ChatGPT ist jetzt eine Suchmaschine
Die EU-Kommission benennt ChatGPT als sehr große Online-Suchmaschine. Knapp 160 Millionen EU-Nutzer, vier Monate Frist, dann greifen die DSA-Pflichten.
Am 31.08.2026 hat die EU-Kommission ChatGPT unter dem Digital Services Act benannt, und zwar nicht als Plattform, sondern als "Very Large Online Search Engine", kurz VLOSE. Es ist der erste generative Chatbot, der diese Einstufung bekommt. Am selben Tag wurden Reddit und Roblox als "Very Large Online Platform" benannt.
Die Kategorie ist der interessante Teil. Die Kommission behandelt ChatGPT damit als das, was es im Alltag vieler Leute längst ist: als Einstieg in die Informationssuche, nicht als soziales Netzwerk.
Die Zahl, die zur Benennung geführt hat
Die Schwelle im DSA liegt bei durchschnittlich 45 Millionen monatlich aktiven Nutzern in der EU. Die Dienste melden diese Zahl selbst, und die Kommission hält in ihrer Mitteilung nur fest, dass alle drei sie überschreiten.
Wie deutlich, sagt die Kommission nicht. heise nennt für ChatGPT knapp 160 Millionen monatlich aktive Nutzer in der EU. Das wäre mehr als das Dreieinhalbfache der Schwelle und damit kein Grenzfall, über den man streiten könnte.
Was bis Januar 2027 zu tun ist
Die benannten Dienste haben vier Monate Zeit, in den Worten der Kommission "four months, i.e. by January 2027". Der Kern der zusätzlichen Pflichten ist die Bewertung systemischer Risiken plus die Pflicht, sie zu mindern. Die Kommission nennt dafür die Verbreitung illegaler Inhalte, negative Auswirkungen auf Minderjährige, das körperliche und geistige Wohlbefinden der Nutzer, Grundrechte, Wahlprozesse und öffentliche Sicherheit.
heise berichtet darüber hinaus von ausgebauten Verfahren für Nutzermeldungen samt Beanstandung, Löschung, Sperrung und Widerspruch, von Streitschlichtungsmechanismen und von Trusted Flaggern, also akkreditierten Meldern, deren Hinweise beschleunigt bearbeitet werden. Hier lohnt eine Einschränkung, die in den meisten Meldungen untergeht: Die Kommission selbst nennt in ihrer Mitteilung ausschließlich die Risikopflichten. Und der DSA behandelt Suchmaschinen und Plattformen nicht gleich, ein Teil der Melde- und Beschwerdepflichten hängt an der Plattformeigenschaft. Was davon eine als Suchmaschine benannte KI am Ende genau erfüllen muss, ist damit noch nicht öffentlich ausbuchstabiert.
Henna Virkkunen, in der Kommission zuständig für technologische Souveränität, Sicherheit und Demokratie, begründet die Benennungen mit dem großen Einfluss der Dienste auf Bürger und Gesellschaft. Sie brächten "a higher level of scrutiny and accountability", also ein höheres Maß an Kontrolle und Rechenschaftspflicht.
Bei der Aufsicht arbeiten die Kommission und die irische Digitalaufsicht zusammen, weil OpenAIs europäische Niederlassung in Dublin sitzt.
Was das für eure Teams heißt
Für Unternehmen, die ChatGPT einsetzen, entsteht hier keine neue Pflicht. Der DSA adressiert den Anbieter, nicht euch als Nutzer. Praktisch relevant ist trotzdem etwas:
Ein Anbieter, der systemische Risiken bewerten und mindern muss, dokumentiert das. Wer heute in einer Tool-Bewertung beschreiben soll, wie OpenAI mit den Risiken seines Dienstes umgeht, hat dafür Marketingseiten und ein paar System Cards. Ab 2027 gibt es einen regulatorisch erzwungenen Vorgang dahinter, an den sich eine Aufsicht halten kann und auf den ihr in einer Bewertung verweisen könnt.
Ob und in welchem Umfang die Risikoberichte veröffentlicht werden, haben wir nicht geprüft. Das ist der Punkt, an dem sich entscheidet, ob daraus für eure Compliance-Unterlagen etwas Zitierbares wird oder nur ein Vorgang zwischen Anbieter und Aufsicht.
Der zweite Zug innerhalb von zwei Tagen
Das ist nicht der einzige regulatorische Vorgang bei OpenAI in dieser Woche. Einen Tag vorher wurde bekannt, wie OpenAI die Werbung in ChatGPT datenschutzrechtlich konstruiert, nämlich über das berechtigte Interesse nach DSGVO. Beides trifft dasselbe Produkt in Europa, aus zwei verschiedenen Rechtsrahmen.
Wer den größeren Rahmen sucht: Was der EU AI Act regelt und was davon eure Systeme betrifft, steht in einem eigenen Artikel, die DSGVO-Seite in DSGVO und KI-Tools. Der DSA ist eine dritte, davon unabhängige Ebene.
Was offen bleibt
Die genaue Aufteilung der Durchsetzung zwischen Kommission und irischer Aufsicht geht aus den Mitteilungen nicht im Detail hervor. Und eine Benennung ist kein Verfahren: Sie sagt, welche Pflichten gelten, nicht, dass OpenAI etwas falsch gemacht hätte. Ob und wann die Kommission das erste Mal wegen eines konkreten Risikos nachfasst, steht auf einem anderen Blatt.