAの下では検索エンジンに該当する、というのが今回の判断だ。原文によれば、欧州委員会は月曜日にブリュッセルでこの措置を発表した。生成AIサービスを単なる文章作成ツールではなく、情報への入口として監督する動きが明確になった点で注目に値する。



分類のもう一つの根拠は利用規模である。ChatGPTはEU域内で月間4,500万人以上に利用されており、超大規模サービスとみなされる基準に達した。利用者の多いサービスは、違法コンテンツ、未成年者への危険、選挙への干渉といった問題が起きた場合の影響も広範囲になり得る。そこでDSAは、通常のサービスより強い説明責任とリスク管理を求める。今回の指定は、ChatGPTが違法と判断されたという意味ではない。社会的影響の大きさに応じて、予防的な監督を強める制度上の位置付けである。

同時に、掲示板型コミュニティのRedditと、ユーザーがゲームや仮想空間を制作・共有できるRobloxも「超大規模オンラインプラットフォーム」に再分類された。両者は利用者が他の利用者のコンテンツを共有できるため、検索エンジンではなくプラットフォームとして扱われる。形態の異なる三つのサービスが同じ発表で対象になったことは、EUのデジタル規制が従来型SNSだけでなく、生成AIや参加型サービスまで横断的に捉え始めたことを示している。

ChatGPTの画面は、検索結果のリンクを一覧表示する従来型検索エンジンとは大きく異なる。利用者は自然な文章で質問し、AIが複数の情報を整理した回答を返す。しかし、見た目や操作方法が違っても、ウェブ上の情報を探し、質問への回答を提供する機能があれば、DSA上の検索エンジンとして捉えられる。今回の判断から読み取れるのは、EUが製品の名称や自己紹介ではなく、実際にどのような機能を利用者に提供しているかを重視しているということだ。



この考え方は、生成AIを利用する企業にとって重要である。チャットボットは文章生成、要約、調査支援、検索など複数の役割を一つの画面にまとめられる。機能が組み合わさるほど、サービスの法的な分類も一つのラベルだけでは説明しにくくなる。ChatGPTがAIモデルを用いた会話サービスであることと、検索機能を提供することは両立する。したがって「AI企業だから検索規制とは無関係」とは限らず、提供機能と利用規模の組み合わせによって追加義務が生じ得る。

また、生成AIの回答はリンクの羅列ではなく、ひとまとまりの文章として提示されることが多い。利用者にとって便利な一方、どの情報を基に結論へ至ったのかが見えにくい場合もある。原文は回答品質そのものへの新たな規制を述べているわけではないが、欧州委員会がリスクとサービスの仕組みを監査できるようになる点は、この情報仲介の性質と関係する。検索の入口が会話型へ移っても、社会的な影響力に見合う検証可能性を確保しようとするのが、今回の分類の基本的な文脈だ。

DSAの「超大規模」という分類では、EU域内の月間利用者4,500万人が重要な基準になる。原文によると、ChatGPTは少なくともこの人数に到達している。ここで注目すべきなのは、世界全体の知名度や企業価値ではなく、EU域内での到達規模が判断材料になっている点だ。デジタルサービスは国境を越えて提供されるが、EUは域内利用者への影響を軸に監督する。日本企業が海外サービスを評価する際にも、グローバルの総利用者数だけでなく、規制地域ごとの利用規模や提供機能を見る必要がある。



ChatGPT、Reddit、Robloxの三サービスには、追加義務へ対応するため4カ月が与えられ、期限は2026年12月末とされている。短期の書類提出だけで終わる話ではなく、リスク評価、通報や苦情の処理、透明性報告、研究者へのデータ提供など、複数の運用を整備する期間だと理解するとよい。対象企業は法務部門だけでなく、プロダクト、セキュリティ、広告、データ管理、広報などをまたいだ対応を求められる可能性がある。これは一般的な実務上の見方であり、各社の具体的な対応内容は今後の運用によって異なる。

欧州委員会は指定によって監査権限を強め、アイルランドとオランダの当局とも連携する。欧州委員会副委員長のヘンナ・ビルクネン氏は、対象サービスがより厳しい監督に服することになると述べた。原文の時点で、DSAの下で指定されたプラットフォームと検索エンジンは合計28に上る。対象数の増加は、制度が一度きりの指定ではなく、サービスの成長や機能変化に応じて適用範囲を見直す枠組みであることをうかがわせる。

指定後に求められる中心的な対応は、サービスが社会にもたらし得るリスクを把握し、軽減策を説明できるようにすることである。原文は具体例として、違法コンテンツ、未成年者への危険、選挙への干渉を挙げている。生成AIの場合、利用者が入力する質問、ウェブ検索で参照される情報、AIが組み立てる回答が連続しているため、リスク管理を単一の投稿削除だけに還元しにくい。どの段階で問題を検知し、誰が判断し、異議申立てをどう扱うかという運用全体が検証の対象になり得る。



運用上の義務には、一般公開される広告アーカイブ、承認された研究者へのデータアクセス、半年ごとの透明性報告が含まれる。広告アーカイブは、サービス上でどのような広告が表示されたのかを外部から確認しやすくする仕組みである。研究者へのデータ提供は、企業の自己評価だけでなく、外部の専門家が社会的影響を調べる道を開く。透明性報告は、対応状況を定期的に示す役割を持つ。いずれも、内部で対策していると説明するだけでなく、第三者が検討できる材料を用意する方向性を示している。

さらに、違法コンテンツの報告手段と苦情処理、危機対応の仕組みも必要になる。企業の視点では、問い合わせ窓口を置くだけでは不十分で、受付、優先順位付け、判断、利用者への通知、再審査といった一連のプロセスを整合させることが課題になるだろう。ただし原文は、ChatGPTに対して個々の機能をどの仕様で実装するかまでは説明していない。今後の具体化を見守る際には、義務の名称だけでなく、それが検索と生成を組み合わせたサービスのどの部分に適用されるのかを分けて確認する必要がある。

今回の分類により、欧州委員会が主に得るのは、ChatGPTのリスクと仕組みに関する監査権限である。ただし、監査できることと、AIモデルの内部をあらゆる方法で直接検査できることは同義ではない。原文は、この分類が欧州委員会によるモデルの直接テストを明示的に認めるものではないと指摘する。生成AIの監督では、サービスの出力や運用記録を見るだけで足りるのか、それとも学習過程やモデル内部に関する情報まで必要なのかという境界が大きな論点になる。



とりわけ議論が分かれているのが、承認された研究者に認められるデータアクセスの範囲だ。アムステルダム大学の法学教授ナタリ・ヘルベルガー氏はTech Policy Pressに対し、DSA第40条に基づくアクセス義務が、システミックリスクの特定や軽減策の評価に必要な場合、学習データやモデルの重みまで含み得るのかという興味深い問題を提起すると述べた。モデルの重みとは、AIが入力から出力を計算する際に用いる多数の調整値を指す。学習データもモデルの重みも、AIの挙動を理解するうえで重要だが、アクセス対象になるかは確定していない。

企業にとっては、透明性と機密性の両立が焦点になると考えられる。外部検証に必要な情報を提供する一方で、個人情報、セキュリティ、知的財産、悪用防止にも配慮しなければならないからだ。もっとも、原文は具体的な情報開示の線引きや結論を示していない。現段階で「学習データやモデルの重みが必ず開示される」と断定するのは適切ではなく、法解釈と実際の監督手続きがどう整理されるかを継続して確認する必要がある。

今回の指定は、生成AI市場における競争軸が、性能や価格だけではなく、規制対応力にも広がっていることを示す事例と考えられる。大規模サービスには、リスク評価、報告、苦情処理、研究者対応などを継続運用する組織能力が必要になる。これは開発部門だけで完結せず、法務、政策、データガバナンス、セキュリティ、利用者保護を横断する課題だ。利用者が増え、検索などの社会的影響が大きい機能を備えるほど、成功に伴って説明責任も増すという構図が見えてくる。



一方で、厳格な監督が直ちに技術革新を妨げる、あるいは安全性を自動的に保証すると決めつけるべきではない。追加義務には運用コストが伴うと考えられるが、透明性や外部検証の仕組みが利用者や法人顧客の信頼につながる可能性もある。反対に、制度への形式的な対応だけでは、生成AI特有の誤りや検索結果の偏りなど、実際の利用場面で生じる課題を十分に捉えられない可能性もある。ここは原文が結論を示した部分ではなく、指定内容から導ける業界上の見方である。

また、ChatGPTの分類は、生成AIと検索の境界が制度上も再検討されていることを他社に意識させるだろう。今後、会話型の検索機能を提供するサービスは、自社が何と呼ばれているかよりも、利用者が実際に何をできるか、どの地域でどれだけ使われているかを把握する必要がある。特に機能追加のたびに、適用される規制や必要な運用が変化し得る。市場への本当の影響は今後の執行や解釈に左右されるため、現時点では指定そのものと、まだ未確定の論点を区別して評価することが重要だ。

日本企業にとって、今回のニュースは欧州で事業を展開するAI企業だけの問題ではない。業務でChatGPTを利用する企業、生成AIを組み込んだ製品をEU向けに提供する企業、AI検索の結果を顧客対応や意思決定に使う企業にも、間接的な示唆がある。まず確認したいのは、利用中のAIがどの機能でウェブ情報を取得し、回答を生成し、ログや通報を扱うかである。規制上の義務を直接負う主体がサービス提供者でも、導入企業は自社の説明責任や顧客対応を外部サービスへ丸ごと委ねることはできない。



実務では、利用目的、対象地域、利用者、取り扱うデータ、障害や不適切回答が起きた際の連絡経路を整理するとよい。さらに、契約や社内ルールで、ログの保存、データ利用、監査資料、苦情や削除要請への対応分担を確認する。DSAの追加義務をそのまま日本国内の全企業へ当てはめる必要はないが、リスクの特定、記録、透明性、異議申立てという考え方は、法人のAIガバナンスを点検する枠組みとして参考になる。法的適用の判断が必要な場合は、対象地域とサービス設計を踏まえ、専門家に確認すべきである。

経営層は、規制対応を法務部門だけの作業にせず、製品設計や調達判断と結び付ける必要がある。たとえばAIサービスの選定時には、回答性能だけでなく、情報源の扱い、問題報告の窓口、透明性資料、変更通知の方針も比較項目になり得る。今回とりわけ重要なのは、学習データやモデルの重みへのアクセス範囲がまだ争点であることだ。不確定な論点を断定せず、公開情報と契約条件を定期的に更新する。その地道な運用が、規制変更にもサービス変更にも耐えられるAI活用の基盤となる。