EU wendet strengste DSA-Regeln auf ChatGPT an

ChatGPT erreicht die höchste Online-Sicherheitsstufe der EU

Die Europäische Kommission erklärte am Montag, dass OpenAIs ChatGPT, Reddit und Roblox nun als sehr große Online-Plattformen im Sinne des Digital Services Act der Europäischen Union behandelt werden. Damit werden die strengsten Online-Sicherheitsverpflichtungen des Blocks auf einen der weltweit am häufigsten genutzten KI-Dienste ausgeweitet.

Die Entscheidung ist bedeutsam, weil der Digital Services Act, kurz DSA, eine zusätzliche Ebene der Rechenschaftspflicht vorsieht, sobald ein Dienst die EU-Schwelle von 45 Millionen monatlichen Nutzern überschreitet. Nach Angaben der Kommission haben alle drei Unternehmen diese Marke nun erreicht und fallen damit in eine Kategorie, die Plattformen vorbehalten ist, die groß genug sind, um innerhalb des Blocks breite gesellschaftliche Auswirkungen zu haben.

Für ChatGPT ist die Einstufung besonders bemerkenswert, weil sie zeigt, wie bestehende Plattformregeln auf schnell wachsende generative KI-Produkte angewendet werden, nicht nur auf klassische soziale Netzwerke oder Marktplätze. Brüssel testet bereits, wie ältere digitale Regeln auf neuere KI-Systeme passen, und die Ankündigung vom Montag macht diese Bemühung konkreter. Statt auf völlig neue, speziell auf KI zugeschnittene Durchsetzungsstrukturen zu warten, nutzt die Kommission den DSA, um unmittelbarere Kontrollen rund um Risiko, Sicherheit und Governance zu verlangen.

Was die neue Einstufung verändert

Nach der Entscheidung der Kommission unterliegen ChatGPT, Reddit und Roblox zusätzlichen Pflichten, die über die grundlegende Plattform-Compliance hinausgehen. Der Ausgangstext nennt Anforderungen im Zusammenhang mit der Entfernung illegaler Inhalte sowie dem Schutz der Privatsphäre und Sicherheit Minderjähriger. Unternehmen, die diese Vorgaben nicht erfüllen, können mit Geldbußen von bis zu 6 Prozent des weltweiten Umsatzes belegt werden.

Die Dienste haben bis Ende Dezember 2026 Zeit, diese zusätzlichen Verpflichtungen zu erfüllen. Das schafft ein kurzes, aber relevantes Compliance-Fenster für Unternehmen, die schnell gewachsen sind, insbesondere in Kategorien, in denen sich Produktverhalten, Moderation und Nutzerinteraktionen schneller verändern als traditionelle Gesetzgebungszyklen.

Für OpenAI bedeutet die Ankündigung, dass ChatGPT nicht mehr einfach als innovativer KI-Assistent mit außergewöhnlich hoher Verbrauchernachfrage behandelt wird. Regulatorisch wird es nun als groß angelegte, öffentlich sichtbare digitale Plattform betrachtet, deren Reichweite systemische Verantwortung mit sich bringt. Dieser Wandel ist eines der bislang klarsten Signale dafür, dass Mainstream-KI-Produkte die lockerere Experimentierphase verlassen und in dieselben Rechenschaftsdebatten eintreten, die die Regulierung sozialer Medien seit Jahren prägen.

Brüssel erweitert den DSA auf generative KI

Der Schritt der Kommission signalisiert auch, dass die EU generative KI nicht außerhalb des Anwendungsbereichs ihrer wichtigsten digitalen Gesetze sieht. Der Ausgangstext beschreibt dies als eine weitere Ausweitung des DSA auf generative KI, wobei Xs KI-Chatbot Grok bereits nach demselben Gesetz untersucht wird.

Das ist eine wichtige politische Richtung. Der DSA wurde als Online-Sicherheitsregime konzipiert, nicht als spezielles KI-Gesetz. Dennoch scheinen Regulierer zunehmend bereit, ihn einzusetzen, wenn KI-Dienste Informationen verbreiten, mit Nutzern in großem Umfang interagieren und die Exposition gegenüber schädlichen oder illegalen Inhalten beeinflussen können. Praktisch bedeutet das, dass ein Chatbot nicht nur danach reguliert werden kann, wie er gebaut ist, sondern auch danach, wie er als Massenverbraucherdienst innerhalb eines digitalen Ökosystems funktioniert.

Henna Virkkunen, die Tech-Chefin der EU, stellte die Entscheidung unter den Vorzeichen von Wirkung und Verantwortung dar und sagte, dass ChatGPT, Reddit und Roblox nun einem höheren Maß an Prüfung unterliegen werden, entsprechend ihrem Einfluss auf Bürger und Gesellschaft. Diese Einordnung passt zur Struktur des DSA, der Pflichten nach Größe und Reichweite der Plattform staffelt, statt alle Online-Dienste gleich zu behandeln.

Die Botschaft aus Brüssel lautet, dass Wachstum regulatorische Erwartungen verändert. Sobald ein Dienst groß genug wird, erwartet die Kommission ein formelleres Risikomanagement, robustere Schutzmaßnahmen und schnellere Reaktionen, wenn Schäden auftreten.

OpenAI und das breitere Compliance-Bild

Ein Sprecher von OpenAI sagte, das Unternehmen bereite sich darauf vor, die zusätzlichen Compliance-Anforderungen zu erfüllen. Die Antwort ist knapp, deutet aber darauf hin, dass das Unternehmen die Einstufung bereits als operative Realität und nicht als symbolische Warnung behandelt.

Für OpenAI dürfte die praktische Herausforderung breiter sein als die bloße Entfernung von Inhalten. ChatGPT ist nicht genau wie ein Social Feed oder ein Diskussionsforum organisiert, und das macht Compliance-Fragen komplexer. Der Dienst kann auf Abruf Texte erzeugen, Nutzeranfragen zusammenfassen und eine breite Palette von Interaktionen unterstützen, die sich nicht sauber auf traditionelle Moderationssysteme abbilden lassen. Dennoch zeigt das Vorgehen der Kommission, dass die EU glaubt, der DSA-Rahmen könne auch auf diese Interaktionen angewendet werden, sobald das Publikum des Produkts groß genug ist.

Die Entscheidung fällt zudem in eine Phase, in der die EU mit der Durchsetzung ihres AI Act beginnt, den der Ausgangstext als das weltweit erste Regime beschreibt, das die Entwicklung der sich schnell entwickelnden Technologie reguliert. Das Nebeneinander von DSA und AI Act verweist auf eine mehrschichtige europäische Strategie: ein Regelwerk für das Verhalten von Online-Plattformen und systemische öffentliche Risiken sowie ein weiteres, das sich direkter auf Entwicklung und Einsatz von KI richtet.

Dieser mehrschichtige Ansatz könnte zu einem prägenden Merkmal dafür werden, wie fortgeschrittene KI in Europa gesteuert wird. Unternehmen sehen sich womöglich nicht einem einzigen KI-Gesetz gegenüber, sondern überlappenden Pflichten aus Wettbewerbsregeln, Plattform-Sicherheitsgesetzen, Datenschutzrahmen und KI-spezifischen Statuten.

Ein transatlantischer Druckpunkt

Die Ausweitung erfolgt zu einem politisch sensiblen Zeitpunkt. Der Ausgangstext weist darauf hin, dass Brüssel von Washington wegen seiner Regulierung US-amerikanischer Technologieunternehmen unter Druck steht, einschließlich Kritik im Zusammenhang mit Maßnahmen gegen Firmen wie X. Washington argumentiert, die EU gehe unfair gegen amerikanische Unternehmen vor und kollidiere mit den von der MAGA-Bewegung bevorzugten Meinungsnormen. Die Kommission hingegen hält daran fest, dass ihre Digitalgesetze unabhängig vom Sitz eines Unternehmens gelten.

Dieser Dissens ist wichtig, weil fast jede große generative KI-Plattform mit großer globaler Reichweite inzwischen Teil einer breiteren geopolitischen Debatte darüber ist, wer die Regeln für digitale Dienste festlegt. Die Einstufung von ChatGPT ist daher sowohl ein Compliance-Ereignis als auch ein politisches Signal. Sie zeigt, dass die EU bereit ist, KI-Oberflächen in ihre bestehende Durchsetzungsarchitektur einzubinden, selbst während die internationale Debatte über Fairness, Innovation und Meinungsfreiheit ungelöst bleibt.

Für die Tech-Branche markiert die Ankündigung vom Montag einen weiteren Schritt in der Normalisierung der KI-Regulierung. Das explosive Wachstum von ChatGPT hat dazu beigetragen, generative KI zu einem Massenprodukt zu machen. Die Entscheidung der Kommission spiegelt die nächste Phase wider: Sobald diese Produkte Plattformgröße erreichen, erwarten Regulierer, dass sie mit plattformgerechten Schutzmaßnahmen arbeiten.

Das beantwortet nicht jede offene Frage dazu, wie KI-Assistenten überwacht werden sollten. Es schafft jedoch eine klare kurzfristige Tatsache. In der Europäischen Union ist ChatGPT nicht länger nur ein beobachtetes KI-Tool. Es ist nun eine sehr große Online-Plattform mit einer rechtlichen Frist und einem deutlich strengeren Compliance-Standard.

Dieser Artikel basiert auf der Berichterstattung von Ars Technica. Den Originalartikel lesen.