ChatGPT, Reddit und Roblox unterliegen jetzt den strengsten EU-Digitalregeln

Die Europäische Kommission hat ChatGPT, Reddit und Roblox der strengsten Kategorie des europäischen Digital Services Act (DSA) zugeordnet. ChatGPT gilt nun als Very Large Online Search Engine (VLOSE), Reddit und Roblox als Very Large Online Platforms (VLOPs). Für die Unternehmen bedeutet das vor allem eines: direkte Kontrolle durch die EU-Kommission sowie weitreichende laufende Pflichten zu systemischen Risiken, Transparenz, unabhängigen Prüfungen und dem Zugang zu Daten für Forschende. 12

Was die Einstufung bedeutet

Der DSA sieht sein „Very Large“-Regime für Onlineplattformen und Suchmaschinen vor, die im Durchschnitt mehr als 45 Millionen monatliche Nutzer in der EU erreichen. Entscheidend ist dabei zunächst die Reichweite. Welche Kategorie gilt, hängt anschließend von der Funktion des Dienstes ab: Reddit und Roblox ermöglichen es Nutzern, Inhalte öffentlich zu erstellen und zu teilen. Die Suchfunktion von ChatGPT erlaubt Nutzern dagegen, Informationen aus dem Web anzufordern und zu erhalten. 14

Alle drei Dienste meldeten, die erforderliche Schwelle zu erreichen. In der von der Kommission veröffentlichten Liste wird ChatGPT mit 159,1 Millionen durchschnittlich monatlich aktiven Empfängern in der EU geführt. Roblox hatte rund 48 Millionen monatliche Nutzer in der EU angegeben. Für Reddit bestätigen die verfügbaren Quellen ebenfalls das Überschreiten der 45-Millionen-Schwelle, nennen aber keine vergleichbare exakte Zahl. 71314

Die Bezeichnung ist nicht bloß ein Etikett für besonders große Anbieter. VLOPs und VLOSEs unterliegen zwar bereits den allgemeinen DSA-Regeln, mit der Einstufung kommen jedoch die umfangreichsten Anforderungen des Gesetzes an Risikomanagement und Rechenschaftspflichten hinzu. 12

Warum ChatGPT als VLOSE gilt

Die Einstufung von ChatGPT ist besonders bemerkenswert: Der Dienst ist der erste KI-Chatbot, der als Very Large Online Search Engine klassifiziert wurde. 4

Ausschlaggebend ist ChatGPT Search. Für die Anwendung des DSA zählt nicht allein, ob ChatGPT Texte generiert. Relevant ist auch, dass die Suchfunktion Nutzern ermöglicht, Informationen aus dem Internet zu suchen und abzurufen. Erreicht ein solcher Dienst zugleich die notwendige Nutzerzahl, fällt er in den rechtlichen Rahmen für große Suchmaschinen. 14

Damit schafft die Entscheidung einen wichtigen Präzedenzfall: Ein generativer KI-Dienst kann in die höchste DSA-Kategorie fallen, wenn seine konkrete Funktion und seine Reichweite die breite gesellschaftliche Wirkung entfalten, auf die das Gesetz abzielt.

Welche zusätzlichen Pflichten jetzt gelten

ChatGPT, Reddit und Roblox müssen mehrere zusätzliche Anforderungen erfüllen.

Jährliche Bewertung systemischer Risiken

Jeder der drei Dienste muss systemische Risiken im Zusammenhang mit seinem Betrieb bewerten und jährlich darüber berichten. Dazu zählen unter anderem die Verbreitung illegaler Inhalte, mögliche Auswirkungen auf Grundrechte und den öffentlichen Diskurs, Risiken für Minderjährige sowie Gefahren für die öffentliche Sicherheit. Bei ChatGPT kommen Fragen zur Informationsbeschaffung und zu den Auswirkungen KI-generierter Antworten hinzu. 1910

Maßnahmen zur Risikominderung

Die Unternehmen müssen verhältnismäßige Maßnahmen ergreifen, um erkannte Risiken zu verringern. Der DSA verlangt daher nicht nur, mögliche Schäden zu dokumentieren. Die Anbieter müssen auch darlegen, wie ihre Systeme, Regeln und Schutzvorkehrungen auf diese Risiken reagieren. 19

Unabhängige Prüfungen

Die Dienste müssen sich jährlich unabhängigen Audits unterziehen. Dadurch kommt eine externe Kontrollinstanz zu den eigenen Angaben und internen Bewertungen der Unternehmen hinzu. 1610

Datenzugang für Kommission und Forschung

Die Unternehmen müssen der Europäischen Kommission und zugelassenen Forschern Zugang zu relevanten Daten gewähren, damit diese systemische Risiken und die Einhaltung des DSA untersuchen können. So erhalten externe Prüfer die Möglichkeit, die Funktionsweise der Dienste in großem Maßstab zu analysieren – innerhalb des vom DSA vorgegebenen Zugangsrahmens. 16

Wer die Dienste beaufsichtigt

Für die designierten VLOPs und VLOSEs wird die Europäische Kommission zur zentralen DSA-Aufsichtsbehörde. Sie arbeitet dabei mit den nationalen Koordinatoren für digitale Dienste zusammen. Die Kommission kann Informationen anfordern, Unterlagen zur Einhaltung der Vorschriften prüfen, Geschäftsräume inspizieren, Korrekturmaßnahmen verlangen und gegebenenfalls formelle Untersuchungen einleiten. 12

Das ist deshalb relevant, weil die Aufsicht nicht mehr allein bei der nationalen Behörde liegt, in deren Land ein Unternehmen rechtlich präsent ist. Die Kommission kann die größten Dienste auf EU-Ebene überprüfen – einschließlich ihrer Risikobewertungen, Gegenmaßnahmen, Auditberichte und Verfahren für den Datenzugang. 12

Bis wann müssen die Unternehmen handeln?

Nach ihrer Einstufung haben die drei Dienste vier Monate Zeit, die zusätzlichen Pflichten zu erfüllen. Berichte der Kommission und europäischer Nachrichtenorganisationen setzen die Frist auf Ende November 2026. 3710

Das bedeutet nicht, dass sämtliche DSA-Pflichten erst zu diesem Zeitpunkt beginnen. Die Übergangsfrist soll den neu eingestuften Diensten Zeit geben, die zusätzlichen Anforderungen für die Kategorie mit der größten Wirkung auf Nutzer und Gesellschaft umzusetzen.

Welche Strafen drohen?

Bei einem schweren Verstoß gegen den DSA kann eine Geldbuße von bis zu 6 Prozent des weltweiten Jahresumsatzes eines Unternehmens verhängt werden. 5910

Die Aufsicht der Kommission macht die Einhaltung zudem zu mehr als einer einmaligen Transparenzübung. Sie kann Informationen und Nachweise verlangen, Schutzmaßnahmen und Risikobewertungen untersuchen und Korrekturen anordnen. 12

Warum die Entscheidung über diese drei Dienste hinausweist

Die Einstufung zeigt, dass die EU digitale Dienste zunehmend nach ihrer Funktion und gesellschaftlichen Reichweite reguliert – und nicht nur nach klassischen Kategorien wie soziales Netzwerk, Marktplatz oder Suchmaschine. Mit ChatGPT fällt ein stark verbreiteter generativer KI-Dienst in dieselbe besonders anspruchsvolle Regulierungsarchitektur wie die größten Onlineangebote. 14

Zugleich erweitert die Entscheidung den praktischen Anwendungsbereich der strengsten DSA-Regeln auf Online-Diskussionen, Gaming und KI-gestützte Informationssuche. Der gemeinsame Auslöser ist die Reichweite, die konkreten Risiken unterscheiden sich jedoch: Bei Reddit und Roblox stehen nutzergenerierte Inhalte und der Schutz Minderjähriger besonders im Vordergrund. Bei ChatGPT sind dagegen Informationsqualität, Suchvorgänge und KI-generierte Antworten zentrale Themen. 19

Die Einstufungen dürften außerdem die Debatte darüber verschärfen, wie die EU große Technologieunternehmen mit Sitz außerhalb des Staatenbundes reguliert. Die Kommission beschreibt den DSA als technologie- und unternehmensneutral und an der Wirkung sowie Nutzerreichweite eines Dienstes orientiert. Kritiker der europäischen Digitalregulierung argumentieren dagegen, dass die Pflichten große Technologiekonzerne besonders stark belasten. Die unmittelbare Rechtsfolge ist jedoch eindeutig: ChatGPT, Reddit und Roblox müssen in der EU künftig das höchste Maß an fortlaufender Rechenschaft nach dem DSA erfüllen. 17