Spanien und KI-Verordnung: was AESIA und AEPD von Unternehmen erwarten

Spanien hat nicht auf Brüssel gewartet. Im August 2023 genehmigte die Regierung per königlichem Dekret das Statut der Agencia Española de Supervisión de la Inteligencia Artificial (AESIA) mit Sitz in A Coruña. Damit wurde Spanien das erste Land der Europäischen Union mit einer eigenen nationalen Behörde für die Aufsicht über künstliche Intelligenz, noch bevor die KI-Verordnung der EU endgültig verabschiedet war.

Für spanische Unternehmen hat das Folgen. Sie haben es jetzt mit zwei Aufsichtsbehörden zu tun: der AESIA für KI-Systeme und der Agencia Española de Protección de Datos (AEPD) für personenbezogene Daten. Und beide interessieren sich bereits dafür, was Beschäftigte jeden Tag in ChatGPT, Copilot oder Gemini eintippen.

Eine Behörde, gebaut für die KI-Verordnung

Die AESIA ist das Ergebnis einer klaren politischen Entscheidung: Eine Aufsicht sollte bereitstehen, sobald die europäischen Pflichten greifen. Anfang 2025 hat sie ihre Arbeit vor Ort in A Coruña aufgenommen. Der Entwurf des Organgesetzes über die gute Nutzung und Governance von KI, der 2026 im Abgeordnetenhaus beraten wird, macht sie zur zentralen Marktüberwachungsbehörde, mit Sanktionsbefugnis, einer einheitlichen Beschwerdestelle und der Zuständigkeit für das nationale Reallabor.

Der Entwurf übernimmt die Obergrenzen der KI-Verordnung. Bei verbotenen Praktiken drohen Bußgelder von bis zu 35 Millionen Euro oder 7 % des weltweiten Jahresumsatzes. Für KMU gilt jeweils der niedrigere Betrag. Neu ist außerdem ein sehr schwerer Verstoß, wenn ein schwerwiegender Vorfall nicht gemeldet wird.

AEPD und LOPDGDD bleiben an vorderster Front

Die AESIA nimmt der AEPD keine Befugnisse weg. Sobald ein Prompt einen Namen, eine DNI, eine IBAN oder eine Krankenakte enthält, gilt die DSGVO, in Spanien ergänzt durch die Ley Orgánica 3/2018 über den Schutz personenbezogener Daten und die Gewährleistung digitaler Rechte, kurz LOPDGDD.

Dieses Gesetz hat eine Besonderheit, die IT-Verantwortliche kennen sollten: Es verankert digitale Rechte am Arbeitsplatz, etwa den Schutz der Privatsphäre bei der Nutzung dienstlicher Geräte oder das Recht auf Nichterreichbarkeit. Jede Kontrolle der KI-Nutzung muss deshalb verhältnismäßig sein, der Belegschaft angekündigt werden und auf schriftlichen Regeln beruhen. Alles heimlich zu überwachen, ist keine Option.

Der Zeitplan: was schon gilt und was kommt

Die KI-Verordnung gilt schrittweise, und mehrere Pflichten sind bereits in Kraft:

• Seit dem 2. Februar 2025: Verbot bestimmter Praktiken und Pflicht zur KI-Kompetenz (Artikel 4). Jedes Unternehmen, das KI einsetzt, muss sicherstellen, dass seine Teams die Werkzeuge ausreichend verstehen.

• Seit dem 2. August 2025: Regeln für KI-Modelle mit allgemeinem Verwendungszweck und nationale Sanktionsregelungen.

• Demnächst: Die vorläufige politische Einigung zum digitalen Omnibus vom 7. Mai 2026 sieht vor, die Transparenzpflichten auf den 2. Dezember 2026 und die Pflichten für Hochrisiko-Systeme nach Anhang III auf den 2. Dezember 2027 zu verschieben.

Die Verschiebung ist keine Ausrede. KI-Kompetenz und DSGVO gelten heute, und genau das können AEPD und AESIA als Erstes prüfen.

Das eigentliche Alltagsrisiko: Daten in Prompts

In den meisten spanischen Unternehmen kommt KI nicht über ein Großprojekt. Sie kommt über den Vertriebler, der einen Vertrag in einen Chatbot kopiert, die Juristin, die eine Akte zusammenfassen lässt, oder den Buchhalter, der Hilfe bei einer Gehaltsliste sucht. Vieles davon ist Schatten-KI, außerhalb jeder Kontrolle der IT.

In Banken, Versicherungen, im Gesundheitswesen und im Tourismus, also in Branchen mit großem Gewicht in Spanien, enthalten diese Texte DNI und NIE, Sozialversicherungsnummern, IBANs oder Gesundheitsdaten. Einmal an einen externen KI-Dienst geschickt, verlassen sie das Unternehmen. Für die AEPD stellen sich dann Fragen nach Rechtsgrundlage, Übermittlung und Sicherheit der Verarbeitung. Ein ChatGPT-Verbot löst nichts: Die Beschäftigten finden einfach ein anderes Tool. Die eigentliche Frage, die auch beim Thema souveräne KI auftaucht, lautet: Wohin gehen die Daten?

Fünf Aufgaben für jetzt

1. Nutzung erfassen: Welche KI-Tools werden genutzt, von wem und mit welchen Daten? Ohne Inventar lassen sich Risiken nach der KI-Verordnung nicht einstufen.

2. Schulen und belegen: Artikel 4 verlangt ausreichende KI-Kompetenz. Dokumentieren Sie Schulungen, aber verlassen Sie sich nicht allein darauf.

3. Eine Nutzungsrichtlinie schreiben, die klar ist, mit der Arbeitnehmervertretung abgestimmt wird und zu den digitalen Rechten der LOPDGDD passt.

4. Daten an der Quelle schützen: spanische Kennungen erkennen und anonymisieren, bevor sie das Gerät verlassen.

5. Nachweise sichern: verhinderte Vorfälle protokollieren, um bei einer Prüfung durch AEPD oder AESIA antworten zu können.

Unsere Checkliste zu KI-Verordnung und DSGVO Artikel 32 führt Schritt für Schritt durch diese Punkte.

Wie ZeusLock spanischen Unternehmen hilft

ZeusLock läuft direkt auf den Geräten und im Browser der Beschäftigten. Bevor ein Prompt oder eine Datei an einen KI-Assistenten geht, erkennt es sensible Daten (DNI, NIE, IBAN, Sozialversicherungsnummern, Kundendaten), anonymisiert sie formatbewahrend, warnt die Person oder blockiert den Versand nach Ihren Regeln. Jeder Vorfall wird protokolliert, sodass Sie bei einer Prüfung konkrete Nachweise vorlegen können. Für den Einstieg bietet unser 90-Tage-Rollout-Playbook einen realistischen Plan.

Das Wichtigste in Kürze

• Spanien hat als erstes EU-Land eine nationale KI-Aufsichtsbehörde geschaffen, die AESIA.

• Die AEPD bleibt zuständig, sobald personenbezogene Daten betroffen sind, gemeinsam mit der LOPDGDD.

• KI-Kompetenz und DSGVO gelten bereits, auch wenn sich einige Fristen der KI-Verordnung verschieben.

• Das größte Risiko steckt in alltäglichen Prompts.

Sie möchten sehen, wie Sie die Daten Ihrer Teams in Spanien schützen, ohne die KI-Nutzung zu bremsen? Fordern Sie eine ZeusLock-Demo an.