Digital Services Act: EU-Kommission verschärft Pflichten
Was haben ein Chatbot, ein Diskussionsforum und eine Gaming-Plattform gemeinsam? Ab sofort denselben strengen rechtlichen Rahmen. Die EU-Kommission hat ChatGPT, Reddit und Roblox am 31. August 2026 offiziell in die höchste Pflichtenkategorie des Digital Services Act eingestuft, mit spürbaren Konsequenzen für alle drei Dienste.
Teilen Sie diesen Beitrag:
Teilen Sie diesen Beitrag:
Was ist der Digital Services Act?
Der Digital Services Act, kurz DSA, ist die zentrale EU-Verordnung zur Regulierung digitaler Dienste. Er verpflichtet Online-Plattformen, Marktplätze und Suchmaschinen je nach Größe und Reichweite zu abgestuften Pflichten, von grundlegender Transparenz bis hin zu umfassendem Risikomanagement. Die schärfsten Regeln gelten für die Kategorien VLOP und VLOSE, sehr große Online-Plattformen und sehr große Online-Suchmaschinen, und genau in diese Kategorien rutschen nun ChatGPT, Reddit und Roblox.
Die Einstufung durch die EU-Kommission im Detail
ChatGPT wird künftig als sehr große Online-Suchmaschine geführt, im Englischen Very Large Online Search Engine oder VLOSE. Reddit und Roblox laufen als sehr große Online-Plattformen, Very Large Online Platforms oder VLOP. Der Grund ist rein zahlenbasiert: Alle drei Dienste erreichen in der EU im Durchschnitt mindestens 45 Millionen aktive Nutzerinnen und Nutzer pro Monat, die Schwelle, ab der der Digital Services Act seine schärfsten Instrumente in Stellung bringt. Aktuellen Zahlen zufolge liegt ChatGPT mit rund 159 Millionen monatlichen Nutzerinnen und Nutzern in der EU sogar deutlich über dieser Marke, Reddit kommt auf etwa 57 Millionen, Roblox auf rund 47 Millionen.
Dass ausgerechnet ein KI-Chatbot künftig in derselben Kategorie geführt wird wie Google oder Bing, zeigt, wie sehr sich die EU-Kommission an der tatsächlichen Nutzung digitaler Dienste orientiert. Generative KI ist innerhalb weniger Jahre in den Alltag von Millionen Menschen vorgedrungen, und der Digital Services Act reagiert darauf nicht mit einer Sonderkategorie für KI-Systeme, sondern schlicht mit der bestehenden Reichweiten-Logik.
Was sich für die Unternehmen ändert
Mit dem neuen Status wandern ChatGPT, Reddit und Roblox in die höchste Pflichtenklasse des Digital Services Act. Konkret müssen sie künftig systemische Risiken ihrer Dienste jährlich bewerten und aktiv abmildern, konsequenter gegen illegale Inhalte vorgehen, den Schutz Minderjähriger deutlich ausbauen, Grundrechte der Nutzerinnen und Nutzer absichern und die Auswirkungen ihrer Plattformen auf Wahlprozesse sowie die öffentliche Sicherheit beobachten und dokumentieren. Hinzu kommen unabhängige Audits und mehr Transparenz bei Werbung.
Das sind keine Lippenbekenntnisse. Wer diesen Pflichten nicht nachkommt, riskiert Bußgelder von bis zu sechs Prozent des weltweiten Jahresumsatzes, eine Hausnummer, die selbst milliardenschweren Tech-Konzernen wehtut. Dass die EU-Kommission es ernst meint, zeigen die bisherigen Strafen unter dem Digital Services Act bereits: Zusammengenommen wurden schon rund 870 Millionen Euro verhängt, gegen AliExpress 550 Millionen, gegen Temu 200 Millionen, gegen X 120 Millionen Euro.
EU-Exekutiv-Vizepräsidentin Henna Virkkunen bringt es auf den Punkt: Diese neuen Bezeichnungen bedeuten, dass ChatGPT, Reddit und Roblox nun einem höheren Maß an Kontrolle und Rechenschaftspflicht unterliegen, im Einklang mit ihrer inzwischen enormen gesellschaftlichen Reichweite. Für die Aufsicht sind übrigens zwei unterschiedliche Behörden zuständig: Irland überwacht ChatGPT und Reddit, die Niederlande sind für Roblox verantwortlich.
Die Uhr tickt: Vier Monate Zeit
Ab der offiziellen Benachrichtigung bleiben den drei Diensten vier Monate, um die zusätzlichen Verpflichtungen umzusetzen. Das bedeutet: Bis Ende Dezember 2026 müssen ChatGPT, Reddit und Roblox ihre internen Prozesse, Risikobewertungen und Schutzmechanismen auf den neuen Standard gebracht haben.
Warum das auch außerhalb von Brüssel aufhorchen lässt
Für uns bei BAYOOCARE ist diese Meldung mehr als eine Randnotiz aus der Tech-Regulatorik. Sie ist ein weiteres Signal dafür, wohin sich die europäische Regulierungslandschaft insgesamt entwickelt. Genau wie im Medizinprodukterecht mit der MDR sehen wir auch beim Digital Services Act das gleiche Grundprinzip: Je größer die Reichweite und das Risikopotenzial eines Produkts oder Dienstes, desto höher die regulatorischen Anforderungen an Risikomanagement, Dokumentation und Nutzerschutz.
Dass nun auch ein KI-System wie ChatGPT unter eine derart engmaschige Aufsicht fällt, ist ein weiterer Baustein in einem größeren Trend. Software, KI und digitale Dienste rücken branchenübergreifend näher an ein Compliance-Niveau heran, das in der Medizintechnik längst Alltag ist. Für alle, die selbst regulierte Software entwickeln oder einsetzen, lohnt sich ein Blick über den eigenen Tellerrand, denn die Prinzipien von Risikobewertung, Nutzerschutz und Rechenschaftspflicht ähneln sich, ob es nun um ein Medizinprodukt oder einen Chatbot mit Millionenpublikum geht.
Was Unternehmen aus der DSA-Einstufung für die eigene Compliance lernen können
Auch wer selbst nicht unter den Digital Services Act fällt, kann aus dem Fall etwas mitnehmen. Ein paar Punkte, die sich branchenübergreifend übertragen lassen:
- Reichweite und Risiko wachsen zusammen. Wer skaliert, sollte Risikobewertung und Dokumentation von Anfang an mitskalieren, statt sie nachträglich aufzustocken.
- Formale Zertifizierung schützt nicht automatisch vor Beanstandung. Aufsichtsbehörden schauen zunehmend auf die tatsächliche Wirkung eines Produkts oder Dienstes, nicht nur auf das Vorliegen eines Zertifikats.
- Übergangsfristen sind kurz. Vier Monate für einen globalen Tech-Konzern sind ambitioniert, für kleinere Unternehmen mit vergleichbaren Fristen im eigenen Regulierungsumfeld gilt das erst recht.
- Dokumentierte Sorgfalt zahlt sich im Streitfall aus, unabhängig davon, ob es um Nutzerschutz nach dem Digital Services Act oder um Risikomanagement nach der MDR geht.
Fazit
Die Einstufung von ChatGPT, Reddit und Roblox zeigt, wie konsequent die EU-Kommission inzwischen an ihrer Reichweiten-Logik festhält, unabhängig davon, ob ein Dienst als Suchmaschine, soziales Netzwerk oder KI-Chatbot gestartet ist. Für Unternehmen in regulierten Branchen ist das ein Blick in den Spiegel: Die Prinzipien von Risikomanagement, Dokumentation und Nutzerschutz, die in der Medizintechnik längst selbstverständlich sind, setzen sich auch anderswo durch.
