Spanje beboet AI-deepfakes tot €35 miljoen

Spanje heeft een brede nationale AI-wet aangenomen met boetes tot € 35 miljoen en een expliciet verbod op seksuele deepfakes. Drie weken eerder schoof de EU juist haar eigen handhavingstermijnen op. Tussen die twee besluiten zit de kern van het Europese AI-beleid op dit moment.

Op 26 mei keurde de Spaanse ministerraad de wet voor goed gebruik en bestuur van kunstmatige intelligentie goed. Madrid behandelt die als een "organieke wet", de categorie die Spanje reserveert voor wetgeving die raakt aan grondrechten. De wet gaat op twee punten verder dan de Europese AI-verordening: zij verbiedt door AI gemaakte seksuele deepfakes en materiaal met seksuele uitbuiting van kinderen, en zij verplicht elke overheidsinstantie die geautomatiseerde systemen gebruikt een "AI-gemachtigde" aan te wijzen.

Ook legt de wet verantwoordelijkheid bij zowel AI-aanbieders als de bedrijven die hun systemen inzetten. Beide kunnen juridisch aansprakelijk worden gehouden voor overtredingen. De logica lijkt op voedselveiligheid: als een klant ziek wordt, kan niet alleen de producent worden aangesproken, maar ook het restaurant dat het gerecht serveerde.

Brussel gaf iedereen meer tijd. Spanje bedankte.

De Europese AI-verordening trad in augustus 2024 in werking, maar de zwaarste regels voor AI in werving, medische diagnoses en opsporing werden telkens vooruitgeschoven. Op 7 mei spraken Parlement en Raad af die verplichtingen met meer dan een jaar uit te stellen, als onderdeel van een wetgevingspakket dat Digital Omnibus heet. De meeste lidstaten hadden hun nationale AI-toezichthouder nog niet eens ingericht, terwijl de technische normen waarmee bedrijven naleving moeten aantonen ook nog ontbraken.

Spanje wachtte niet. Al in juni 2024, nog vóór de AI-verordening van kracht werd, richtte het land AESIA op, de eerste aparte AI-toezichthouder van de EU. De nieuwe wet geeft die toezichthouder nu wel echte sanctiemacht.

Vijf landen, vijf draaiboeken

In Europa ontstaat een lappendeken van nationale AI-aanpakken, gevormd door binnenlandse politiek en juridische tradities.

Italië koos voor het strafrecht. Wet 132/2025 maakte de verspreiding van deepfakes tot een zelfstandig misdrijf, mede na een geruchtmakende zaak rond gemanipuleerde beelden van premier Meloni. Anna Ascani, vicevoorzitter van de Kamer namens de oppositie, noemde strafbaarstelling zonder bevoegdheden om platforms tot verwijdering te dwingen "zinloos".

Duitsland liet de rechter voorgaan. Op 12 mei oordeelde het Oberlandesgericht Hamm, een regionale beroepsrechter, dat bedrijven volledig aansprakelijk zijn voor onjuiste uitspraken van hun AI-chatbots, ook als die bots met correcte data zijn getraind. De chatbot van een schoonheidskliniek had medische kwalificaties voor artsen verzonnen. De Duitse uitvoeringswet ligt intussen nog in het parlement.

Frankrijk koos voor institutionele coördinatie in plaats van nieuwe wetgeving. De CNIL, de Franse privacytoezichthouder, treedt op als coördinator van AI-toezicht over meer dan vijftien sectorale toezichthouders. Arthur Mensch, oprichter van Mistral AI, zei in de Assemblée nationale dat de regeldruk Amerikaanse techreuzen bevoordeelt boven Europese startups. Een klein compliance-team moet immers door tientallen nationale uitvoeringen van dezelfde EU-wet heen.

Ierland begint vanaf nul. Het AI Office gaat op 1 augustus van start met een minimale bezetting en nog zonder benoemde topman. De eerste echte proef wordt waarschijnlijk de handhaving tegen Grok van X, dat door Ierse toezichthouders is aangemerkt wegens het genereren van intiem beeldmateriaal zonder toestemming.

Het vacuüm dat niemand had besteld

De Spaanse wet heeft overigens ook blinde vlekken. Overheidsinstanties die AI verkeerd gebruiken, krijgen berispingen, geen boetes. In Italië is het toezicht verdeeld over meerdere instanties, een structuur die critici slecht gecoördineerd noemen. Ierland heeft zijn toezichthouder nog niet bemenst, laat staan getest.

De Europese AI-verordening moest één regelboek voor het continent opleveren. Het Omnibus-uitstel gaf lidstaten tijd, maar opende tegelijk een vacuüm dat nationale regeringen vulden met hun eigen prioriteiten. Tegen de tijd dat de zwaarste verplichtingen echt gelden, kan Europa 27 versies van dezelfde wet hebben. Voor een bedrijf dat in 2026 AI bouwt, ziet het continent er zo uit: Spanje verbiedt deepfakes, Italië zet makers ervan in de gevangenis, Duitsland houdt chatbotbeheerders aansprakelijk voor verzinsels, en Ierland heeft zijn hoogste toezichthouder nog niet aangesteld. Eén regelboek is dat niet.