생성형 AI가 DSA 최상위 감독 대상으로 편입되고 레딧·로블록스도 함께 지정됐다
결정 내용
유럽연합 집행위원회는 2026년 8월 31일 디지털서비스법(DSA)에 따라 ChatGPT를 초대규모 온라인 검색엔진(VLOSE)으로, 레딧과 로블록스를 초대규모 온라인 플랫폼(VLOP)으로 지정했다. 세 서비스 모두 EU 내 월평균 이용자 4,500만 명 기준을 넘겼다고 위원회가 밝혔다.
지정은 위법 확정이 아니다. 규모 기준을 충족한 서비스에 추가 의무와 직접 감독을 붙이는 행정 조치다. 미이행 시 전 세계 연매출의 최대 6%까지 과징금을 매길 수 있다.
위원회 공식 발표 기준 이용자 수는 ChatGPT 1억 5,910만 명, 레딧 5,720만 명, 로블록스 4,660만 명이다. ChatGPT 제공 주체는 OpenAI Ireland Limited로 기재됐다. 기존 VLOSE는 구글 검색(약 3억 6,400만 명)과 마이크로소프트 빙(약 1억 1,900만 명)이었고, ChatGPT가 세 번째로 올랐다. 지정 서비스 전체는 28개로 집계된다.
왜 검색엔진으로 분류했나
위원회는 ChatGPT를 “이용자 질의에 응답하고, 웹 검색을 포함해 정보를 찾아 제공하는 하이브리드 서비스”로 봤다. 이 기능을 근거로 DSA상 온라인 검색엔진에 해당한다고 판단했다.
이 분류가 중요한 이유는 두 가지다.
- 생성형 챗봇을 모델 안전 규제(AI법)만으로 다루지 않고, 정보 유통 인프라로 취급했다는 점이다.
- 검색엔진 지정은 링크 목록을 반환하는 전통적 검색에 한정하지 않는다. 웹 정보를 조회·종합해 답을 주는 서비스도 같은 범주에 넣을 수 있다는 해석을 공식화했다.
레딧은 주제별 커뮤니티에서 이용자가 콘텐츠를 게시·공유하는 토론형 플랫폼, 로블록스는 이용자가 게임을 만들고 공개·플레이하는 창작·게임 플랫폼으로 각각 VLOP에 넣었다. 로블록스는 기준선을 소폭 웃도는 규모다.
앞으로 붙는 의무
통지 후 약 4개월, 위원회 발표 기준으로 2027년 1월까지 추가 의무를 이행해야 한다. 일부 보도는 기한을 2026년 11월 말 또는 12월 말로 적었으나, 공식 보도자료는 “4개월, 즉 2027년 1월까지”로 적시했다.
핵심 의무는 다음과 같다.
- 체계적 위험 평가와 완화: 불법 콘텐츠 확산, 미성년자 영향, 이용자 신체·정신 건강, 기본권, 선거 과정, 공공 안전
- 연 1회 이상 독립 감사와 감사 권고에 대한 후속 조치
- 추천·알고리즘 시스템에 대한 위험 분석
- 광고 투명성(광고 식별, 민감정보 기반 타깃팅 제한, 미성년자 타깃 광고 금지 등)
- 규제당국 및 검증된 연구자에게 데이터 접근 제공
- 내부 컴플라이언스 기능 설치, 당국·이용자 연락 창구 운영
- 감독 수수료 부담
위원회는 서비스 기능과 관련 시스템을 조사할 권한을 갖는다. ChatGPT는 아일랜드 Coimisiún na Meán, 로블록스는 네덜란드 ACM과 공동 감독한다. 레딧은 제공 법인이 네덜란드(Reddit Netherlands B.V.)로 등록돼 공식 목록상 DSC는 네덜란드로 기재됐다.
규제 층이 세 겹으로 겹친다
ChatGPT는 이미 AI법과 GDPR을 적용받는다. 이번 지정으로 DSA 최상위 계층이 더해진다.
AI법과의 관계
AI법은 모델·시스템 자체의 투명성, 고위험 용도, 생성물 표시 등을 다룬다. DSA는 대규모 서비스가 사회에 미치는 유통 위험을 다룬다. 같은 답변 한 줄이 모델 출력(AI법)이면서 동시에 검색·추천 결과(DSA)로 취급될 수 있다. 위원회도 지정과 AI법 적용이 서로 대체되지 않는다고 본 바 있다.
GDPR·광고 규칙과의 관계
OpenAI는 2026년 8월 24일부터 유럽 무료·Go 요금제에 광고를 확대했다. DSA는 광고를 명확히 표시하고, 성적 지향·종교·인종·정치 성향 등 민감정보로 타깃팅하지 못하며, 미성년자 대상 타깃 광고를 금지한다. VLOSE에는 광고 저장소와 추천 시스템 설명 의무가 추가로 붙는다. 구독 매출 위에 광고를 얹는 시점에 플랫폼형 투명성 규칙이 바로 걸린 셈이다.
실무적으로는 위험 평가 범위가 넓다. 허위정보, 아동 이용, 자해·정신건강 관련 응답, 선거 기간 정보 왜곡, 불법 콘텐츠 안내가 모두 평가 대상이 될 수 있다. “모델이 생성한 답”과 “웹에서 가져온 정보”를 어떻게 로그하고 소급할지가 감사 포인트가 된다.
파급이 큰 지점
다른 생성형 AI
이번 결정은 웹 검색을 붙인 대규모 챗봇의 선례다. 이용자가 4,500만 명을 넘고 웹 조회 기능을 제공하면, 별도 소셜 플랫폼이 아니어도 DSA 최상위 대상으로 올라갈 수 있다. 제미나이, 클로드, 퍼플렉시티 등 검색형 인터페이스를 키우는 서비스는 이용자 공시와 분류 논쟁을 피할 수 없다.
제품 설계
유럽 기준이 먼저 굳어질 가능성이 크다. 출처 표시, 문제 응답 신고·이의 절차, 미성년자 기본 설정, 광고와 답변의 분리, 연구자용 데이터 인터페이스가 제품 요구사항으로 들어간다. EU 전용 기능이 전 세계 기본값이 되는 경우가 많다.
레딧·로블록스
레딧은 이용자 생성 게시물이 많은 토론 공간이라 불법 콘텐츠·선거 담론 관리가 핵심이다. 로블록스는 아동·청소년 비중이 높아 미성년자 보호와 이용자 창작 콘텐츠 관리가 감독 초점이 된다. 두 서비스는 분류 자체보다 기존 플랫폼 의무를 규모에 맞게 강화하는 성격이 강하다.
해석이 갈리는 지점
규제·소비자 보호 쪽에서는 이미 정보 관문으로 쓰이는 서비스에 검색·플랫폼 책임을 묻는 것이 규모에 맞는 조치라고 본다. 이용자가 검색창 대신 챗봇에 질문하는 비중이 커진 상황에서, 구글·빙에만 강화 의무를 두는 것은 비대칭이라는 논리다.
산업·미국 테크 쪽에서는 정의 확장을 문제로 본다. DSA는 2022년 소셜·검색을 염두에 두고 만들어졌고, 생성형 AI를 검색엔진으로 넣는 것은 관할을 넓히는 해석이라는 지적이다. 조사 권한을 “알고리즘과 지식재산 전체를 넘기는 것”으로 읽는 주장은 과장인 경우가 많다. 다만 기능 설명, 위험 평가 자료, 연구자 접근은 실제로 요구된다.
법무·컴플라이언스 현장에서는 부담이 겹친다는 점이 크다. AI법 이행이 한창인 시점에 DSA 감사·위험 평가·광고 저장소가 추가된다. 아일랜드·네덜란드 DSC와 집행위원회가 동시에 움직이면 질의·자료 제출이 중복될 수 있다.
지정 직후 과징금이 나오는 구조는 아니다. 다만 DSA 집행 사례는 이미 있다. 알리익스프레스 5억 5,000만 유로 과징금 등 대형 제재가 나온 상태라, 이행 기한 이후 조사 가능성은 열어 두는 편이 맞다.
한국·아시아에서 볼 지점
한국 이용자에게 당장 서비스가 끊기거나 바뀌는 조치는 아니다. 영향은 우회적이다.
- EU 이용자 보호를 위해 만든 출처 표시, 신고 절차, 광고 분리, 연령 장치가 글로벌 제품에 기본 탑재될 수 있다.
- 국내 포털·AI 서비스가 유럽에 서비스를 확대하거나 EU 이용자를 일정 규모 이상 확보하면 같은 분류 논쟁에 노출된다.
- 일본·한국 규제 논의는 모델 안전과 저작권 중심인 경우가 많다. EU는 여기에 “대규모 정보 매개 서비스” 책임을 겹쳐 쌓는 방식이다. 향후 국내 논의에서도 챗봇을 검색·미디어 인프라로 볼지, 소프트웨어 도구로 볼지가 쟁점이 된다.
미국과의 통상·규제 마찰 가능성도 남아 있다. 대상 세 곳이 모두 미국 기업이고, 조사·감사·데이터 접근이 국가 간 이전·영업비밀 문제로 번질 수 있다. 현재 발표는 지정이지 제재가 아니다.
앞으로 일정
- 2026년 8월 31일: 지정 발표. 개별 지정 결정문은 당시 기준 “아직 미공개”.
- 통지 후 4개월(위원회 표현상 2027년 1월): 위험 평가, 완화 조치, 감사 체계 등 추가 의무 이행
- 이후: 정기 위험 평가, 연례 독립 감사, 이용자 수 반기 공시, 위원회·DSC 조사 가능
단기 관전 포인트는 세 가지다. OpenAI가 ChatGPT 전체를 검색엔진 의무에 맞출지, 검색 기능만 분리할지. 광고 저장소와 대화 로그를 어떻게 구분할지. 같은 이용자 규모에 근접한 다른 생성형 검색 서비스를 위원회가 언제 다음 지정 대상으로 올리는지다.