Grok und der DSA: Risikobewertung vor dem Start

Am 26. Januar 2026 hat die Europäische Kommission ein förmliches Verfahren gegen X eröffnet. Es ist das dritte gegen die Plattform. Gegenstand ist die Einbindung des hauseigenen KI-Modells Grok. Die Kommission untersucht, ob Grok in der EU rechtswidrige Inhalte verbreitet, etwa manipulierte sexualisierte Bilder, darunter von Minderjährigen.

Die Rechtsgrundlage

Das Verfahren stützt sich auf den Digital Services Act (DSA), konkret auf die Artikel 34 und 35. Sie verpflichten sehr große Plattformen, Risiken ihrer Dienste zu bewerten und zu mindern, auch vor der Einführung neuer Funktionen. Die Kommission prüft, ob X diese Bewertung vor dem Start von Grok vorgelegt hat. Heise weist darauf hin, dass die KI-Verordnung noch nicht voll anwendbar ist und der DSA deshalb der verfügbare Hebel sei. Zusätzlich verlangt die Kommission Auskünfte zum Empfehlungssystem und dazu, wie von Grok erzeugte Inhalte ausgespielt werden. Die Untersuchung läuft gemeinsam mit der irischen DSA-Behörde. EU-Vizepräsidentin Henna Virkkunen nannte sexualisierte Deepfakes von Frauen und Kindern eine gewaltvolle, inakzeptable Form der Herabwürdigung.

Was das mit dem Mittelstand zu tun hat

Der DSA gilt für sehr große Plattformen, nicht für Ihr Unternehmen. Das Muster ist trotzdem lehrreich: Die Aufsicht fragt zuerst nach der Risikobewertung vor der Einführung. Genau diese Frage werden Ihnen auch Kunden, Versicherer und Prüfer stellen.

Eine einfache Risikobewertung für Ihr KI-Projekt

• Was kann das System erzeugen oder entscheiden, und wer ist davon betroffen?
• Was ist der schlimmste realistische Fehler, und wie schnell fällt er auf?
• Welche Schutzmaßnahmen gibt es, etwa Filter, Freigabe durch Menschen oder Begrenzung der Rechte?
• Wer ist verantwortlich, und wie wird das System im Notfall abgeschaltet?
• Wie wird die Bewertung dokumentiert und wann überprüft?

Warum Dokumentation Ihr Schutz ist

Verfahren wie dieses zeigen, dass nicht nur der Schaden zählt, sondern auch, ob vorher geprüft wurde. Eine datierte Bewertung mit benannten Verantwortlichen belegt, dass Sie Ihre Sorgfaltspflicht ernst genommen haben. Fehlt sie, bleibt nur die Behauptung. Für Kunden, Versicherer und im Streitfall ist das ein erheblicher Unterschied.

Eine Seite pro Anwendung genügt. Wichtig ist, dass sie vor dem Start entsteht und mit einem Datum versehen ist. Verfahren wie dieses zeigen, dass Behörden nicht nur auf Schäden reagieren, sondern fragen, ob Vorsorge getroffen wurde.

Quellen

• heise: Sexual deepfakes from Grok on X, EU Commission opens new DSA procedure (26. Januar 2026)
• Al Jazeera: EU launches probe into Grok AI feature (26. Januar 2026)