Den 31 augusti 2026 utsåg Europeiska kommissionen ChatGPT, Reddit och Roblox enligt EU:s förordning om digitala tjänster (DSA). Därmed omfattas alla tre av det strängaste regelverket för plattformar i Europa, och de har fyra månader på sig att uppfylla kraven. Detaljen som varje växande plattform bör lägga märke till är att Roblox passerade gränsen med 46,6 miljoner användare, ungefär 1,6 miljoner över tröskelvärdet.
Varför det här utpekandet spelar roll
Kommissionen utsåg ChatGPT till mycket stor onlinesökmotor, och Reddit och Roblox till mycket stora onlineplattformar, enligt förordningen om digitala tjänster, förordning (EU) 2022/2065. Kommissionens offentliga register anger den 31 augusti 2026 för samtliga tre utpekanden, och noterar att de formella besluten ännu inte har publicerats.
Det här är ingen ny lag. DSA har tillämpats fullt ut sedan den 17 februari 2024, och den första vågen av utpekanden, som omfattade Facebook, Google Search, Amazon, TikTok och YouTube, skedde i april 2023. Det nya är att listan nu innehåller en generativ AI-assistent som används direkt av konsumenter, och att en av de tre tjänsterna ligger precis över gränsen.
Vad som faktiskt utlöser ett utpekande
Artikel 33.1 i DSA anger testet. De tyngre skyldigheterna gäller onlineplattformar och onlinesökmotorer som har ett genomsnittligt antal aktiva tjänstemottagare i unionen per månad som uppgår till 45 miljoner eller mer, när kommissionen utser dem på den grunden. Det finns inget utrymme för skönsmässig bedömning av storlek och inget undantag för att vara ett ungt bolag. Tröskelvärdet är kopplat till europeisk demografi: enligt artikel 33.2 ska kommissionen justera talet genom delegerade akter när unionens befolkning ändras med minst 5 procent, så att det fortsätter motsvara 10 procent av unionens befolkning.
Kommissionens register anger ChatGPT till 159,1 miljoner genomsnittliga månadsanvändare i EU, Reddit till 57,2 miljoner och Roblox till 46,6 miljoner. Roblox är det lärorika fallet. Tjänsten är inget välkänt socialt nätverk och ligger långt från storleken hos bolagen i 2023 års omgång, men den bär samma skyldigheter, eftersom den rapporterar ett tal över 45 miljoner.
ChatGPT:s klassificering är den andra överraskningen. Tjänsten utsågs till sökmotor, inte till plattform. I kommissionens egna ord, i vår översättning: ChatGPT är ett AI-system som kan interagera med och svara på användarnas frågor och uppmaningar, bland annat genom att söka på webben, och är därför en hybridtjänst som kvalificerar sig som en onlinesökmotor enligt DSA. Den som bygger en konsumentinriktad AI-assistent med sök- eller hämtningsfunktion bör läsa den meningen två gånger. DSA:s kategorier tillämpas utifrån vad en produkt gör, inte utifrån vad den kallas.
Vad ett utpekande faktiskt kräver
Ett utpekande flyttar ett bolag från DSA:s grundläggande skyldigheter, som är hanterbara för de flesta verksamheter online, till ett regelverk som bara existerar ovanför tröskelvärdet.
Riskbedömning och riskbegränsning
Enligt artikel 34 ska en utpekad leverantör identifiera, analysera och bedöma de systemrisker i unionen som härrör från tjänstens utformning och funktion, inbegripet dess algoritmiska system. Fyra kategorier namnges: spridning av olagligt innehåll, negativa effekter för grundläggande rättigheter, negativa effekter på det offentliga samtalet, valprocesser och den allmänna säkerheten, samt negativa effekter kopplade till könsrelaterat våld, folkhälsa, minderåriga och allvarliga konsekvenser för användarnas fysiska och psykiska välbefinnande. Den första bedömningen ska göras senast den dag skyldigheterna börjar tillämpas, därefter minst en gång om året, och dessutom innan funktioner införs som sannolikt får kritisk inverkan på de identifierade riskerna. Artikel 35 kräver sedan rimliga, proportionella och effektiva riskbegränsningsåtgärder.
Oberoende revision, på egen bekostnad
Artikel 37 kräver att utpekade leverantörer på egen bekostnad och minst en gång om året genomgår oberoende revision av sin efterlevnad av DSA. Det handlar inte om en intern genomgång som bolagsjuristen skriver under. Det är en extern revision, och revisorn måste hittas, anlitas och sättas in i verksamheten innan den kan genomföras.
Rekommendationssystem, annonsering och dataåtkomst
Artikel 38 kräver minst ett alternativ för varje rekommendationssystem som inte bygger på profilering i den mening som avses i dataskyddsförordningen. Artikel 39 kräver att leverantörer som visar annonser ska föra ett offentligt och sökbart register över annonserna på tjänsten. Artikel 40 kräver dataåtkomst för samordnaren för digitala tjänster och kommissionen på motiverad begäran, och för godkända forskare.
En funktion för regelefterlevnad med verklig självständighet
Artikel 41 kräver en funktion för regelefterlevnad som är oberoende av verksamhetens operativa funktioner, bemannad med en eller flera regelefterlevnadsansvariga. För ett bolag som har skött efterlevnad som en deltidsuppgift för jurist- eller säkerhetsteamet är det en organisatorisk förändring, inte ett policydokument.
Från när, och vem som utövar tillsyn
Artikel 33.6 är precis om tidsfristen: skyldigheterna gäller från fyra månader efter det att utpekandet meddelats leverantören. För de tre tjänsterna anger kommissionen januari 2027. Fyra månader är inte lång tid för att bygga en metod för riskbedömning, utse en oberoende revisor och upprätta ett annonsregister från noll.
Tillsynen ligger hos kommissionen, tillsammans med Coimisiún na Meán på Irland för ChatGPT och Autoriteit Consument en Markt i Nederländerna för Reddit och Roblox, i egenskap av samordnare för digitala tjänster i de länder där leverantörerna är etablerade. Om kommissionen konstaterar en uppsåtlig eller oaktsam överträdelse tillåter artikel 74 böter på upp till 6 procent av den totala globala årsomsättningen.
Snubbeltråden som de flesta bolag missar
Föreställ er ett nordiskt bolag med en konsumentapp med socialt flöde, ett fintechbolag som har lagt till community-funktioner, eller ett AI-verktyg för företag som börjar användas av konsumenter i hela Europa. Ingen inom det bolaget tänker på sig själv som en jätte. Men enligt artikel 24.2 måste bolaget redan i dag offentliggöra sitt genomsnittliga antal aktiva tjänstemottagare i unionen per månad, i en allmänt tillgänglig del av sitt onlinegränssnitt, minst en gång var sjätte månad och beräknat som ett genomsnitt över de föregående sex månaderna. Den skyldigheten har gällt sedan den 16 november 2022, före merparten av DSA.
Det offentliggjorda talet är snubbeltråden. Det är vad kommissionen tittar på, och enligt artikel 24.3 ska leverantören dessutom lämna underlaget till sin samordnare för digitala tjänster och till kommissionen på begäran. Ett bolag som publicerar 43 miljoner ett halvår och 47 miljoner nästa har i praktiken talat om för tillsynsmyndigheten var den ska titta.
Rekommenderade åtgärder
Börja med talet. Ta reda på hur ert bolag beräknar genomsnittligt antal aktiva tjänstemottagare i unionen per månad, kontrollera att ni offentliggör det så som artikel 24.2 kräver, och säkerställ att metoden håller om en tillsynsmyndighet ber er motivera den. Om ni befinner er inom räckhåll för 45 miljoner, eller räknar med att göra det inom två år, skissa på en riskbedömning redan nu, även informellt, så att ett utpekande inte hittar er på ruta ett. Observera också att fyra månader är när den första riskbedömningen ska vara klar enligt artikel 34, inte när arbetet bör börja.
Granska sedan produkten med tillsynsmyndighetens ögon. Kartlägg de funktioner som de tyngre skyldigheterna riktar in sig på, alltså rekommendationssystem, annonsering, användargenererat innehåll och algoritmisk rangordning, eftersom det är där revisioner och tillsyn börjar. Se över era beroenden av nyligen utpekade tjänster och leta efter allt som förutsätter hur de fungerade före utpekandet, eftersom standardinställningar för rekommendationer, annonspraxis och dataåtkomst kommer att förändras under de kommande månaderna. Och behandla DSA:s grundkrav som det golv ni redan borde uppfylla. En strukturerad juridisk tillväxtgenomgång är ett praktiskt sätt att ta reda på var ni står innan någon annan berättar det.
Vanliga frågor
Berör DSA bara stora amerikanska teknikplattformar?
Nej. Varje leverantör av en förmedlingstjänst till användare i EU har grundläggande skyldigheter som rör olagligt innehåll, transparens i användarvillkoren och kontaktpunkter för myndigheter, och de gäller oavsett storlek. De ytterligare skyldigheter som beskrivs här gäller bara över 45 miljoner genomsnittliga månadsanvändare i EU, men grundkraven gäller långt därunder.
Hur mäts gränsen på 45 miljoner användare?
Det är det genomsnittliga antalet aktiva tjänstemottagare i unionen per månad, beräknat över de föregående sex månaderna och offentliggjort av leverantören själv enligt artikel 24.2. Kommissionen får anta delegerade akter som fastställer metoden, och kan begära in underlaget direkt.
Vad händer om ett utpekat bolag missar fyramånadersfristen?
Kommissionen utövar tillsyn direkt över utpekade tjänster och kan inleda formella förfaranden, vilket den redan har gjort mot flera plattformar som utsågs i tidigare omgångar. Enligt artikel 74 kan böterna uppgå till 6 procent av den totala globala årsomsättningen vid uppsåtlig eller oaktsam överträdelse.
Slutsats
Utpekandena av ChatGPT, Reddit och Roblox påminner om att DSA:s tyngsta skyldigheter inte är reserverade för de mest kända namnen. De inträder när en tjänst passerar ett användartal som leverantören själv måste offentliggöra, och avståndet mellan bekvämt under gränsen och formellt utpekad kan vara ett enda starkt kvartal. För nordiska teknik-, AI- och konsumentbolag med verkliga tillväxtambitioner i Europa är tiden att förstå det här regelverket i god tid innan kommissionens meddelande kommer. Lawgent hjälper växande teknik- och AI-bolag att kartlägga sin exponering enligt DSA och AI-förordningen tillsammans och att bygga ett efterlevnadsarbete som skalar med verksamheten.
Detta är allmän information, inte juridisk rådgivning för din specifika situation.
Källor
Förordning (EU) 2022/2065 (förordningen om digitala tjänster), konsoliderad text på EUR-Lex, artiklarna 24, 33, 34, 35, 37, 38, 39, 40, 41, 74 och 93: https://eur-lex.europa.eu/legal-content/SV/TXT/HTML/?uri=CELEX:32022R2065
Europeiska kommissionen, “Commission designates ChatGPT, Reddit, Roblox under Digital Services Act”, pressmeddelande IP/26/1772: https://ec.europa.eu/commission/presscorner/detail/en/ip_26_1772
Europeiska kommissionen, nyhet om samma utpekanden: https://digital-strategy.ec.europa.eu/en/news/commission-designates-chatgpt-reddit-roblox-under-digital-services-act
Europeiska kommissionen, “Supervision of the designated very large online platforms and search engines under DSA”, det officiella registret över utpekanden och användartal: https://digital-strategy.ec.europa.eu/en/policies/list-designated-vlops-and-vloses
