Regulierungsradar · aktualisiert am 6. Okt. 2026
Dieser Radar erfasst mit Datum und offizieller Quelle die Gesetze, Leitlinien und Fristen, die Organisationen betreffen, die in Spanien KI mit sensiblen Daten einsetzen. Der nächste große Meilenstein ist der 2. Dezember 2027: Dann gelten die Hochrisiko-Pflichten der KI-Verordnung (AI Act) für Kreditscoring, Versicherungen, Justiz und öffentliche Dienste. Wir prüfen ihn alle zwei Wochen, und jeder Eintrag verlinkt auf das Originaldokument.
Nächste Fristen
Fristen und Anwendungstermine, die noch bevorstehen.
Alle Einträge
Filtern Sie nach Branche, um nur zu sehen, was Ihre Organisation betrifft. Jeder Eintrag zeigt, ob es sich um spanisches oder EU-Recht handelt, seinen Status und die offizielle Quelle.
Die Vergabe wird Anfang 2027 erwartet. Spanien bewirbt sich mit einer öffentlich-privaten Kandidatur. Die Ausschreibung zeigt, wo europäische Rechenkapazität für Training und Betrieb von Modellen entsteht.
Offizielle Quelle: EuroHPC ↗
Wird die Kreditwürdigkeit automatisiert geprüft, können Verbraucher eine klare Erklärung, menschliches Eingreifen und eine Überprüfung verlangen. Modelle müssen im Einzelfall erklärbar sein.
Offizielle Quelle: EUR-Lex · Directiva (UE) 2023/2225 ↗
Pflichten greifen 2027, 2029 und 2031: Zugang der Patienten zu ihren Daten, Anforderungen an elektronische Patientenakten und Sekundärnutzung von Gesundheitsdaten in sicheren Verarbeitungsumgebungen.
Offizielle Quelle: EUR-Lex · Reglamento (UE) 2025/327 ↗
Betrifft Kreditscoring, Tarifierung von Lebens- und Krankenversicherungen, Justiz, wesentliche öffentliche Dienste und Beschäftigung. Verlangt Risikomanagement, Datenqualität, Protokollierung und menschliche Aufsicht.
Offizielle Quelle: EUR-Lex · Reglamento (UE) 2026/1744 ↗
Legt technische Regeln für den grenzüberschreitenden Austausch von Gesundheitsdaten fest und gilt ab dem 26. März 2027. Erster konkreter Durchführungsrechtsakt zur EHDS-Verordnung.
Offizielle Quelle: EUR-Lex · Reglamento de Ejecución (UE) 2026/2083 ↗
Gilt für vernetzte Produkte, die ab diesem Datum in Verkehr gebracht werden. Hersteller müssen Nutzern Zugang zu den erzeugten Daten geben, was Architektur, Verträge und Industrieanalytik prägt.
Offizielle Quelle: EUR-Lex · Reglamento (UE) 2023/2854 ↗
Hersteller von Produkten mit digitalen Elementen müssen aktiv ausgenutzte Schwachstellen und schwere Vorfälle melden. Das umfasst auch Software mit KI-Komponenten auf dem EU-Markt.
Offizielle Quelle: EUR-Lex · Reglamento (UE) 2024/2847 ↗
Erklärtes Ziel ist besserer Datenschutz und ein schnellerer KI-Einsatz in der Regionalverwaltung. Bestätigt den Trend im öffentlichen Sektor zu Infrastruktur unter eigener Kontrolle.
Offizielle Quelle: Comunidad de Madrid ↗
In Kraft seit dem 27. Juli 2026. Pflichten nach Anhang III verschieben sich auf den 2. Dezember 2027, nach Anhang I (KI in regulierten Produkten wie Medizinprodukten) auf den 2. August 2028.
Offizielle Quelle: EUR-Lex · Reglamento (UE) 2026/1744 ↗
Gefordert werden Pauschalbetrag und Zwangsgelder. Bis zum spanischen Gesetz sollten wesentliche und wichtige Einrichtungen Risikomanagement, Vorfallmeldung und Lieferantenkontrolle vorbereiten.
Offizielle Quelle: Comisión Europea ↗
Empfiehlt Asset-Inventar, Patchen nach Ausnutzbarkeit, phishingresistente Authentifizierung und Governance von KI-Agenten. Praktische Referenz für Stellen, die dem ENS unterliegen.
Offizielle Quelle: CCN-CERT ↗
Er regelt Spaniens Sanktionsregime und die Rolle der AESIA als Aufsichtsbehörde. Er befindet sich noch in der Änderungsphase im Kongress, der endgültige Text kann sich also ändern.
Offizielle Quelle: Congreso de los Diputados ↗
Er schlägt einen Rahmen zur Bewertung der Souveränität von Cloud- und KI-Diensten und zu ihrer Nutzung im öffentlichen Sektor vor. Bei Annahme prägt er die Bewertung von Anbietern in Vergaben.
Offizielle Quelle: Comisión Europea ↗
In Kraft seit dem 18. Juni 2026. Regelt die Bewertung von Gesundheitstechnologien, lässt Real-World-Daten zu und erfasst digitale Therapien, relevant für klinische Software mit KI.
Offizielle Quelle: BOE-A-2026-11587 ↗
Die Leitlinien klären anhand von Beispielen, welche Anwendungsfälle unter das Hochrisiko-Regime fallen. Die Endfassung wird Ende 2026 erwartet und hilft bei der Prüfung des eigenen KI-Inventars.
Offizielle Quelle: Comisión Europea ↗
Der unterzeichnende Anwalt muss das Ergebnis prüfen und Berufsgeheimnis sowie Datenschutz wahren. In der Praxis zählt, wo Mandantendokumente verarbeitet werden und wer Zugriff hat.
Offizielle Quelle: Consejo General de la Abogacía ↗
Im Fall Like Company gegen Google steht ein Verlag einem Modellanbieter gegenüber. Das Urteil steht aus und kann Kriterien für Training und Wiedergabe geschützter Inhalte setzen.
Offizielle Quelle: Comisión Europea · IP Helpdesk ↗
Sie schlägt eine Zweierregel vor: Ein Agent sollte nicht zugleich unkontrollierte Eingaben erhalten, auf sensible Daten zugreifen und reale Aktionen ausführen. Hilfreich für Rechte und Isolation.
Offizielle Quelle: AEPD ↗
Sie verlangt menschliche Kontrolle jedes Ergebnisses und verbietet die Eingabe von Verfahrensdaten in nicht offizielle KI-Systeme. Damit setzt sie den Vertraulichkeitsmaßstab der Justiz.
Offizielle Quelle: BOE-A-2026-2205 ↗
Behandelt Vertraulichkeit, Kontrolle der Ergebnisse und Anbieterwahl. Empfiehlt, vor der Einführung eines Werkzeugs zu klären, wo und zu welchen Vertragsbedingungen Mandantendaten verarbeitet werden.
Offizielle Quelle: Consejo General de la Abogacía ↗
Interoperables Netz regionaler Plattformen für die Sekundärnutzung von Gesundheitsdaten mit 70 Mio. Euro. Bereitet Forschung und KI-Modelle auf klinischen Daten in kontrollierten Umgebungen vor.
Offizielle Quelle: La Moncloa ↗
Der AI Act ergänzt CRR/CRD, DORA und die EBA-Leitlinien zum Kreditscoring. Banken können auf bestehende Modell-Governance und IKT-Risikorahmen aufbauen.
Offizielle Quelle: EBA ↗
Überwiegend große Cloud-Plattformen, die nun direkt von der EU beaufsichtigt werden. Finanzunternehmen bleiben für Konzentrationsrisiko und Ausstiegsstrategien verantwortlich.
Offizielle Quelle: EBA · ESAs ↗
Regelt Datenzugang und Portabilität, erleichtert den Wechsel des Cloud-Anbieters und begrenzt Übermittlungen nicht personenbezogener Daten außerhalb der EU. Stärkt die Möglichkeit zum Anbieterwechsel.
Offizielle Quelle: EUR-Lex · Reglamento (UE) 2023/2854 ↗
Wendet Solvency II, IDD, DORA und DSGVO risikoproportional auf KI an: Daten-Governance, Dokumentation, Erklärbarkeit und menschliche Aufsicht.
Offizielle Quelle: EIOPA ↗
Medizinische KI-Software, die eine Benannte Stelle braucht, gilt als Hochrisiko und muss beide Rahmen erfüllen. Die Leitlinie zeigt, wie sich die Dokumentation in einer Konformitätsbewertung bündeln lässt.
Offizielle Quelle: Comisión Europea · MDCG ↗
Wir nehmen Gesetze, Leitlinien von Aufsichtsbehörden, Gerichtsentscheidungen und Ausschreibungen auf, die ändern, was eine Organisation beim Einsatz von KI mit personenbezogenen, klinischen, finanziellen oder vertraulichen Daten tun darf oder muss. Meinungen, Gerüchte und Ankündigungen ohne veröffentlichten Text lassen wir weg.
Wir zitieren nur offizielle Quellen: Amtsblatt der EU (EUR-Lex), spanisches Amtsblatt BOE, Parlamentsblatt, Europäische Kommission, Aufsichtsbehörden (AEPD, EBA, EIOPA, CCN-CERT) und Berufskammern. Wir prüfen den Radar alle zwei Wochen; jeder Eintrag trägt das Datum des Ereignisses und den Link zum Originaldokument, damit Sie es nachprüfen können.
Er ist ein Werkzeug zur Regulierungsbeobachtung für Technik-, Compliance- und Führungsteams. Für Entscheidungen zu Ihrem konkreten Fall stützen Sie sich auf Ihre Rechtsberatung: Wir helfen bei der Infrastruktur, also wo Daten verarbeitet werden, wer Zugriff hat und wie das dokumentiert wird.
Am 2. Dezember 2027 für Systeme nach Anhang III (Kreditscoring, Lebens- und Krankenversicherung, Justiz, wesentliche öffentliche Dienste, Beschäftigung) und am 2. August 2028 für KI in regulierten Produkten nach Anhang I, etwa Medizinprodukten. So legt es der KI-Omnibus fest, Verordnung (EU) 2026/1744.
Noch nicht über ein spanisches Gesetz: Spanien hatte NIS2 nicht umgesetzt, als die Kommission am 8. Juli 2026 den EuGH anrief. Bis dahin binden das ENS den öffentlichen Sektor und seine Anbieter sowie DORA die Finanzunternehmen, daher lohnt es sich, Risikomanagement und Vorfallmeldung schon jetzt vorzubereiten.
Dass der Dienst in der ENS-Kategorie zertifiziert ist, die dem System der Behörde entspricht (Basis, Mittel oder Hoch), mit Zugriffskontrolle, Protokollierung, Verschlüsselung und Kontinuität. Unsere Plattform ist von EQA nach ENS Kategorie Mittel zertifiziert und unser Tier-III-Rechenzentrum in Madrid nach ENS Kategorie Hoch; siehe öffentlicher Sektor.
DORA behandelt KI- und Cloud-Dienste Dritter als IKT-Risiko: Sie müssen erfasst, bewertet, mit Prüf- und Ausstiegsklauseln abgesichert und auf Konzentration bei wenigen Anbietern überwacht werden. Siehe Banken und Versicherungen.
Ja, mit einer gültigen DSGVO-Rechtsgrundlage für besondere Kategorien, Datenminimierung und einer kontrollierten Verarbeitungsumgebung, idealerweise mit Verarbeitung in Spanien und ohne Wiederverwendung zum Training fremder Modelle. Der EHDS ergänzt ab 2027 Regeln zur Sekundärnutzung; siehe Gesundheitswesen.
Alle zwei Wochen und früher, wenn eine relevante Regel veröffentlicht wird. Das Datum der letzten Prüfung steht oben, und jeder Eintrag verlinkt auf seine offizielle Quelle.
Compliance beginnt in der Infrastruktur
Sprechen Sie mit einem Ingenieur über compliance-fähige KI-Infrastruktur: Daten in Spanien, ENS und DSGVO von Anfang an.