ChatGPT DSA cambia sobre todo la gestión del riesgo para las empresas europeas: se espera más transparencia, más controles regulatorios sobre OpenAI, pero también posibles efectos sobre la visibilidad, la moderación y los workflows que dependen de ChatGPT Search. Para un directivo, la cuestión no es solo jurídica. Afecta a los plazos de los proyectos, los datos, los contratos, el SEO y la continuidad del servicio.
ChatGPT DSA: lo que se decidió en 2026
El 31 de agosto de 2026, la Comisión Europea designó a ChatGPT como VLOSE, es decir, «motor de búsqueda en línea muy grande», en virtud del Digital Services Act, el reglamento europeo 2022/2065. Ese mismo día, Reddit y Roblox fueron designados como platformas en línea muy grandes, o VLOP.
Esta calificación no es simbólica. Se aplica a los servicios que alcanzan al menos 45 millones de usuarios o destinatarios activos mensuales medios en la Unión Europea. OpenAI declaró aproximadamente 159,1 millones de destinatarios activos mensuales medios en la UE para ChatGPT Search, calculados sobre los seis meses cerrados el 31 de marzo de 2026, con una precisión útil: esta cifra se comunicó para la conformidad con el DSA y no debe reutilizarse como indicador comercial general.
Las obligaciones adicionales se aplican cuatro meses después de la notificación de la designación. Para las empresas que se apoyan en usos vinculados a la búsqueda en ChatGPT, esto crea una ventana de cambio que debe vigilarse hasta finales de diciembre de 2026 o principios de enero de 2027, según la fecha exacta de notificación.
Lo que el DSA impone a OpenAI, y lo que eso no garantiza
El DSA no transforma ChatGPT en un servicio público europeo. Impone sobre todo a OpenAI obligaciones reforzadas de gobernanza: evaluación de riesgos sistémicos, medidas de mitigación, auditorías independientes anuales, informes de transparencia, acceso regulado a los datos para los investigadores y cooperación con la Comisión Europea.
La supervisión directa corresponde a la Comisión Europea. Para ChatGPT, el coordinador nacional de servicios digitales afectado es la autoridad irlandesa Coimisiún na Meán, porque OpenAI Ireland Ltd está establecida en Irlanda. Los contratos de OpenAI aplicables a los clientes del Espacio Económico Europeo y de Suiza designan además a OpenAI Ireland Ltd como parte contratante desde el accorso a servicios en línea v.010126 del 1 de enero de 2026.
Para una pyme, el punto esencial es más práctico: el DSA regula mejor al proveedor, pero no le exime de sus propias obligaciones. RGPD, confidencialidad, propiedad intelectual, control humano, ciberseguridad y trazabilidad interna siguen siendo responsabilidad suya. Una respuesta producida o encontrada a través de ChatGPT no se vuelve automáticamente conforme porque la platforma esté supervisada.
Impactos concretos en sus proyectos, sus contenidos y su visibilidad
ChatGPT Search presenta resultados con la ayuda de modelos de lenguaje, sistemas automatizados y señales como la intención del usuario, la pertinencia y la actualidad. OpenAI también indica que utiliza citas en las respuestas y fuentes en una barra lateral, cuyo orden puede estar influido por proveedores de búsqueda terceros.
Este detalle cambia la forma de pensar su visibilidad. Un sitio bien posicionado en Google puede ser citado por ChatGPT, pero no es mecánico. Las páginas deben ser accesibles, claras, recientes, estructuradas y coherentes con la intención de búsqueda. Las empresas que ya trabajan su posicionamiento orgánico tienen por tanto una ventaja, siempre que integren también la lógica de los motores generativos. La cuestión conecta directamente con las reflexiones en torno a una estrategia GEO para aparecer en las respuestas de IA.
OpenAI precisa que algunos resultados pueden bloquearse o no mostrarse, especialmente en caso de contenido ilegal, perjudicial o sensible: contenidos explícitos que impliquen a menores, datos personales expuestos o instrucciones de violencia, por ejemplo. Esto tranquiliza en principio, pero también crea un riesgo de falso positivo. Una página legítima, mal formulada o técnicamente ambigua, puede perder visibilidad en determinados entornos de búsqueda asistida.
Para el comercio electrónico, el reto es encore más concreto. OpenAI indica que los resultados de shopping pueden aprovechar metadatos estructurados de terceros: precio, descripción del producto, opiniones. Una ficha de producto incompleta, datos Schema.org incoherentes o precios mal sincronizados pueden influir en la forma en que aparece la oferta. Con este presupuesto, a menudo es mejor corrregir la base técnica del catálogo que financiar una campaña de contenidos sin datos propios.
La trampa desconocida: la conformidad del proveedor no cubre su uso
Muchos equipos confunden dos cuestiones. Por un lado, OpenAI debe responder a las obligaciones de ChatGPT DSA como motor de búsqueda en línea muy grande. Por otro, su empresa debe decidir cómo utiliza ChatGPT, con qué datos, qué derechos y qué controles.
OpenAI indica que los usuarios pueden señalar contenido ilegal mediante un formulario o directamente en el producto, conformemente con el artículo 16 del DSA. La moderación combina tecnologías automatizadas y revisión humana: clasificadores, modelos de razonamiento, corrrespondencia por huellas digitales, listas de bloqueo, notificaciones y verificaciones humanas. Estos mecanismos pueden dar lugar a advertencias, restricciones de cuenta, restricciones de contenido compartido, bloqueo de resultados, controles de visibilidad de los GPT o moderación de foros.
En los proyectos que llevamos a cabo, vemos a menudo el mismo punto corgo: un servicio de negocio adopta ChatGPT para acelerar la redacción, el supporte o la vigilancia, y luego descubre tarde que las normas internas no han seguido el ritmo. ¿Quién valida una respuesta antes de su publicación? ¿Dónde se registran las fuentes? ¿Qué datos de clientes están prohibidos en los prompts, es decir, las instrucciones enviadas a la herramienta?
Las condiciones de OpenAI de 2026 añaden otro punto de vigilancia. Para los usos profesionales, ChatGPT Enterprise, las API y los servicios para desarrolladores se rigen por los Business Terms en lugar de por las condiciones europeas para el público general. Las políticas aplicables pueden ser las vigentes en el momento del contrato, del último pedido, de la renovación o del uso de un nuevo servicio. En otras palabras, añadir una funcionalidad puede cambiar el marco aplicable.
Presupuesto y plazos: ¿qué prever por parte de la empresa europea?
La designación ChatGPT DSA no le obliga, por sí sola, a poner en marcha un gran proyecto. En cambio, justifica una auditoría rápida si ChatGPT interviene en procesos expuestos: publicación de contenidos, support al cliente, generación de recomendaciones, búsqueda de productos, tratamiento de datos personales o ayuda a la toma de decisiones.
Aquí tiene algunos ordres de magnitud observables en el mercado francés según los proveedores y el alcance. No sustituyen a un presupuesto, pero ayudan a definir un presupuesto realista antes de consultar.
| Proyecto | Plazo habitual | Presupuesto orientativo Francia | Cuándo hacerlo |
|---|---|---|---|
| Mapeo de usos de IA y datos | 1 a 2 semanas | 1 500 a 5 000 € sin IVA | En cuanto al menos dos equipos utilicen ChatGPT |
| Revisión jurídica de contratos, RGPD y políticas internas | 2 à 4 semanas | 3 000 a 10 000 € HT | Antes de un uso con clientes o sensible |
| Auditoría SEO/GEO para visibilidad en ChatGPT Search | 2 a 3 semanas | 2 000 à 8 000 € HT | Si su captación depende del contenido o del catálogo |
| Implementación de un workflow controlado mediante API | 4 a 10 semanas | 8 000 a 40 000 € sin IVA | Para industrializar un uso empresarial recurrente |
| Plan de seguridad y registro de prompts | 2 a 6 semanas | 4 000 a 20 000 € sin IVA | Si circulan datos internos o de clientes |
Sinceramente, desarrollar una capa interna completa en torno a la API solo se justifica si el volumen, la sensibilidad o la ganancia operativa son reales. Para un pequeño equipo de marketing, unas normas de uso, una validación humana y una buena higiene SEO suelen ser suficientes. Para un servicio de atención al cliente, una fintech o una plataforme sanitaria, es otra historia.
El coste oculto no siempre es el software. Es el tiempo dedicado a corrigir contenidos, encontrar fuentes, explicar una decisión automatizada o gestionar una fuga de datos. En este punto, una auditoría de seguridad web sigue siendo complementaria, sobre todo cuando los workflows de IA se conectan a cuentas, formularios o áreas de clientes. Las estafas que explotan falsas páginas técnicas también recuerdan por qué hay que formar a los equipos sobre los riesgos de phishing, como en el caso de las falsas pantallas de Cloudflare utilizadas para engañar a los usuarios.
Lista de comprobación razonable antes de finales de 2026
El enfoque correcto no es esperar a que OpenAI publique todos sus ajustes operativos. La información pública precisa sobre el impacto empresarial de la designación VLOSE sigue siendo limitada: describe sobre todo las obligaciones legales, la moderación, los canales de notificación y los términos contractuales. Su margen de actuación se encuentra, por tanto, en su propia gobernanza.
- Identifique los usos reales : cuentas gratuitas, ChatGPT Team o Enterprise, API, GPT compartidos, extensiones, automatizaciones conectadas a Slack, Notion, CRM o back-office.
- Clasifique los datos : datos públicos, internos, confidenciales, personales en el sentido del RGPD, secretos comerciales, información de clientes o de RR. HH.
- Revise los contratos : parte contratante, políticas aplicables, países supportés, límites de uso, jurisdicción de Dublín para los clientes del EEE, Suiza y Reino Unido según el accord de servicios.
- Prepare un plan B : export de prompts críticos, procedimientos manuales, alternativa de búsqueda, proveedor secundario o modelo alojado de otra manera si la actividad depende fortemente de la IA.
- Mejore sus contenidos de origen : páginas de producto estructuradas, avisos legales claros, fechas de actualización, enlazado interno, performance móvil y datos estructurados.
La parte de visibilidad merece una atención específica. Si ChatGPT Search se convierte en una porta de entrada hacia sus ofertas, los fundamentos técnicos del sitio vuelven a pasar a primer plano: rapidez, capacidad de rastreo, indexación móvil, marcado y coherencia editorial. Un diagnóstico como el del indexación «mobile first» sigue siendo pertinente, incluso cuando el usuario final plantea su pregunta a una IA en lugar de a un motor clásico.
Desde el lado de la agencia, el reflejo es separar los proyectos: gobernanza de IA, seguridad, SEO/GEO y, después, integración técnica. Mezclarlo todo en un único proyecto produce reuniones largas y pocas decisiones. Una matriz sencilla, con riesgos, responsables y plazos, suele bastar para volver a poner el tema bajo control.
Dependencia del proveedor: el verdadero asunto estratégico
El DSA hace que OpenAI esté más supervisado, pero no más previsible a corto plazo para cada cliente. Las condiciones de uso, países supportés, límites de mensajes, límites de tokens (unidades de texto tratadas por el modelo), caudal de API o restricciones del servicio pueden evolucionar. El accord de servicios de OpenAI también menciona la noción de «Security Emergency» en caso de uso susceptible de crear un riesgo de seguridad, un daño creíble, una vulneración de los derechos de terceros o una responsabilidad para OpenAI o un tercero.
Si su herramienta interna depende de una búsqueda de ChatGPT, de un GPT público o de visibilidad en los resultados generados, debe pensar en la reversibilidad. Eso no significa abandonar ChatGPT. Significa documentar los prompts, conservar sus fuentes, evitar almacenar el conocimiento únicamente en un asistente y probar regularmente una alternativa.
El mismo razonamiento ya existe para el alojamiento y los servicios web: se puede usar OVHcloud, Cloudflare o AWS, pero se evita hacer que una función crítica sea imposible de migrar. En cuanto a los certificados, los protocolos o la seguridad de los intercambios, las empresas también empiezan a anticipar los cambios a largo plazo, por ejemplo con la migración progresiva de la criptografía poscuántica. La IA sigue esta misma lógica de arquitectura duradera.
Delimitar este tipo de proyecto de antemano evita la mayoría de las malas sorpresas: contrato inadecuado, datos demasiado sensibles en los prompts, dependencia excesiva o promesa SEO mal entendida. Una mirada externa suele ayudar a transformar una limitación normativa en un plan de acción sobrio, cuantificado y viable.
Preguntas frecuentes sobre ChatGPT, el DSA y las empresas
¿ChatGPT DSA obliga a mi empresa a hacer algo?
No directamente en la mayoría de los casos. El DSA se dirige aquí a OpenAI como VLOSE, pero su empresa debe aun así verificar sus usos, sus datos, sus contratos y sus controles internos.
¿Va a cambiar ChatGPT Search para los usuarios europeos?
Es posible que se produzcan cambios tras el período de cuatro meses posterior a la designación, en particular en materia de transparencia, moderación o presentación de los resultados. Los detalles operativos públicos específicos para los clientes de empresa siguen siendo limitados en esta fase.
¿Hace el DSA que ChatGPT sea más seguro para los datos personales?
Reforza la supervisión de los riesgos sistémicos, pero no sustituye al RGPD. Debe seguir evitando enviar datos personales o confidenciales sin base jurídica, contrato adecuado y normas internas.
¿Puede bloquearse contenido de mi sitio en ChatGPT Search?
Sí, OpenAI indica que puede no mostrar ciertos sitios o resultados que contengan contenidos ilegales, nocivos o sensibles. Una revisión de sus páginas sensibles, de sus datos estructurados y de sus avisos legales reduce el riesgo de mala interpretación.
¿Hay que invertir en GEO a causa del DSA?
El DSA no impone el GEO, pero ChatGPT Search reforza el interés de contar con contenidos fiables, estructurados y citables. Para una empresa que depende de la adquisición orgánica, es un proyecto razonable que conviene integrar en el SEO existente.