Immer mehr Menschen nutzen KI-Apps, um im Internet nach Informationen zu suchen. Statt Suchbegriffe bei Google, Ecosia oder DuckDuckGo einzugeben, reicht es nun, eine Frage bei einer ChatGPT, Claude oder LeChat einzugeben. Im Gegensatz zu herkömmlichen Suchmaschinen, die Trefferlisten liefern, liest die KI mehrere Quellen und generiert eine zusammenhängende Antwort. Brüssel hat sich entschlossen, dass die Regeln des DSA künftig auch für ChatGPT gelten sollen. Der Digital Service Act (DSA) sieht besondere Vorschriften für sogenannte „sehr große Online-Suchmaschinen“ vor - und legt die Aufsicht darüber in die Verantwortung der EU-Kommission. Wir ordnen ein, was das im Detail bedeutet.
Was ist passiert?
Die EU-Kommission plant laut Handelsblatt, ChatGPT als „sehr große Online-Suchmaschine“ (Very Large Online Search Engine, VLOSE) einzustufen. Damit unterfiele die KI-App den umfangreichen Pflichtenkatalog des Digital Services Acts der EU. Dieser Schritt erfolgt, nachdem OpenAI gemeldet hat, dass ChatGPT im Durchschnitt rund 120,4 Millionen monatlich aktive Nutzende in der EU verzeichnet. Damit überschreitet ChatGPT den im DSA festgelegte Schwellenwert von 45 Millionen Nutzern deutlich. Wenn die rechtliche Einordnung der EU-KOM Bestand haben sollte, ist ChatGPT neben Google und Bing die dritte VLOSE in der EU. Dann müsste OpenAI die Transparenz über die Funktionsweise erhöhen und bspw. offenlegen, nach welchen Parametern die Suchfunktion Informationen gewichtet und auswählt.
Was regelt der DSA?
Der „Digital Services Act“, auf deutsch „Gesetz über digitale Dienste“ soll sicherstellen, dass digitale Dienste vertrauenswürdig gestaltet sind und verbraucherschutzrechtliche Standards respektieren. Der DSA verpflichtet Online-Marktplätze, soziale Netzwerke, aber eben auch Online-Suchmaschinen dazu, Risiken für die Grundrechte der Nutzenden zu minimieren, einfache Meldewege für illegale Inhalte anzubieten und Transparenz über ihre Funktionsweise herzustellen.
Was ist der Unterschied zwischen VLOP und VLOSE?
Der Digital Services Act unterscheidet bei Diensten mit mehr als 45 Millionen Nutzern zwischen:
VLOP (Very Large Online Platform): Sehr große Online-Plattformen
VLOSE (Very Large Online Search Engine): Sehr große Online-Suchmaschinen
Ist der Schwellenwert überschritten, ist allein die EU-Kommission für die Durchsetzung der Regeln zuständig – und überlagert die Marktaufsicht durch die nationalen Behörden (sog. Digital Service Coordinator). Die EU will so sicherstellen, dass große Tech-Konzerne direkt aus Brüssel und mit hoher Schlagkraft beaufsichtigt werden. Die zentrale Zuständigkeit hat zugleich die Schwäche, dass die zuständigen Abteilungen der Kommission nicht unabhängig agieren, sondern den Weisungen der Kommissionspräsidentin unterliegen.
Im Gegensatz zu Social-Media-Diensten (wie Facebook oder TikTok) oder Handelsplattformen (wie Amazon oder Zalando) handelt es sich bei ChatGPT derzeit wohl nicht nicht um eine „Online-Plattform“ im Sinne des DSA. Denn es fehlt an dem typischen Element einer Dreiecksbeziehung: Eine Person stellt einen Inhalt oder ein Produkt online, eine Firma stellt dafür die Plattform bereit, andere Personen nehmen den Inhalt wahr. Bei ChatGPT findet die Kommunikation nur zwischen Nutzerin und App statt. Die rechtliche Einordnung könnte sich jedoch künftig ändern – z.B. wenn ChatGPT Werbeanzeigen schaltet oder bezahlte Inhalte priorisiert.
Wegen seiner Search-Funktion lässt sich ChatGPT als VLOSE einstufen. Der DSA definiert eine Online-Suchmaschine als „Vermittlungsdienst, der es Nutzern ermöglicht, in Form eines Stichworts, einer Spracheingabe, einer Wortgruppe oder einer anderen Eingabe Anfragen einzugeben, um prinzipiell auf allen Websites oder auf allen Websites in einer bestimmten Sprache eine Suche zu einem beliebigen Thema vorzunehmen und Ergebnisse in einem beliebigen Format, in dem Informationen im Zusammenhang mit dem angeforderten Inhalt zu finden sind, angezeigt zu bekommen“. Die Definition ist weit gefasst. Sie beschränkt sich nicht auf die Darstellung von Suchergebnissen als Liste oder Index. Die Ein- und Ausgabe einer Suchmaschine kann also in verschiedenen Formaten erfolgen, also auch als Text, der eine Frage beantwortet. Relevant wäre es dann letztlich auch nicht, mit welcher technologischen Architektur die Suche durchgeführt wird. Ob der DSA eine solch funktionale Definition für „Suche auf prinzipiell allen Websites“ zum Ausdruck bringt, könnte ein großer Streitpunkt werden, sollte OpenAI sich gegen die Entscheidung der Kommission wehren.
Welche Vorschriften gelten für VLOSE?
Während beide Kategorien strengen Regeln unterliegen, zum Beispiel, dass sie keine illegalen Inhalte anzeigen dürfen, gelten für Suchmaschinen zusätzliche Anforderungen bezüglich der Art und Weise, wie sie Informationen im gesamten Web zugänglich machen. Der Fokus liegt auf Fragen rund um Informationszugang, Desinformation, Meinungsbildung und Wahlbeeinflussung. Einzelne Pflichten, die für ChatGPT relevant werden dürften sind:
Jährliche Risikoanalysen: OpenAI muss systemische Risiken wie Desinformation, Diskriminierung oder Wahlbeeinflussung in der Darstellung der Suchergebnisse untersuchen.
Externe Audits: Das Unternehmen muss sich jährlichen, unabhängigen Prüfungen unterziehen.
Datenzugang für die Forschung: Wissenschaftler erhalten das Recht, interne Daten für gesellschaftliche Untersuchungen einzusehen.
Transparenzberichte: Veröffentlichung von Daten zur Inhaltsmoderation und zum Personalaufwand.
Profitieren Nutzende von dieser Entscheidung?
Für die Anwender in Europa ergäben sich durch die Einstufung von ChatGPT als VLOSE neue Rechte und Schutzmaßnahmen:
Meldemechanismen: Nutzer müssen eine einfache Möglichkeit erhalten, rechtswidrige oder gefährliche Antworten direkt zu melden.
Beschwerdemanagement: Es gibt mehr Rechte, gegen falsche oder verleumderische Inhalte vorzugehen.
Transparenz bei Werbung: Sollte OpenAI künftig Werbung in die Suche integrieren, muss diese klar gekennzeichnet werden.
Schutz vulnerabler Gruppen: OpenAI muss Maßnahmen gegen systemische Risiken ergreifen, um etwa die mentale Gesundheit von Jugendlichen oder Menschen mit psychologischen Problemen zu schützen. Die Verstärkung von Einsamkeit und Psychosen sowie eine Reihe von Suiziden nach Interaktion mit Chatbots haben gezeigt, dass dieses Thema noch nicht hinreichend adressiert wurde.
Integrität der Informationen und Schutz vor Bias: Wenn ich mich zu politischen Themen informiere, beispielsweise vor einer anstehenden Wahl, dann sollte ich mich darauf verlassen können, dass ich objektive und neutrale Informationen präsentiert bekomme.
Verstößt OpenAI möglicherweise bereits jetzt gegen den DSA?
Es ist jedenfalls unklar, ob OpenAI der Hauptpflicht des DSA einwandfrei nachkommt: Die Risiken für Grundrechte durch den digitalen Dienst ausführlich analysieren und mit angemessenen Instrumenten reduzieren (Art. 34, 35 DSA). Als VLOSE müsste ChatGPT das regelmäßig dokumentieren und die Risikoanalyse der EU-Kommission vorlegen. Insbesondere die Fragen der psychologische Risiken der Nutzung und des Einfluss der präsentierten Informationen auf Wahlverhalten müssten dann wohl adressiert werden.
Wenn OpenAI nun nach der Klassifizierung keinen Forschungsdatenzugang für bestimmte Wissenschaftler:innen gewähren sollte(Art. 44 DSA), könnte dies ein weiterer Reibungspunkt werden. Die EU-Kommission wird in einem nächsten Schritt wohl nähere Informationen von OpenAI anfordern, um zu prüfen, ob das Unternehmen sich an die Vorgaben des DSA hält.
Kann sich OpenAI juristisch gegen eine Einstufung wehren?
Gegen Entscheidungen der Kommission können Unternehmen in der Regel klagen. So hatte sich etwa die Versandplattform Zalando erfolglos dagegen gewehrt, als VLOP eingestuft zu werden. Die Definition einer Suchmaschine (Artikel 3(j) DSA) hat bislang jedoch noch kein Gericht im Kontext generativer KI ausgelegt. In der juristischen Literatur gibt es Stimmen, die für die Einstufung als VLOSE argumentieren. Da die Umsetzung der gesetzlichen Vorgaben des DSA mit Aufwand und Kosten verbunden ist, wehren sie sich meist gegen zusätzliche Pflichten und Nachweise. Es kann gut sein, dass OpenAI gegen die Einstufung als VLOSE beim Gericht der Europäischen Union (EuG) klagt – auch mit dem Argument, die Definition sei auf Google oder Bing, nicht aber auf ChatGPT zugeschnitten.
OpenAI hat bei allen weiteren Verfahrensschritten zudem das Recht, dass die EU-Kommission das Unternehmen anhört („right to be heard“). Sollte es sich aber weigern, die Pflichten des DSA vollumfänglich umzusetzen, drohen Bußgelder in Milliardenhöhe.
Wird ChatGPT nicht bereits über den AI Act und DSGVO reguliert?
Doch, die KI-Verordnung (AI Act) sieht auch Vorschriften für generative KI-Systeme wie ChatGPT vor. In den Art. 52 ff. AIA finden sich spezielle Pflichten für sog. KI-Modelle mit allgemeinem Verwendungszweck. Darunter fällt auch das Sprachmodell, das hinter ChatGPT steht.
Nur weil die KI-VO greift, schließt das die Anwendung des DSA aber nicht aus. Vielmehr ergänzen sich KI-Verordnung und DSA. Während die KI-Verordnung primär die Sicherheit vor Cyberangriffen und Transparenz über die technische Funktionsweise der großen Sprachmodelle adressiert, zielt der DSA auf Verbraucherschutz, die Darstellung und Meldung von Inhalten und den Schutz vor systemischen Risiken digitaler Dienste ab.
In der Praxis kann es durchaus zu Überschneidungen der Regelwerke kommen: So schützt die Pflicht aus der KI-VO, KI-Modelle vor Cyberangriffen zu schützen, indirekt auch vor Desinformationskampagnen durch externe Akteure. Die Pflicht in der KI-Verordnung, dass Anbieter von KI-Modellen nähere Informationen über die Trainingsdaten und den Umgang mit urheberrechtlich geschützten Daten vorlegen müssen, kann es der Öffentlichkeit oder einzelnen Behörden ermöglichen, systemische Plattformrisiken besser zu erkennen.
Auch die Datenschutz-Grundverordnung (DSGVO) gilt für ChatGPT: Immerhin verarbeitet die KI personenbezogene Daten, erstellt Personenprofile ihrer Nutzenden und kann an intime Informationen gelangen. Es stellen sich komplizierte Rechtsfragen, bis bislang nicht abschließend geklärt sind. Zahlreiche Experten halten ChatGPT derzeit nicht für datenschutzkonform.
Und was ist mit dem Digital Markets Act?
Der Digital Markets Act (DMA) zielt darauf, einen fairen Wettbewerb auf digitalen Märkten zu ermöglichen. Als Kartellrecht der Digitalwirtschaft zielt er in erster Linie darauf, zu verhindern, dass einzelne Akteure ihre dominante Markstellung ausnutzen. Gerade liefern sich die KI Anbieter noch einen offenen Wettbewerb.
In der rechtswissenschaftlichen Literatur gibt es aber erste Untersuchungen, die sich mit der Frage beschäftigen, inwiefern der DMA ein Instrument der KI-Regulierung sein kann. So kommt Prof. Dr. Christoph Krönke Lieb in der Fachzeitschrift Recht Digital zu dem Ergebnis, dass „KI-Dienste mit infrastruktureller Bedeutung für den digitalen Binnenmarkt im Rahmen des geltenden Rechtsrahmens als zentrale Plattformdienste gemäß Art. 2 Nr. 2 DMA“ sein können. Unter den Pflichten, die der DMA solchen Akteuren auferlegt, sind laut dem Bayreuther Rechtsgelehrten insbesondere zwei für ChatGPT und Co. relevant:
Die Zusammenführungs- und Verwendungsverbote in Art. 5 Absatz 2 DMA
Datenzusammenführungsregelung nach Art. 6 Absatz 11 DMA
Zeigt die EU-Kommission nun Zähne?
Viele Menschen nutzen ChatGPT, um schnell an Informationen aus dem Internet zu gelangen. Damit macht es der klassischen Google-Suche Konkurrenz. Vor diesem Hintergrund lässt sich gut begründen, dass es sich bei dem Chatbot um eine Online-Suchmaschine nach dem DSA handelt. Denn auch wenn Large Language Models anders funktionieren: Sie erfüllen die selbe Funktion. Das potentiell gesamte Internet wird durchforstet, um eine Antwort auf die Eingabefrage zu geben. Der Gesetzgeber hat „Online-Suchmaschine“ bewusst weit formuliert. Und es ist gut, wenn eine so wirkmächtige Anwendung wie ChatGPT über den DSA stärker als bislang demokratisch kontrolliert wird.
Die Entscheidungen der KI-Anbieter über ihre technischen Systeme haben einen großen Einfluss darauf, welche Inhalte, Sichtweisen und Quellen Nutzende präsentiert bekommen. Denn zwischen der Frage an ChatGPT und dem Ergebnistext am Ende liegen unzählige Zwischenschritte, die für Nutzende nicht nachvollziehbar sind. Dass die EU-Kommission (auch) über den DSA mehr Nachvollziehbarkeit und Transparenz einfordern und erzwingen will, ist ein erster Schritt Richtung demokratischer Kontrolle. Ein weiterer praktischer Vorteil ist, dass die die EU-Kommission nun die direkte Aufsicht übernimmt. Vorher waren die nachlässigen irischen Behörden dafür verantwortlich, da OpenAI – wie viele Big-Tech-Unternehmen – den Hauptsitz in Dublin hat.
Mit den vom DSA ermöglichten drohenden Bußgeldern von bis zu 6 % des weltweiten Jahresumsatzes bei Verstößen hat Brüssel ein mächtiges Druckmittel, um hohe Standards für den Umgang mit künstlicher Intelligenz als Informationsquelle zu setzen. Geopolitisch ist dieser Schritt mutig, aber richtig: Die USA empfinden die Regulierung von US-Digitalunternehmen als diskriminierend. Inzwischen ist die transatlantische Beziehung aber derart beschädigt und handelspolitisch konfrontativ, dass weitere Regulierungsinstrumente als Drohpotenzial wohl eher helfen als schaden. Man sollte sie deshalb nicht im Gegenzug gegen niedrigere Zölle eintauschen.