EU stuft ChatGPT unter strengsten digitalen Regeln als Suchmaschine ein

Die Europäische Kommission hat ChatGPT, Reddit und Roblox in die strengste Kategorie ihres Digitale-Dienste-Gesetzes eingeordnet und damit eine hitzige Debatte darüber beendet, wie der Chatbot von OpenAI zu klassifizieren ist, indem sie ihn als Suchmaschine einstuft. Die am Montag bekanntgegebene Entscheidung unterstellt drei amerikanische Dienste der direkten Aufsicht der Kommission und legt ihnen Pflichten auf, um systemische Risiken zu bewerten und zu mindern, darunter Schäden für Minderjährige, die Integrität von Wahlen und die öffentliche Sicherheit.

Diese Einstufung ist wichtig, da der DSA Plattformen und Suchmaschinen unterschiedlich behandelt. Eine Very Large Online Platform (VLOP) muss Risiken im Zusammenhang mit der Verbreitung von Inhalten, Werbung und Nutzermanipulation bewerten. Eine Very Large Online Search Engine (VLOSE) muss beurteilen, wie ihre Ranking-Algorithmen und die Darstellung der Ergebnisse den Zugang zu Informationen prägen. Indem die Kommission ChatGPT als Suchmaschine und nicht als Plattform einstuft, hat sie entschieden, dass die Hauptfunktion des Dienstes darin besteht, Nutzer zu Informationen zu leiten und nicht deren Inhalte zu hosten. Diese Unterscheidung wird darüber bestimmen, was OpenAI zur Einhaltung der Vorgaben tun muss.

Die Suchmaschinen-Einstufung, die Brüssel spaltete

Die mögliche Einstufung von ChatGPT wurde in Brüssel aufmerksam verfolgt, seit OpenAI im vergangenen Jahr 120 Millionen EU-Nutzer meldete. Die Frage war im Prinzip einfach, aber in der Praxis kompliziert: Ist eine konversationale KI, die Antworten aus Trainingsdaten synthetisiert, eine Suchmaschine, eine Inhaltsplattform oder etwas, das die Verfasser des DSA nie vorhergesehen haben?

Der DSA definiert eine Online-Suchmaschine als einen Dienst, der es Nutzern ermöglicht, Suchanfragen einzugeben und Ergebnisse in beliebigem Format zurückzugeben, einschließlich Links zu Websites Dritter. OpenAI hat seit Ende 2024 eine Suchfunktion in ChatGPT integriert, die Live-Web-Ergebnisse neben generiertem Text anzeigt. Die Einstufung der Kommission konzentriert sich auf diese Suchfunktion und nicht auf die breiteren konversationalen Fähigkeiten des Chatbots. OpenAI-Sprecher Oscar Haines bestätigte die Auslegung des Unternehmens: „ChatGPT Search funktioniert als Suchdienst im Rahmen des DSA, und wir bereiten uns darauf vor, die zusätzlichen Compliance-Anforderungen zu erfüllen, die mit dieser Einstufung als Very Large Online Search Engine einhergehen."

Die Einstufung ist nicht rein semantischer Natur. Eine VLOSE muss jährliche Risikobewertungen durchführen, die abdecken, wie ihre Algorithmen zur Verbreitung illegaler Inhalte oder zur Manipulation von Suchergebnissen beitragen können. Sie muss Transparenz über Ranking-Parameter schaffen und Forschern den Zugang zu Daten gewähren. Diese Pflichten lassen sich recht gut auf Google Search oder Bing anwenden, wo ein Nutzer eine Suchanfrage eingibt und eine Rangliste von Links erhält. Sie lassen sich weniger gut auf einen Dienst anwenden, der einen einzigen synthetisierten Absatz generiert, nur sporadisch Quellen angibt und plausible Falschaussagen ohne externen Link zur Überprüfung produzieren kann.

Brüssel hat im Wesentlichen beschlossen, dass die Suchfunktion dominant genug ist, um den gesamten Dienst dem VLOSE-Regime zu unterstellen. Ob der Compliance-Rahmen, der für linkbasierte Suchmaschinen entwickelt wurde, die Risiken von KI-generierten Antworten angemessen adressieren kann, ist eine Frage, die Regulierungsbehörden und OpenAI nun gemeinsam klären müssen.

Was die strengste Kategorie des DSA verlangt

Der DSA, der im Februar 2024 vollständig in Kraft trat, etabliert ein gestaffeltes System von Pflichten, das auf der Größe und Reichweite von Online-Diensten basiert. Die Schwelle für die strengste Kategorie liegt bei 45 Millionen monatlich aktiven Nutzern in der EU. Sobald die Kommission einen Dienst als VLOP oder VLOSE einstuft, hat er vier Monate Zeit, die vollständigen Pflichten zu erfüllen, bei Strafe von Bußgeldern in Höhe von bis zu 6 Prozent des weltweiten Jahresumsatzes.

Zu diesen Pflichten gehören die Durchführung jährlicher systemischer Risikobewertungen, die Ergreifung von Risikominderungsmaßnahmen und die Unterwerfung unter unabhängige Prüfungen. VLOPs müssen zudem ein Werbeverzeichnis bereitstellen, zielgerichtete Werbung gegenüber Minderjährigen einschränken und auf die Verwendung sensibler personenbezogener Daten für die Werbezielsteuerung verzichten. VLOSEs stehen vor analogen, auf die Suche abgestimmten Anforderungen: Sie müssen bewerten, wie Ranking- und Empfehlungsalgorithmen schädliche Inhalte verstärken können, und müssen mindestens eine Option für Suchergebnisse anbieten, die nicht auf Profilierung basiert.

Das Regime gibt der Kommission auch direkte Durchsetzungsbefugnisse. Bei kleineren Plattformen halten nationale Regulierungsbehörden die Zügel. Bei VLOPs und VLOSEs überwacht Brüssel die Einhaltung selbst, eine Struktur, die verhindern soll, dass große amerikanische Unternehmen in kleineren Mitgliedstaaten nachsichtige Aufsichtsbehörden suchen.

Reddit und Roblox stoßen zur VLOP-Liste

Reddit, die 2005 gegründete Diskussionsplattform, meldete im Juli 57,2 Millionen EU-Nutzer, was deutlich über der Schwelle von 45 Millionen liegt. Die Einstufung als VLOP unterwirft sie dem vollständigen Plattformregime, das Inhaltsmoderation, Transparenzberichterstattung und Werbeoffenlegung umfasst. Reddit-Sprecherin Jen Molina erklärte, das Unternehmen sei entschlossen, die Einstufung einzuhalten. „Wir haben uns darauf vorbereitet, die VLOP-Anforderungen zu erfüllen, und freuen uns auf die Zusammenarbeit mit den EU-Regulierungsbehörden, während wir Transparenz für die Reddit-Nutzer bieten."

Roblox, die bei Kindern beliebte Gaming-Plattform, meldete 46,6 Millionen EU-Nutzer. Ihre Einstufung wirft besondere Fragen zur Kindersicherheit auf, da die Bestimmungen des DSA zu systemischen Risiken von VLOPs verlangen, Risiken für Minderjährige zu bewerten und zu mindern. Joost Hagesteijn, Geschäftsführer für Europa bei Roblox, stellte die Einstufung als positiv dar: „Wir sind stolz darauf, die erste Gaming-Plattform zu sein, die diesen Meilenstein in der EU erreicht. Sicherheit ist die Grundlage all unseres Handelns, und wir freuen uns darauf, unseren konstruktiven Dialog mit der Europäischen Kommission fortzusetzen."

Mit diesen Ergänzungen unterliegen nun 28 Dienste dem strengsten Regime des DSA. Die Liste umfasste bereits X, TikTok, YouTube, Facebook, Instagram, Amazon Marketplace und mehrere andere. Die Aufnahme einer Gaming-Plattform und eines Diskussionsforums signalisiert, dass die Kommission das Gesetz auf Dienste anwendet, die vielleicht nicht in das Social-Media-Schema passen, aber genug europäische Nutzer erreichen, um dieselbe Prüfung zu rechtfertigen.

Doppelregulierung: Der DSA trifft auf das KI-Gesetz

ChatGPT kommt nicht unreguliert beim DSA an. Das Gesetz über künstliche Intelligenz (Artificial Intelligence Act), das das Europäische Parlament im März 2024 verabschiedet hat und das bis 2026 und 2027 schrittweise eingeführt wird, legt bereits Transparenz- und Risikomanagementpflichten für KI-Modelle für allgemeine Zwecke wie GPT-4 fest. OpenAI muss Trainingsdaten dokumentieren, Zusammenfassungen der verwendeten urheberrechtlich geschützten Materialien veröffentlichen und angemessene Cybersicherheit gewährleisten. Die Bestimmungen des KI-Gesetzes zu systemischen Risiken für die leistungsstärksten Modelle fügen eine zweite Aufsichtsebene hinzu.

Die Überschneidung der beiden Regime ist kein Zufall. Der DSA regelt, wie ein Dienst auf dem Markt agiert: welche Inhalte er verbreitet, wie er Ergebnisse rankt, welche Werbung er anzeigt. Das KI-Gesetz regelt, wie das zugrunde liegende Modell erstellt und eingesetzt wird. Ein Chatbot, der als VLOSE eingestuft ist, muss beiden Pflichten gleichzeitig nachkommen, und die beiden Gesetze wurden nicht unter Berücksichtigung der jeweiligen Spezifika des anderen verfasst. Die Kommission muss ihre eigene Durchsetzung intern koordinieren, um zu vermeiden, dass OpenAI widersprüchliche Anweisungen darüber erhält, was eine Risikobewertung enthalten sollte.

Für OpenAI ist die praktische Belastung in finanzieller Hinsicht tragbar, in operativer Hinsicht jedoch erheblich. Das Unternehmen muss eine systematische Risikobewertung erstellen, die seine Suchalgorithmen abdeckt, eine Compliance-Funktion einrichten, die der Kommission gegenübersteht, und sich unabhängigen Prüfungen unterziehen. Es muss auch einen Mechanismus für Nutzer und Behörden bereitstellen, um illegale Inhalte in Suchergebnissen zu melden, eine Anforderung, die schlecht zu einem Produkt passt, das Text generiert, anstatt auf Drittseiten zu verlinken.

Die Uhr für die Einhaltung tickt

Das Vier-Monats-Fenster gibt den drei Unternehmen bis etwa Ende Dezember 2026 Zeit, nachzuweisen, dass sie die Anforderungen des DSA erfüllen. In der Praxis bedeutet dies, systemische Risikobewertungen einzureichen, Transparenzberichte zu veröffentlichen und Ansprechpartner für die Kommission und die Nutzer zu benennen.

Die Durchsetzung wird folgen. Die Kommission hat bereits ein Verfahren gegen X wegen mutmaßlicher Verstöße gegen den DSA eröffnet und mehrere andere VLOPs um Informationen gebeten. Das Muster legt nahe, dass die Einstufung der Beginn der Prüfung und nicht deren Ende ist. Brüssel hat gezeigt, dass es bereit ist, seine Befugnisse gegenüber großen amerikanischen Plattformen zu testen, und der neuartige Status von ChatGPT als KI-gestützte Suchmaschine macht es zu einem offensichtlichen Kandidaten für eine genaue Überprüfung.

Die größere Frage ist, ob sich der Rahmen des DSA, der verfasst wurde, bevor generative KI zu einem Konsumprodukt wurde, als angemessen erweist. Die Regulierung von Suchmaschinen wurde für eine Welt aus blauen Links entworfen. Die Anwendung auf ein System, das seine eigenen Antworten schreibt, manchmal richtig und manchmal nicht, wird testen, ob die allgemeinen Prinzipien des Gesetzes mit einer Technologie umgehen können, die die Verfasser nicht vorhergesehen haben.