Die EU-Kommission hat am 31. August 2026 ChatGPT offiziell als „sehr große Online-Suchmaschine" (Very Large Online Search Engine, VLOSE) im Sinne des Digital Services Act (DSA) eingestuft. Es ist das erste Mal, dass ein KI-Chatbot in die strengste Aufsichtsstufe des europäischen Plattformrechts fällt. Gleichzeitig wurden Reddit und Roblox als „sehr große Online-Plattformen" (VLOP) benannt. Damit unterliegen nun 28 Dienste den schärfsten DSA-Regeln.
Warum ChatGPT jetzt als Suchmaschine gilt
Maßgeblich ist die Schwelle von 45 Millionen durchschnittlichen monatlichen Nutzern in der EU. Nach Angaben von OpenAI erreichte die Websuche-Funktion von ChatGPT in den sechs Monaten bis Ende März 2026 rund 159 Millionen monatlich aktive Nutzer in der Union — mehr als das Dreifache des Schwellenwerts. Reddit meldete 57,2 Millionen, Roblox knapp unter 50 Millionen.
Entscheidend für die Einordnung als Suchmaschine statt als bloße Plattform ist die integrierte Websuche: ChatGPT beantwortet Anfragen zunehmend mit Ergebnissen aus dem offenen Internet und funktioniert damit in diesem Modus wie eine klassische Suchmaschine. Bislang trugen nur Google Search und Bing dieses Label — beide wurden bereits in der ersten Einstufungsrunde im April 2023 benannt.
Henna Virkkunen, Exekutiv-Vizepräsidentin der Kommission für Tech-Souveränität, erklärte, die neuen Einstufungen bedeuteten, dass ChatGPT, Reddit und Roblox in der EU „einem höheren Maßstab an Prüfung und Rechenschaft" unterliegen — entsprechend ihres großen Einflusses auf Bürger und Gesellschaft.
Diese Pflichten kommen auf OpenAI zu
OpenAI hat laut Kommission vier Monate Zeit, also bis Januar 2027, um die zusätzlichen Anforderungen umzusetzen. Dazu gehören:
- Systemische Risikobewertung: OpenAI muss analysieren und mindern, welche Risiken von ChatGPT und seinen algorithmischen Systemen ausgehen — etwa bei der Verbreitung illegaler Inhalte, negativen Auswirkungen auf Minderjährige, der körperlichen und psychischen Gesundheit der Nutzer, Grundrechten, Wahlen und öffentlicher Sicherheit.
- Unabhängige Audits: Mindestens einmal jährlich prüft ein externer Auditor die Einhaltung; auf dessen Empfehlungen muss das Unternehmen reagieren.
- Datenzugang: Kommission und nationale Behörden erhalten Zugang zu Daten, ebenso zugelassene Forscher, die systemische Risiken untersuchen.
- Transparenz: Halbjährliche Transparenzberichte, Meldewege für illegale Inhalte samt Beschwerdeverfahren, ein Krisenreaktionsmechanismus sowie — soweit anwendbar — ein öffentliches Werbearchiv und eine Empfehlungsoption ohne Profiling.
- Commission designates ChatGPT, Reddit, Roblox under Digital Services Act — Europäische Kommission
- EU places ChatGPT, Reddit and Roblox under strictest digital safety rules — Euronews
- EU-Kommission stuft ChatGPT erstmals als Suchmaschine ein — The Decoder
- ChatGPT Is Now A "Very Large Online Search Engine" In The EU — Search Engine Journal
Bei Verstößen drohen Bußgelder von bis zu 6 Prozent des weltweiten Jahresumsatzes. Dass die Kommission dieses Instrument nutzt, hat sie zuletzt gezeigt: Insgesamt rund 870 Millionen Euro an DSA-Strafen wurden bereits verhängt, darunter 550 Millionen Euro gegen AliExpress im Juli, 200 Millionen gegen Temu und 120 Millionen gegen X.
Offen bleibt, wie weit der Datenzugang reicht: Ob er auch Trainingsdaten oder Modellgewichte umfasst, ist umstritten. Ein direktes Testen des Modells durch die Kommission ist im DSA nicht ausdrücklich vorgesehen.
Was bedeutet das für Anwender in Deutschland?
Für private Nutzer ändert sich zunächst wenig im Alltag — aber im Hintergrund entsteht erstmals eine echte Aufsicht über die Antworten eines KI-Chatbots. Wer künftig in ChatGPT auf illegale oder schädliche Inhalte stößt, bekommt einen verbindlichen Meldeweg samt Beschwerdeverfahren. Und weil seit dem 24. August auch in Deutschland Werbung in ChatGPT ausgespielt wird, greift nun die Pflicht zum öffentlichen Werbearchiv: Jeder kann nachvollziehen, welche Anzeigen gezeigt wurden und wer dahintersteht.
Wichtig für Unternehmen: Der DSA ersetzt nicht den EU AI Act, sondern ergänzt ihn. Der AI Act regelt das Modell und seine Risikoklasse, der DSA den Dienst und dessen gesellschaftliche Wirkung. OpenAI muss also beides erfüllen — was aus dem AI Act aktuell tatsächlich gilt, haben wir separat aufgeschlüsselt. An der DSGVO-Lage ändert die Einstufung nichts: Wer ChatGPT mit personenbezogenen Daten nutzt, braucht weiterhin einen Auftragsverarbeitungsvertrag und eine Bewertung des Datenabflusses in die USA. Der DSA bringt aber mehr Transparenz, auf die sich Datenschutzbeauftragte künftig stützen können.
Ein Präzedenzfall ist gesetzt: Wer die 45-Millionen-Schwelle in der EU überschreitet, dürfte als Nächstes eingestuft werden — Google Gemini, Perplexity oder Microsoft Copilot sind naheliegende Kandidaten. Für einen Mittelständler ist der pragmatische Schritt jetzt, die eigene KI-Nutzung zu inventarisieren: Welche Chatbots setzen Mitarbeiter ein, mit welchen Daten, unter welchem Vertrag? Wer Aufsicht und Datenabfluss ganz vermeiden will, kann auf Open-Weight-Modelle wie Mistral Medium 3 setzen, die sich auf eigener Hardware oder bei einem EU-Hoster betreiben lassen — hier greift der DSA schlicht nicht, weil es keinen Vermittlungsdienst gibt.