La Comisión Europea designó el 31 de agosto a ChatGPT como buscador en línea de muy gran tamaño bajo la Ley de Servicios Digitales. Es el primer chatbot de IA que entra en esa categoría, la misma en la que llevan años Google y Bing. Reddit y Roblox entraron el mismo día, pero como plataformas.
El umbral de la norma son 45 millones de usuarios mensuales de media en la Unión Europea. OpenAI declaró 159,1 millones, más del triple.
Qué ha decidido Bruselas exactamente
La DSA reparte a los servicios grandes en dos cajones: plataformas de muy gran tamaño y buscadores de muy gran tamaño. Que ChatGPT haya caído en el segundo no es un detalle burocrático: significa que Bruselas lo trata como una puerta de entrada a información, no como una aplicación de chat.
Las obligaciones que vienen con eso van de evaluar y mitigar riesgos sistémicos: difusión de contenido ilegal, efectos negativos sobre menores, sobre el bienestar físico y mental de los usuarios, sobre los derechos fundamentales, sobre los procesos electorales y sobre la seguridad pública. Y auditorías independientes que lo comprueben, según la nota de la Comisión.
Los 159 millones los ha dicho OpenAI
Aquí conviene la letra pequeña. La cifra no la ha medido Bruselas: la declara cada empresa y la Comisión la publica en su página de supervisión sin validar la metodología con la que se ha calculado. Lo dice ella misma, y lo repite en cada designación.
Que el número venga de la casa no lo invalida, pero cambia lo que significa. Una empresa que declara el triple del umbral no está discutiendo si le toca o no: está reconociendo que le toca. La discusión, si la hay, vendrá luego y será sobre cómo se cuenta un usuario activo.
Cuatro meses y una fecha
El plazo es de cuatro meses desde la notificación, lo que sitúa el cumplimiento en enero de 2027. En ese tiempo OpenAI tiene que montar la evaluación de riesgos, las medidas de mitigación y el mecanismo de auditoría, y dejarlo todo por escrito.
Es el mismo camino que ya recorrieron las plataformas grandes, con una diferencia importante: nadie ha auditado nunca los riesgos sistémicos de un asistente de IA generativa. Lo que salga de esta primera vuelta va a marcar cómo se supervisa a los que vengan detrás.
Qué significa para las empresas españolas
Lo primero, lo que no cambia. Las obligaciones caen sobre OpenAI, no sobre ti por usar ChatGPT en la oficina. Tus deberes siguen siendo los de siempre: el RGPD por los datos personales que metes y el AI Act por cómo lo usas, que es la conversación que ya tocaba en cumplimiento de IA.
Lo segundo, lo que sí notarás. Un servicio bajo la DSA tiene que ser transparente con la publicidad, y ChatGPT acaba de meter anuncios en Europa, como contamos cuando llegaron a la versión gratuita. Esos dos hilos se cruzan: el repositorio de anuncios y las reglas de segmentación son obligación de la DSA, no cortesía.
Y lo tercero, lo que conviene vigilar. Cumplir con la DSA suele traer cambios de producto en Europa antes que en otros sitios: verificaciones de edad, límites de recomendación, funciones que salen más tarde. Si has montado un flujo de trabajo encima de ChatGPT, ahí es donde te vas a enterar.
El precedente pesa más que el caso
Lo relevante no es que a OpenAI le hayan puesto deberes. Es que Bruselas ha decidido que un asistente de IA es infraestructura de información y se regula como tal, con el mismo listón que un buscador. Los que estén cerca del umbral ya lo saben.
Para quien elige herramientas en una empresa, eso empieza a ser un criterio más: si un proveedor está bajo supervisión europea, hay auditorías y datos públicos donde antes había una página de marketing. Es una conversación de consultoría de IA tanto como de cumplimiento.
