AI Act boetes: wat kost non-compliance?

AI Act-boetes lopen op tot 35 miljoen euro of 7 procent van de wereldwijde jaaromzet, maar voor MKB en start-ups geldt het laagste van beide bedragen als plafond in plaats van het hoogste. Artikel 99 kent drie bandbreedtes: 35 miljoen of 7 procent voor verboden praktijken, 15 miljoen of 3 procent voor aanbieder-, deployer- en notified body-verplichtingen, en 7,5 miljoen of 1 procent voor onjuiste informatie aan autoriteiten. Een MKB-bedrijf met 2 miljoen euro omzet heeft in de zwaarste bandbreedte dus een maximum van 140.000 euro.

Prometheus21 helpt MKB en mid-market boete-preventie te borgen via compliance-audits en deadline-roadmaps. Onderdeel van onze AI compliance-aanpak.

35M
Maximale boete in euro's voor verboden AI-praktijken (Artikel 99 lid 3)
7%
Wereldwijde jaaromzet als alternatief plafond, hoogste van beide geldt voor grote ondernemingen
MKB
Laagste van beide bedragen als plafond (Artikel 99 lid 6)

Drie bandbreedtes, een MKB-uitzondering. Exact zoals Artikel 99 het bepaalt.

De AI Act boetes zijn precies geregeld in Verordening 2024/1689. Artikel 99 bevat het hoofdregime voor operators (aanbieders, deployers, importeurs, distributeurs, notified bodies). Artikel 100 regelt boetes voor EU-instellingen, organen en agentschappen. Artikel 101 regelt boetes voor GPAI-model-aanbieders met direct EU-toezicht. Deze gids geeft de exacte bedragen, voorwaarden en toepassingen zoals ze in de wet staan, zonder interpretatie-toevoegingen.

Het zwaartepunt ligt bij Artikel 99. Drie bandbreedtes met verschillende plafonds afhankelijk van welke bepalingen worden overtreden. Hoogste bandbreedte: overtreding van Artikel 5 verboden AI-praktijken (tot 35 miljoen euro of 7 procent omzet). Middelbandbreedte: overtreding van specifieke andere bepalingen zoals aanbieder-verplichtingen en deployer-verplichtingen (tot 15 miljoen euro of 3 procent omzet). Laagste bandbreedte: onjuiste informatie aan autoriteiten (tot 7,5 miljoen euro of 1 procent omzet). Voor grote ondernemingen geldt het hoogste van beide bedragen; voor MKB geldt het laagste.

AI act 35 miljoen is het meest genoemde bedrag in publiciteit rond de Act. Dit is het absolute maximum onder Artikel 99 lid 3, alleen van toepassing bij overtreding van verboden praktijken uit Artikel 5 en alleen voor organisaties waar 7 procent van de wereldwijde omzet lager uitkomt dan 35 miljoen (dus bij omzet onder 500 miljoen euro). Voor MKB is dit bedrag vrijwel nooit relevant als absoluut maximum; het proportionele plafond werkt daar eerder. Hieronder geven we het hele stelsel visueel weer zodat de werking helder is.

AI act handhaving in Nederland loopt via de Autoriteit Persoonsgegevens als coordinerend toezichthouder, met sectorale autoriteiten (DNB, AFM, NVWA, IGJ, ACM) in hun eigen domein. De Nederlandse Uitvoeringswet AI-verordening regelt de procedure-aspecten. Voor GPAI-aanbieders is de Europese Commissie via AI Office direct toezichthouder. De praktische handhaving zal naar verwachting in de eerste fase proportioneel zijn, met nadruk op ernstige overtredingen en systematische niet-naleving. Aantoonbare zorgvuldigheid is onder Artikel 99 lid 7 een significante verzachtende factor.

Voor MKB-organisaties is de praktische boodschap: de bedragen zijn substantieel maar niet willekeurig. Artikel 99 lid 6 bevat een echte proportionaliteit: MKB betaalt het laagste maximum in plaats van het hoogste. Daarnaast weegt de autoriteit bij bepaling van de concrete boete factoren mee: grootte, medewerking, geetroffen maatregelen, MKB-status, ernst van overtreding. Een goed gedocumenteerde compliance-inspanning kan een concrete boete substantieel verlagen, zelfs als formeel een overtreding wordt vastgesteld. Dit maakt preventief werk zinvol ook in grensgevallen. Koppeling met onze 10-stappen-MKB-gids.

Operator: Paraplubegrip voor aanbieder, deployer, importeur, distributeur, gemachtigde en notified body onder Artikel 3 lid 8. Allen vallen onder Artikel 99.

Wereldwijde jaaromzet: Omzet van de volledige onderneming wereldwijd in het voorgaande boekjaar, niet alleen EU-omzet. Voor groepen: geconsolideerde omzet van de moedermaatschappij.

Drie bandbreedtes
Artikel 99 lid 3 (35M/7%), lid 4 (15M/3%), lid 5 (7,5M/1%). Welke bandbreedte hangt af van welke bepaling is overtreden.
MKB: laagste van twee
Artikel 99 lid 6. Omgekeerde regel van grote ondernemingen. Proportionaliteit ingebouwd in wet.
Zorgvuldigheid telt
Artikel 99 lid 7. Documentatie, medewerking, getroffen maatregelen halen concrete boete omlaag.

Het complete boetestelsel

Vijf regimes op een rij, van hoogste boete tot specifieke gevallen. Exact zoals Artikelen 99, 100 en 101 het bepalen.

AI Act boete-ladder (Artikelen 99, 100, 101)

Voor grote ondernemingen geldt het hoogste van euro- of percentage-bedrag; voor MKB het laagste (Artikel 99 lid 6)

Hoogste

Verboden AI-praktijken

Artikel 99 lid 3 · Overtreding Artikel 5

Social scoring door overheden, manipulatieve AI, emotieherkenning op werk/school, real-time biometrische identificatie in openbare ruimte, biometrische categorisering op gevoelige kenmerken. De strengste bandbreedte voor de meest ernstige overtredingen.

35 mln
of 7% wereldwijde jaaromzet
Hoogste van twee bij grote onderneming
Midden

Aanbieder-, deployer- en notified body-verplichtingen

Artikel 99 lid 4 · Artikelen 16, 22, 23, 24, 26, 31, 33(1,3,4), 34, 50

Hieronder vallen de high-risk AI-verplichtingen voor aanbieders (Artikel 16), gemachtigden (Artikel 22), importeurs (Artikel 23), distributeurs (Artikel 24) en deployers (Artikel 26), evenals de notified body-vereisten uit Artikelen 31, 33 en 34, en de transparantie-verplichtingen uit Artikel 50.

15 mln
of 3% wereldwijde jaaromzet
Hoogste van twee bij grote onderneming
Lagere

Onjuiste informatie aan autoriteiten

Artikel 99 lid 5 · Incorrecte data aan notified body of autoriteit

Onjuiste, onvolledige of misleidende informatie verstrekt aan notified bodies of bevoegde nationale autoriteiten in antwoord op een verzoek. Toepassing bij zowel aanbieders, deployers als andere operators.

7,5 mln
of 1% wereldwijde jaaromzet
Hoogste van twee bij grote onderneming
GPAI

GPAI-model-aanbieders

Artikel 101 · Door Europese Commissie via AI Office

Overtreding van Artikel 53 of 55-verplichtingen, niet reageren op informatie-verzoeken, niet nemen van corrigerende maatregelen, niet toegang verlenen voor evaluatie (Artikel 92). Apart regime naast Artikel 99.

15 mln
of 3% wereldwijde jaaromzet
Hoogste van twee
EU-entiteit

EU-instellingen en organen

Artikel 100 · Door European Data Protection Supervisor

Voor EU-instellingen, -organen en -agentschappen gelden vaste bedragen in plaats van een percentage van de omzet. Bij verboden praktijken onder Artikel 5 is de boete maximaal 1,5 miljoen euro, en voor overige AI Act-verplichtingen maximaal 750.000 euro.

1,5 mln
of 750.000 euro
Afhankelijk van type overtreding

Grote onderneming versus MKB

Artikel 99 lid 6 bepaalt dat MKB inclusief start-ups het laagste bedrag als maximum krijgt, waar grote ondernemingen het hoogste krijgen. Het verschil kan substantieel zijn.

Hoogste vs laagste van euro-bedrag en percentage

Voorbeeld: overtreding van verboden praktijk Artikel 5, bandbreedte 35 mln of 7%

Grote onderneming

Hoogste van twee geldt

Regel: Artikel 99 lid 3 eerste alinea

  • Omzet 100 mln euro7% = 7 mln; tegenover 35 mln vast bedrag. Maximum: 35 mln euro (hoogste)
  • Omzet 500 mln euro7% = 35 mln; gelijk aan vast bedrag. Maximum: 35 mln euro
  • Omzet 1 mld euro7% = 70 mln; hoger dan 35 mln. Maximum: 70 mln euro (hoogste)
  • Omzet 10 mld euro7% = 700 mln; ruim hoger. Maximum: 700 mln euro
MKB en start-up

Laagste van twee geldt

Regel: Artikel 99 lid 6 (uitzondering)

  • Omzet 2 mln euro7% = 140.000 euro; tegenover 35 mln vast. Maximum: 140.000 euro (laagste)
  • Omzet 10 mln euro7% = 700.000 euro. Maximum: 700.000 euro (laagste)
  • Omzet 25 mln euro7% = 1,75 mln. Maximum: 1,75 mln (laagste)
  • Omzet 50 mln euro (grens)7% = 3,5 mln. Maximum: 3,5 mln (laagste); grens MKB-status

MKB-definitie volgens EU (Aanbeveling 2003/361/EG): minder dan 250 werknemers en jaaromzet onder 50 miljoen euro of balanstotaal onder 43 miljoen euro. Start-ups onder deze definitie vallen ook onder Artikel 99 lid 6.

Factoren die de boete bepalen

Artikel 99 lid 7 lijst de factoren die toezichthouders moeten meewegen bij het bepalen van de concrete boete binnen het maximum.

Aard, ernst en duur van overtreding

Eerste factor (Artikel 99 lid 7 sub a). Toezichthouder weegt wat concreet is overtreden, hoe ernstig, hoe lang. Plus: doel van AI-systeem, aantal betrokken personen, omvang van geleden schade. Dit is vaak doorslaggevend voor boete-hoogte binnen de bandbreedte.

Eerdere boetes andere autoriteiten

Sub b. Als een andere markttoezichtautoriteit al boetes heeft opgelegd voor dezelfde overtreding, wordt dat meegewogen om dubbele sanctionering te voorkomen. Met name relevant bij grensoverschrijdende overtredingen binnen EU.

Omvang en marktaandeel operator

Sub c, grootte van organisatie, jaaromzet, marktaandeel. Dit is proportionaliteit binnen de bandbreedte: een grote organisatie die 3 procent van omzet aan boete krijgt is serieus geraakt, kleine organisatie ook maar anders.

Verzwarend of verzachtend

Sub d. Andere factoren: financieel voordeel gerealiseerd door overtreding, of voorkomen verliezen direct of indirect. Ook bewuste overtreding (verzwarend) versus onbedoelde fout (verzachtend).

Mate van medewerking

Sub e. Hoe actief de operator meewerkt met bevoegde nationale autoriteiten om de overtreding te stoppen en effecten te beperken. Proactieve melding en correctie werkt sterk verzachtend; obstructie verzwaart.

Technische en organisatorische maatregelen

Sub f. De mate van verantwoordelijkheid, rekening houdend met getroffen compliance-maatregelen (documented governance, risicoanalyse, training, monitoring). Goed voorbereid zijn is geen garantie tegen boete maar verlaagt wel de hoogte.

Wijze van ontdekking

Sub g. Hoe de toezichthouder van de overtreding op de hoogte is gekomen, met name of de operator zelf heeft gemeld. Zelfmeldsrate verlaagt de boete, vergelijkbaar met AVG-praktijk bij data-breach-meldingen.

MKB of start-up status

Sub h benoemt de omvang van de onderneming expliciet als verzachtende factor. Naast de plafond-regel uit lid 6 weegt de MKB-status ook mee in de concrete boete-bepaling, waardoor het MKB kan vertrouwen op een proportionele bejegening door de toezichthouder.

Boete-preventie in vier stappen

Concrete stappen om blootstelling aan de hoogste boete-bandbreedtes te vermijden en aantoonbare zorgvuldigheid te borgen.

Artikel 5-check

Dit valt in de hoogste bandbreedte van 35 miljoen euro of 7 procent van de omzet. Het elimineren van verboden praktijken heeft absolute prioriteit en is sinds februari 2025 handhaafbaar.

High-risk voorbereiding

Middelbandbreedte (15M/3%). Start ruim voor augustus 2026 met Artikel 16 of 26-compliance voor high-risk AI.

Documenteer alles

Op grond van Artikel 99 lid 7 werkt aantoonbare zorgvuldigheid als verzachtende factor bij een eventuele overtreding. Documenteer je training, procedures en beleid zodat je die kunt tonen aan de toezichthouder.

Incident-paraat

Zorg voor een heldere meldingsprocedure bij incidenten, want zelf melden aan de toezichthouder verlaagt een eventuele boete substantieel. Volledige medewerking aan het onderzoek is daarbij cruciaal.

Onze belofte: Compliance-audit die specifiek test op boete-exposure per bandbreedte. Prioritering van acties op basis van risico-impact. Koppeling met onze 10-stappen-MKB-gids en compliance-roadmap-gids.

Vier valkuilen bij boete-risico

Misvattingen die leiden tot onderschatting of verkeerde prioritering van compliance-werk.

Valkuil 1

Denken dat boete alleen aan eind

Sommige organisaties menen dat boetes pas in uiterste geval vallen. Artikel 99 lid 1 maakt duidelijk dat toezichthouders actief kunnen handhaven. Waarschuwingen en corrigerende maatregelen eerst, daarna boetes bij voortdurende niet-naleving. Niet afwachten tot er iets fout gaat; preventief werken.

Valkuil 2

MKB-uitzondering overschatten

De laagste-van-twee-regel uit Artikel 99 lid 6 is echt maar niet onbegrensd. Bij 30 miljoen omzet en ernstige overtreding kan 7 procent boete nog 2,1 miljoen euro zijn. Substantieel voor elke MKB. Niet rekenen op 'maar we zijn klein'.

Valkuil 3

AVG-boetes vergeten

AI Act-boete en AVG-boete kunnen naast elkaar. AVG-maximum is 20 mln euro of 4 procent omzet (Artikel 83). Voor AI-toepassingen met persoonsgegevens is dubbele exposure realistisch. Compliance-planning moet beide regimes dekken.

Valkuil 4

Niet-documenteren van zorgvuldigheid

Artikel 99 lid 7 sub f benoemt 'technische en organisatorische maatregelen' expliciet als factor. Zonder documentatie van wat je hebt gedaan, kun je dat niet aantonen bij boete-bepaling. Boete kan hoger uitvallen dan noodzakelijk. Documenteer proactief.

Veelgestelde vragen over AI Act boetes

Tien vragen met exacte verwijzing naar de wet-artikelen. Geen interpretatie-toevoegingen; directe weergave van de regel.

Stel je vraag
De hoogste boete onder de AI Act is 35 miljoen euro of 7 procent wereldwijde jaaromzet (Artikel 99 lid 3). Deze geldt voor overtreding van Artikel 5, het verbod op verboden AI-praktijken zoals social scoring door overheden, manipulatieve AI, emotie-herkenning op werkplek en school, enzovoort. Voor grote ondernemingen geldt het hoogste van de twee bedragen. Voor MKB, inclusief start-ups, bepaalt Artikel 99 lid 6 dat het laagste van de twee bedragen van toepassing is. Dit betekent: voor een MKB met 10 miljoen euro jaaromzet zou 7 procent gelijk zijn aan 700.000 euro, wat lager is dan 35 miljoen; dus die 700.000 euro zou de maximumboete zijn. Voor grotere ondernemingen met meer dan 500 miljoen omzet geldt de 35 miljoen als maximum omdat 7 procent dan hoger uitkomt.
Op grond van Artikel 99 lid 1 AI Act bepalen lidstaten zelf welke autoriteiten bevoegd zijn boetes op te leggen en met welke procedure. In Nederland is de Autoriteit Persoonsgegevens (AP) aangewezen als coordinerend toezichthouder voor de AI Act. Sectorale autoriteiten hebben eigen rollen binnen hun domein: DNB en AFM voor financiele sector, NVWA voor voeding en medische producten, IGJ voor zorg, ACM voor consumentenbescherming en mededinging, Agentschap Telecom voor digitale infrastructuur. De Nederlandse Uitvoeringswet AI-verordening, in voorbereiding per 2026, regelt de handhavings-bevoegdheden, boete-procedures en beroepsmogelijkheden nader. Voor GPAI-modellen met systemic risk is de Europese Commissie via AI Office directe toezichthouder (Artikel 101). Civielrechtelijke claims van benadeelden komen boven op bestuurlijke boetes.
Artikel 99 kent drie bandbreedtes. Eerste (lid 3): overtreding van Artikel 5 verboden AI-praktijken. Tot 35 miljoen euro OF 7 procent wereldwijde jaaromzet; voor grote ondernemingen het hogere bedrag, voor MKB het lagere. Tweede (lid 4): overtreding van specifieke andere bepalingen, met name aanbieder-verplichtingen (Artikel 16), gevolmachtigde-verplichtingen (Artikel 22), importeur-verplichtingen (Artikel 23), distributeur-verplichtingen (Artikel 24), deployer-verplichtingen (Artikel 26), notified body-verplichtingen (Artikelen 31, 33 lid 1 3 4, 34), transparantieverplichtingen (Artikel 50). Tot 15 miljoen euro OF 3 procent omzet. Derde (lid 5): onjuiste, onvolledige of misleidende informatie aan notified bodies of bevoegde nationale autoriteiten. Tot 7,5 miljoen euro OF 1 procent omzet. Voor GPAI-aanbieders geldt een aparte Artikel 101-regime met boetes tot 3 procent wereldwijde jaaromzet of 15 miljoen euro.
Artikel 99 lid 6 AI Act bepaalt: voor MKB, inclusief start-ups, geldt voor elke boete genoemd in dit artikel het laagste van de percentages of bedragen uit leden 3, 4 en 5, afhankelijk welke daarvan lager is. Dit is de omgekeerde regel dan voor grote ondernemingen. Concreet voorbeeld: bij overtreding van Artikel 5 (verboden praktijken) geldt voor een MKB met 20 miljoen omzet: 7 procent van 20 miljoen = 1,4 miljoen euro; dat is lager dan 35 miljoen; dus 1,4 miljoen is de maximum. Bij een organisatie met 1 miljard omzet geldt 35 miljoen als maximum (omdat 7 procent = 70 miljoen hoger is). De uitzondering is significant maar niet ontzettend; bij serieuze overtredingen kunnen MKB-boetes nog steeds tot enkele miljoenen euro lopen. De definitie van MKB volgt de EU-definitie (Aanbeveling 2003/361/EG): minder dan 250 werknemers en jaaromzet onder 50 miljoen euro of balanstotaal onder 43 miljoen.
Artikel 99 lid 7 AI Act lijst factoren die de toezichthouder moet meewegen bij het bepalen van de hoogte. Ten eerste: aard, ernst en duur van de overtreding en haar gevolgen, rekening houdend met het doel van het AI-systeem en, waar relevant, het aantal betrokken personen en de omvang van de schade. Ten tweede: of andere markttoezichtautoriteiten al boetes hebben opgelegd voor dezelfde overtreding. Ten derde: omvang, jaaromzet en marktaandeel van de operator. Ten vierde: eventuele verzwarende of verzachtende factoren, waaronder financieel voordeel gerealiseerd of voorkomen verliezen. Ten vijfde: mate van medewerking met de bevoegde nationale autoriteiten om de overtreding te beeindigen. Ten zesde: mate van verantwoordelijkheid, rekening houdend met technische en organisatorische maatregelen getroffen. Ten zevende: wijze waarop de autoriteit kennis kreeg van de overtreding. Ten achtste: of de operator MKB of start-up is. Ten negende: andere relevante factoren. Deze factoren samen maken boete-bepaling proportioneel en context-afhankelijk.
Artikel 101 AI Act regelt boetes voor aanbieders van General Purpose AI-modellen. De Europese Commissie kan boetes opleggen tot 3 procent wereldwijde jaaromzet of 15 miljoen euro, het hoogste van de twee. Grondslagen omvatten: overtreding van relevante AI Act-bepalingen, niet reageren op informatie-verzoeken, niet nemen van corrigerende maatregelen, niet verlenen van toegang voor evaluatie volgens Artikel 92. Voor GPAI met systemic risk gelden aanvullende bevoegdheden. Dit regime is apart van Artikel 99; GPAI-aanbieders vallen onder direct EU-toezicht via AI Office. Voor MKB-deployer van GPAI heeft dit indirecte impact: je leverancier kan boetes krijgen die doorwerken via prijsverhogingen of service-stopzetting. Check bij leverancier-keuze welke compliance-status ze hebben.
Artikel 100 AI Act regelt administratieve boetes voor EU-instellingen, -organen en -agentschappen die zelf AI Act-plichtig zijn. Artikel 100 lid 2: voor overtreding van verboden praktijken uit Artikel 5 tot 1,5 miljoen euro. Artikel 100 lid 3: voor overtreding van andere AI Act-verplichtingen tot 750.000 euro. De Europese Data Protection Supervisor (EDPS) is bevoegd deze boetes op te leggen. Dit regime is alleen van toepassing op EU-entiteiten; voor private organisaties is Artikel 99 het regime. Voor nationale autoriteiten (zoals ministeries, UWV, gemeenten) gelden de regels van Artikel 99 waar de lidstaat de implementatie heeft geregeld.
De AI Act zelf regelt geen strafrechtelijke sancties; het regime is bestuurlijk (administratieve boetes). Lidstaten kunnen op basis van Artikel 99 lid 1 wel aanvullende sancties vaststellen, inclusief voor natuurlijke personen die niet onder commerciele drempels vallen. Nederland heeft in de Uitvoeringswet AI-verordening (in voorbereiding) de handhavings-bevoegdheden nader geregeld; primair blijven dit bestuurlijke boetes. Daarnaast blijven andere wetten van toepassing: AVG-boetes kunnen naast AI Act-boetes staan (dubbele handhaving bij gegevensverwerking), aansprakelijkheidsrecht blijft gelden voor benadeelden, en sectorale regelgeving (financieel, medisch) kan eigen strafrechtelijke elementen hebben. Voor manipulatieve AI met grove gevolgen kan strafrecht via andere wetten (mensenhandel, oplichting) parallel gelden.
Vijf concrete acties. Eerste: check Artikel 5-verboden praktijken op je AI-portfolio. Deze zijn sinds februari 2025 handhaafbaar en hebben de hoogste boete. Tweede: borg Artikel 4 AI-geletterdheid; sinds februari 2025 verplicht. Derde: bij high-risk AI (Annex III) plan compliance-traject uiterlijk Q2 2025 voor de augustus 2026-deadline. Vierde: documenteer alles. Artikel 99 lid 7 noemt 'technische en organisatorische maatregelen' en 'medewerking' expliciet als verzachtende factoren. Aantoonbare zorgvuldigheid kan boete halveren. Vijfde: koppel met AVG-compliance. Tekortkomingen op privacy-gebied kunnen via AVG-artikel 83 eigen boetes opleveren (tot 20 miljoen of 4 procent omzet). Koppeling met onze 10-stappen-gids.
Ja. AI Act en AVG (Algemene Verordening Gegevensbescherming) zijn twee verschillende regimes die parallel van toepassing kunnen zijn op dezelfde AI-toepassing. Een AI-systeem dat persoonsgegevens verwerkt kan tegelijk onder AI Act (voor systeem-verplichtingen) en AVG (voor persoonsgegevens-bescherming) vallen. Bij schending van beide kunnen boetes uit beide regimes worden opgelegd. AVG-boetes lopen onder Artikel 83 AVG tot 20 miljoen euro of 4 procent wereldwijde jaaromzet. Voor MKB geldt ook bij AVG een proportionaliteitsbeginsel maar geen formele lagere-van-twee-regel. In de praktijk wordt dubbele handhaving afgestemd tussen toezichthouders om ne-bis-in-idem-probleem te voorkomen. De AP als coordinerend Nederlandse toezichthouder voor zowel AVG als AI Act zorgt voor onderlinge afstemming. Voor MKB: reken op gecombineerde exposure als je AI inzet met persoonsgegevens; bereid beide regimes gezamenlijk voor.

AI Act boete-preventie voor jouw MKB

Plan een compliance-audit voor concrete boete-exposure-analyse per bandbreedte. We brengen risico's in kaart en bouwen aantoonbare zorgvuldigheid die bij toezicht-momenten beschermt.

Plan een gratis kennismaking Doe de gratis AI-check (5 min)