DSA-Pflichten treffen jetzt auch ChatGPT: Was das bedeutet
Was ist eigentlich passiert
Laut einem Bericht von Golem.de fällt ChatGPT nun unter die verschärften Auflagen des Digital Services Act, kurz DSA. Damit reiht sich der KI-Chatbot in eine Gruppe von Diensten ein, die bereits seit einiger Zeit unter dieser strengeren Kategorie geführt werden, darunter auch Reddit und Roblox. Der Auslöser ist die Nutzerzahl in der EU: Sobald ein Onlinedienst eine bestimmte Größenordnung an monatlich aktiven Nutzern in Europa erreicht, greifen automatisch zusätzliche Pflichten. Das ist bei ChatGPT jetzt der Fall, und es ist das erste Mal, dass ein KI-Chatbot in diese Kategorie eingestuft wird.
Das mag auf den ersten Blick wie eine Randnotiz aus der Brüsseler Regulierungswelt wirken. Für Unternehmen, die generative KI längst im Tagesgeschäft nutzen, sei es für Kundenkommunikation, Textentwürfe, Recherche oder als eingebettete Funktion in eigenen Anwendungen, ist es aber ein Signal, das man ernst nehmen sollte. Wenn ein Anbieter wie OpenAI striktere Transparenz- und Kontrollpflichten bekommt, wirkt sich das mittelbar auch auf alle aus, die den Dienst nutzen oder in eigene Prozesse integriert haben.
Der Digital Services Act kurz erklärt
Der Digital Services Act ist das zentrale europäische Regelwerk, mit dem die EU Onlineplattformen stärker in die Pflicht nimmt. Ziel ist es, mehr Transparenz bei Algorithmen und Inhalten zu schaffen, illegale Inhalte schneller zu entfernen, Nutzer besser vor Desinformation und manipulativen Praktiken zu schützen und Plattformen für die Auswirkungen ihrer Dienste stärker verantwortlich zu machen. Der DSA gilt grundsätzlich für alle Vermittlungsdienste, die in der EU aktiv sind, unabhängig davon, wo der Anbieter seinen Sitz hat.
Besonders scharf werden die Regeln für Dienste mit sehr großer Reichweite. Wer in der EU eine bestimmte Schwelle an aktiven Nutzern überschreitet, wird als besonders bedeutsame Plattform eingestuft und muss zusätzliche Auflagen erfüllen. Dazu zählen unter anderem umfassendere Risikobewertungen zu gesellschaftlichen Auswirkungen des eigenen Dienstes, unabhängige Prüfungen durch externe Stellen, mehr Transparenz darüber, wie Inhalte oder Antworten zustande kommen, sowie strengere Vorgaben zum Umgang mit Beschwerden und zur Zusammenarbeit mit Behörden. Für Nutzer heißt das im besten Fall: nachvollziehbarere Entscheidungen, bessere Beschwerdewege und mehr Kontrolle darüber, welche Daten wie verwendet werden.
Wichtig zu verstehen ist, dass der DSA kein reines Datenschutzgesetz ist. Er ergänzt bestehende Regelwerke wie die Datenschutz-Grundverordnung, setzt aber einen eigenen Schwerpunkt auf die Verantwortung von Plattformen für die Inhalte und Funktionen, die sie bereitstellen. Wer sich in seinem Unternehmen bereits mit IT-Sicherheit beschäftigt, kennt das Prinzip aus einer anderen Ecke: Je größer die Angriffsfläche und je mehr Menschen betroffen sein können, desto höher die Anforderungen an Kontrolle und Nachvollziehbarkeit.
Warum ChatGPT jetzt anders behandelt wird
Dass ausgerechnet ChatGPT jetzt unter diese strengeren Regeln fällt, hat mit der schieren Nutzerzahl in Europa zu tun. KI-Chatbots wie ChatGPT sind in den vergangenen Jahren von einer Nischenanwendung für Technikbegeisterte zu einem festen Bestandteil des digitalen Alltags geworden, sowohl privat als auch geschäftlich. Millionen Menschen in der EU nutzen solche Dienste inzwischen regelmäßig, sei es für einfache Textaufgaben, für Recherche oder zunehmend auch als Ersatz für klassische Suchmaschinen.
Diese Entwicklung hat die Aufsichtsbehörden auf den Plan gerufen. Ein Dienst, der von so vielen Menschen genutzt wird und dazu noch eigenständig Inhalte generiert, birgt aus Sicht der Regulierung andere Risiken als eine klassische Plattform, auf der Nutzer nur bestehende Inhalte austauschen. Fehlerhafte oder irreführende Antworten eines KI-Chatbots können sich in kurzer Zeit auf eine sehr große Zahl von Menschen auswirken. Genau das ist der Grund, warum die EU hier nun genauer hinschaut.
Für Unternehmen bedeutet das vor allem eines: Der regulatorische Rahmen rund um KI-Dienste wird enger, nicht loser. Wer glaubt, dass sich das Thema KI-Regulierung nur auf den kommenden EU AI Act beschränkt, unterschätzt, wie viele bestehende Gesetze bereits heute greifen, sobald ein Dienst eine gewisse Größe erreicht. Der DSA ist dabei nur eines von mehreren Regelwerken, die sich in der Praxis überschneiden.
Was sich für Plattformen wie Reddit und Roblox ändert
Reddit und Roblox sind keine Neulinge in dieser strengeren DSA-Kategorie, sie wurden bereits vorher entsprechend eingestuft. Beide Plattformen haben in der EU eine sehr große Nutzerbasis, Reddit als Diskussionsforum mit unzähligen Themenbereichen, Roblox als Spieleplattform mit einem besonders jungen Publikum. Gerade bei Roblox spielt der Jugendschutz eine zentrale Rolle, da hier viele minderjährige Nutzer unterwegs sind.
Für solche Plattformen bedeuten die verschärften Auflagen in der Praxis mehr Aufwand bei der Moderation, bei der Dokumentation von Entscheidungen und bei der Bereitstellung von Daten für Forscher und Aufsichtsbehörden. Auch die Nutzer selbst bekommen mehr Rechte, etwa wenn es um die Anfechtung von Moderationsentscheidungen oder um mehr Transparenz bei personalisierten Inhalten geht.
Der entscheidende Punkt für Unternehmen, die solche Plattformen für Marketing, Community-Aufbau oder Rekrutierung nutzen: Die Spielregeln auf diesen Plattformen können sich ändern, wenn die Anbieter ihre Prozesse an die neuen Vorgaben anpassen. Das betrifft etwa die Sichtbarkeit von Beiträgen, den Umgang mit automatisierten Konten oder die Art, wie Werbung ausgespielt wird. Wer geschäftlich auf solchen Plattformen aktiv ist, sollte diese Entwicklungen im Blick behalten, statt sich auf einmal etablierte Abläufe zu verlassen.
Warum das auch den Mittelstand betrifft
An dieser Stelle fragen sich viele Unternehmer zu Recht, warum sie sich mit einem EU-Regelwerk beschäftigen sollten, das formal die großen Plattformbetreiber in die Pflicht nimmt. Die Antwort liegt in der zunehmenden Verzahnung zwischen den großen Diensten und dem eigenen Geschäftsbetrieb. Kaum ein mittelständisches Unternehmen kommt heute noch ohne die eine oder andere Cloud- oder KI-Anwendung eines großen Anbieters aus, sei es für die Kundenkommunikation, für die interne Textproduktion oder für die Auswertung von Daten.
Wer ChatGPT oder ähnliche Dienste im Unternehmen einsetzt, etwa um Kundenanfragen vorzuformulieren, interne Dokumente zu erstellen oder Recherchen durchzuführen, sollte sich bewusst machen, dass dabei häufig auch personenbezogene oder geschäftskritische Daten in die Eingabemaske wandern. Die verschärfte DSA-Einstufung ändert zwar nichts an den grundsätzlichen datenschutzrechtlichen Pflichten, die für Unternehmen ohnehin gelten, sie ist aber ein guter Anlass, den eigenen Umgang mit solchen Werkzeugen noch einmal zu überprüfen. Wer beispielsweise unklar ist, welche Daten über einen KI-Chatbot verarbeitet werden dürfen und welche besser draußen bleiben, sollte das intern klar regeln, statt es dem Zufall oder der Vorsicht einzelner Mitarbeiter zu überlassen.
Auch aus einer anderen Richtung betrifft das Thema den Mittelstand: Viele Unternehmen sind inzwischen selbst verpflichtet, sich mit europäischer IT-Regulierung auseinanderzusetzen, etwa im Rahmen von NIS2 & IT-Sicherheit. Der DSA ist zwar ein eigenständiges Regelwerk mit einem anderen Fokus, zeigt aber denselben Trend: Die EU erhöht branchenübergreifend die Anforderungen an Transparenz, Nachvollziehbarkeit und Verantwortung im digitalen Raum. Unternehmen, die sich frühzeitig mit diesen Themen beschäftigen, tun sich leichter, wenn neue Pflichten hinzukommen, statt bei jeder neuen Regelung von vorn anzufangen.
Was das für den Mittelstand bedeutet
Die eigentliche Aufgabe für ein mittelständisches Unternehmen besteht nicht darin, den Digital Services Act im Detail zu studieren, sondern die eigene Praxis im Umgang mit großen Plattformen und KI-Diensten zu überprüfen und sauber aufzustellen. Ein paar konkrete Schritte helfen dabei:
Zunächst lohnt sich eine schlichte Bestandsaufnahme: Welche KI-Dienste und großen Plattformen werden im Unternehmen tatsächlich genutzt, und wofür? Oft zeigt sich dabei, dass Mitarbeiter längst eigenständig KI-Tools einsetzen, ohne dass es eine klare interne Regelung dazu gibt. Genau hier entstehen Risiken, wenn sensible Kunden- oder Unternehmensdaten unbedacht in eine Chatbot-Eingabe eingegeben werden.
Darauf aufbauend sollte eine einfache, verständliche Richtlinie stehen, welche Daten über externe KI-Dienste verarbeitet werden dürfen und welche nicht. Das muss kein umfangreiches Dokument sein, aber die Grundregeln sollten für alle Mitarbeiter klar und leicht anwendbar sein. Wer unsicher ist, wie der eigene Datenumgang aktuell aussieht und wo Schwachstellen liegen, bekommt mit einem strukturierten Website-Audit einen guten Ausgangspunkt, um auch die eigene Onlinepräsenz und die dort eingebundenen Drittanbieter-Dienste zu überprüfen.
Ein weiterer sinnvoller Schritt ist die regelmäßige Überprüfung, welche Drittanbieter-Dienste und Schnittstellen im eigenen Betrieb eingebunden sind, sei es ein Chatbot auf der eigenen Website, eine Integration mit einer Social-Media-Plattform oder ein KI-gestütztes Tool im Kundenservice. Solche Integrationen sollten nicht einmal eingerichtet und dann vergessen werden. Anbieter ändern ihre Nutzungsbedingungen, ihre Datenverarbeitung und ihre technischen Schnittstellen häufiger, als vielen bewusst ist, gerade wenn sie sich an neue regulatorische Vorgaben anpassen müssen.
Wichtig ist außerdem, die Verantwortlichkeiten im eigenen Haus klar zu benennen. Wer entscheidet, welche neuen KI-Tools eingeführt werden dürfen? Wer prüft, ob ein Anbieter die notwendigen Datenschutz- und Sicherheitsstandards erfüllt? In vielen kleineren Unternehmen gibt es dafür keine feste Zuständigkeit, was dazu führt, dass Entscheidungen eher zufällig getroffen werden. Eine klare interne Verantwortung, auch wenn sie nur eine Person nebenbei übernimmt, macht hier bereits einen großen Unterschied.
Nicht zuletzt gehört zu einer soliden IT-Aufstellung auch, dass die technische Basis im eigenen Unternehmen stimmt. Wer seine Systeme über Managed Hosting professionell betreiben lässt, muss sich um viele der grundlegenden Sicherheits- und Compliance-Fragen nicht selbst kümmern, weil sie bereits im Betrieb mitgedacht werden. Das schafft Freiraum, sich auf die eigentlichen Fragen zu konzentrieren, etwa wie KI-Werkzeuge sinnvoll und verantwortungsvoll im Tagesgeschäft eingesetzt werden.
Ein Blick nach vorn
Die verschärfte Einstufung von ChatGPT ist ein weiteres Beispiel dafür, wie schnell sich der regulatorische Rahmen für digitale Dienste in Europa weiterentwickelt. Was heute noch als Ausnahme für einzelne große Anbieter gilt, kann morgen schon breiter greifen, wenn weitere KI-Dienste die entsprechenden Nutzerzahlen erreichen. Für Unternehmen, die KI-Werkzeuge produktiv einsetzen, lohnt sich deshalb ein regelmäßiger, nicht nur einmaliger Blick auf die eigene Nutzung.
Das muss nicht in Aktionismus münden. Viel wichtiger ist eine gelassene, aber konsequente Grundhaltung: Neue Werkzeuge ausprobieren und nutzen, aber mit klaren internen Regeln, welche Daten wohin fließen dürfen. Externe Dienste im Blick behalten, ohne bei jeder Nachrichtenmeldung in Panik zu verfallen. Und im Zweifel lieber einmal zu viel nachfragen, bevor sensible Kundendaten unbedacht in einem Tool landen, dessen genaue Datenverarbeitung man nicht kennt. Wer diese Grundhaltung im Unternehmen etabliert, ist auf die nächste Regulierungsrunde, die mit Sicherheit kommen wird, deutlich besser vorbereitet als jene, die das Thema erst dann angehen, wenn es bereits zu spät ist.
Häufige Fragen
Muss mein Unternehmen jetzt selbst etwas wegen des DSA unternehmen?
Direkt betroffen von den strengeren DSA-Pflichten sind zunächst die großen Plattformbetreiber wie OpenAI, Reddit oder Roblox selbst, nicht die Unternehmen, die deren Dienste nutzen. Trotzdem lohnt sich für Unternehmen ein Blick auf die eigene Nutzung solcher Dienste, insbesondere im Hinblick auf den Umgang mit Kunden- und Unternehmensdaten.
Was ändert sich konkret für Nutzer von ChatGPT?
Die genauen praktischen Auswirkungen für einzelne Nutzer sind noch nicht abschließend klar. Grundsätzlich zielt die verschärfte DSA-Einstufung auf mehr Transparenz, bessere Beschwerdemöglichkeiten und eine stärkere Verantwortung des Anbieters für die Auswirkungen seines Dienstes.
Sollten wir den Einsatz von KI-Chatbots im Unternehmen jetzt überdenken?
Nicht grundsätzlich, aber es ist ein guter Anlass, den eigenen Umgang mit solchen Tools zu überprüfen. Klare interne Regeln, welche Daten in einen Chatbot eingegeben werden dürfen, sind unabhängig vom DSA ohnehin sinnvoll.
Betrifft der Digital Services Act auch unsere eigene Website?
Der DSA richtet sich in erster Linie an größere Vermittlungsdienste mit sehr vielen Nutzern, kleinere Unternehmenswebsites sind davon in der Regel nicht in demselben Umfang betroffen. Wer aber Kundendaten über eingebundene Drittanbieter-Dienste verarbeitet, etwa Chat-Widgets oder Formulare, sollte diese Integrationen regelmäßig prüfen.
Wie hängt der DSA mit der Datenschutz-Grundverordnung zusammen?
Der DSA ergänzt die DSGVO, ersetzt sie aber nicht. Während die DSGVO den Umgang mit personenbezogenen Daten regelt, konzentriert sich der DSA stärker auf die Verantwortung von Plattformen für Inhalte, Algorithmen und die gesellschaftlichen Auswirkungen ihrer Dienste.
Wo finde ich Unterstützung, wenn ich unsicher bin, wie mein Unternehmen aufgestellt ist?
Eine strukturierte Bestandsaufnahme der eigenen IT- und Datenschutzpraxis hilft, Schwachstellen zu erkennen, bevor sie zu einem Problem werden. Ein guter Startpunkt ist eine Überprüfung der eigenen Website und der dort eingebundenen Drittanbieter-Dienste.