Spanien: Hohe Bußgelder für fehlende Kennzeichnung von KI-Deepfakes

Das spanische Kabinett hat am 11. März 2025 einen Gesetzentwurf zur guten Nutzung und Governance von Künstlicher Intelligenz (KI) verabschiedet. Dieser Entwurf zielt darauf ab, einen ethischen, inklusiven und nutzbringenden Einsatz von KI zu gewährleisten und die spanische Gesetzgebung an die bereits in Kraft getretene EU-KI-Verordnung (KI-VO) anzupassen. Spanien setzt auf abgestufte Sanktionen im Einklang mit der KI-VO, schöpft aber nicht alle Spielräume aus.

Umsetzungsgesetze zur KI-VO

Entsprechend Art. 99 Abs. 1 KI-VO sollen die Mitgliedstaaten Vorschriften für Sanktionen und andere Durchsetzungsmaßnahmen erlassen, zu denen auch Verwarnungen und nichtmonetäre Maßnahmen gehören können, die bei Verstößen gegen diese Verordnung durch Akteure Anwendung finden. Die Mitgliedstaaten müssen zudem alle Maßnahmen ergreifen, die zur wirksamen Durchsetzung der Verordnung erforderlich sind, wobei die von der Kommission gemäß Artikel 96 erteilten Leitlinien zu berücksichtigen sind. Die vorgesehenen Sanktionen müssen wirksam, verhältnismäßig und abschreckend sein. Die KI-VO verpflichtet dabei zur Berücksichtigung der Interessen von KMU, einschließlich Start-up-Unternehmen, sowie deren wirtschaftliches Überleben.

Sanktionen nach der KI-VO

Die KI-Verordnung selbst gibt in Art. 99 gewisse Höchstgrenzen für Bußgelder vor. Sie differenziert dabei zwischen der Missachtung des Verbots von in Artikel 5 genannten KI-Praktiken, Verstöße gegen andere Bestimmungen und hinsichtlich der Bereitstellung von Informationen.

• Missachtung des Verbots gem. Artikel 5 KI-VO: Strafen bis zu 35 Millionen Euro oder – im Falle von Unternehmen – von bis zu 7 % des gesamten weltweiten Jahresumsatzes des vorangegangenen Geschäftsjahres, je nachdem, welcher Betrag höher ist.
• Verstöße gegen andere Bestimmungen für Akteure oder notifizierte Stellen (außer Art. 5): Bußgelder bis zu 15 Millionen Euro oder – im Falle von Unternehmen – von bis zu 3 % des gesamten weltweiten Jahresumsatzes des vorangegangenen Geschäftsjahres, je nachdem, welcher Betrag höher ist. Dies betrifft die in Art. 99 Abs. 4 KI-VO genannten Pflichten der Anbieter, Bevollmächtigten, Einführer, Händler, Betreiber und notifizierte Stellen sowie die in Art. 50 genannten Transparenzpflichten.
• Bereitstellung falscher, unvollständiger oder irreführender Informationen auf Auskunftsersuchen: Strafen bis zu 7, 5 Millionen Euro oder – im Falle von Unternehmen – von bis zu 1 % des gesamten weltweiten Jahresumsatzes des vorangegangenen Geschäftsjahres, je nachdem, welcher Betrag höher ist.

Sanktionen nach dem spanischen Gesetzesentwurf

Der spanischen Gesetzesentwurf kommt der Verpflichtung aus Art. 99 Abs. 1 KI-VO nach und regelt die Sanktionen bei Verstößen gegen die neue KI-VO. Der Gesetzentwurf unterscheidet zwischen drei Sanktionsstufen: besonders schwerwiegende, schwerwiegende und geringfügige Verstöße.

• Besonders schwerwiegender Verstoß: Als besonders schwerwiegender Verstoß wird es verstanden, wenn der Betreiber eines KI-Systems es versäumt, einen schwerwiegenden Vorfall (z. B. den Tod einer Person, einen Schaden, der kritische Infrastrukturen gefährdet hat, oder einen Schaden an der Umwelt) zu melden, oder wenn er den Anordnungen einer Marktüberwachungsbehörde nicht nachkommt. Die Strafen reichen in diesem Fall von 7,5 bis 15 Millionen Euro oder bis zu 2 % bis 3 % des weltweiten Vorjahresumsatzes.
• Schwerwiegende Verstoß: Beispiele für schwerwiegende Verstöße sind unter anderem die Nichteinführung menschlicher Aufsicht für ein KI-System, das biometrische Daten bei der Arbeit integriert, um die Anwesenheit von Mitarbeitern zu kontrollieren, oder das Fehlen eines Qualitätsmanagementsystems bei KI-Robotern, die Inspektions- und Wartungsaufgaben ausführen. Die Strafen liegen in diesen Fällen zwischen 500.000 und 7,5 Millionen Euro oder zwischen 1 % und 2 % des weltweiten Umsatzes.
• Geringfügiger Verstoß: Das Versäumnis, die CE-Kennzeichnung auf dem Hochrisiko-KI-System oder, falls dies nicht möglich ist, auf seiner Verpackung oder in den Begleitunterlagen anzubringen, um die Einhaltung der KI-Verordnung anzuzeigen, gilt als geringfügiger Verstoß.

Strafen für fehlende Kennzeichnung KI-generierter Bilder, Audio- oder Videodateien

Besondere Aufmerksamkeit gilt der Pflicht zur Kennzeichnung von KI-generierten oder -manipulierten Bildern, Audio- und Videodateien. Digitalminister Óscar López betonte in einer Pressekonferenz, dass eine unterlassene Kennzeichnung als schwerwiegender Verstoß gewertet wird. „Alle Bürger können Opfer von Nachahmung werden – in einem falschen Kontext erscheinen, Dinge sagen oder tun, die nie passiert sind“, so López. Im Fokus stehen insbesondere Deepfakes, etwa täuschend echte Darstellungen realer oder fiktiver Personen. Solche Inhalte müssen laut Gesetzesentwurf „spätestens bei erster Interaktion oder Sichtbarkeit“ klar und unterscheidbar als KI-generiert gekennzeichnet sein.

Die KI-Verordnung sieht für Verstöße gegen die Kennzeichnungspflicht (als Transparenzpflicht iSv. Art. 50 Abs. 2) Geldbußen von bis zu 15 Mio. € oder 3 % des weltweiten Jahresumsatzes vor. Der spanische Gesetzesentwurf legt für schwerwiegende Verstöße hingegen nur einen Rahmen von 500.000 € bis 7,5 Mio. € bzw. 1–2 % des Umsatzes fest.

Obwohl Spanien die Pflicht zur Kennzeichnung als schwerwiegenden Verstoß einstuft, bleibt der Bußgeldrahmen unterhalb der von der KI-VO erlaubten Höchstgrenze. Dies könnte gezielt der Entlastung kleiner und mittlerer Unternehmen dienen – insbesondere im Hinblick auf die Verhältnismäßigkeit. Die Anforderung einer “gleichwertigen Wirkung” der nationalen Sanktionsregelungen im Vergleich zur KI-VO könnte diesen Spielraum jedoch begrenzen (Art. 99 Abs. 8).

Spanien schöpft nicht alle Spielräume aus

Obwohl sich der spanische Gesetzgeber bei der Festlegung von Sanktionen maßgeblich an der KI-Verordnung orientiert, schöpft er im Bereich der Sanktionen für Verstöße gegen die Transparenzpflichten, insbesondere die fehlende Kennzeichnung KI-generierter Inhalte, die maximal möglichen Geldbußen der KI-VO nicht vollständig aus. Möglicherweise verfolgt der spanische Gesetzgeber mit dieser Zurückhaltung eine gezielte Strategie, etwa zur Entlastung von KMU. Unternehmen sollten jedoch beachten, dass die grundlegende Verpflichtung zur Kennzeichnung von KI-generierten Inhalten auf europäischer ab dem 2. August 2025 gilt und deren Nichteinhaltung ab diesem Zeitpunkt geahndet wird.