AI Act boetes: wat kost non-compliance?
AI Act-boetes lopen op tot 35 miljoen euro of 7 procent van de wereldwijde jaaromzet, maar voor MKB en start-ups geldt het laagste van beide bedragen als plafond in plaats van het hoogste. Artikel 99 kent drie bandbreedtes: 35 miljoen of 7 procent voor verboden praktijken, 15 miljoen of 3 procent voor aanbieder-, deployer- en notified body-verplichtingen, en 7,5 miljoen of 1 procent voor onjuiste informatie aan autoriteiten. Een MKB-bedrijf met 2 miljoen euro omzet heeft in de zwaarste bandbreedte dus een maximum van 140.000 euro.
Prometheus21 helpt MKB en mid-market boete-preventie te borgen via compliance-audits en deadline-roadmaps. Onderdeel van onze AI compliance-aanpak.
Drie bandbreedtes, een MKB-uitzondering. Exact zoals Artikel 99 het bepaalt.
De AI Act boetes zijn precies geregeld in Verordening 2024/1689. Artikel 99 bevat het hoofdregime voor operators (aanbieders, deployers, importeurs, distributeurs, notified bodies). Artikel 100 regelt boetes voor EU-instellingen, organen en agentschappen. Artikel 101 regelt boetes voor GPAI-model-aanbieders met direct EU-toezicht. Deze gids geeft de exacte bedragen, voorwaarden en toepassingen zoals ze in de wet staan, zonder interpretatie-toevoegingen.
Het zwaartepunt ligt bij Artikel 99. Drie bandbreedtes met verschillende plafonds afhankelijk van welke bepalingen worden overtreden. Hoogste bandbreedte: overtreding van Artikel 5 verboden AI-praktijken (tot 35 miljoen euro of 7 procent omzet). Middelbandbreedte: overtreding van specifieke andere bepalingen zoals aanbieder-verplichtingen en deployer-verplichtingen (tot 15 miljoen euro of 3 procent omzet). Laagste bandbreedte: onjuiste informatie aan autoriteiten (tot 7,5 miljoen euro of 1 procent omzet). Voor grote ondernemingen geldt het hoogste van beide bedragen; voor MKB geldt het laagste.
AI act 35 miljoen is het meest genoemde bedrag in publiciteit rond de Act. Dit is het absolute maximum onder Artikel 99 lid 3, alleen van toepassing bij overtreding van verboden praktijken uit Artikel 5 en alleen voor organisaties waar 7 procent van de wereldwijde omzet lager uitkomt dan 35 miljoen (dus bij omzet onder 500 miljoen euro). Voor MKB is dit bedrag vrijwel nooit relevant als absoluut maximum; het proportionele plafond werkt daar eerder. Hieronder geven we het hele stelsel visueel weer zodat de werking helder is.
AI act handhaving in Nederland loopt via de Autoriteit Persoonsgegevens als coordinerend toezichthouder, met sectorale autoriteiten (DNB, AFM, NVWA, IGJ, ACM) in hun eigen domein. De Nederlandse Uitvoeringswet AI-verordening regelt de procedure-aspecten. Voor GPAI-aanbieders is de Europese Commissie via AI Office direct toezichthouder. De praktische handhaving zal naar verwachting in de eerste fase proportioneel zijn, met nadruk op ernstige overtredingen en systematische niet-naleving. Aantoonbare zorgvuldigheid is onder Artikel 99 lid 7 een significante verzachtende factor.
Voor MKB-organisaties is de praktische boodschap: de bedragen zijn substantieel maar niet willekeurig. Artikel 99 lid 6 bevat een echte proportionaliteit: MKB betaalt het laagste maximum in plaats van het hoogste. Daarnaast weegt de autoriteit bij bepaling van de concrete boete factoren mee: grootte, medewerking, geetroffen maatregelen, MKB-status, ernst van overtreding. Een goed gedocumenteerde compliance-inspanning kan een concrete boete substantieel verlagen, zelfs als formeel een overtreding wordt vastgesteld. Dit maakt preventief werk zinvol ook in grensgevallen. Koppeling met onze 10-stappen-MKB-gids.
Operator: Paraplubegrip voor aanbieder, deployer, importeur, distributeur, gemachtigde en notified body onder Artikel 3 lid 8. Allen vallen onder Artikel 99.
Wereldwijde jaaromzet: Omzet van de volledige onderneming wereldwijd in het voorgaande boekjaar, niet alleen EU-omzet. Voor groepen: geconsolideerde omzet van de moedermaatschappij.
Het complete boetestelsel
Vijf regimes op een rij, van hoogste boete tot specifieke gevallen. Exact zoals Artikelen 99, 100 en 101 het bepalen.
AI Act boete-ladder (Artikelen 99, 100, 101)
Voor grote ondernemingen geldt het hoogste van euro- of percentage-bedrag; voor MKB het laagste (Artikel 99 lid 6)
Verboden AI-praktijken
Artikel 99 lid 3 · Overtreding Artikel 5
Social scoring door overheden, manipulatieve AI, emotieherkenning op werk/school, real-time biometrische identificatie in openbare ruimte, biometrische categorisering op gevoelige kenmerken. De strengste bandbreedte voor de meest ernstige overtredingen.
Aanbieder-, deployer- en notified body-verplichtingen
Artikel 99 lid 4 · Artikelen 16, 22, 23, 24, 26, 31, 33(1,3,4), 34, 50
Hieronder vallen de high-risk AI-verplichtingen voor aanbieders (Artikel 16), gemachtigden (Artikel 22), importeurs (Artikel 23), distributeurs (Artikel 24) en deployers (Artikel 26), evenals de notified body-vereisten uit Artikelen 31, 33 en 34, en de transparantie-verplichtingen uit Artikel 50.
Onjuiste informatie aan autoriteiten
Artikel 99 lid 5 · Incorrecte data aan notified body of autoriteit
Onjuiste, onvolledige of misleidende informatie verstrekt aan notified bodies of bevoegde nationale autoriteiten in antwoord op een verzoek. Toepassing bij zowel aanbieders, deployers als andere operators.
GPAI-model-aanbieders
Artikel 101 · Door Europese Commissie via AI Office
Overtreding van Artikel 53 of 55-verplichtingen, niet reageren op informatie-verzoeken, niet nemen van corrigerende maatregelen, niet toegang verlenen voor evaluatie (Artikel 92). Apart regime naast Artikel 99.
EU-instellingen en organen
Artikel 100 · Door European Data Protection Supervisor
Voor EU-instellingen, -organen en -agentschappen gelden vaste bedragen in plaats van een percentage van de omzet. Bij verboden praktijken onder Artikel 5 is de boete maximaal 1,5 miljoen euro, en voor overige AI Act-verplichtingen maximaal 750.000 euro.
Grote onderneming versus MKB
Artikel 99 lid 6 bepaalt dat MKB inclusief start-ups het laagste bedrag als maximum krijgt, waar grote ondernemingen het hoogste krijgen. Het verschil kan substantieel zijn.
Hoogste vs laagste van euro-bedrag en percentage
Voorbeeld: overtreding van verboden praktijk Artikel 5, bandbreedte 35 mln of 7%
Hoogste van twee geldt
Regel: Artikel 99 lid 3 eerste alinea
- Omzet 100 mln euro7% = 7 mln; tegenover 35 mln vast bedrag. Maximum: 35 mln euro (hoogste)
- Omzet 500 mln euro7% = 35 mln; gelijk aan vast bedrag. Maximum: 35 mln euro
- Omzet 1 mld euro7% = 70 mln; hoger dan 35 mln. Maximum: 70 mln euro (hoogste)
- Omzet 10 mld euro7% = 700 mln; ruim hoger. Maximum: 700 mln euro
Laagste van twee geldt
Regel: Artikel 99 lid 6 (uitzondering)
- Omzet 2 mln euro7% = 140.000 euro; tegenover 35 mln vast. Maximum: 140.000 euro (laagste)
- Omzet 10 mln euro7% = 700.000 euro. Maximum: 700.000 euro (laagste)
- Omzet 25 mln euro7% = 1,75 mln. Maximum: 1,75 mln (laagste)
- Omzet 50 mln euro (grens)7% = 3,5 mln. Maximum: 3,5 mln (laagste); grens MKB-status
MKB-definitie volgens EU (Aanbeveling 2003/361/EG): minder dan 250 werknemers en jaaromzet onder 50 miljoen euro of balanstotaal onder 43 miljoen euro. Start-ups onder deze definitie vallen ook onder Artikel 99 lid 6.
Factoren die de boete bepalen
Artikel 99 lid 7 lijst de factoren die toezichthouders moeten meewegen bij het bepalen van de concrete boete binnen het maximum.
Aard, ernst en duur van overtreding
Eerste factor (Artikel 99 lid 7 sub a). Toezichthouder weegt wat concreet is overtreden, hoe ernstig, hoe lang. Plus: doel van AI-systeem, aantal betrokken personen, omvang van geleden schade. Dit is vaak doorslaggevend voor boete-hoogte binnen de bandbreedte.
Eerdere boetes andere autoriteiten
Sub b. Als een andere markttoezichtautoriteit al boetes heeft opgelegd voor dezelfde overtreding, wordt dat meegewogen om dubbele sanctionering te voorkomen. Met name relevant bij grensoverschrijdende overtredingen binnen EU.
Omvang en marktaandeel operator
Sub c, grootte van organisatie, jaaromzet, marktaandeel. Dit is proportionaliteit binnen de bandbreedte: een grote organisatie die 3 procent van omzet aan boete krijgt is serieus geraakt, kleine organisatie ook maar anders.
Verzwarend of verzachtend
Sub d. Andere factoren: financieel voordeel gerealiseerd door overtreding, of voorkomen verliezen direct of indirect. Ook bewuste overtreding (verzwarend) versus onbedoelde fout (verzachtend).
Mate van medewerking
Sub e. Hoe actief de operator meewerkt met bevoegde nationale autoriteiten om de overtreding te stoppen en effecten te beperken. Proactieve melding en correctie werkt sterk verzachtend; obstructie verzwaart.
Technische en organisatorische maatregelen
Sub f. De mate van verantwoordelijkheid, rekening houdend met getroffen compliance-maatregelen (documented governance, risicoanalyse, training, monitoring). Goed voorbereid zijn is geen garantie tegen boete maar verlaagt wel de hoogte.
Wijze van ontdekking
Sub g. Hoe de toezichthouder van de overtreding op de hoogte is gekomen, met name of de operator zelf heeft gemeld. Zelfmeldsrate verlaagt de boete, vergelijkbaar met AVG-praktijk bij data-breach-meldingen.
MKB of start-up status
Sub h benoemt de omvang van de onderneming expliciet als verzachtende factor. Naast de plafond-regel uit lid 6 weegt de MKB-status ook mee in de concrete boete-bepaling, waardoor het MKB kan vertrouwen op een proportionele bejegening door de toezichthouder.
Boete-preventie in vier stappen
Concrete stappen om blootstelling aan de hoogste boete-bandbreedtes te vermijden en aantoonbare zorgvuldigheid te borgen.
Artikel 5-check
Dit valt in de hoogste bandbreedte van 35 miljoen euro of 7 procent van de omzet. Het elimineren van verboden praktijken heeft absolute prioriteit en is sinds februari 2025 handhaafbaar.
High-risk voorbereiding
Middelbandbreedte (15M/3%). Start ruim voor augustus 2026 met Artikel 16 of 26-compliance voor high-risk AI.
Documenteer alles
Op grond van Artikel 99 lid 7 werkt aantoonbare zorgvuldigheid als verzachtende factor bij een eventuele overtreding. Documenteer je training, procedures en beleid zodat je die kunt tonen aan de toezichthouder.
Incident-paraat
Zorg voor een heldere meldingsprocedure bij incidenten, want zelf melden aan de toezichthouder verlaagt een eventuele boete substantieel. Volledige medewerking aan het onderzoek is daarbij cruciaal.
Onze belofte: Compliance-audit die specifiek test op boete-exposure per bandbreedte. Prioritering van acties op basis van risico-impact. Koppeling met onze 10-stappen-MKB-gids en compliance-roadmap-gids.
Vier valkuilen bij boete-risico
Misvattingen die leiden tot onderschatting of verkeerde prioritering van compliance-werk.
Denken dat boete alleen aan eind
Sommige organisaties menen dat boetes pas in uiterste geval vallen. Artikel 99 lid 1 maakt duidelijk dat toezichthouders actief kunnen handhaven. Waarschuwingen en corrigerende maatregelen eerst, daarna boetes bij voortdurende niet-naleving. Niet afwachten tot er iets fout gaat; preventief werken.
MKB-uitzondering overschatten
De laagste-van-twee-regel uit Artikel 99 lid 6 is echt maar niet onbegrensd. Bij 30 miljoen omzet en ernstige overtreding kan 7 procent boete nog 2,1 miljoen euro zijn. Substantieel voor elke MKB. Niet rekenen op 'maar we zijn klein'.
AVG-boetes vergeten
AI Act-boete en AVG-boete kunnen naast elkaar. AVG-maximum is 20 mln euro of 4 procent omzet (Artikel 83). Voor AI-toepassingen met persoonsgegevens is dubbele exposure realistisch. Compliance-planning moet beide regimes dekken.
Niet-documenteren van zorgvuldigheid
Artikel 99 lid 7 sub f benoemt 'technische en organisatorische maatregelen' expliciet als factor. Zonder documentatie van wat je hebt gedaan, kun je dat niet aantonen bij boete-bepaling. Boete kan hoger uitvallen dan noodzakelijk. Documenteer proactief.
Veelgestelde vragen over AI Act boetes
Tien vragen met exacte verwijzing naar de wet-artikelen. Geen interpretatie-toevoegingen; directe weergave van de regel.
Stel je vraagAI Act boete-preventie voor jouw MKB
Plan een compliance-audit voor concrete boete-exposure-analyse per bandbreedte. We brengen risico's in kaart en bouwen aantoonbare zorgvuldigheid die bij toezicht-momenten beschermt.