Artikel 99 — Sanktioner (EU AI-forordningen)

Artikel 99 i forordning (EU) 2024/1689 — Sanktioner. Officiel tekst, praktisk fortolkning, centrale forpligtelser og implikationer for overholdelse.

Sammenfatning af den officielle tekst

Artikel 99 i forordning (EU) 2024/1689 fastlægger den administrative bøderamme for overtrædelser af EU AI-forordningen. Den fastsætter en tredelt struktur af bøder, der er kalibreret til alvorligheden af overtrædelsen.

De mest alvorlige overtrædelser — overtrædelser af de forbudte AI-praksisser opregnet i artikel 5 — kan medføre bøder på op til 35 millioner euro eller 7% af den samlede verdensomspændende årlige omsætning, alt efter hvad der er højest. Overtrædelser af andre forpligtelser pålagt udbydere, brugere, importører og distributører — herunder dem vedrørende AI-systemer med høj risiko, gennemsigtighedsforpligtelser og GPAI-modeller — er underlagt bøder på op til 15 millioner euro eller 3% af den verdensomspændende årlige omsætning. At afgive ukorrekte, ufuldstændige eller vildledende oplysninger til bemyndigede organer eller nationale kompetente myndigheder straffes med op til 7,5 millioner euro eller 1% af den verdensomspændende årlige omsætning.

For udbydere af GPAI-modeller krydshenviser artikel 99, stk. 3, til de bødetærskler, der gælder for forpligtelser i henhold til kapitel V (artiklerne 53–56), herunder systemiske risikoforpligtelser for udbydere af GPAI-modeller med systemisk risiko. Når den overtrædende part er en SMV eller nystartede virksomhed, finder procentdelen af omsætningsloftet anvendelse, når det giver et lavere absolut beløb end det faste beløbsloft. Nationale kompetente myndigheder er ansvarlige for at pålægge og håndhæve bøder inden for deres jurisdiktion, mens AI-kontoret har håndhævelseskompetence over udbydere af GPAI-modeller på EU-niveau.

Hvad dette betyder i praksis

Artikel 99 er håndhævelsesryggraden i EU AI-forordningen. Dens lagdelte struktur former direkte, hvordan organisationer bør prioritere deres compliance-programmer.

For udbydere af AI-systemer med høj risiko gælder 3%/15 millioner euro-niveauet for fejl såsom utilstrækkelige overensstemmelsesvurderinger, manglende teknisk dokumentation, ikke-compliant kvalitetsstyringssystemer eller manglende registrering af systemer i EU-databasen i henhold til artikel 71. En producent af medicinsk udstyr, der anvender et AI-assisteret diagnostisk værktøj uden at gennemføre den krævede overensstemmelsesvurdering i henhold til bilag VI, er for eksempel udsat for bødeeksponering i dette niveau.

For enhver operatør, der anvender forbudte AI-applikationer — såsom realtids biometrisk identifikation på offentlige steder uden for de snævre undtagelser, social scoring af offentlige myndigheder eller subliminale manipulationsteknikker — gælder 7%/35 millioner euro-niveauet. Dette er forordningens absolutte forbud, og bødeniveauet signalerer, at ingen forretningsmæssig begrundelse kan opveje en overtrædelse.

For udviklere og brugere af GPAI-modeller knytter bøder under 3%-niveauet sig til fejl vedrørende teknisk dokumentation, gennemsigtighed om ophavsret, og — for modeller med systemisk risiko — forpligtelser til rapportering af hændelser og adversariel testning.

For alle operatører udløser vildledning af regulatorer under markedsovervågningsundersøgelser 1%-niveauet. Dette er operationelt vigtigt: det betyder, at intern dokumentstyring, revisionssspor og samarbejdsprotokoller med myndigheder skal være robuste, inden regulatorer kommer på besøg.

Proportionalitetsfaktorer — herunder varighed af overtrædelse, grad af samarbejde og tidligere overtrædelser — guider myndigheder i fastsættelsen af den faktiske bøde inden for det gældende loft.

Centrale forpligtelser

• Undgå forbudte praksisser (artikel 5): Enhver anvendelse eller markedsføring af AI-systemer, der anvender praksisser opført i artikel 5 — herunder realtids fjernbiometrisk identifikation på offentligt tilgængelige steder (uden for opførte undtagelser), social scoring, subliminal manipulation og udnyttelse af sårbarheder — udsætter operatøren for det højeste bødeniveau.
• Opfyld udbyderforpligtelser for AI-systemer med høj risiko: Udbydere skal opretholde overensstemmelsesvurderinger, teknisk dokumentation, kvalitetsstyringssystemer og overvågning efter markedsføring. Fejl på nogen af disse områder er underlagt det mellemste bødeniveau.
• Overhold forpligtelser for GPAI-modeller (kapitel V): Udbydere af AI-modeller til generelle formål skal opfylde forpligtelser om gennemsigtighed, dokumentation og ophavsretspolitik; udbydere af GPAI-modeller med systemisk risiko står over for yderligere krav om rapportering af hændelser, modelevalueringer og cybersikkerhedsforanstaltninger.
• Afgiv nøjagtige oplysninger til myndigheder: Alle operatører skal samarbejde med nationale markedsovervågningsmyndigheder og AI-kontoret og må ikke afgive ukorrekte eller vildledende oplysninger under undersøgelser eller overensstemmelsesvurderingsprocedurer.
• Sikre SMV-proportionel compliance: Selv om SMV'er nyder godt af proportionalitetshensyn ved fastsættelse af bøder, er de ikke fritaget for substantielle forpligtelser — de skal stadig overholde gældende krav og er underlagt håndhævelse.
• Opretholde interne revisionssspor: Da bøder kan justeres efter grad af samarbejde og iværksatte korrigerende foranstaltninger, bør organisationer opretholde dokumentation for compliance-skridt, procedurer for hændelsesrespons og samarbejde i god tro med regulatorer.

Forbindelse til andre artikler

Artikel 99 kan ikke læses isoleret — den er håndhævelsesudtrykket for forpligtelser defineret i hele forordningen.

De mest direkte forbindelser er til artikel 5 (forbudte praksisser, der udløser det øverste bødeniveau) og artiklerne 8–15 (krav til AI-systemer med høj risiko, den primære kilde til overtrædelser i mellemniveauet). Artiklerne 53–56 (GPAI-forpligtelser) bidrager til bødestrukturen for udbydere af fundamentmodeller. Artikel 71 (EU-database for AI-systemer med høj risiko) er en registreringsforpligtelse, hvis overtrædelse fanges af mellemniveauet.

Artikel 100 er søsterbestemmelsen for EU-institutioner og -organer og anvender en parallel bødeordning administreret af Den Europæiske Tilsynsførende for Databeskyttelse snarere end nationale myndigheder.

Artikel 98 (bøder for manglende overholdelse af bemyndigede organer) og artikel 101 (delegation af beføjelser vedrørende bøder til GPAI-udbydere) er placeret umiddelbart ved siden af i bødekapitlet og bør læses sammen med artikel 99 for et komplet billede af forordningens håndhævelsesarkitektur. Artiklerne 74–79 (markedsovervågning og håndhævelse) definerer den proceduremæssige ramme, inden for hvilken bøder i henhold til artikel 99 pålægges.

Tidsplan for overholdelse

EU AI-forordningen trådte i kraft den 2. august 2024 (tyve dage efter offentliggørelse i Den Europæiske Unions Tidende). Artikel 99 selv trådte i anvendelse den 2. august 2025 efter den tolvmånedersperiode for overgang i henhold til artikel 113, stk. 2.

Den fasede anvendelsesplan er afgørende kontekst for at forstå, hvornår bødeeksponering knytter sig til forskellige forpligtelser:

• 2. februar 2025 — Forbudsbestemmelser (artikel 5) trådte i anvendelse, hvilket betyder, at overtrædelser af forbudte AI-praksisser har været underlagt 7%/35 millioner euro-bødeniveauet siden denne dato.
• 2. august 2025 — Generel anvendelsesdato for de fleste af forordningens bestemmelser, herunder artikel 99 selv, forpligtelser for GPAI-modeller (kapitel V) og styringsrammen. 3%/15 millioner euro- og 1%/7,5 millioner euro-bødeniveauerne trådte i drift fra denne dato.
• 2. december 2026 — AI-systemer med høj risiko, der er omfattet af bilag I (eksisterende EU-harmoniseringslovgivning), skal overholde de fulde krav for høj risiko, hvilket gør udbyderforpligtelserne i henhold til artiklerne 8–15 håndhævelige med bødeeksponering.
• 2. august 2027 — AI-systemer med høj risiko opført i bilag III, der allerede var på markedet inden den 2. august 2024, skal overholde forordningen, hvilket fuldfører indfasningen for eksisterende højtrisiko-implementeringer.

Organisationer bør kortlægge deres AI-portefølje i forhold til disse datoer for at fastslå den aktuelle og fremadskuende bødeeksponering i henhold til artikel 99.