Hiszpania: €35 million za deepfake’i AI

Hiszpania przyjęła krajową ustawę o sztucznej inteligencji, która przewiduje kary do 35 mln EUR i całkowity zakaz seksualnych deepfake’ów. Stało się to trzy tygodnie po tym, jak UE przesunęła własny kalendarz egzekwowania najostrzejszych przepisów. Ten rozdźwięk dobrze pokazuje, w jakim miejscu znalazła się dziś europejska regulacja AI.

26 maja hiszpańska Rada Ministrów zatwierdziła ustawę o dobrym wykorzystaniu i zarządzaniu sztuczną inteligencją. Nadano jej rangę „ustawy organicznej”, czyli aktu zarezerwowanego w Hiszpanii dla spraw dotyczących praw podstawowych. W dwóch punktach idzie dalej niż unijny akt o AI: zakazuje seksualnych deepfake’ów generowanych przez AI oraz materiałów przedstawiających wykorzystywanie dzieci, a w każdej instytucji publicznej korzystającej z systemów automatycznych tworzy funkcję „delegata ds. AI”.

Odpowiedzialność za naruszenia poniosą zarówno dostawcy systemów AI, jak i firmy, które je wdrażają lub wykorzystują. Hiszpański model przypomina logikę bezpieczeństwa żywności: jeśli klientowi zaszkodzi podany produkt, odpowiadać może i producent, i lokal, który go sprzedał.

Bruksela dała więcej czasu. Hiszpania nie czekała.

Unijny akt o AI wszedł w życie w sierpniu 2024 r., ale najtwardsze obowiązki dotyczące systemów używanych przy rekrutacji, diagnozach medycznych czy działaniach organów ścigania były odkładane. 7 maja Parlament Europejski i Rada zgodziły się przesunąć je o ponad rok, wpisując opóźnienie do pakietu legislacyjnego Digital Omnibus. Większość państw członkowskich nie powołała jeszcze krajowych regulatorów AI, a standardy techniczne potrzebne firmom do wykazania zgodności z prawem nie były gotowe.

Madryt wybrał inną ścieżkę. Już w czerwcu 2024 r., zanim unijny akt o AI zaczął obowiązywać, uruchomił AESIA, pierwszą w UE wyspecjalizowaną agencję nadzoru nad AI. Nowa ustawa daje tej instytucji realne narzędzia egzekucyjne.

Pięć państw, pięć modeli działania

W Europie powstaje mozaika krajowych reakcji na AI. Każdą z nich kształtują lokalna polityka, tradycja prawna i presja konkretnych spraw.

Włochy wybrały drogę karną. Ustawa 132/2025 uczyniła rozpowszechnianie deepfake’ów osobnym przestępstwem, częściowo pod wpływem głośnej sprawy przerobionych zdjęć premier Giorgii Meloni. Wicemarszałkini Izby Deputowanych z opozycji Anna Ascani uznała jednak kryminalizację bez skutecznych narzędzi usuwania treści z platform za „bezużyteczną”, jeśli władze nie mogą wymusić ich zdjęcia.

Niemcy pozwoliły działać sądom. 12 maja Oberlandesgericht Hamm, regionalny sąd apelacyjny, orzekł, że firmy w pełni odpowiadają za fałszywe twierdzenia swoich chatbotów AI, nawet jeśli system był trenowany na poprawnych danych. Chatbot kliniki medycyny estetycznej przypisał jej lekarzom nieistniejące kwalifikacje. Niemiecka ustawa wdrażająca unijne przepisy wciąż przechodzi przez parlament.

Francja postawiła raczej na koordynację instytucjonalną niż nowe przepisy. CNIL, tamtejszy organ ochrony danych, pełni funkcję koordynatora regulacji AI wobec ponad 15 agencji sektorowych. Arthur Mensch, założyciel Mistral AI, mówił w Zgromadzeniu Narodowym, że ciężar regulacyjny sprzyja amerykańskim gigantom kosztem europejskich startupów, bo mały zespół compliance musi poruszać się po dziesiątkach krajowych wdrożeń tej samej unijnej ustawy.

Irlandia buduje system od zera. Jej urząd ds. AI ma ruszyć 1 sierpnia, na razie ze szczątkowym personelem i bez wskazanego prezesa. Pierwszym poważnym testem może być egzekwowanie przepisów wobec Groka, systemu X, który irlandzcy regulatorzy wskazali w związku z generowaniem intymnych obrazów bez zgody osób przedstawionych.

Luka, której nikt nie zaplanował

Hiszpańska ustawa także ma słabe punkty. Instytucjom publicznym, które niewłaściwie wykorzystają AI, grożą upomnienia, nie kary finansowe. We Włoszech system nadzoru jest podzielony między kilka urzędów, co krytycy uznają za receptę na słabą koordynację. Irlandia nie obsadziła jeszcze regulatora, więc nie miała okazji sprawdzić go w praktyce.

Unijny akt o AI miał stworzyć jeden zestaw zasad dla całego kontynentu. Opóźnienie zapisane w Omnibusie dało państwom członkowskim czas, ale otworzyło też przestrzeń, którą rządy wypełniają własnymi priorytetami. Gdy najostrzejsze obowiązki zaczną wreszcie obowiązywać, Europa może mieć 27 wersji tej samej ustawy. Dla firmy budującej AI w 2026 r. wygląda to tak: Hiszpania zakazuje deepfake’ów, Włochy przewidują więzienie dla ich twórców, Niemcy obciążają operatorów chatbotów odpowiedzialnością za halucynacje, a Irlandia nie zatrudniła jeszcze głównego regulatora. Trudno nazwać to jednolitym rynkiem reguł.