Anfrage senden
KI-Regulierung · Digital Services Act (DSA)

DSA-Checkliste für KI-Anbieter und ChatGPT-API-Lösungen

Was bedeutet die Einstufung von ChatGPT als sehr große Online-Suchmaschine nach dem Digital Services Act für Unternehmen, die OpenAI über eine API in eigenen KI-Lösungen einsetzen? Diese Checkliste ordnet die Auswirkungen ein und zeigt, welche Verträge, Risiken, technischen Maßnahmen und Abhängigkeiten jetzt geprüft werden sollten.

◷ Stand: 2. September 2026 ✓ Digital Services Act (DSA) ◈ ChatGPT / OpenAI ⌂ Vendor Risk & KI-Governance
Offizielle Primärquellen
EU EU-Kommission:
Benennung von ChatGPT als VLOSE ↗ § EU-Kommission:
VLOP-/VLOSE-Register ↗ ≡ EU-Kommission:
Digital Services Act (DSA) ↗
Aktueller Status

Was hat sich bei ChatGPT regulatorisch geändert?

Die Europäische Kommission hat ChatGPT am 31. August 2026 als „Very Large Online Search Engine“ (VLOSE) nach dem Digital Services Act benannt. Damit gelten für den bezeichneten Dienst zusätzliche Anforderungen des DSA.

□
31.08.2026 Offizielle Benennung von ChatGPT durch die EU-Kommission
⌕
VLOSE Very Large Online Search Engine nach dem Digital Services Act
◎
159,1 Mio. Durchschnittliche monatliche aktive Nutzer laut EU-Register
▥
OpenAI OpenAI Ireland Limited ist als Anbieter im EU-Register genannt
Hinweis zur Umsetzungsfrist Die Europäische Kommission spricht von einer Vier-Monats-Frist nach der Benennung. Die derzeit veröffentlichten Sprachfassungen nennen allerdings unterschiedliche konkrete Endzeitpunkte. Für verbindliche Fristen sollte deshalb die jeweils aktuelle Primärquelle beziehungsweise der Benennungsbeschluss geprüft werden.
Einordnung

Gilt der DSA automatisch für Unternehmen, die die ChatGPT-API einsetzen?

Die Nutzung einer OpenAI- oder ChatGPT-API und die regulatorische Rolle eines eigenen digitalen Dienstes müssen getrennt betrachtet werden.

Nein, nicht automatisch. Die Benennung als VLOSE betrifft zunächst den von der Europäischen Kommission bezeichneten Dienst ChatGPT. Ein Unternehmen wird nicht allein dadurch selbst zu einem VLOSE, dass eine eigene Software über eine API mit einem OpenAI-Modell kommuniziert.

Entscheidend ist vielmehr, welche Funktion die eigene Anwendung gegenüber ihren Nutzern erfüllt und welche Rolle das Unternehmen nach dem Digital Services Act selbst einnimmt.

Unabhängig von einer unmittelbaren DSA-Pflicht sollte die neue regulatorische Situation jedoch in der Vendor-Risikobewertung berücksichtigt werden. Änderungen an OpenAI-Verträgen, Richtlinien, Moderationsmechanismen oder technischen Schnittstellen können mittelbar Einfluss auf eigene KI-Produkte haben.

Regulatorische Einordnung

DSA, EU AI Act und DSGVO sind unterschiedliche Prüfungen

Bei KI-Projekten werden die drei Regelwerke häufig miteinander vermischt. Für eine belastbare Bewertung muss zunächst geklärt werden, welche Rolle ein Unternehmen unter dem jeweiligen Regelwerk einnimmt.

DSA

Digital Services Act

Regelt insbesondere Pflichten bestimmter Vermittlungsdienste, Hostingdienste, Online-Plattformen und Online-Suchmaschinen.

  • Funktion des digitalen Dienstes
  • Umgang mit illegalen Inhalten
  • Transparenz und Beschwerdemechanismen
  • zusätzliche Pflichten für VLOPs und VLOSEs
AI ACT

EU AI Act

Regelt KI-Systeme und General-Purpose-AI anhand regulatorischer Rollen und Risikokategorien.

  • Anbieter und Betreiber
  • KI-Risikoklassifizierung
  • Transparenzpflichten
  • Dokumentation und Governance
DSGVO

Datenschutz-Grundverordnung

Greift, sobald personenbezogene Daten im Rahmen der KI-Anwendung verarbeitet werden.

  • Rechtsgrundlage
  • Auftragsverarbeitung
  • Datenminimierung
  • technische und organisatorische Maßnahmen
Praxischeck

10-Punkte-Checkliste für KI-Anbieter mit OpenAI- oder ChatGPT-API

Die folgenden Punkte sind kein pauschaler Nachweis einer gesetzlichen DSA-Pflicht. Sie dienen als strukturierter Re-Assessment-Rahmen für Hersteller, Betreiber und Anbieter eigener KI-Lösungen.

1

Vendor-Risikobewertung aktualisieren

  • VLOSE-Einstufung von ChatGPT im Vendor-Risk-Register dokumentieren.
  • Abhängigkeit der eigenen Lösung von OpenAI technisch und wirtschaftlich erfassen.
  • Prüfen, ob OpenAI für kritische Funktionen als wesentlicher Drittanbieter einzustufen ist.
  • Abhängigkeiten zu einzelnen Modellen, APIs und Funktionen dokumentieren.
  • Owner und Termin für das nächste Vendor-Re-Assessment festlegen.
Vendor Risk · Third Party Risk
2

OpenAI-Verträge und API-Bedingungen prüfen

  • Aktuelle API- und Business-Nutzungsbedingungen archivieren.
  • Änderungsklauseln und regulatorisch bedingte Anpassungsmöglichkeiten prüfen.
  • Haftungs-, Gewährleistungs- und Verfügbarkeitsregelungen dokumentieren.
  • Regeln zu verbotenen oder eingeschränkten Use Cases erfassen.
  • Prozess für die Prüfung zukünftiger Vertragsänderungen festlegen.
Verträge · Lieferantenmanagement
3

Eigene DSA-Rolle prüfen

  • Welche digitale Leistung wird Endnutzern tatsächlich angeboten?
  • Werden Informationen von Nutzern gespeichert oder öffentlich bereitgestellt?
  • Gibt es Nutzerkonten, öffentliche Inhalte, Marktplatzfunktionen oder Suchfunktionen?
  • Besteht möglicherweise eine Rolle als Vermittlungsdienst, Hostingdienst oder Online-Plattform?
  • Rechtliche Einordnung bei unklarer Rollenverteilung dokumentieren lassen.
DSA Scope · Rollenprüfung
4

Use Cases und Risikofelder erfassen

  • Alle KI-Funktionen nach Nutzergruppe und Zweck inventarisieren.
  • Sensible Anwendungsfälle gesondert kennzeichnen.
  • Risiken durch illegale oder missbräuchliche Inhalte bewerten.
  • Minderjährige, Gesundheit, Grundrechte und öffentliche Sicherheit berücksichtigen.
  • Bestehende Schutzmaßnahmen jedem Risiko nachvollziehbar zuordnen.
Use-Case-Mapping · Risikoanalyse
5

Technische Schutzmaßnahmen bewerten

  • Input- und Output-Validierung für relevante Use Cases einsetzen.
  • Moderation oder Content-Filtering dort vorsehen, wo es das Risikoprofil erfordert.
  • Prompt-Injection, Jailbreaks und Missbrauchsszenarien testen.
  • Grenzen des Modells und Fehlerfälle technisch berücksichtigen.
  • Sicherheitsmechanismen regelmäßig überprüfen und versionieren.
Safety · Security · Guardrails
6

Human-in-the-Loop für sensible Entscheidungen definieren

  • Festlegen, welche KI-Ausgaben eine menschliche Prüfung benötigen.
  • Eskalationswege für kritische Antworten dokumentieren.
  • Keine automatisierte Freigabe sensibler Entscheidungen ohne angemessene Kontrolle.
  • Rollen und Verantwortlichkeiten organisatorisch festlegen.
  • Abnahme- und Kontrollprozesse dokumentieren.
Human Oversight · Governance
7

Logging und Nachvollziehbarkeit planen

  • Festlegen, welche technischen Ereignisse protokolliert werden müssen.
  • Modell, Modellversion und relevante Konfiguration nachvollziehbar erfassen.
  • Datenschutz und Speicherbegrenzung beim Logging berücksichtigen.
  • Änderungen an Prompts, Policies und Guardrails versionieren.
  • Incident-Rekonstruktion technisch ermöglichen.
Traceability · Auditability
8

Transparenz gegenüber Endnutzern prüfen

  • KI-Interaktionen dort kennzeichnen, wo dies regulatorisch oder sachlich erforderlich ist.
  • Nutzer über Zweck und Grenzen der KI-Funktion informieren.
  • Meldemöglichkeit für problematische Ergebnisse vorsehen, wenn das Produkt dies erfordert.
  • Datenschutzhinweise an die konkrete Verarbeitung anpassen.
  • Support-Prozess für Fehlverhalten oder Beschwerden definieren.
Transparenz · Nutzerinformation
9

Fallback- und Multi-Provider-Strategie bewerten

  • Prüfen, welche Funktionen bei einem API-Ausfall betroffen wären.
  • Vendor Lock-in und technische Wechselkosten dokumentieren.
  • Fallback-Prozesse für geschäftskritische Anwendungen definieren.
  • Alternative Modelle oder Provider dort testen, wo dies wirtschaftlich sinnvoll ist.
  • Modellwechsel von der Geschäftslogik technisch entkoppeln, soweit möglich.
Resilience · Multi Provider
10

Regulatorisches Monitoring und interne Verantwortlichkeit etablieren

  • EU-Kommission und OpenAI-Developer- Informationen regelmäßig prüfen.
  • Verantwortliche Person für regulatorische Änderungen bestimmen.
  • Material Changes als Trigger für ein neues Risiko-Assessment definieren.
  • Entwickler, Produktverantwortliche, Vertrieb und Support informieren.
  • DSA, AI Act, DSGVO und Vertragsänderungen gemeinsam im Change-Prozess berücksichtigen.
Monitoring · Compliance Change
Use-Case-Mapping

Welche Risikofelder sollten KI-Anbieter besonders prüfen?

Die zusätzlichen DSA-Pflichten für sehr große Dienste umfassen unter anderem die Bewertung und Minderung systemischer Risiken. Für Entwickler eigener KI-Lösungen können diese Kategorien zugleich als Orientierungsrahmen für das eigene Risikomanagement dienen.

Illegale Inhalte

Kann die Anwendung für rechtswidrige Inhalte, Betrug, Drohungen, Urheberrechtsverletzungen oder andere missbräuchliche Zwecke eingesetzt werden?

Minderjährigenschutz

Können Kinder oder Jugendliche die Anwendung nutzen und sind besondere Schutzmechanismen erforderlich?

Physisches und psychisches Wohlbefinden

Erzeugt die Anwendung Antworten in Bereichen wie Gesundheit, Krisenintervention oder anderen Situationen mit erhöhtem Schadenspotenzial?

Grundrechte

Können KI-Ausgaben Diskriminierung, Datenschutz, Meinungsfreiheit oder andere Grundrechte berühren?

Wahlprozesse und öffentlicher Diskurs

Kann die Lösung für politische Kommunikation, massenhafte Inhaltserstellung oder Beeinflussung von Wahlprozessen verwendet werden?

Öffentliche Sicherheit

Könnte missbräuchliche Nutzung Auswirkungen auf Personen, Organisationen, Infrastruktur oder öffentliche Sicherheit haben?

Praxis-Matrix

Welche Prüfung gehört wohin?

Für ein vollständiges Re-Assessment sollten rechtliche, technische und organisatorische Fragestellungen getrennt betrachtet und anschließend zusammengeführt werden.

Prüffeld Typische Frage Verantwortung Nachweis / Dokumentation
DSA-Rolle Welche Funktion erfüllt unser digitaler Dienst? Legal / Compliance Rollenbewertung
OpenAI Vendor Risk Welche kritischen Funktionen hängen von OpenAI ab? IT / Einkauf / Governance Vendor-Risk-Assessment
Use Cases Welche Nutzer können welche KI-Funktion verwenden? Product Owner KI-Inventar / Use-Case-Register
Safety Wie verhindern wir vorhersehbaren Missbrauch? Entwicklung / Security Testfälle / Guardrail-Dokumentation
Nachvollziehbarkeit Können Fehler und Änderungen rekonstruiert werden? Entwicklung / Betrieb Logs / Versionierung / Change Log
Datenschutz Welche personenbezogenen Daten gelangen in das Modell? Datenschutz Verzeichnis / DSFA / AVV, soweit erforderlich
Resilienz Was passiert bei API-Ausfall oder Policy-Änderungen? IT-Architektur Fallback-Konzept
Monitoring Wer prüft regulatorische und vertragliche Änderungen? Governance Review-Zyklus / Verantwortungsmatrix
Empfohlene Umsetzung

Wie sollten Unternehmen jetzt vorgehen?

Der folgende Zeitplan ist eine organisatorische Empfehlung für Unternehmen mit eigener KI-Lösung und keine gesetzlich vorgegebene DSA-Fristenliste.

September 2026
Scope und Abhängigkeiten erfassen Vendor Risk, OpenAI-Abhängigkeiten, Vertragsstand und eigene regulatorische Rolle prüfen.
Oktober 2026
Use Cases und Schutzmaßnahmen bewerten Risikofelder, Guardrails, Human Oversight, Logging und Transparenzmaßnahmen den jeweiligen Use Cases zuordnen.
November 2026
Resilienz und Change-Prozesse testen API-Ausfall, Policy-Änderungen, Modellwechsel und gegebenenfalls alternative Provider technisch bewerten.
Laufend
Regulatorisches Monitoring Neue Informationen der EU-Kommission, OpenAI-Vertragsänderungen, API-Policies und relevante AI-Act-Entwicklungen als Re-Assessment-Trigger behandeln.
Häufige Fragen

Was Unternehmen zur DSA-Einstufung von ChatGPT wissen möchten

Antworten auf typische Fragen von Unternehmen, Entwicklern und Verantwortlichen für KI-Governance.

Gilt der Digital Services Act für Unternehmen, die die ChatGPT-API verwenden?

Nicht automatisch aufgrund der API-Nutzung. Die VLOSE-Benennung betrifft den bezeichneten Dienst ChatGPT. Ob ein Unternehmen selbst DSA-Pflichten hat, hängt von der Funktion und regulatorischen Einordnung des eigenen digitalen Dienstes ab.

Was bedeutet die VLOSE-Einstufung von ChatGPT für API-Kunden?

API-Kunden werden dadurch nicht automatisch selbst zu einem VLOSE. Für Unternehmen ist die Einstufung aber für das Drittanbieter- und Risikomanagement relevant. Regulatorische Änderungen können mittelbar zu Änderungen an Verträgen, Richtlinien, technischen Funktionen oder Sicherheitsanforderungen von OpenAI führen.

Ist ChatGPT nach dem DSA offiziell eine Online-Suchmaschine?

Ja. Die Europäische Kommission hat ChatGPT am 31. August 2026 als „Very Large Online Search Engine“ – kurz VLOSE – nach dem Digital Services Act benannt.

Warum wurde ChatGPT als sehr große Online-Suchmaschine eingestuft?

Für die Einstufung als sehr großer Dienst ist insbesondere die Reichweitenschwelle des DSA relevant. Im Register der Europäischen Kommission wird ChatGPT mit 159,1 Millionen durchschnittlichen monatlichen aktiven Nutzern aufgeführt.

Müssen KI-Hersteller wegen der ChatGPT-Einstufung ihre Software ändern?

Es besteht keine pauschale Pflicht, jede Software mit OpenAI-Anbindung allein wegen der VLOSE-Einstufung technisch zu ändern. Sinnvoll ist jedoch ein Re-Assessment von Abhängigkeiten, Use Cases, Sicherheitsmaßnahmen, Transparenz, Logging und Fallback-Prozessen.

Muss ich OpenAI jetzt als kritischen Drittanbieter einstufen?

Das hängt von der konkreten Abhängigkeit Ihres Unternehmens ab. Wenn geschäftskritische Prozesse ohne OpenAI nicht funktionieren, sollte diese Abhängigkeit in der Vendor-Risikobewertung ausdrücklich berücksichtigt werden.

Brauche ich für eine ChatGPT-API-Lösung eine Multi-Provider-Strategie?

Nicht jede Anwendung benötigt mehrere LLM-Anbieter. Bei geschäftskritischen Funktionen sollte jedoch geprüft werden, welche Folgen ein Ausfall, eine Preisänderung, eine Policy-Änderung oder die Einstellung einer Modellversion hätte und ob ein technischer Fallback wirtschaftlich sinnvoll ist.

Ist DSA-Compliance dasselbe wie EU-AI-Act-Compliance?

Nein. Der Digital Services Act und der EU AI Act verfolgen unterschiedliche regulatorische Ansätze. Eine KI-Lösung kann daher nach AI Act, DSA und DSGVO unterschiedlich einzuordnen sein.

Müssen KI-generierte Inhalte wegen des DSA immer gekennzeichnet werden?

Eine pauschale Kennzeichnungspflicht für sämtliche API-generierten Inhalte lässt sich aus der VLOSE-Einstufung von ChatGPT nicht ableiten. Transparenzpflichten können jedoch aus unterschiedlichen Vorschriften und dem konkreten Einsatzkontext entstehen.

Welche Dokumentation sollte ein Anbieter einer KI-Lösung jetzt führen?

Sinnvoll sind insbesondere ein KI-Use-Case-Register, Vendor-Risk-Bewertungen, Rollen- und Verantwortungsmatrizen, dokumentierte Sicherheitsmaßnahmen, Versionierung relevanter Prompts und Konfigurationen, technische Änderungsnachweise sowie ein geregelter Compliance-Review-Prozess.

Nachweise

Primärquellen und Stand der Information

Europäische Kommission, 31. August 2026:
Benennung von ChatGPT als Very Large Online Search Engine (VLOSE) nach dem Digital Services Act.

Commission designates ChatGPT, Reddit, Roblox under Digital Services Act

Europäische Kommission – Register:
Übersicht der benannten Very Large Online Platforms und Very Large Online Search Engines. Für ChatGPT wird OpenAI Ireland Limited als Anbieter geführt.

List of designated VLOPs and VLOSEs

Rechtsgrundlage:
Digital Services Act – Verordnung (EU) 2022/2065.

European Commission – Digital Services Act

Informationsstand: 2. September 2026. Diese Seite dient der fachlichen Orientierung und stellt keine Rechtsberatung dar. Bei der rechtlichen Einstufung eines konkreten Dienstes sollten dessen Funktionen, Nutzergruppen, Datenflüsse und Vertragsverhältnisse individuell geprüft werden.

Wie kontrolliert ist Ihre aktuelle KI-Infrastruktur?

Wenn mehrere KI-Dienste, APIs, Assistenten oder Agenten im Unternehmen eingesetzt werden, wird die technische und organisatorische Steuerbarkeit zunehmend relevant. Wir unterstützen bei Bestandsaufnahme, Architektur, Governance und technischer Umsetzung.

AI Techno Center GmbH
KI-basierte Systemlösungen · KI-Governance · Automatisierung · Unternehmensintelligenz
Boppard · Deutschland
Stand: 02.09.2026