Kann die AESIA Sie heute nach der KI-Verordnung bestrafen? Die kurze Antwort: Nein

Woher kommt die Vorstellung, dass die AESIA bereits sanktioniert?

Wenn Sie im Internet nach «KI-Verordnung Sanktionen Spanien» suchen, werden Sie dutzende Seiten finden, die behaupten, die Agencia Española de Supervisión de la Inteligencia Artificial sanktioniere seit August 2025, mit Bußgeldtabellen und Schlagzeilen wie «Unternehmen drohen 35 Millionen».

Die Zahl ist real. Der Zeitplan nicht.

Der Ursprung des Missverständnisses ist ein Datum in der europäischen Verordnung: Am 2. August 2025 begann die Anwendung von Kapitel XII, dem Sanktionskapitel. Aber dieses Kapitel sanktioniert niemanden. Es verpflichtet die Mitgliedstaaten lediglich, ihre eigene Sanktionsregelung aufzubauen. Spanien hat das noch nicht getan.

Es ist eine technische Unterscheidung mit sehr konkreten Konsequenzen: Wenn ein Anbieter Ihnen Dringlichkeit mit dem Argument verkauft, «die AESIA verhänge bereits Bußgelder», verkauft er Ihnen mit falschen Informationen.

Was ist die AESIA und was kann sie genau tun?

Die Behörde wurde durch das Real Decreto 729/2023 vom 22. August (BOE Nr. 210 vom 2. September 2023) geschaffen, das ihr Statut genehmigt. Es trat am 3. September 2023 in Kraft und hat seinen Sitz in A Coruña.

Ihre Funktionen sind in Artikel 10 des Statuts festgelegt. Dort erscheint unter Absatz 1.k) der Verweis auf Aufsicht und Sanktionsbefugnis – mit einem entscheidenden Zusatz: «gemäß den Bestimmungen der europäischen Vorschriften».

Das ist im juristischen Sinne eine Verweisermächtigung. Das Dekret sagt «die Behörde sanktioniert gemäß dem, was die entsprechende Norm vorschreibt», definiert jedoch keine Tatbestände, legt keine Beträge fest und bestimmt kein Verfahren. Es kann das nicht: Ein Dekret ist eine untergesetzliche Norm, und Artikel 25 der Verfassung verlangt Gesetzesrang zur Bestimmung von Verwaltungsdelikten.

Übersetzt: Die AESIA hat die Stelle, den Sitz und das Organigramm. Sie hat keinen Bußgeldkatalog.

Was fehlt also?

Es fehlt das Organgesetz zum verantwortungsvollen Einsatz und zur Governance von künstlicher Intelligenz, das der Ministerrat am 26. Mai 2026 verabschiedete. Dies ist sein tatsächlicher, nachprüfbarer Verlauf:

Solange dieses Ausschussgutachten nicht vorliegt – und danach die Plenardebatte, der Senat und die Veröffentlichung im BOE –, gibt es keine Sanktionsregelung.

Der Gesetzentwurf selbst räumt dies in seiner Begründung auf Seite 11 ein: Das Gesetz sei notwendig, weil «nur eine Norm im Rang eines Gesetzes Tatbestände festlegen, Sanktionen abstufen und Sanktionsbefugnisse gemäß den Grundsätzen der Gesetzmäßigkeit, Verhältnismäßigkeit und Rechtssicherheit zuweisen kann».

Ein weiteres Detail: Die zweite Zusatzbestimmung verpflichtet die Regierung, innerhalb von höchstens sechs Monaten nach Inkrafttreten des Gesetzes eine weitere Norm zu erlassen, die die AESIA in eine Einrichtung nach Artikel 84 des Gesetzes 40/2015 mit eigener Rechtspersönlichkeit und «voller organisatorischer und funktionaler Unabhängigkeit» umwandelt. Das bedeutet: Wenn das Gesetz verabschiedet wird, muss die Behörde noch einmal von innen her umgebaut werden.

Und das Gesetz selbst tritt am Tag nach seiner Veröffentlichung im BOE in Kraft (achte Schlussbestimmung). Ohne Übergangsfrist, ohne Anpassungszeitraum. Am Tag der Veröffentlichung ist der Bußgeldkatalog operativ.

Wie hoch sind die Beträge, wenn das Gesetz in Kraft ist?

Artikel 30 des Entwurfs legt diese Obergrenzen fest:

Jetzt die Nuance, die fast niemand erwähnt und die die Lektüre für KMU komplett verändert. Nach der Grundregel gilt der höhere der beiden Beträge. Aber Artikel 30 Abs. 8 des Entwurfs, in Anlehnung an Artikel 99 Abs. 6 der europäischen Verordnung, legt fest, dass für KMU und Start-ups der niedrigere Betrag gilt.

Für ein Unternehmen mit 40 Mitarbeitern und 6 Millionen Umsatz sind 1 % bei einem schwerwiegenden Verstoß 60.000 Euro, nicht 7,5 Millionen. Das schmerzt immer noch. Aber es ist eine Zahl, über die man in einem Aufsichtsrat sprechen kann, ohne dass das Gespräch in Panik ausartet.

Zwei weitere Hinweise: Zusätzlich zur Geldbuße erlaubt Artikel 30 Abs. 2 die Anordnung der Produktrücknahme oder der Abschaltung des KI-Systems, wenn die Behörde begründet feststellt, dass ein inakzeptables oder schwerwiegendes Risiko besteht. Für ein Unternehmen, das KI in seinem Betrieb integriert hat, kann eine Abschaltung teurer sein als die Sanktion. Außerdem stuft Artikel 16 des Entwurfs die Behinderung oder Obstruktion einer Inspektion für jeden Betreiber als schwerwiegenden Verstoß ein. Die einfachste Möglichkeit, aus einem kleinen Verfahren ein teures zu machen, ist die Verweigerung der Kooperation.

Bedeutet das, dass die KI-Verordnung in Spanien nicht gilt?

Nein. Die Verordnung (EU) 2024/1689 ist eine europäische Verordnung: Sie gilt unmittelbar, ohne Umsetzungsbedarf. Was fehlt, ist der spanische Mechanismus zur Bestrafung von Verstößen, nicht die Pflicht.

Außerdem hat sich der Zeitplan in diesem Sommer verändert. Die Verordnung (EU) 2026/1744, der sogenannte digitale KI-Omnibus, wurde am 24. Juli 2026 im Amtsblatt der EU veröffentlicht und ist seit dem 27. Juli in Kraft. Sie verzögert einen Großteil der Hochrisiko-Pflichten. Dies ist der aktualisierte Zeitplan:

Wenn Ihr Unternehmen einen Kundendienst-Chatbot betreibt, Bilder oder Texte mit KI erzeugt oder Emotionserkennung einsetzt, ist das Datum, das Sie betrifft, der 2. August 2026, nicht 2027. Die Transparenzpflichten aus Artikel 50 wurden nicht verschoben.

Der Omnibus hat auch Artikel 4 abgemildert. Er verlangt nicht mehr, KI-Kompetenz in der Belegschaft zu «sicherstellen», sondern «Maßnahmen zur Förderung» der KI-Kompetenz zu ergreifen, und stellt ausdrücklich klar, dass keine Person ein bestimmtes Niveau erreichen muss. Das ist eine echte Erleichterung für KMU.

Und es gibt eine Ausnahme von allem Vorgenannten: Die Europäische Kommission kann direkt – ohne eine spanische Behörde einzuschalten – Anbieter von Allzweck-KI-Modellen mit bis zu 3 % ihres weltweiten Umsatzes oder 15 Millionen Euro bestrafen (Artikel 101). Das zielt auf den Hersteller des Modells, nicht auf das KMU, das es nutzt.

Was kann Ihnen also heute wirklich passieren?

Hier wird das Gespräch nützlich. Die KI-Anwendungen, die bei einem spanischen KMU am häufigsten Probleme verursachen, sind bereits durch Normen mit einem vollständig operativen Sanktionsregime reguliert:

Die Zeile zum Arbeitsrecht verdient einen eigenen Absatz, da sie oft überrascht. Seit dem Gesetz 12/2021 (BOE Nr. 233 vom 29. September 2021) erkennt Artikel 64 Abs. 4 lit. d) des Arbeitnehmerstatuts das Recht der Arbeitnehmervertretung an, «über die Parameter, Regeln und Anweisungen informiert zu werden, auf denen die Algorithmen oder KI-Systeme basieren, die Entscheidungen beeinflussen, die sich auf die Arbeitsbedingungen, den Zugang und den Erhalt der Beschäftigung auswirken können».

Diese Pflicht gilt seit 2021, ist unabhängig von der KI-Verordnung und wartet auf kein Organgesetz. Wenn Sie einen Betriebsrat oder Personalvertreter haben und KI in der Personalauswahl, Schichtplanung oder Leistungsbewertung eingesetzt haben, ohne sie zu informieren, befinden Sie sich bereits in einem aktuellen Verstoß.

Und die AESIA-Leitfäden? Sind sie verbindlich?

Die AESIA veröffentlichte am 16. Dezember 2025 ein Paket aus sechzehn Praxisleitfäden plus ein Kompendium von Checklisten. Es sind nützliche Materialien und sparen Arbeit. Aber die Behörde selbst warnt, dass sie «keinen verbindlichen Charakter haben und die geltenden Vorschriften nicht ersetzen oder entwickeln». Verwenden Sie sie als Arbeitsvorlage. Zitieren Sie sie nicht als ob es Recht wäre.

Warum lohnt es sich, jetzt zu handeln?

Drei praktische Gründe, ohne Dramatik.

Das Gesetz tritt am Tag nach seiner Veröffentlichung in Kraft. Es gibt keine nationale Übergangsfrist, also ist der Anpassungsspielraum derjenige, den Sie sich selbst nehmen, bevor es erscheint.

Das Inventar ist die langsame Arbeit. Herauszufinden, welche KI-Tools wirklich in Ihrem Unternehmen vorhanden sind (einschließlich derer, die eine Abteilung ohne Wissen anderer abonniert hat), welche Daten sie verwenden und welche Entscheidungen sie beeinflussen, dauert Wochen, auch wenn es nur wenige Arbeitsstunden sind. Dieses Inventar ist genau das, was jede Behörde von Ihnen verlangen wird, und auch das, was jeder große Kunde Ihnen in einem Lieferantenfragebogen schicken wird.

Und das aktuelle Risiko wartet nicht. Die AEPD, die Arbeitsinspektion und die Verbraucherschutzbehörden können heute auf dieselben Sachverhalte reagieren. Die KI-Verordnung und die DSGVO vorzubereiten sind zu 70 % dieselbe Aufgabe: wissen, welche Systeme Sie haben, welche Daten sie verwenden, wer ihre Entscheidungen überwacht und was Sie den Betroffenen mitteilen.

Was am Montag Morgen zu tun ist

1. Erstellen Sie das Inventar. Eine Tabelle mit jedem KI-Tool im Unternehmen, wer es abonniert hat, welche Daten eingehen, welche Entscheidung herauskommt und wer sie überprüft. Schließen Sie die Abonnements ein, die das Marketing mit der Kreditkarte bezahlt.
2. Markieren Sie die drei Kästchen des tatsächlichen Risikos. Beeinflusst eines die Personalauswahl, -bewertung oder -entlassung? Verarbeitet eines personenbezogene Daten von Kunden oder Mitarbeitern? Erzeugt eines Inhalte, die Sie veröffentlichen, ohne sie als synthetisch zu kennzeichnen?
3. Überprüfen Sie die Transparenz vor dem 2. August 2026. Wenn Sie einen Chatbot haben, muss der Nutzer wissen, dass er mit einer Maschine spricht. Wenn Sie synthetische Inhalte veröffentlichen, müssen diese gekennzeichnet sein.
4. Wenn Sie Arbeitnehmervertretung haben, informieren Sie diese. Artikel 64 Abs. 4 lit. d) des Arbeitnehmerstatuts duldet keinen Aufschub, und das Gespräch ist viel günstiger, bevor es eine Beschwerde gibt.
5. Bewahren Sie die Nachweise auf. Verträge mit Anbietern, Systemdatenblätter, Entscheidungskorrespondenz. Nachgewiesene Sorgfalt ist ein ausdrücklicher Milderungsgrund gemäß Artikel 31 des Gesetzentwurfs.
6. Richten Sie eine BOE-Benachrichtigung ein. An dem Tag, an dem das Organgesetz veröffentlicht wird, beginnt die Zählung. Bis dahin ist kein spanischer Bußgeldzeitplan real.

Häufig gestellte Fragen

Kann die AESIA mich inspizieren, auch wenn sie mich nicht bestrafen kann?

Der Gesetzentwurf ist es, der der AESIA Überwachungs-, Inspektions- und Sanktionsbefugnisse über KI-Systeme zuweist, und er ist noch nicht verabschiedet. Wer Sie inzwischen für Ihren KI-Einsatz inspizieren kann, sind die Behörden, die bereits für andere Bereiche zuständig sind: die AEPD für personenbezogene Daten, die Arbeitsinspektion für Arbeitsverhältnisse, die Verbraucherschutzbehörden für Handelspraktiken.

Wenn ich jetzt gegen die europäische Verordnung verstoße und das Gesetz 2027 verabschiedet wird, kann ich rückwirkend bestraft werden?

Nein. Das Rückwirkungsverbot für ungünstige Sanktionsbestimmungen ist in Artikel 9 Abs. 3 der Verfassung verankert. Was passieren kann, ist, dass der Verstoß am Tag des Inkrafttretens des Gesetzes noch andauert und dann ab diesem Zeitpunkt sanktionierbar ist. Ein schlecht aufgebautes System heilt sich nicht von selbst durch den Zeitablauf.

Ich habe ein Unternehmen mit 30 Personen. Gilt die Obergrenze von 35 Millionen für mich?

Als Absolutbetrag fast sicher nicht. Für KMU gilt gemäß Artikel 30 Abs. 8 des Entwurfs der niedrigere der beiden Beträge: Festbetrag oder Umsatzprozentsatz. Was Sie treffen, sind die Nebenmaßnahmen: die Rücknahme oder Abschaltung des Systems kann einen gesamten Geschäftsprozess stoppen.

Ich verwende ChatGPT oder Copilot für interne Aufgaben. Bin ich KI-Anbieter?

Nein. Sie sind Deployer (Einsatzverantwortlicher), eine Funktion mit leichteren Pflichten. Die schweren Pflichten zur technischen Dokumentation, Konformitätsbewertung und Kennzeichnung treffen denjenigen, der das System entwickelt oder unter eigenem Namen vermarktet. Vorsicht bei letzterem: Wenn Sie ein Drittanbietermodell in ein eigenes Produkt integrieren und es unter Ihrer Marke verkaufen, können Sie zum Anbieter werden.

Schützen mich die AESIA-Leitfäden, wenn ich sie befolge?

Sie geben keine Konformitätsvermutung; die Behörde selbst sagt, dass sie nicht bindend sind. Allerdings dokumentiert die Befolgung Sorgfalt, und Sorgfalt wird bei der Bemessung der Sanktion ausdrücklich gewürdigt. Sie dienen als Nachweis, dass Sie die Arbeit getan haben, nicht als Schutzschild.

Quellen

• Real Decreto 729/2023, vom 22. August, zur Genehmigung des Statuts der Agencia Española de Supervisión de Inteligencia Artificial (BOE-A-2023-18911).
• Organgesetz-Entwurf zum verantwortungsvollen Einsatz und zur Governance von künstlicher Intelligenz. BOCG, Kongress der Abgeordneten, Serie A, Nr. 97-1, vom 12. Juni 2026.
• Verordnung (EU) 2024/1689, vom 13. Juni 2024, zur Festlegung harmonisierter Vorschriften für künstliche Intelligenz.
• Verordnung (EU) 2026/1744, vom 8. Juli 2026 (digitaler KI-Omnibus), ABl. vom 24. Juli 2026.
• Verordnung (EU) 2016/679 (DSGVO), Artikel 83.
• Gesetz 12/2021, vom 28. September (BOE Nr. 233, vom 29. September 2021), welches dem Arbeitnehmerstatut Art. 64 Abs. 4 lit. d) hinzufügt.
• Leitfäden der AESIA: https://aesia.digital.gob.es/es/guias

Dieser Artikel beschreibt den Stand des Gesetzgebungsverfahrens zum 28. Juli 2026. Ein Gesetzentwurf kann sich ändern; überprüfen Sie die Aktenmappe vor Entscheidungen, die auf diesen Daten basieren.