¿Por qué la UE refuerza el control sobre ChatGPT, Reddit y Roblox?

La Unión Europea ha colocado a ChatGPT, Reddit y Roblox bajo el nivel más exigente de supervisión de la Ley de Servicios Digitales, la conocida DSA. La razón no es una infracción ni una sanción: las tres han superado el umbral de 45 millones de usuarios mensuales activos en la UE, la frontera a partir de la cual Bruselas considera que un servicio tiene suficiente peso como para provocar riesgos que ya no son meramente individuales, sino potencialmente sistémicos.

Para los usuarios de España esto no supone que ChatGPT vaya a ser limitado, que Reddit tenga que cerrar comunidades o que Roblox empiece a funcionar bajo una especie de tutela europea. Lo que cambia es bastante más concreto: habrá más obligaciones de transparencia, auditorías independientes, control de algoritmos, protección de menores, evaluación de riesgos, acceso regulado de investigadores a determinados datos y una vigilancia directa mucho mayor de la Comisión Europea. Las plataformas gigantes dejan, en definitiva, de poder comportarse normativamente como si fueran una pequeña web perdida en una esquina de internet.

El cambio afecta sobre todo a las compañías, pero acabará notándose también en la experiencia cotidiana de los usuarios: en los sistemas de recomendación, las herramientas de seguridad, la publicidad, los mecanismos de reclamación y la forma en que los servicios justifican determinadas decisiones algorítmicas. Nada especialmente cinematográfico. Más controles, más documentación y bastante menos margen para responder a Bruselas con un elegante «confíe en nosotros».

La UE no ha castigado a ChatGPT, Reddit ni Roblox

La decisión adoptada el 31 de agosto de 2026 convierte jurídicamente a Reddit y Roblox en plataformas en línea de muy gran tamaño, las llamadas VLOP, mientras que ChatGPT ha sido designado como motor de búsqueda en línea de muy gran tamaño, o VLOSE, dentro del marco de la DSA.

Ese último detalle importa. Bruselas no está diciendo que ChatGPT sea simplemente un buscador tradicional al estilo de Google. La consideración europea se relaciona con las funciones mediante las que el servicio permite localizar, procesar y presentar información procedente de internet y, sobre todo, con la enorme escala que ha alcanzado entre los ciudadanos europeos.

Tampoco existe detrás de esta designación una acusación previa de comportamiento ilegal. Cruzar los 45 millones funciona como entrar en otra categoría regulatoria: cuanto mayor es el altavoz, mayor debe ser el cuidado con aquello que amplifica. La lógica europea puede resultar poco romántica para Silicon Valley, pero es bastante sencilla: un problema en una aplicación utilizada por cinco millones de personas no tiene necesariamente las mismas consecuencias que ese mismo problema reproducido ante decenas de millones de usuarios.

La cifra de 45 millones representa aproximadamente el 10% de la población de la Unión Europea y actúa como umbral operativo dentro del Reglamento de Servicios Digitales. Una vez superada y formalizada la designación, aparecen obligaciones que no recaen con igual intensidad sobre servicios de menor tamaño.

ChatGPT Search está muy por encima del umbral europeo

En el caso de ChatGPT, el salto resulta especialmente llamativo. OpenAI declaró que ChatGPT Search alcanzó unos 159,1 millones de destinatarios activos mensuales de media en la Unión Europea durante los seis meses terminados el 31 de marzo de 2026. Es más de tres veces el límite que activa el régimen reforzado.

Reddit también había dejado atrás esa frontera. La compañía situó en aproximadamente 57,2 millones su media de destinatarios activos mensuales europeos entre enero y junio de 2026. Roblox estaba mucho más cerca de la raya, pero terminó cruzándola: alrededor de 46,6 millones de usuarios mensuales activos en la UE durante su periodo de referencia terminado en agosto de 2026.

Conviene entender qué significan esas cifras. No estamos hablando necesariamente de cuentas registradas distintas, clientes que pagan una suscripción o personas que utilizan el servicio todos los días. La DSA emplea una metodología propia para determinar los llamados destinatarios activos mensuales. La regulación, como suele ocurrir, consigue que contar usuarios sea bastante menos intuitivo que contar cabezas dentro de una habitación.

Por qué Bruselas endurece la vigilancia al superar 45 millones

Europa parte de una idea que lleva años recorriendo su legislación digital: el tamaño genera responsabilidad. Una red social, un buscador, una plataforma de videojuegos o un sistema capaz de distribuir información a decenas de millones de europeos puede influir en derechos fundamentales, procesos electorales, seguridad pública, salud, protección de menores o circulación de contenidos ilegales.

La DSA obliga por eso a las plataformas gigantes a estudiar no solo incidentes aislados, sino el funcionamiento completo de sus sistemas. Deben analizar, por ejemplo, si determinados algoritmos facilitan la difusión masiva de contenido ilegal, si ciertas decisiones de diseño pueden perjudicar a menores o si una herramienta puede aumentar artificialmente la exposición a material dañino.

Para ChatGPT el asunto abre un terreno especialmente interesante. La Comisión podrá examinar los riesgos sistémicos ligados a sus sistemas algorítmicos y a sus funciones de búsqueda, incluida la forma en que accede, selecciona o presenta información. No significa que Bruselas tenga que aprobar cada respuesta de una inteligencia artificial antes de que aparezca en la pantalla. Significa que OpenAI tendrá que demostrar que identifica los riesgos relevantes, adopta medidas razonables para reducirlos y puede explicar ese trabajo ante los supervisores.

Ahí está el cambio de fondo. Ya no basta con afirmar que existen medidas de seguridad y publicar una nota corporativa impecable. Los sistemas tendrán que ser evaluados, documentados y sometidos a escrutinio.

Qué tendrán que hacer ChatGPT, Reddit y Roblox

Las nuevas obligaciones exigen a las compañías realizar evaluaciones periódicas de riesgos sistémicos. Entre ellos figuran la difusión de contenido ilegal, posibles daños sobre derechos fundamentales, amenazas para la seguridad pública, interferencias en procesos electorales y consecuencias negativas para la salud física o mental y para los menores.

Después viene la parte menos cómoda: detectar un riesgo no basta. Las empresas deben aplicar medidas de mitigación proporcionadas, justificar por qué las consideran adecuadas y revisar posteriormente su eficacia. Según el servicio, eso puede traducirse en modificaciones del diseño, cambios en mecanismos de recomendación, controles adicionales, ajustes de moderación o más recursos internos dedicados a seguridad.

Las grandes plataformas también quedan sometidas, al menos una vez al año, a auditorías independientes sobre su cumplimiento. El auditor puede formular recomendaciones y la compañía tendrá que explicar cómo responde a ellas. Ese mecanismo introduce un actor externo en sistemas que tradicionalmente han funcionado como cajas negras protegidas por secretos comerciales y explicaciones cuidadosamente escogidas.

También aumenta el acceso de las autoridades a la información necesaria para controlar el cumplimiento y se abre una vía particularmente delicada: investigadores autorizados pueden solicitar acceso a determinados datos para estudiar los riesgos sistémicos de las grandes plataformas.

Eso no significa que cualquier investigador pueda descargarse conversaciones privadas de ChatGPT o historiales personales de adolescentes en Roblox. El acceso está sometido a requisitos de necesidad, seguridad, confidencialidad y protección de datos. La investigación debe estar vinculada a los riesgos cubiertos por la DSA y los investigadores tienen que superar un procedimiento específico de autorización.

Menores, algoritmos y publicidad estarán especialmente observados

Roblox entra en esta fase con una cuestión evidente encima de la mesa: su importante presencia entre niños y adolescentes. La protección de menores es uno de los grandes ejes de la política digital europea y la DSA obliga a examinar aspectos que van desde la exposición a contenido perjudicial hasta determinadas formas de diseño capaces de fomentar un uso excesivo.

Reddit tiene un desafío diferente. Su arquitectura mezcla comunidades, sistemas de recomendación, moderación profesional y miles de moderadores voluntarios. Al entrar en la máxima categoría de la DSA tendrá que demostrar que entiende los riesgos creados por esa combinación y que sus mecanismos responden adecuadamente cuando los problemas adquieren una escala considerable.

Las grandes plataformas y buscadores también tienen obligaciones específicas relacionadas con los sistemas de recomendación. Cuando resulten aplicables, deberán ofrecer una alternativa que no dependa de la elaboración de perfiles personales. La idea es sencilla: que el usuario pueda recibir contenido sin que toda su experiencia dependa necesariamente de un retrato algorítmico construido a partir de su comportamiento.

La transparencia publicitaria también se refuerza. Los servicios sujetos al régimen de muy gran tamaño deben mantener información accesible sobre los anuncios mostrados cuando exista publicidad en la plataforma, con datos suficientes para conocer quién financia determinados mensajes y cómo se distribuyen.

Qué cambia para los usuarios de España

El efecto más visible probablemente no llegará en forma de una gran pantalla anunciando que Europa ha regulado internet otra vez. Se notará en cambios más pequeños: más controles, explicaciones, mecanismos de reclamación, opciones relacionadas con recomendaciones, herramientas de seguridad y ajustes específicamente pensados para menores.

Algunas de esas garantías ya existen porque la DSA no empezó a aplicarse con esta designación. ChatGPT, Reddit y Roblox estaban sometidos previamente a otras disposiciones del reglamento europeo. Lo nuevo es que entran en su escalón regulatorio superior, reservado a servicios con una capacidad de influencia excepcional sobre el ecosistema digital europeo.

Un usuario español que considere que una plataforma está incumpliendo las obligaciones establecidas por el Reglamento de Servicios Digitales puede presentar una reclamación ante la CNMC, que actúa como Coordinador de Servicios Digitales en España. Eso no convierte a la CNMC en un supermoderador capaz de ordenar inmediatamente que reaparezca una publicación eliminada o se reactive una cuenta suspendida, pero sí permite trasladar posibles incumplimientos regulatorios al sistema europeo de supervisión.

Para las obligaciones específicas correspondientes a las plataformas y motores de búsqueda de muy gran tamaño, el peso principal de la supervisión recae sobre la Comisión Europea. Bruselas dispone de poderes de investigación y puede solicitar información, examinar sistemas y abrir procedimientos cuando detecta indicios de incumplimiento.

La diferencia es importante porque la designación convierte a estas compañías en interlocutores directos del regulador europeo. La Comisión puede entrar en cuestiones como las evaluaciones de riesgo, la eficacia de las medidas adoptadas o el funcionamiento de determinados mecanismos algorítmicos.

La UE no podrá leer libremente tus conversaciones de ChatGPT

La noticia puede prestarse a una interpretación bastante más espectacular de lo que dice realmente la norma. La supervisión reforzada no autoriza a Bruselas a leer indiscriminadamente conversaciones privadas de ChatGPT, ni convierte las cuentas de Reddit o Roblox en archivos abiertos para funcionarios e investigadores.

La DSA convive con el Reglamento General de Protección de Datos y con otras garantías europeas de privacidad. El acceso a información que puedan exigir autoridades o investigadores está limitado por finalidades concretas y salvaguardas legales.

Tampoco establece un sistema europeo destinado a decidir qué respuestas puede ofrecer una inteligencia artificial. El Reglamento de Servicios Digitales y la legislación europea sobre inteligencia artificial son piezas regulatorias diferentes, aunque inevitablemente puedan tocarse en determinados ámbitos.

Aquí la cuestión principal es otra: qué riesgos genera un servicio digital gigantesco, cómo los mide, qué hace para contenerlos y cuánto permite verificar desde fuera. Una cuestión bastante menos cinematográfica que imaginar a un burócrata de Bruselas leyendo chats a las tres de la tarde, pero mucho más relevante para entender lo que realmente está ocurriendo.

La moderación tampoco tendrá que eliminar automáticamente cualquier contenido polémico o erróneo. La DSA no impone una obligación general de convertir internet en una habitación acolchada. Exige mecanismos proporcionados frente a riesgos identificados y mantiene en juego derechos como la libertad de expresión y el acceso a la información.

Internet creció; las obligaciones también

El nuevo estatus no es decorativo. Si la Comisión determina que una plataforma incumple las obligaciones de la DSA puede imponer multas de hasta el 6% de la facturación mundial anual del proveedor. Para compañías de este tamaño, el porcentaje puede traducirse en cantidades muy considerables.

Bruselas dispone además de instrumentos para exigir correcciones y aplicar multas coercitivas cuando una empresa no cumple las medidas ordenadas. El régimen europeo busca precisamente evitar que una sanción pueda asumirse simplemente como otro coste de hacer negocios.

La designación, sin embargo, no significa que exista una infracción. ChatGPT, Reddit y Roblox entran en un periodo de adaptación a las nuevas exigencias. El régimen establece un plazo de cuatro meses desde la notificación para cumplir las obligaciones adicionales asociadas a su nueva categoría, situando la plena aplicación de ese nivel reforzado alrededor del cambio de año hacia 2027. Algunas primeras informaciones situaron el horizonte en noviembre, pero el plazo regulatorio comunicado es de cuatro meses.

La designación de ChatGPT tiene además un significado que va bastante más allá de OpenAI. La DSA fue concebida cuando hablar de buscadores llevaba casi automáticamente a pensar en Google y cuando los asistentes generativos todavía no habían empezado a disputarles una parte del acceso cotidiano a la información.

Eso está cambiando deprisa. Millones de personas ya no escriben únicamente palabras en una caja de búsqueda para recibir una colección de enlaces: mantienen una conversación, piden una síntesis y esperan una respuesta construida. Que ChatGPT Search ronde los 159,1 millones de destinatarios mensuales europeos explica por qué Bruselas aplica el mismo principio regulatorio: cuando una tecnología se convierte en una puerta de entrada masiva a la información, su funcionamiento deja de ser un asunto exclusivamente privado de la empresa que la construye.

Reddit y Roblox llegan al mismo lugar por caminos diferentes. Una concentra conversaciones y comunidades; la otra, videojuegos y espacios sociales frecuentados por millones de menores. Tres productos muy distintos, una misma frontera legal.

No habrá un botón nuevo llamado «vigilado por Europa». Probablemente tampoco un cambio radical de un día para otro. Lo que sí aparece es una capa adicional de responsabilidad: auditar, medir riesgos, explicar algoritmos y proteger mejor a los usuarios, aceptando que determinados sistemas puedan ser examinados desde fuera.

La UE lleva años defendiendo una idea que a las grandes tecnológicas nunca les ha resultado especialmente cómoda: alcanzar una escala gigantesca proporciona poder, pero también elimina el privilegio de presentarse como un simple intermediario neutral cuando algo sale mal. Con ChatGPT, Reddit y Roblox, esa doctrina europea acaba de ganar tres nombres bastante grandes.