Het boetekader van de EU AI Act: welke boetes je organisatie echt kunnen raken

De meeste organisaties focussen op compliance. Weinig begrijpen wat er gebeurt als het misgaat.

De EU AI Act is het gesprek van de dag in bestuurskamers door heel Europa sinds de inwerkingtreding in augustus 2024. Complianceteams haasten zich om hun AI-systemen te classificeren, juridische afdelingen ontleden de 180+ pagina's van de verordening en consultants beleven hun beste jaar sinds de AVG. Maar in al dit lawaai krijgt een cruciaal onderwerp verrassend weinig aandacht: wat gebeurt er eigenlijk als je de regels overtreedt?

Het antwoord is niet abstract. De EU AI Act bevat een van de meest gedetailleerde boetekaders in de Europese regelgevingsgeschiedenis. Drie niveaus van boetes, elk gekoppeld aan specifieke categorieën overtredingen, met bedragen waardoor AVG-boetes bescheiden lijken. Dit kader begrijpen gaat niet over angst. Het gaat om precies weten waar de hoogste risico's liggen, zodat je je compliancemiddelen kunt inzetten waar ze het meest nodig zijn.

De drie niveaus van sancties

De EU AI Act organiseert zijn boetes in drie niveaus, elk gekoppeld aan de ernst van de overtreding. Dit is niet willekeurig. De structuur weerspiegelt de risicogebaseerde aanpak van de verordening, waarbij overtredingen met hoger risico proportioneel hogere sancties krijgen.

Niveau 1: €35 miljoen of 7% van de wereldwijde jaaromzet geldt voor overtredingen van de verboden AI-praktijken in Artikel 5. Dit zijn de absolute rode lijnen: AI-systemen die subliminale technieken gebruiken om gedrag te manipuleren, kwetsbaarheden van specifieke groepen uitbuiten, sociale scoring door overheidsinstanties toepassen, of realtime biometrische identificatie op afstand in openbare ruimtes gebruiken (met beperkte uitzonderingen voor rechtshandhaving). Als je organisatie een van deze inzet, val je in de zwaarste boetecategorie.

Voor context: 7% van de wereldwijde omzet voor een bedrijf als Siemens zou meer dan €4,7 miljard bedragen. Voor een middelgroot bedrijf met €100 miljoen omzet is het €7 miljoen. Dit zijn geen theoretische getallen. De verordening stelt expliciet dat het hogere van de twee bedragen van toepassing is.

Niveau 2: €15 miljoen of 3% van de wereldwijde jaaromzet dekt de meeste andere overtredingen van de verordening. Dit omvat het niet voldoen aan de vereisten voor hoog-risico AI-systemen onder Artikelen 8 tot en met 15, het niet uitvoeren van vereiste conformiteitsbeoordelingen, het niet registreren van hoog-risico systemen in de EU-database, of het niet voldoen aan transparantieverplichtingen. Als je een hoog-risico AI-systeem inzet bij werving, kredietscore of gezondheidszorg zonder goede documentatie, risicobeheer en menselijk toezicht, is dit je boetecategorie.