L'Union européenne vient de franchir une étape qu'aucune autre juridiction occidentale n'a encore osé prendre : soumettre un agent conversationnel d'intelligence artificielle grand public au même régime de surveillance que Facebook, TikTok ou Amazon. La Commission européenne a annoncé la désignation de ChatGPT comme « très grand moteur de recherche en ligne » au sens du règlement sur les services numériques (DSA), en même temps que Reddit et Roblox, tous deux classés « très grandes plateformes en ligne ». Les trois services disposent de quatre mois pour se conformer.
Pour les millions d'usagers québécois de ChatGPT, la nouvelle a un goût étrange : les protections les plus concrètes jamais imposées à OpenAI viendront d'un continent où ils ne votent pas, décidées par une institution devant laquelle ils n'ont aucun recours. Et pendant ce temps, ni Québec ni Ottawa ne disposent d'un outil comparable.
Ce que dit exactement la décision européenne
Le seuil qui déclenche le régime renforcé du DSA est simple : 45 millions d'utilisateurs actifs mensuels dans l'Union européenne, soit environ 10 % de la population du bloc. ChatGPT y était largement au-dessus — OpenAI avait déclaré autour de 120 millions d'utilisateurs mensuels moyens pour la fonction de recherche de ChatGPT dans l'UE, un chiffre qui rendait la désignation quasi inévitable.
La subtilité juridique mérite d'être soulignée, car Numerama et Mon Carnet l'ont tous deux relevée : ce n'est pas ChatGPT dans son ensemble qui est visé, mais sa fonctionnalité de recherche en ligne, celle qui va interroger le web pour composer ses réponses. Bruxelles a donc choisi la porte d'entrée du « moteur de recherche » plutôt que celle de la « plateforme », un choix qui reflète la difficulté de faire entrer un chatbot génératif dans des catégories rédigées avant l'irruption de l'IA conversationnelle grand public.
Concrètement, dans les quatre mois, OpenAI devra produire une évaluation annuelle des risques systémiques que son service fait peser sur les droits fondamentaux, le discours civique, les processus électoraux, la santé mentale et physique et la protection des mineurs — puis mettre en place des mesures d'atténuation. Elle devra publier des rapports de transparence, expliquer les paramètres principaux de ses systèmes de recommandation, offrir un mécanisme de signalement des contenus illicites, se soumettre à un audit indépendant annuel et donner aux chercheurs agréés un accès à ses données. S'ajoute une redevance de supervision versée à la Commission. En cas de manquement, les amendes peuvent atteindre 6 % du chiffre d'affaires mondial.
C'est ce dernier volet — l'accès des chercheurs — qui pourrait s'avérer le plus transformateur. Depuis l'entrée en vigueur du DSA, aucune équipe universitaire n'a pu examiner de façon systématique comment un grand modèle de langage traite les requêtes de mineurs, oriente les usagers vulnérables ou répercute des sources d'information douteuses. Le règlement délégué sur l'accès aux données, adopté à l'été 2025, crée un mécanisme par lequel des chercheurs agréés par les coordinateurs nationaux peuvent réclamer des jeux de données internes. Appliqué à ChatGPT, cela ouvrirait une fenêtre inédite.
Reddit et Roblox : le vrai test sur les mineurs
Les deux autres désignations ne sont pas anecdotiques. Roblox, dont l'immense majorité des usagers sont des enfants et des adolescents, fait l'objet depuis des mois de plaintes et de poursuites en Amérique du Nord sur la protection des mineurs et les interactions avec des adultes malveillants. Le DSA lui interdira notamment la publicité ciblée à partir de données de mineurs et l'obligera à démontrer que ses mesures de sécurité fonctionnent, pas seulement qu'elles existent.
Reddit, de son côté, entre dans le club au moment où sa valeur commerciale tient largement à la revente de son corpus de conversations aux entreprises d'IA. La plateforme devra désormais rendre des comptes sur sa modération, ses systèmes de recommandation et son signalement des contenus illicites.
La Commission avait déjà désigné une vingtaine de services en 2023 et ouvert des procédures formelles contre X, TikTok, AliExpress, Temu et Meta. En avril 2025, elle a infligé ses premières amendes au titre du règlement sur les marchés numériques (DMA) — 500 millions d'euros à Apple, 200 millions à Meta —, signal que l'exécutif européen n'entend pas se limiter aux gestes symboliques, malgré les pressions commerciales de Washington.
Ce que ça change — ou pas — pour les usagers d'ici
Soyons précis : rien dans le DSA ne s'applique juridiquement au Québec. Un utilisateur montréalais qui estime que ChatGPT a mal géré une conversation sur sa santé mentale n'a aucun droit de plainte auprès de la Commission européenne.
Mais l'histoire récente suggère que l'effet de débordement sera réel. C'est ce que les juristes appellent l'« effet Bruxelles » : quand une entreprise doit réécrire son architecture de sécurité, ses filtres pour mineurs et ses journaux d'audit pour 450 millions d'Européens, il lui coûte souvent plus cher de maintenir deux versions du produit qu'une seule. Le RGPD a ainsi façonné les bannières de consentement partout dans le monde, y compris ici.
L'effet a toutefois ses limites. Les obligations de transparence sont territoriales : les rapports d'OpenAI porteront sur l'UE, l'accès des chercheurs sera réservé aux chercheurs agréés par des États membres, et les amendes se calculeront sur des manquements européens. Autrement dit, les Québécois pourraient hériter des correctifs techniques sans hériter du droit de savoir ni du droit de vérifier.
Loi 25, CAI, et le vide fédéral sur l'IA
Au Québec, la Loi 25 — l'ancien projet de loi 64 modernisant la protection des renseignements personnels — est pleinement en vigueur depuis 2024, y compris le droit à la portabilité des données. Elle impose des évaluations des facteurs relatifs à la vie privée, le consentement explicite pour les renseignements sensibles, et surtout un droit rare en Amérique du Nord : celui d'être informé lorsqu'une décision est prise exclusivement par un traitement automatisé, avec la possibilité de faire valoir ses observations à un humain.
C'est réel, mais c'est autre chose. La Loi 25 est une loi sur les renseignements personnels, pas sur les risques systémiques d'un service numérique. La Commission d'accès à l'information (CAI) peut enquêter sur la manière dont OpenAI traite les données d'un plaignant québécois; elle ne peut pas exiger une évaluation annuelle des effets de ChatGPT sur la santé mentale des adolescents, ni imposer un audit algorithmique indépendant, ni ouvrir les données de l'entreprise à des chercheurs de l'Université de Montréal ou de Laval. Ses ressources, régulièrement pointées du doigt, sont par ailleurs sans commune mesure avec celles de la task force européenne.
Au fédéral, le tableau est plus décourageant encore. Le projet de loi C-27, qui contenait la Loi sur l'intelligence artificielle et les données (LIAD) — le premier cadre canadien sur l'IA à haut impact —, est mort au feuilleton en janvier 2025 avec la prorogation du Parlement. Le texte avait été critiqué de toutes parts : trop vague pour la société civile, trop lourd pour l'industrie, et surtout rédigé avant l'arrivée de ChatGPT, ce qui avait forcé le gouvernement à greffer des amendements sur les systèmes génératifs en cours de route. Depuis, Ottawa a nommé un ministre de l'IA, Evan Solomon, et lancé des consultations, mais aucune loi contraignante n'a été redéposée. La Loi sur la protection de la vie privée des consommateurs, elle aussi contenue dans C-27, a subi le même sort — de sorte que la LPRPDE, adoptée en 2000, demeure la loi fédérale de référence.
Résultat : entre une loi québécoise conçue pour la vie privée et un vide fédéral sur l'IA, aucune autorité canadienne ne dispose aujourd'hui des pouvoirs que Bruxelles vient de s'octroyer.
Une souveraineté numérique en creux
La question dépasse la technique. Au moment où l'Europe se dote d'outils d'audit, le Financial Times observait récemment que l'inquiétude occidentale à l'égard de l'IA et des centres de données sert surtout d'exutoire à un sentiment plus large de dépossession économique. Le Québec, qui accueille des projets de centres de données énergivores et abrite avec Mila un pôle mondial de recherche en IA, se trouve dans une position paradoxale : contributeur intellectuel majeur, hôte d'infrastructures, mais spectateur réglementaire.
La désignation de ChatGPT constitue un précédent que les législateurs d'ici auraient intérêt à disséquer. Elle démontre qu'il est possible d'encadrer un service d'IA sans en interdire l'usage, en misant sur la transparence, l'audit et l'accès des chercheurs plutôt que sur l'interdiction. Elle démontre aussi qu'un cadre rédigé avant l'IA générative peut être étiré pour la couvrir — au prix de contorsions juridiques.
Les quatre prochains mois diront ce qu'OpenAI publiera réellement. Ici, la question est plus simple : combien de temps encore le Québec et le Canada accepteront-ils que leurs standards numériques soient écrits ailleurs?