ChatGPT als VLOSE, Reddit und Roblox als VLOP eingestuft: Was der DSA jetzt verlangt
Die EU-Kommission hat ChatGPT als sehr große Online-Suchmaschine sowie Reddit und Roblox als sehr große Online-Plattformen eingestuft. Alle drei meldeten mindestens 45 Millionen monatlich aktive EU-Nutzer. Vier Monate ab Notifizierung, spätestens bis Ende Dezember 2026, müssen die Betreiber Risiken zu illegalen Inhalten, Minderjaehrigenschutz, Wahlprozessen und öffentlicher Sicherheit bewerten und mindern. Unternehmen als Nutzer trifft keine eigene Pflicht, sollten die Nutzung dokumentieren.
Die EU-Kommission hat am 31.08.2026 bekannt gegeben, dass ChatGPT als sehr große Online-Suchmaschine (VLOSE) und Reddit sowie Roblox als sehr große Online-Plattformen (VLOP) unter dem Digital Services Act eingestuft werden. Alle drei Dienste haben der Kommission mindestens 45 Millionen monatlich aktive Nutzer in der EU gemeldet, die Schwelle, ab der die verschärften DSA-Pflichten greifen. Für Unternehmen, die diese Dienste im Arbeitsalltag einsetzen, ändert sich rechtlich zunächst wenig, praktisch aber einiges: Die Anbieter müssen künftig deutlich transparenter arbeiten, was für die eigene Dokumentation und Risikoabschätzung relevant wird.
Was ist passiert?
Der Digital Services Act unterscheidet zwischen normalen Online-Diensten und besonders großen Plattformen beziehungsweise Suchmaschinen. Ab 45 Millionen monatlich aktiven Nutzern in der EU gelten Dienste als systemrelevant und müssen zusätzliche Pflichten erfüllen. Die EU-Kommission hat nun offiziell festgestellt, dass ChatGPT diese Schwelle als Suchmaschine erreicht und als VLOSE eingestuft wird. Reddit und Roblox erreichen die Schwelle als Plattformen und werden als VLOP eingestuft. Die drei Dienste selbst hatten die Nutzerzahlen im Rahmen ihrer Transparenzberichtspflicht an die Kommission gemeldet, die Einstufung ist die formale Reaktion darauf.
Mit der Notifizierung beginnt eine Frist von vier Monaten, in der die Betreiber die zusätzlichen Pflichten umsetzen müssen. Diese Frist läuft spätestens bis Ende Dezember 2026. Bis dahin müssen ChatGPT, Reddit und Roblox unter anderem systemische Risiken bewerten und Maßnahmen zur Minderung vorlegen.
Wer ist direkt betroffen?
Direkt in der Pflicht stehen ausschließlich die Betreiber der drei Dienste, also OpenAI für ChatGPT sowie Reddit und Roblox als Unternehmen. Für sie gelten ab jetzt die verschärften DSA-Regeln für sehr große Online-Plattformen und Suchmaschinen. Dazu zählen unter anderem:
- Jährliche Risikobewertungen zu systemischen Risiken
- Maßnahmen zur Minderung dieser Risiken, mit Wirksamkeitsnachweis
- Unabhängige externe Audits der Risikobewertung und der Maßnahmen
- Ein öffentlich zugängliches Werberegister (Ad Repository)
- Datenzugang für geprüfte Forscherinnen und Forscher zur Untersuchung systemischer Risiken
- Krisenreaktionsmechanismen bei außergewöhnlichen Umständen
- Umfassendere Transparenzberichte, unter anderem zu Content-Moderation und algorithmischen Systemen
- Ein Compliance-Beauftragter, der die Einhaltung der Pflichten überwacht
Unternehmen, die ChatGPT, Reddit oder Roblox lediglich als Nutzer einsetzen, etwa für Recherche, Kundenkommunikation, Community-Management oder als Marketingkanal, haben durch diese Einstufung keine eigenen VLOP- oder VLOSE-Pflichten. Der DSA richtet sich an dieser Stelle an die Plattformbetreiber, nicht an deren gewerbliche Nutzer.
Wie kritisch ist das für die betroffenen Dienste?
Für ChatGPT, Reddit und Roblox ist die Einstufung ein erheblicher regulatorischer Einschnitt. Die vier Monate bis Ende Dezember 2026 sind ambitioniert, wenn man bedenkt, welche organisatorischen und technischen Änderungen nötig sind: Risikoanalyseprozesse aufsetzen, Auditfähigkeit herstellen, Datenzugangsschnittstellen für Forscher bauen, Werberegister pflegen. Bei Verstößen drohen Bußgelder von bis zu 6 Prozent des weltweiten Jahresumsatzes, das macht das Thema für die Betreiber geschäftskritisch.
Die genannten systemischen Risiken, die bewertet und gemindert werden müssen, betreffen mehrere Bereiche gleichzeitig: die Verbreitung illegaler Inhalte, den Schutz von Minderjährigen, negative Auswirkungen auf körperliches und geistiges Wohlergehen, die Ausübung von Grundrechten, die Integrität von Wahlprozessen und die öffentliche Sicherheit. Bei ChatGPT als Sprachmodell-basierter Suchmaschine kommen dabei andere Risikoprofile ins Spiel als bei klassischen sozialen Netzwerken wie Reddit oder bei der Spieleplattform Roblox, die vor allem wegen ihrer großen Zahl minderjähriger Nutzer im Fokus steht.
Einstufung im Überblick
| Dienst | DSA-Kategorie | Betreiber | Frist für zusätzliche Pflichten |
|---|---|---|---|
| ChatGPT | VLOSE (sehr große Online-Suchmaschine) | OpenAI | Vier Monate ab Notifizierung, spätestens Ende Dezember 2026 |
| VLOP (sehr große Online-Plattform) | Reddit Inc. | Vier Monate ab Notifizierung, spätestens Ende Dezember 2026 | |
| Roblox | VLOP (sehr große Online-Plattform) | Roblox Corporation | Vier Monate ab Notifizierung, spätestens Ende Dezember 2026 |
Was sollten Unternehmen als Nutzer jetzt tun?
Auch ohne eigene VLOP-Pflicht lohnt sich für Unternehmen, die diese Dienste geschäftlich nutzen, jetzt ein genauer Blick auf die eigene Nutzung und Dokumentation:
- Interne Übersicht führen, welche Abteilungen ChatGPT, Reddit oder Roblox geschäftlich nutzen und wofür
- Prüfen, welche Unternehmensdaten oder Kundendaten über ChatGPT-Prompts oder Reddit-Interaktionen verarbeitet werden
- Auftragsverarbeitungsverträge und Datenschutzfolgenabschätzungen für die genutzten Dienste aktuell halten
- Verfügbare Transparenzberichte der Anbieter beobachten, sobald die neuen DSA-Pflichten greifen, da diese zusätzliche Informationen über Content-Moderation und Risikomanagement liefern
- Bei Nutzung von ChatGPT als Recherche- oder Suchwerkzeug im Unternehmen die Ergebnisqualität und mögliche systemische Verzerrungen im Blick behalten
- Bei Marketing oder Community-Aktivitäten auf Reddit die kommenden Änderungen an Moderationsregeln und Werbetransparenz berücksichtigen
- Compliance-Verantwortliche informieren, dass die Einstufung eine Änderung der Plattformregeln nach sich ziehen kann, ohne dass daraus eigene Meldepflichten des Unternehmens entstehen
- Diese Einstufung als Anlass nehmen, die eigene KI- und Plattform-Nutzung im Rahmen bestehender DSGVO- und EU-AI-Act-Dokumentation zu aktualisieren
Wichtig ist die klare Abgrenzung: Die neuen Pflichten treffen die Plattformbetreiber. Unternehmen als Nutzer müssen keine eigene Risikobewertung im Sinne des DSA vorlegen. Sinnvoll ist trotzdem, die eigene Nutzung dieser Dienste in bestehende Compliance-Prozesse einzubetten, etwa im Rahmen der Dokumentationspflichten aus dem EU AI Act oder der DSGVO.
Einordnung für kleine und mittlere Unternehmen
Für kleine und mittlere Unternehmen ist die Einstufung zunächst vor allem eine gute Nachricht in Sachen Transparenz: Die künftigen Pflichtberichte und das öffentliche Werberegister von ChatGPT, Reddit und Roblox machen es leichter nachzuvollziehen, wie diese Dienste mit Risiken, Moderation und Werbung umgehen. Das kann bei der eigenen Risikoeinschätzung helfen, wenn ein KMU diese Plattformen für Kundenservice, Recherche, Community-Aufbau oder Werbung einsetzt.
Gleichzeitig zeigt der Fall erneut, wie eng KI-Regulierung, Plattformregulierung und Datenschutz mittlerweile ineinandergreifen. Unternehmen, die bereits an ihren EU-AI-Act-Pflichten arbeiten oder eine DSGVO-Checkliste für den Einsatz von Sprachmodellen führen, sollten die DSA-Einstufung von ChatGPT als zusätzlichen Datenpunkt in ihre bestehende Dokumentation aufnehmen, nicht als eigenständige neue Pflicht.
Passende Anleitungen auf S-EDV
- EU-AI-Act-Transparenzregeln ab 2. August 2026 – Welche Pflichten seit August 2026 für Unternehmen gelten, die KI-Systeme wie ChatGPT einsetzen.
- EU-AI-Act-Compliance-Roadmap für KMU – Schritt-für-Schritt-Übersicht, wie kleine und mittlere Unternehmen ihre KI-Pflichten strukturiert angehen.
- DSGVO-Checkliste für lokale KI-Modelle – Alternative Einordnung für Unternehmen, die aus Datenschutzgründen eigene LLMs statt Cloud-Dienste wie ChatGPT betreiben.
