Spanien verschärft Strafen für KI-Deepfakes

Die EU wollte mit ihrer KI-Verordnung eigentlich verhindern, dass Unternehmen in jedem Mitgliedstaat andere Regeln vorfinden. In der Praxis entsteht gerade doch ein Flickenteppich: Brüssel verschiebt zentrale Pflichten, während einzelne Regierungen eigene Schutzlücken schließen.

Spanien hat am 26. Mai im Ministerrat ein nationales Gesetz zum „guten Einsatz und zur Governance künstlicher Intelligenz“ beschlossen. Es ist als Organgesetz angelegt, also als Regelwerk für Bereiche, die Grundrechte berühren. Der Entwurf geht an zwei Stellen über die EU-KI-Verordnung hinaus: Er verbietet KI-generierte sexuelle Deepfakes und Missbrauchsdarstellungen von Kindern ausdrücklich und verpflichtet jede Behörde, die automatisierte Systeme einsetzt, zur Benennung eines „KI-Delegierten“.

Außerdem macht Spanien nicht nur Anbieter von KI-Systemen haftbar, sondern auch die Unternehmen, die solche Systeme einsetzen. Bei Verstößen können nach dem Gesetz beide Seiten rechtlich verantwortlich gemacht werden. Das folgt einer Logik, die aus anderen Regulierungsbereichen bekannt ist: Wenn ein Produkt Schaden verursacht, endet die Verantwortung nicht zwingend beim Hersteller; auch der Betreiber trägt Pflichten.

Brüssel gab mehr Zeit. Spanien nutzte sie nicht.

Die EU-KI-Verordnung ist im August 2024 in Kraft getreten. Ihre schärferen Regeln für Hochrisikoanwendungen, etwa in der Personalauswahl, der medizinischen Diagnostik oder der Strafverfolgung, wurden jedoch immer wieder nach hinten geschoben. Am 7. Mai einigten sich Europäisches Parlament und Rat der EU darauf, diese Pflichten um mehr als ein Jahr zu verschieben. Die Verzögerung steckt im sogenannten Digital Omnibus, einem Paket zur Nachjustierung digitaler Regulierung.

Der Grund ist eher verwaltungstechnisch als politisch spektakulär: Viele Mitgliedstaaten hatten ihre nationalen KI-Aufsichtsbehörden noch nicht eingerichtet, und die technischen Standards, mit denen Unternehmen ihre Regelkonformität nachweisen sollen, lagen noch nicht vollständig vor. Ohne solche Standards wird Compliance schnell zur Auslegungssache.

Spanien war weiter. Mit AESIA hatte das Land bereits im Juni 2024 die erste eigenständige KI-Aufsichtsbehörde der EU geschaffen, also noch vor Inkrafttreten der europäischen Verordnung. Das neue Gesetz gibt dieser Behörde nun Sanktionsmöglichkeiten. Bußgelder von bis zu 35 Mio. EUR machen aus einer institutionellen Hülle ein echtes Aufsichtsinstrument.

Fünf Länder, fünf Ansätze

In Europa zeichnen sich nationale KI-Regime ab, die stark von den jeweiligen Rechtskulturen und innenpolitischen Konflikten geprägt sind.

Italien setzt auf Strafrecht. Das Gesetz 132/2025 macht die Verbreitung von Deepfakes zu einem eigenen Straftatbestand. Auslöser war auch ein prominenter Fall manipulierter Bilder von Ministerpräsidentin Giorgia Meloni. Die stellvertretende Parlamentspräsidentin Anna Ascani aus der Opposition nannte eine Kriminalisierung ohne wirksame Befugnisse zur Entfernung solcher Inhalte „nutzlos“, wenn Behörden Plattformen nicht zu Löschungen zwingen könnten.

Deutschland lässt bislang vor allem die Gerichte klären. Am 12. Mai entschied das Oberlandesgericht Hamm, Unternehmen hafteten vollständig für falsche Aussagen ihrer KI-Chatbots, selbst wenn die Systeme mit korrekten Daten trainiert worden seien. Der Chatbot einer Schönheitsklinik hatte Ärzten frei erfundene medizinische Qualifikationen zugeschrieben. Das deutsche Durchführungsgesetz zur EU-KI-Verordnung befindet sich noch im parlamentarischen Verfahren.

Frankreich organisiert die Aufsicht institutionell, statt sofort neue Spezialgesetze zu schaffen. Die Datenschutzbehörde CNIL fungiert als Koordinatorin der KI-Regulierung zwischen mehr als 15 Fachaufsichten. Arthur Mensch, Gründer von Mistral AI, sagte in der Nationalversammlung, die Regulierungslast begünstige amerikanische Großkonzerne gegenüber europäischen Start-ups, weil kleine Compliance-Teams Dutzende nationale Umsetzungen desselben EU-Rechts bewältigen müssten.

Irland baut seine Aufsicht erst auf. Das nationale KI-Büro soll am 1. August mit Minimalbesetzung starten; ein Behördenchef ist noch nicht benannt. Der erste Belastungstest dürfte der Umgang mit Xs Grok werden. Irische Regulierer hatten das System wegen der Erzeugung nicht einvernehmlicher intimer Bilder ins Visier genommen.

Die ungeplante Regelungslücke

Auch das spanische Gesetz hat Schwächen. Behörden, die KI missbräuchlich einsetzen, müssen mit Rügen, aber nicht mit Bußgeldern rechnen. In Italien ist die Aufsicht auf mehrere Stellen verteilt, was Kritiker als schlecht koordiniert beschreiben. Irland hat seine Behörde noch nicht einmal vollständig besetzt.

Die EU-KI-Verordnung sollte einen einheitlichen Rechtsrahmen für den Binnenmarkt schaffen. Die Omnibus-Verschiebung verschafft den Mitgliedstaaten zwar Zeit, öffnet aber zugleich einen Raum, den nationale Regierungen nach eigenen Prioritäten füllen. Wenn die strengsten europäischen Pflichten greifen, könnte Europa faktisch 27 Varianten desselben Regelwerks haben.

Für ein KI-Unternehmen im Jahr 2026 sieht der Kontinent deshalb so aus: Spanien verbietet sexuelle Deepfakes, Italien stellt ihre Verbreitung unter Strafe, Deutschland nimmt Betreiber für Halluzinationen von Chatbots in Haftung, und Irland sucht noch die Leitung seiner Aufsicht. Ein Binnenmarkt klingt anders.