So kann Ihr Unternehmen am kontrollierten KI-Testbereich in Spanien teilnehmen

Um an der spanischen KI-Sandbox teilzunehmen, muss man abwarten, bis die zuständige Behörde eine Ausschreibung veröffentlicht, und dann einen Antrag mit dem zu testenden KI-System einreichen. Heute koexistieren zwei Rahmenwerke: die Pilotumgebung des Real Decreto 817/2023, deren Ausschreibungen die Secretaría de Estado de Digitalización e Inteligencia Artificial (SEDIA) per Beschluss genehmigt, und der kontrollierte Testbereich nach Artikel 57 der Verordnung (EU) 2024/1689 (dem KI-Act), der in Spanien von der AESIA verwaltet wird, sobald das KI-Governance-Gesetz verabschiedet ist – das noch in parlamentarischer Beratung ist. Dieser Leitfaden erklärt, was jedes Rahmenwerk ist, was ein Unternehmen darin gewinnt, wer teilnehmen kann und wie der Antrag vorzubereiten ist.

Was genau ist die spanische KI-Sandbox?

Ein kontrollierter Testbereich (der offizielle Begriff auf Spanisch; «Sandbox» ist die umgangssprachliche Bezeichnung) ist eine von einer Behörde überwachte Umgebung, in der ein Unternehmen ein innovatives KI-System entwickelt, trainiert, testet und validiert, bevor es auf den Markt gebracht oder in Betrieb genommen wird. So definiert es Artikel 57 Absatz 5 des KI-Acts: eine kontrollierte Umgebung, die Innovation über einen begrenzten Zeitraum fördert, gemäß einem zwischen dem Anbieter und der zuständigen Behörde vereinbarten spezifischen Plan.

Die Sandbox ist keine gesetzlose Zone. Die Aufsichtsbefugnisse der Behörden bleiben innerhalb der Umgebung vollständig erhalten (Artikel 57 Absatz 11), und wenn während der Tests ein erhebliches Risiko für Gesundheit, Sicherheit oder Grundrechte auftritt, das nicht gemindert werden kann, kann die Behörde das Projekt aussetzen oder den Teilnehmer ausschließen.

Rechtsgrundlage: von der europäischen Verordnung zur spanischen Königlichen Verordnung

Der europäische Rahmen liegt in den Artikeln 57 bis 59 des KI-Acts. Artikel 57 verpflichtet jeden Mitgliedstaat, mindestens einen nationalen kontrollierten Testbereich zu betreiben; Artikel 58 verweist für Einzelheiten zu Zulassung, Betrieb und Austritt auf Durchführungsrechtsakte der Kommission; Artikel 59 regelt einen Sonderfall der Wiederverwendung personenbezogener Daten innerhalb der Umgebung.

Spanien kam der Verordnung zuvor. Das Real Decreto 817/2023 vom 8. November (BOE vom 9. November 2023, am Folgetag in Kraft) schuf einen kontrollierten Testbereich zur Erprobung der Einhaltung dessen, was damals nur ein Vorschlag für eine europäische Verordnung war. Die zuständige Stelle ist die SEDIA, und die Teilnahmeausschreibungen werden per Beschluss ihres Leiters genehmigt (Artikel 6 Absatz 1 des Real Decreto). Es ist eine befristete Norm: Seine Schlussbestimmung 2 gibt ihm eine maximale Geltungsdauer von sechsunddreißig Monaten ab Inkrafttreten, oder bis die europäische Verordnung in Spanien gilt.

Der Nachfolger wird das Gesetz zur Governance der Künstlichen Intelligenz (Expedient 121/000096 des Abgeordnetenkongresses) sein. Sein drittes Kapitel regelt die kontrollierten Testbereiche: Es beauftragt die AESIA mit dem nationalen Pflicht-Sandbox nach Artikel 57 Absatz 1 der Verordnung, erlaubt anderen zuständigen Behörden die Einrichtung zusätzlicher Sandboxes in ihrem Bereich und hebt ausdrücklich das Real Decreto 817/2023 auf.

Das jüngste Element ist die Verordnung (EU) 2026/1744, der Digitale KI-Omnibus, in Kraft seit dem 27. Juli 2026. Sie ändert die Artikel 57, 58 und 60 des KI-Acts. Was sich ändert, betrifft diesen Leitfaden unmittelbar:

  1. Sie verschiebt die Frist für die nationale Sandbox auf den 2. August 2027 (vorher: 2. August 2026).
  2. Sie ermächtigt das KI-Büro der Kommission, einen unionsweit kontrollierten Testbereich einzurichten, mit vorrangigem Zugang für KMU und Start-ups.
  3. Sie erlaubt die Integration des Testplans unter realen Bedingungen in den Sandbox-Plan selbst, um Doppelverfahren zu vermeiden.
Umgebung nach RD 817/2023Kontrollierter Bereich nach Artikel 57
Wer ihn verwaltetSEDIAAESIA, sobald das Governance-Gesetz in Kraft ist
Aktueller StandIn KraftAuf dieses Gesetz wartend
AusschreibungenPer SEDIA-BeschlussBisher keine
HorizontMax. 36 Monate Gültigkeit seit November 2023Muss bis 2. August 2027 betriebsbereit sein

Was Ihr Unternehmen durch die Teilnahme gewinnt

Die Vorteile sind nicht theoretisch; hinter jedem steht ein Artikel.

Direkte regulatorische Orientierung. Innerhalb der Sandbox orientiert die zuständige Behörde über die Einhaltung der Anforderungen der Verordnung und überwacht die Risikoidentifikation und die Wirksamkeit der Minderungsmaßnahmen (Artikel 57 Absätze 6 und 7). Für ein KMU, das sich keine eigene Regulierungsabteilung leisten kann, ist die Behörde am Tisch zu haben, während es entwickelt, eine Methode der Unsicherheitsreduktion, die auf anderem Weg kaum zu erreichen ist.

Abschlussbericht mit echter Wirkung. Am Ende übergibt die Behörde einen Abschlussbericht mit den durchgeführten Tätigkeiten und ihren Ergebnissen sowie auf Antrag einen Nachweis über erfolgreich abgeschlossene Tätigkeiten. Artikel 57 Absatz 7 schreibt vor, dass Marktüberwachungsbehörden und notifizierte Stellen diese Dokumentation «in angemessenem Maße» positiv berücksichtigen müssen, um die Konformitätsbewertung zu beschleunigen. Es ist kein Konformitätszertifikat, aber ein Dokumentationswert, der Gewicht hat.

Schutz vor Bußgeldern. Solange der Teilnehmer den vereinbarten Plan einhält und die Hinweise der Behörde in gutem Glauben befolgt, werden keine Verwaltungsbußgelder für Verstöße gegen die Verordnung auferlegt (Artikel 57 Absatz 12).

Kostenfreiheit für KMU. Artikel 58 Absatz 2 verlangt, dass der Zugang für KMU, einschließlich Start-ups, kostenlos ist. Derselbe Artikel verpflichtet dazu, dass die Verfahren einfach und verständlich sind.

Wirkung in der gesamten Union. Die Teilnahme an einer Sandbox eines Mitgliedstaats muss gegenseitig und einheitlich anerkannt werden und dieselben Rechtswirkungen in der gesamten EU entfalten (Artikel 58 Absatz 2 Buchstabe g). Tests in Spanien gelten für Verkäufe in Deutschland oder Frankreich.

Wer teilnehmen kann (und wer nicht)

Anträge können Anbieter und potenzielle Anbieter von KI-Systemen stellen: wer ein System entwickelt, um es unter eigenem Namen oder Warenzeichen auf den Markt zu bringen, oder dies plant. Man muss nicht allein gehen: Artikel 58 Absatz 2 Buchstabe b erlaubt Anträge in Zusammenschlüssen mit Betreibern und anderen Dritten.

Die Zulassungs- und Auswahlkriterien müssen transparent und fair sein, und die Behörde muss ihre Entscheidung innerhalb von drei Monaten nach dem Antrag mitteilen. KMU und Start-ups haben doppelten Vorteil: Kostenfreiheit in nationalen Sandboxes und vorrangigen Zugang in der zukünftigen Sandbox des KI-Büros auf Unionsebene.

Wer ist ausgeschlossen? Die Sandbox ist für Systeme vor ihrer Markteinführung oder Inbetriebnahme gedacht. Wenn Ihr System bereits vermarktet wird und Sie dessen Compliance nachträglich regeln müssen, ist der Weg nicht die Sandbox, sondern die ordentliche Anpassung.

So erfolgt die Teilnahme: Ausschreibung und Antrag Schritt für Schritt

  1. Beobachten Sie den offiziellen Kanal. Unter dem Real Decreto 817/2023 werden Ausschreibungen per SEDIA-Beschluss genehmigt. Wenn das Governance-Gesetz in Kraft tritt, wechselt die Referenz zur AESIA.
  2. Bereiten Sie den Antrag vor, bevor die Frist beginnt. Ausschreibungsfristen sind oft kurz im Verhältnis zum Dokumentationsaufwand. Haben Sie das KI-System-Inventar, die Risikoklassifikation und einen Entwurf der technischen Dokumentation bereit.
  3. Entscheiden Sie, mit wem Sie antreten. Wenn das System von einem bestimmten Kunden betrieben wird, erwägen Sie den gemeinsamen Antrag Anbieter plus Betreiber: Das europäische Rahmenwerk sieht dies ausdrücklich vor.
  4. Reichen Sie den Antrag ein und warten Sie auf den Beschluss. Der europäische Rahmen setzt eine Höchstfrist von drei Monaten für die Antwort der Behörde fest.
  5. Vereinbaren Sie den kontrollierten Bereichsplan. Er ist das Dokument, das die gesamte Teilnahme steuert: was getestet wird, mit welchen Garantien, wie lange.
  6. Führen Sie mit Aufsicht durch und dokumentieren Sie alles. Was während der Teilnahme dokumentiert wird, speist den Abschlussbericht – das Aktivum, das Sie mitnehmen.
  7. Schließen Sie mit dem Abschlussbericht ab und fordern Sie gegebenenfalls zusätzlich den Nachweis über erfolgreich abgeschlossene Tätigkeiten an.

Verantwortung und Datenschutz innerhalb der Umgebung

Es lohnt sich, ein häufiges Missverständnis auszuräumen: Die Sandbox mildert das Sanktionsrisiko, nicht die zivilrechtliche Haftung. Artikel 57 Absatz 12 sagt es klar: Die Teilnehmer haften nach Unions- und nationalem Recht für jeden Schaden, der Dritten durch das Experimentieren zugefügt wird. Was entfällt, wenn man in gutem Glauben und gemäß dem Plan handelt, sind die Verwaltungsbußgelder der Verordnung.

In Datenschutzfragen öffnet Artikel 59 eine enge Tür: rechtmäßig für andere Zwecke erhobene Daten für die Entwicklung, das Training und den Test von KI-Systemen in der Sandbox wiederzuverwenden, die einem wesentlichen öffentlichen Interesse in bestimmten Bereichen dienen (Gesundheit und öffentliche Sicherheit, Umwelt, Energienachhaltigkeit, Verkehr und kritische Infrastruktur und Effizienz der öffentlichen Verwaltung). In Spanien wird die AEPD eine Stimme innerhalb der Umgebung haben (Artikel 57 Absatz 10).

Fristen, die zählen

Häufig gestellte Fragen

Gibt es derzeit eine offene Ausschreibung?

Der neue kontrollierte Testbereich nach Artikel 57 des KI-Acts kann in Spanien noch nicht ausgeschrieben werden, da das Gesetz, das seine Verwaltung der AESIA überträgt, noch im Kongress in Beratung ist. Unter dem Real Decreto 817/2023 werden Ausschreibungen per SEDIA-Beschluss genehmigt; konsultieren Sie die elektronische Plattform der SEDIA, um zu prüfen, ob eine aktive Ausschreibung vorliegt, bevor Sie irgend etwas planen.

Was kostet die Teilnahme?

Für KMU und Start-ups muss der Zugang zu den Sandboxes des KI-Acts gemäß Artikel 58 Absatz 2 kostenlos sein. Die realen Kosten für das Unternehmen liegen in den Stunden der Vorbereitung des Antrags und der Begleitung des Projekts während der Tests.

Befreit die Teilnahme an der Sandbox vom KI-Act?

Nein. Die Teilnahme setzt die Verordnung nicht aus: Sie begleitet Sie zu deren Einhaltung. Wenn Sie den vereinbarten Plan und die Hinweise der Behörde einhalten, werden Ihnen während des Experimentierens keine Verwaltungsbußgelder für Verstöße auferlegt, aber die Haftung für Schäden Dritter bleibt vollständig erhalten.

Können echte Nutzer innerhalb der Sandbox getestet werden?

Ja. Artikel 57 Absatz 5 erlaubt beaufsichtigte Tests unter realen Bedingungen innerhalb des kontrollierten Bereichs, mit den im Plan vereinbarten Garantien. Nach dem Digitalen Omnibus kann der Plan für Tests unter realen Bedingungen in den Sandbox-Plan selbst integriert werden, um Doppelverfahren zu vermeiden.

Quellen