ChatGPT rückt in höchste EU-Aufsicht

Wer die Schlagzeile liest, Brüssel stelle ChatGPT, Reddit und Roblox unter die schärfsten Online-Sicherheitsregeln der EU, könnte darin leicht einen Schuldvorwurf sehen. Genau das ist es nicht. Die Europäische Kommission hat die drei Dienste in jene Kategorie aufgenommen, in der nicht mehr nur das Verhalten einzelner Nutzer zählt, sondern die gesellschaftliche Wirkung der Plattformarchitektur selbst. Es geht weniger um eine Verwarnung als um den Wechsel von Selbstauskunft zu Pflichtprüfung.

Die Größenregel

Der Digital Services Act, das EU-Gesetz für digitale Dienste, zieht eine klare Schwelle: Wer in der EU monatlich mehr als 45 Mio. Menschen erreicht, fällt in die höchste Aufsichtskategorie (Europäische Kommission). Diese Zahl entspricht ungefähr einem Zehntel der EU-Bevölkerung. Ab dieser Reichweite geht Brüssel davon aus, dass die technische Gestaltung eines Dienstes Wirkungen für den gesamten Binnenmarkt entfalten kann (DSA-Überblick der Kommission).

Alle drei Dienste überschreiten diese Schwelle. ChatGPT meldete für seine Suchfunktion rund 159 Mio. Nutzer in der EU, Reddit 57,2 Mio., Roblox etwa 47 Mio. (Euronews, Yahoo News). Insgesamt stehen damit 28 Dienste unter dieser besonderen DSA-Aufsicht (IEU Monitoring).

Bei Reddit und Roblox liegt die Einordnung nahe. Reddit verbreitet nutzergenerierte Inhalte, Roblox betreibt eine Plattform für von Nutzern erstellte Spiele. Beide entsprechen dem klassischen Plattformbild, für das der DSA geschrieben wurde. ChatGPT ist der interessantere Fall. Der Dienst bündelt Informationen aus dem Netz zu einer einzelnen Antwort im Gesprächsformat. Die Kommission behandelt ihn als Suchmaschine, weil er externe Informationen abruft und gewichtet, sobald Nutzer danach fragen (Straits Times). Eine Suchmaschine prägt, was Nutzer finden. Ein Chatbot mit Websuche geht darüber hinaus, weil er mehrere Quellen in eine Antwort verdichtet und damit weniger sichtbar macht, warum gerade diese Antwort erscheint und nicht eine andere.

Erstmals fällt damit ein verbreiteter KI-Chatbot in diese Aufsichtsstufe. Der AI Act, ein eigenes Regelwerk, verpflichtet Chatbots bereits zu Transparenz. Die DSA-Einstufung setzt anders an: Sie behandelt den Dienst als Informationsinfrastruktur, deren Risiken aus Gestaltung, Reichweite und Nutzungsmustern entstehen können, nicht erst aus einem einzelnen Beitrag oder einer einzelnen Antwort (Les Echos, ZDNet France).

Jährlicher Gesundheitscheck, externe Prüfer, offene Bücher

Nach der Benachrichtigung haben die drei Dienste vier Monate Zeit, die Pflichten umzusetzen. Praktisch bedeutet das den Übergang von „Vertrauen Sie uns, wir moderieren“ zu nachweisbarer und prüfbarer Governance (DSA, Verordnung 2022/2065). Drei Punkte sind dabei zentral.

Erstens müssen die Unternehmen jährlich Risiken erfassen, die aus Design, Algorithmen und Nutzungsmustern entstehen. Dazu zählen illegale Inhalte, Gefahren für Minderjährige, Auswirkungen auf öffentliche Debatten und Sicherheitsrisiken (EDAA-Erklärung). Zweitens prüfen externe Auditoren, ob die Schutzmaßnahmen tatsächlich funktionieren; die Unternehmen bewerten sich also nicht allein selbst (Prighter DSA-Text). Drittens erhalten die Kommission und zugelassene Wissenschaftler Zugang zu Informationen darüber, wie Algorithmen Inhalte ordnen und empfehlen. Den Rahmen dafür legt eine delegierte Verordnung von 2025 fest.

Das heißt nicht, dass ein EU-Beamter zwischen einer ChatGPT-Eingabe und der Antwort sitzt oder einzelne Reddit-Beiträge freigibt. Ziel ist das System: Sortierlogik, Moderationsapparat, Werbearchitektur, Kinderschutzdesign. Wenn die Kommission Verstöße feststellt, greift sie zu gesonderten Durchsetzungsinstrumenten, wie bereits bei der Geldbuße von 120 Mio. EUR gegen X und bei vorläufigen Feststellungen gegen Meta wegen süchtig machender Gestaltungsmuster. Bußgelder können bis zu 6 % des weltweiten Jahresumsatzes erreichen (Brussels Times).

Warum Familien genauer hinsehen sollten

Für Eltern ist Roblox der greifbarste Fall. Rund 70 Prozent der Nutzer sind jünger als 18 Jahre (Biz Chosun). Die DSA-Leitlinien zum Schutz Minderjähriger untersagen profilbasierte Zielwerbung, wenn ein Dienst weiß, dass ein Nutzer ein Kind ist. Die Einstufung in die höchste Kategorie verpflichtet Roblox nun, systematisch zu prüfen, ob nutzergenerierte Spiele, Chatsysteme und Empfehlungsalgorithmen Risiken für Kinder in großem Maßstab schaffen (Leitlinien der Kommission zu Minderjährigen). Roblox hat bereits Altersprüfungen per Gesichtserkennung, altersgestaffelte Chatbeschränkungen und KI-Moderation eingeführt. Entscheidend ist, ob diese Instrumente zusammen und in großer Reichweite funktionieren. Genau das kann die Kommission nun prüfen.

Die Exekutiv-Vizepräsidentin der Kommission, Henna Virkkunen, begründete die Einstufungen damit, dass die Kontrolle der Reichweite dieser Dienste entsprechen müsse (UPI). Hinter dieser Formulierung stehen echte Durchsetzungsbefugnisse. Bis Ende Dezember dürften die Unternehmen fertige Risikobewertungen, Auditvereinbarungen und Verfahren für den Forschungszugang vorlegen müssen. Entscheidend ist nun weniger die Einstufung selbst als die Frage, ob die Prüfarchitektur der Kommission präzise genug ist, um echte Rechenschaft von sauber formulierten Compliance-Unterlagen zu unterscheiden.