ChatGPT, Reddit und Roblox als sehr große Online-Plattformen gemäß DSA eingestuft

Die Europäische Kommission bestätigte am Montag, dass ChatGPT, Reddit und Roblox jeweils mehr als 45 Millionen durchschnittliche monatliche aktive Nutzer in der Europäischen Union erreicht haben, und stuft sie damit automatisch als Very Large Online Platforms (VLOPs) gemäß dem Digital Services Act ein. Die Entscheidung unterwirft alle drei der anspruchsvollsten Stufe der Verordnungspflichten, einschließlich obligatorischer jährlicher Risikobewertungen, unabhängiger Prüfungen, Transparenzberichten und einer eigenen Compliance-Funktion.

Die Schwelle ist nicht neu. Seit Inkrafttreten des DSA im November 2022 und seiner vollständigen Anwendbarkeit in der gesamten Union im Februar 2024 muss jede Plattform, die 45 Millionen oder mehr durchschnittliche monatliche Nutzer in der EU meldet, die Kommission benachrichtigen und nach ihrer Einstufung innerhalb von vier Monaten die VLOP-Regelungen einhalten. Die Kommission veröffentlicht und aktualisiert die Liste in ihrem VLOP-Register, das nun mehr als zwanzig Dienste umfasst, von Google Search und YouTube bis hin zu TikTok, X, LinkedIn und Pinterest.

Was die Einstufung praktisch bedeutet

Der VLOP-Status bringt eine Reihe spezifischer Pflichten mit sich, die weit über die grundlegenden DSA-Anforderungen hinausgehen, die für alle Vermittlungsdienste gelten. Die drei Plattformen müssen nun jährliche systemische Risikobewertungen erstellen, die die Verbreitung illegaler Inhalte, negative Auswirkungen auf Grundrechte, den öffentlichen Diskurs, Wahlprozesse, die öffentliche Gesundheit, den Schutz Minderjähriger sowie die psychische Gesundheit abdecken. Sie müssen auf eigene Kosten unabhängige externe Prüfungen in Auftrag geben, Transparenzberichte zur Inhaltsmoderation und zu Empfehlungssystemen veröffentlichen und eine interne Compliance-Funktion unterhalten, die unabhängig von den Geschäftsabläufen ist.

Sie sind außerdem verpflichtet, Regulierungsbehörden und geprüften Forschern Zugang zu Daten zu gewähren, die für die Untersuchung systemischer Risiken erforderlich sind, und einen Krisenreaktionsmechanismus zu implementieren, den die Kommission in Situationen wie einer Pandemie oder einem Krieg aktivieren kann. Bei Nichteinhaltung drohen Geldbußen von bis zu 6 % des weltweiten Jahresumsatzes und in wiederholten oder schweren Fällen eine gerichtlich angeordnete vorübergehende Aussetzung des Dienstes in der EU.

ChatGPT wird zum ersten KI-Chatbot unter der VLOP-Regelung

Die Aufnahme von ChatGPT markiert das erste Mal, dass ein generativer KI-Konversationsagent von der obersten Stufe des DSA erfasst wird. OpenAI, das US-amerikanische Unternehmen hinter dem Dienst, sieht sich nun einem dualen Regulierungsrahmen gegenüber: den systemischen Risikopflichten des DSA und dem AI Act, der im August 2024 in Kraft trat und allgemeine KI-Modelle mit systemischem Risiko, eine Kategorie, die wahrscheinlich die Modelle hinter ChatGPT einschließt, einem separaten Regime aus Bewertung, Dokumentation und Meldung von Vorfällen unterwirft.

Die Überschneidung ist beabsichtigt. Die Kommission hat argumentiert, dass der DSA die Plattformebene adressiert, also wie Inhalte verbreitet, verstärkt und moderiert werden, während der AI Act die Modellebene betrifft, also wie das zugrundeliegende System trainiert, getestet und eingesetzt wird. Für OpenAI bedeutet dies die Unterhaltung zweier paralleler Compliance-Programme mit jeweils eigenen Berichtslinien, Prüfanforderungen und Durchsetzungsbehörden. Der AI Act bestimmt das Europäische KI-Büro innerhalb der Kommission als zentrale Aufsichtsbehörde für allgemeine Modelle, während die DSA-Durchsetzung für VLOPs direkt von der Kommission geleitet wird, unterstützt von den nationalen Digital Services Coordinators.

Reddit und Roblox schließen sich wachsender Liste nutzergenerierter Plattformen an

Reddit und Roblox verfolgen einen anderen Weg. Beide basieren auf nutzergenerierten Inhalten, Reddit als Netzwerk von Community-Foren, Roblox als Plattform, auf der Nutzer Spiele erstellen und monetarisieren, und beide haben in der Vergangenheit argumentiert, dass ihre dezentrale Struktur eine Top-down-Moderation schwieriger mache als bei zentral kuratierten Feeds. Die Einstufung durch die Kommission weist diese Unterscheidung für die Zwecke des systemischen Risikos zurück. Mit jeweils 45 Millionen monatlichen Nutzern löst ihre schiere Größe bereits die Vermutung aus, dass ihre Designentscheidungen Schaden im gesamten Binnenmarkt verstärken können.

Für Reddit, das im März 2024 an die New Yorker Börse ging, kommt die Einstufung in einer Zeit, in der das Unternehmen unter Druck steht, seine Profitabilität unter Beweis zu stellen, während es sein Werbegeschäft ausbaut. Die DSA-Beschränkungen für zielgerichtete Werbung unter Verwendung sensibler Daten und das Verbot von Dark Patterns in Einwilligungsoberflächen werden einige der Monetarisierungsstrategien einschränken, die Reddit erwogen hat. Roblox, dessen Nutzerbasis stark zu Kindern und Jugendlichen tendiert, sieht sich einer besonderen Prüfung beim Jugendschutz gegenübersehen. Die Kommission hat bereits signalisiert, dass Altersverifikation, standardmäßige Datenschutzeinstellungen und die Gestaltung virtueller Ökonomien Schwerpunktbereiche für VLOP-Prüfungen in den Jahren 2025 und 2026 sein werden.

Wie die Kommission entscheidet und was danach folgt

Die Zahl von 45 Millionen ist keine Schätzung. Plattformen sind gesetzlich verpflichtet, ihre durchschnittlichen monatlichen aktiven Nutzer in der EU mindestens alle sechs Monate zu veröffentlichen, berechnet nach einer in einer delegierten Verordnung festgelegten Methodik. Die Kommission verwendet diese selbstgemeldeten Zahlen, bei Bedarf abgeglichen mit Daten Dritter, um eine formelle Einstufungsentscheidung zu treffen. Nach der Veröffentlichung im Amtsblatt beginnt die Vier-Monats-Frist für die Einhaltung. Die DSA-Verordnung ermöglicht es der Kommission auch, eine Plattform unterhalb der Schwelle einzustufen, wenn sie der Ansicht ist, dass der Dienst systemische Risiken birgt, wobei diese Befugnis noch nicht genutzt wurde.

Die drei neuen VLOPs müssen nun ihre ersten systemischen Risikobewertungen bis Anfang 2025 vorlegen, sofern die Einstufungsentscheidung Ende August 2024 angenommen wurde. Sie müssen zudem einen Compliance-Beauftragten ernennen, der direkt an den Vorstand berichtet, einen Transparenzbericht für die zweite Jahreshälfte 2024 veröffentlichen und sich innerhalb von zwölf Monaten ihrer ersten unabhängigen Prüfung unterziehen. Die Kommission hat angekündigt, dass sie die Bewertung von Empfehlungssystemen, Ressourcen für die Inhaltsmoderation in EU-Sprachen und die Wirksamkeit von Notice-and-Action-Verfahren für illegale Inhalte priorisieren wird.

Vollzugslandschaft und der TikTok-Präzedenzfall

Die Bereitschaft der Kommission, ihr gesamtes Vollzugsinstrumentarium einzusetzen, wurde bereits früher in diesem Jahr deutlich, als sie ein formelles Verfahren gegen TikTok wegen mutmaßlicher Versäumnisse bei der Bewertung des süchtig machenden Designs seines 'Lite'-Belohnungsprogramms und bei der Gewährung des Datenzugangs für Forscher eröffnete. Diese noch laufende Untersuchung könnte zu den ersten VLOP-Geldbußen gemäß DSA führen. Die Botschaft an ChatGPT, Reddit und Roblox ist klar: Die Kommission erwartet substanzielle Compliance, nicht prozedurale Formalitäten.

Die nationalen Digital Services Coordinators, darunter Irlands Coimisiún na Meán für die meisten US-Plattformen mit EU-Hauptsitz in Dublin, aber auch Regulierungsbehörden in anderen Mitgliedstaaten, werden die tägliche Aufsicht über Nicht-VLOP-Pflichten übernehmen und die Kommission bei der VLOP-Durchsetzung unterstützen. Der Koordinierungsmechanismus befindet sich noch in der Etablierung; die erste gemeinsame Inspektion einer VLOP fand erst Mitte 2024 statt.

Was als Nächstes geschieht

Der unmittelbare Test für alle drei Plattformen ist die Vorlage ihrer ersten systemischen Risikobewertungen, die vier Monate nach Inkrafttreten der Einstufungsentscheidung fällig sind. Diese Dokumente werden von der Kommission geprüft und in geschwärzter Form der Öffentlichkeit zugänglich gemacht. Forscher und zivilgesellschaftliche Gruppen haben bereits spezifische Bedenken geäußert: für ChatGPT das Potenzial für synthetische Desinformation in großem Maßstab und die Intransparenz von Modell-Updates; für Reddit die Moderation extremistischer Communities und die Auswirkungen algorithmischer Verstärkung auf die Polarisierung; für Roblox die Exposition von Kindern gegenüber unangemessenen Inhalten und die Ökonomie seiner virtuellen Währung. Die Kommission hat eine Frist bis Februar 2025 für die erste Runde der VLOP-Transparenzberichte gesetzt, die die vollständige zweite Jahreshälfte 2024 abdecken und den ersten vergleichbaren Datensatz über die erweiterte Liste hinweg liefern werden.