Hoe hoog zijn de boetes onder de EU AI Act? Het korte antwoord: tot 35 miljoen euro of 7 procent van de wereldwijde jaaromzet voor verboden AI. Voor de meeste andere overtredingen is het maximum 15 miljoen euro of 3 procent. Voor MKB-bedrijven en start-ups geldt per niveau het laagste van het vaste bedrag of het omzetpercentage (Artikel 99, lid 6). Het boetehoofdstuk geldt sinds 2 augustus 2025 (Artikel 113, onder b), maar de sancties zelf komen uit nationaal recht (Artikel 99, lid 1) en Nederland heeft die nog niet vastgesteld.
Hoe hoog zijn de boetes?
De AI Act kent drie niveaus van boetes, afhankelijk van de ernst van de overtreding.
Verboden AI-systemen
Art. 99(3)Het hoogste niveau, voor AI met een onaanvaardbaar risico, zoals sociale scoring of bepaalde biometrische identificatie. Maximale boete: 35 miljoen euro of 7 procent van de wereldwijde jaaromzet, de hoogste van de twee.
Verplichtingen van aanbieders, gebruiksverantwoordelijken en transparantie
Art. 99(4)Het tweede niveau, voor de verplichtingen die Artikel 99, lid 4 opsomt: die van aanbieders (Artikel 16), gemachtigden (Artikel 22), importeurs (Artikel 23), distributeurs (Artikel 24) en gebruiksverantwoordelijken (Artikel 26), de samenwerkingsplichten in de waardeketen (Artikel 25, leden 2 en 4), de eisen voor aangemelde instanties en de transparantieplicht van Artikel 50. Maximale boete: 15 miljoen euro of 3 procent van de wereldwijde jaaromzet, de hoogste van de twee.
Onjuiste informatie aan toezichthouders
Art. 99(5)Het derde niveau, voor onjuiste, onvolledige of misleidende informatie die u op verzoek verstrekt aan aangemelde instanties of nationale bevoegde autoriteiten. Maximale boete: 7,5 miljoen euro of 1 procent van de wereldwijde jaaromzet, de hoogste van de twee.
Verlaagde plafonds en voor wie ze gelden
De bedragen hierboven zijn de bovengrens voor een grote onderneming. Daar geldt telkens het hóógste van het vaste bedrag of het omzetpercentage. Voor kleinere organisaties draait Artikel 99 die rekensom om. Sinds de Digitale omnibus doet het dat voor twee groepen in plaats van één.
MKB-bedrijven en start-upsDe verordening noemt die groep kmo's. Op alle drie de niveaus geldt het laagste van het vaste bedrag of het percentage (Artikel 99, lid 6). Een bedrijf met 2 miljoen euro omzet riskeert daarmee maximaal 60.000 euro bij een overtreding rond hoog-risico AI (3 procent), niet 15 miljoen.
Kleine midcapondernemingenDeze categorie is nieuw en kwam met Verordening (EU) 2026/1744 in de wet. Voor hen geldt de verlaging op het tweede en het derde niveau, dus bij de 15 miljoen euro of 3 procent en bij de 7,5 miljoen euro of 1 procent (Artikel 99, lid 6 bis). Op het zwaarste niveau, de verboden praktijken uit Artikel 5, geldt de verlaging níet: daar blijft de hoofdregel van lid 3 staan en dus het hoogste van 35 miljoen euro of 7 procent.
Een kleine midcaponderneming is een onderneming die niet onder het MKB valt en waar minder dan 750 personen werken, tenzij de jaaromzet boven 150 miljoen euro én het balanstotaal boven 129 miljoen euro ligt (Artikel 3, punt 14 ter, dat verwijst naar bijlage punt 2 van Aanbeveling (EU) 2025/1099). Voor een organisatie tussen ongeveer 250 en 750 medewerkers is dat de categorie om te kennen: te groot voor de MKB-regel, te klein voor het volle plafond.
Een voorbeeld: een onderneming met 500 werkzame personen, 200 miljoen euro jaaromzet en een balanstotaal van 100 miljoen euro. Alleen de omzet ligt boven de grens, dus dit is een kleine midcaponderneming. Overtreedt zij de transparantieplicht van Artikel 50, dan is de boete ten hoogste 6 miljoen euro: 3 procent van de omzet is lager dan 15 miljoen (Artikel 99, lid 4, onder g en lid 6 bis). Bij een verboden praktijk blijft de hoofdregel staan: het maximum is dan 35 miljoen euro, want 7 procent van de omzet is 14 miljoen en het hoogste bedrag telt (Artikel 99, lid 3).
Bij het bepalen van de boete zelf houden toezichthouders daarnaast rekening met de omvang van de onderneming en de economische levensvatbaarheid. Artikel 99, lid 1 noemt het MKB, start-ups én kleine midcapondernemingen daarbij met zoveel woorden. Een boete die een bedrijf failliet drijft is niet het doel van de wet.
Wie houdt toezicht in Nederland?
De Nederlandse overheid werkt aan de Uitvoeringswet AI-verordening (UAIV), de wet die de AI Act in nationaal recht verankert. Op 20 april 2026 is het wetsvoorstel gepubliceerd voor internetconsultatie, die liep tot 1 juni 2026. Volgens de planningsbrief Digitale Zaken van 31 augustus 2026 (Kamerstuk 26643, nr. 1554) gaat het voorstel in het tweede kwartaal van 2027 naar de Tweede Kamer; behandeling in beide Kamers komt daarna. Dat raakt uw boeterisico direct. De verordening geeft alleen de plafonds; de sancties zelf staan in deze wet. Het voorstel wijst de Autoriteit Persoonsgegevens (AP) en de Rijksinspectie Digitale Infrastructuur (RDI) gezamenlijk aan als coördinerende nationale toezichthouders voor de AI Act. Tot de wet is aangenomen, is de formele aanwijzing niet rond. De AP vervult die coördinerende rol in de tussentijd al wel via de Directie Coördinatie Algoritmes (DCA).
Welke toezichthouder handhaaft, hangt in het wetsvoorstel af van het systeem, niet van de sector. De AP krijgt de verboden AI, de transparantieplicht en het grootste deel van de hoog-risico AI uit Bijlage III, zoals werving en triage. De Autoriteit Financiële Markten (AFM) en De Nederlandsche Bank (DNB) houden toezicht op kredietbeoordeling en op risicobeoordeling en prijsstelling bij levens- en ziektekostenverzekeringen bij financiële instellingen. Voor AI in producten blijven de bestaande producttoezichthouders bevoegd: de Inspectie Gezondheidszorg en Jeugd (IGJ) voor medische hulpmiddelen, de Nederlandse Voedsel- en Warenautoriteit (NVWA) voor onder meer speelgoed, de Nederlandse Arbeidsinspectie (NLA) voor onder meer liften en drukapparatuur. De RDI en de Inspectie Leefomgeving en Transport (ILT) gaan over AI in kritieke infrastructuur. Voor AI in de rechtspraak wijst het voorstel de procureur-generaal bij de Hoge Raad en de voorzitter van de Afdeling bestuursrechtspraak van de Raad van State aan. Voor de meeste MKB-bedrijven is in het voorstel de AP het eerste aanspreekpunt. Welke toezichthouder bij welk systeem hoort, staat in wie de AI Act in Nederland handhaaft.
Op Europees niveau stemmen de lidstaten hun toezicht af in de Europese AI-board (Artikel 65 en 66). Het AI Office bij de Europese Commissie is opgericht bij Commissiebesluit van 24 januari 2024 en is operationeel sinds 16 juni 2024. Het houdt toezicht op general-purpose AI-modellen (Artikel 88). Sinds de Digitale omnibus is het ook bevoegd voor AI in zeer grote onlineplatforms en zoekmachines. Hetzelfde geldt, op enkele uitzonderingen na, voor AI-systemen die een aanbieder op zijn eigen general-purpose AI-model bouwt (Artikel 75, lid 1).
Wat kunnen de toezichthouders straks doen?
Zodra de Uitvoeringswet in werking is, krijgen de aangewezen markttoezichtautoriteiten de bevoegdheden uit de Markttoezichtverordening (EU) 2019/1020, waar Artikel 74, lid 1 van de AI Act naar verwijst. Zij kunnen dan onaangekondigd inspecteren en documenten opvragen (artikel 14, lid 4 van die verordening). Ze kunnen een operator corrigerende maatregelen opleggen en het aanbieden of gebruiken van een AI-systeem verbieden of beperken (Artikel 79, leden 2 en 5). Lasten onder dwangsom en boetes regelt het wetsvoorstel in de artikelen 3.6 en 3.7.
Belangrijk voor bedrijven: een toezichthouder hoeft niet te wachten tot er schade is. Het ontbreken van de vereiste documentatie is op zichzelf al een overtreding. Vraagt een toezichthouder om informatie, dan helpt het als u snel kunt laten zien welke AI-systemen u inzet, met de documentatie per systeem, de maatregelen voor AI-geletterdheid en eventuele verklaringen van leveranciers. Een intern AI-register is geen wettelijke plicht, wel het handigste startpunt daarvoor.
Klachten indienen over AI-gebruik
De AI Act kent ook een klachtenmechanisme. Bedrijven en burgers kunnen bij de nationale toezichthouder een klacht indienen als ze vermoeden dat een andere organisatie de AI Act overtreedt. Denk aan een ondernemer die vermoedt dat een leverancier of concurrent verboden AI inzet. Of aan een werknemer die vindt dat zijn werkgever met AI over de grens gaat.
De markttoezichtautoriteit neemt zulke klachten mee in haar markttoezicht en behandelt ze volgens haar eigen procedures (Artikel 85). Welke instantie dat in Nederland formeel is, legt de Uitvoeringswet AI-verordening vast. Tot die wet er is, heeft een klacht onder de AI Act nog geen aangewezen adres. Raakt het AI-gebruik persoonsgegevens, dan is de AP onder de AVG al bevoegd. Dit geeft organisaties een actief middel om naleving in hun keten te bevorderen.
Eerste handhavingsacties: wat gebeurt er tot nu toe?
Sinds de AI-geletterdheidsplicht en het verbod op onaanvaardbare AI in februari 2025 van kracht zijn, hebben toezichthouders in meerdere EU-landen de eerste stappen gezet. De nadruk ligt voorlopig op bewustwording en waarschuwingen. In Italië heeft de gegevensbeschermingsautoriteit in mei 2026 een aanbieder formeel gewaarschuwd wiens AI-plug-in bedrijfschats analyseerde op emotie en stress, onder verwijzing naar het verbod op emotieherkenning op de werkplek (Artikel 5, lid 1, onder f). Dat besluit rust op het gegevensbeschermingsrecht, niet op een handhavingsbevoegdheid onder de AI Act.
In Nederland is de AP via de Directie Coördinatie Algoritmes (DCA) al coördinerend toezichthouder op algoritmes en AI. De formele bevoegdheden onder de AI Act volgen pas uit de Uitvoeringswet. De Werkagenda coördinerend AI- en algoritmetoezicht 2026 noemt vijf prioriteiten: overkoepelend stelseltoezicht, transparantie en uitlegbaarheid, kaders en normen, bias- en fairnesstoetsing tegen discriminatie en AI-geletterdheid. Tot nu toe is er geen bevestigd handhavingsbesluit onder de AI Act, niet in Nederland en niet elders in de EU. Komt het ervan, dan ligt Artikel 5 voor de hand: dat is de enige bepaling met het hoogste boeteplafond (Artikel 99, lid 3). Artikel 4 heeft geen eigen boeteplafond; het Nederlandse wetsvoorstel kiest daar voor herstelsancties, zoals een last onder dwangsom. Hoe het toezicht op die plicht verloopt, leest u in handhaving van AI-geletterdheid.
Wanneer begint actieve handhaving?
Een toezichthouder kan pas handhaven als een verplichting van kracht is en de lidstaat hem als markttoezichtautoriteit heeft aangewezen (Artikel 70, lid 1). In Nederland gebeurt die aanwijzing in de Uitvoeringswet AI-verordening, die nog een wetsvoorstel is. De AI-geletterdheidsplicht (Artikel 4) en het verbod op onaanvaardbare AI (Artikel 5) gelden al sinds 2 februari 2025. GPAI-regels uit Hoofdstuk V (Artikelen 51-56) gelden sinds 2 augustus 2025; de boetebevoegdheid tegenover GPAI-aanbieders (Artikel 101) pas sinds 2 augustus 2026.
De Digitale omnibus, Verordening (EU) 2026/1744, verschuift hoog-risico AI uit Bijlage III naar 2 december 2027 en hoog-risico AI in gereguleerde producten uit Bijlage I naar 2 augustus 2028 (Artikel 113, onder c). Welke plicht op welke datum ingaat, staat in de AI Act-deadlines. De transparantieplichten van Artikel 50 gelden sinds 2 augustus 2026; alleen de machineleesbare markering door aanbieders van generatieve AI die al vóór 2 augustus 2026 op de markt was, krijgt uitstel tot 2 december 2026 (Artikel 111 lid 4). Na het trilogue-akkoord van 7 mei 2026 nam het Europees Parlement de tekst op 16 juni 2026 aan en gaf de Raad op 29 juni 2026 zijn definitieve goedkeuring. De Digital Omnibus is daarmee definitief aangenomen. De tekst verscheen op 24 juli 2026 in het Publicatieblad als Verordening (EU) 2026/1744 en trad op 27 juli 2026 in werking.
Boetes voorkomen: wat moet u doen?
De beste manier om boetes te voorkomen is aantoonbare compliance. Concreet gaat het om vier dingen.
- Een actueel AI-register met alle systemen die u gebruikt
- Documentatie per systeem: doel, risico's en genomen maatregelen
- Bewijs dat uw medewerkers AI-training hebben gevolgd
- Een AI-beleid dat beschrijft hoe uw organisatie met AI omgaat
Voor hoog-risico systemen komen daar conformiteitsbeoordelingen en procedures voor menselijk toezicht bij.
Zorg dat u kunt laten zien wat u heeft gedaan: vraagt een toezichthouder om informatie, dan telt wat u kunt aantonen. Voor aanbieders van hoog-risico AI is dat een uitdrukkelijke plicht (Artikel 21, lid 1).
Hoe bepaalt de toezichthouder de boete?
Of er een boete komt en hoe hoog die wordt, hangt af van alle relevante omstandigheden van het geval (Artikel 99, lid 7). De verordening noemt tien factoren:
- de aard, de ernst en de duur van de inbreuk en de gevolgen, waaronder het aantal getroffen personen en hun schade (onder a)
- boetes die andere markttoezichtautoriteiten al voor dezelfde inbreuk hebben opgelegd (onder b)
- boetes die andere autoriteiten al voor hetzelfde handelen onder ander Unierecht of nationaal recht hebben opgelegd (onder c)
- de omvang, de jaaromzet en het marktaandeel van de onderneming (onder d)
- andere verzwarende of verzachtende factoren, zoals financieel voordeel uit de inbreuk (onder e)
- hoe u met de toezichthouder heeft samengewerkt om de inbreuk te verhelpen (onder f)
- uw verantwoordelijkheid, gelet op de technische en organisatorische maatregelen die u had genomen (onder g)
- hoe de inbreuk bij de toezichthouder bekend werd, bijvoorbeeld doordat u hem zelf meldde (onder h)
- opzet of nalatigheid (onder i)
- wat u heeft gedaan om de schade voor getroffen personen te beperken (onder j)
Organisaties die aantoonbaar bezig zijn met compliance, maar er nog niet volledig zijn, staan veel sterker dan organisaties die het probleem hebben genegeerd. Begin dus nu, ook als u nog niet alles op orde heeft.
Veelgestelde vragen
Zijn er al boetes opgelegd onder de AI Act?
Nee. Publiek is nog geen AI Act-boete bekend. Het boetehoofdstuk geldt sinds 2 augustus 2025 (Artikel 113, onder b), maar Artikel 99, lid 1 laat de sancties aan de lidstaten. Nederland stelt die vast in de Uitvoeringswet AI-verordening, die volgens de planningsbrief Digitale Zaken van 31 augustus 2026 in het tweede kwartaal van 2027 naar de Tweede Kamer gaat. Waar de verordening documentatie voorschrijft, is het ontbreken daarvan op zichzelf een overtreding, ook zonder schade. Voor hoog-risico AI uit Bijlage III gaan die eisen in op 2 december 2027 (Artikel 113, onder c).
Geldt het boeteplafond per overtreding of per organisatie?
Per inbreuk. De leden 3, 4 en 5 van Artikel 99 koppelen elk plafond aan een specifieke niet-naleving, dus meerdere inbreuken kunnen naast elkaar bestaan. Bij het bepalen van het bedrag weegt de toezichthouder wel mee of er voor dezelfde inbreuk al een boete is opgelegd (Artikel 99, lid 7). In Nederland lopen de boetes volgens het wetsvoorstel voor de Uitvoeringswet via de Algemene wet bestuursrecht. Die staat een sanctie toe voor elk overtreden voorschrift afzonderlijk (artikel 5:8 Awb). De toezichthouder weegt daarbij de ernst, de duur, de omvang van uw onderneming en de mate van medewerking.
Kan ik voor hetzelfde incident een AVG- en een AI Act-boete krijgen?
Ja, in beginsel wel. De AVG en de AI Act hebben elk een eigen boeteregime. In Nederland lopen AVG-boetes via de Algemene wet bestuursrecht. Volgens het wetsvoorstel geldt dat straks ook voor AI Act-boetes. De Awb staat een sanctie toe voor elk overtreden voorschrift afzonderlijk (artikel 5:8 Awb). Bij de hoogte van de AI Act-boete weegt de toezichthouder wel mee of voor hetzelfde handelen al een boete onder ander Unierecht of nationaal recht is opgelegd (Artikel 99, lid 7, onder c). Voor zover bekend is er over zo'n samenloop nog geen gepubliceerd besluit of uitspraak.
Blijf ik aanspreekbaar als mijn leverancier de fout maakt?
Ja, op uw eigen rol. Als gebruiksverantwoordelijke moet u het systeem gebruiken volgens de instructies, menselijk toezicht beleggen en de werking monitoren (Artikel 26). Contractueel kunt u risico's beleggen bij de leverancier, maar richting de toezichthouder blijft u aanspreekbaar op uw eigen rol.
Telt het mee als ik aantoonbaar bezig ben?
Ja. De toezichthouder weegt onder meer mee hoe u heeft samengewerkt, welke technische en organisatorische maatregelen u had genomen en wat u heeft gedaan om schade te beperken (Artikel 99, lid 7, onder f, g en j). Een organisatie met een half afgemaakt register en een gepland trainingstraject staat merkbaar sterker dan een organisatie die niets heeft.
Gelden de boetes ook voor kleine bedrijven?
Ja, maar met een lager plafond. Artikel 99, lid 6 bepaalt dat voor MKB-bedrijven en start-ups het laagste van het vaste bedrag of het omzetpercentage geldt. Bij 2 miljoen euro omzet betekent 3 procent dus maximaal 60.000 euro, niet 15 miljoen.
Mijn bedrijf heeft 400 medewerkers. Val ik onder een verlaagd plafond?
Ja, in de meeste gevallen. Met 400 medewerkers valt u doorgaans buiten het MKB en in de categorie kleine midcaponderneming die de Digitale omnibus toevoegde (Artikel 99, lid 6 bis). Die geldt bij minder dan 750 werkzame personen, tenzij uw jaaromzet boven 150 miljoen euro én uw balanstotaal boven 129 miljoen euro ligt. Hoort u bij een groep, dan tellen verbonden ondernemingen en partnerondernemingen mee (Aanbeveling (EU) 2025/1099, bijlage punt 3 en 6). De verlaging dekt het tweede en derde boeteniveau; bij de verboden praktijken uit Artikel 5 blijft het volle plafond staan.
Kan een gemeente een AI Act-boete krijgen?
Ja, als het Nederlandse wetsvoorstel zo wordt aangenomen. Artikel 99, lid 8 laat elke lidstaat bepalen in hoeverre overheidsinstanties een boete kunnen krijgen. Volgens de toelichting bij de consultatieversie van de Uitvoeringswet AI-verordening gaat een boete naar de overtreder. Daaronder vallen via artikel 5:1, tweede lid Awb ook overheidsinstanties en -organen. Die wet is nog een voorstel. De verplichtingen zelf gelden voor een gemeente als gebruiksverantwoordelijke net zo goed als voor een bedrijf (Artikel 3, punt 4).
Beginnen bij het bewijs
Vraagt een toezichthouder om informatie, dan helpen vier dingen: een overzicht van uw AI-systemen, documentatie per systeem, bewijs van AI-geletterdheid en uw AI-beleid.
Welk boeteniveau op u van toepassing kan zijn, hangt af van wat uw AI-systemen doen, welke rol u heeft en hoe groot uw organisatie is (Artikel 99, lid 3 tot en met 6 bis). De gratis risicoscan geeft in vijf minuten een eerste beeld van uw risicoprofiel en de verplichtingen die daarbij horen.