Boetes & Handhaving onder de AI Act

Boetecategorieën overzicht

De AI Act kent drie hoofdcategorieën van boetes, gebaseerd op de ernst van de overtreding:

Voor MKB en startups gelden de lagere bedragen (vaste bedragen i.p.v. percentage).

Categorie 1: Zwaarste overtredingen (€35M / 7%)

Verboden AI-praktijken

De hoogste boetes gelden voor het aanbieden of gebruiken van:

• Social scoring door overheden
• Manipulatieve AI die gedrag stuurt ten nadele van gebruikers
• Exploitatie van kwetsbaarheden (leeftijd, handicap)
• Real-time biometrische identificatie in openbare ruimtes (m.u.v. uitzonderingen)
• Emotieherkenning op werk of in onderwijs
• Biometrische categorisatie op gevoelige kenmerken
• Scraping voor gezichtsherkenningsdatabases
• Predictive policing uitsluitend op profilering

Beslisregel

Als je een van de verboden AI-praktijken uit Artikel 5 aanbiedt of gebruikt, dan riskeer je een boete tot €35 miljoen of 7% van je wereldwijde jaaromzet, afhankelijk van welk bedrag hoger is.

Praktijkvoorbeeld

Een HR-softwarebedrijf integreert emotieherkenning in hun sollicitatietool om "enthousiasme" van kandidaten te meten. Dit is expliciet verboden onder de AI Act. De toezichthouder legt een boete op van €8 miljoen (3% van hun €267M omzet), plus een verbod op het aanbieden van deze functionaliteit.

Categorie 2: Ernstige overtredingen (€15M / 3%)

Niet-naleving kernverplichtingen

Deze boetes gelden voor:

Hoog-risico AI providers die verzaken aan:

• Risicobeheer systeem (Art. 9)
• Data governance (Art. 10)
• Technische documentatie (Art. 11)
• Conformiteitsbeoordeling (Art. 43)
• EU database registratie (Art. 49)

GPAI-providers die verzaken aan:

• Technische documentatie (Art. 53)
• Copyright compliance (Art. 53)
• Transparantie downstream (Art. 53)
• Systeemrisico-verplichtingen (Art. 55)

Deployers die verzaken aan:

• Gebruikscontroles (Art. 26)
• Menselijk toezicht (Art. 26)
• Fundamentele rechten impact assessment (Art. 27)

Categorie 3: Overige overtredingen (€7,5M / 1,5%)

Informatieverplichtingen

Lagere boetes voor:

• Onjuiste of onvolledige informatie verstrekken aan autoriteiten
• Niet meewerken aan onderzoeken
• Niet-naleving van transparantieverplichtingen voor minimaal risico AI
• Administratieve overtredingen

Verzwarende en verzachtende factoren

Hogere boete bij:

• Opzet of grove nalatigheid
• Herhaling van overtredingen
• Weigerachtigheid om mee te werken
• Pogingen om overtreding te verbergen
• Significante schade aan betrokkenen

Lagere boete bij:

• Eerste overtreding
• Actieve medewerking aan onderzoek
• Vrijwillige melding van overtreding
• Snelle correctieve maatregelen
• MKB of startup status
• Beperkte financiële draagkracht

Template: Boeterisico assessment

## AI Act Boeterisico Assessment

**AI-systeem:** [Naam/beschrijving]

### Classificatie
- [ ] Verboden praktijk (€35M/7%)
- [ ] Hoog-risico systeem (€15M/3%)
- [ ] GPAI-model (€15M/3%)
- [ ] Overig (€7,5M/1,5%)

### Compliance status
| Verplichting | Status | Gap |
|--------------|--------|-----|
| [Verplichting 1] | ✅/❌/⚠️ | [Beschrijving] |
| [Verplichting 2] | ✅/❌/⚠️ | [Beschrijving] |

### Risicofactoren
- Omzet organisatie: €[X]
- Potentiële boete: €[X] (X% van omzet)
- Ernst van non-compliance: [Laag/Midden/Hoog]
- Impact op betrokkenen: [Laag/Midden/Hoog]

### Mitigatie prioriteiten
1. [Hoogste prioriteit actie]
2. [Tweede prioriteit]
3. [Derde prioriteit]

Handhavingsautoriteiten

EU-niveau

Nederland

Bevoegdheden toezichthouders

Toezichthouders kunnen:

1. Informatie opvragen

   • Documentatie inzien
   • Data en logs opvragen
   • Interviews houden

2. Onderzoek doen

   • Audits uitvoeren
   • Technische tests doen
   • Toegang tot systemen eisen

3. Maatregelen nemen

   • Waarschuwingen geven
   • Compliance orders opleggen
   • Boetes opleggen
   • Systemen van de markt halen

Tijdlijn handhaving

2 feb 2025    → Handhaving verboden praktijken start
2 aug 2025    → Handhaving GPAI-verplichtingen start
2 aug 2026    → Handhaving hoog-risico AI start
2 aug 2027    → Volledige handhaving alle bepalingen

Hoe sancties voorkomen

Stap 1: Inventariseer je AI-systemen

Breng in kaart welke AI-systemen je aanbiedt of gebruikt en classificeer ze:

• Verboden?
• Hoog-risico?
• GPAI?
• Minimaal risico?

Stap 2: Gap-analyse

Vergelijk je huidige praktijk met de AI Act vereisten:

• Welke verplichtingen gelden?
• Waar voldoe je al aan?
• Waar zitten de gaps?

Stap 3: Implementatieplan

Maak een plan om gaps te dichten:

• Prioriteer op basis van risico (hoogste boetes eerst)
• Wijs verantwoordelijkheden toe
• Stel deadlines voor de relevante faseringsdatums

Stap 4: Monitoring

Zet doorlopende compliance monitoring op:

• Periodieke audits
• Incident management
• Documentatie bijhouden
• Training medewerkers

Checklist boetepreventie

• AI-inventarisatie compleet
• Classificatie per systeem gedocumenteerd
• Geen verboden praktijken in portfolio
• Hoog-risico systemen voldoen aan Hoofdstuk III
• GPAI-modellen voldoen aan Hoofdstuk V
• Transparantieverplichtingen geïmplementeerd
• Incident response procedure opgezet
• Contactpersoon voor toezichthouder aangewezen
• Medewerkers getraind
• Documentatie actueel en toegankelijk

Bronnen

• AI Act Hoofdstuk XII - Sancties
• AI Act Artikel 99 - Boetes
• Rijksinspectie Digitale Infrastructuur

Changelog:

• 12 januari 2026 - Eerste publicatie