Artikel 99 — Sancties (EU AI-verordening)

Artikel 99 van Verordening (EU) 2024/1689 — Sancties. Officiële tekst, praktische interpretatie, kernverplichtingen en nalevingsimplicaties.

Samenvatting van de officiële tekst

Artikel 99 van Verordening (EU) 2024/1689 stelt het kader voor administratieve sancties vast bij overtredingen van de EU AI-verordening. Het bevat een driedelige structuur van boetes, afgestemd op de ernst van de overtreding.

De ernstigste overtredingen — schendingen van de verboden AI-praktijken vermeld in Article 5 — leiden tot boetes van maximaal €35 miljoen of 7% van de totale wereldwijde jaarlijkse omzet, naargelang welke hoger is. Overtredingen van andere verplichtingen opgelegd aan aanbieders, gebruiksverantwoordelijken, importeurs en distributeurs — waaronder verplichtingen met betrekking tot hoog-risico AI-systemen, transparantieverplichtingen en GPAI-modellen — zijn onderworpen aan boetes van maximaal €15 miljoen of 3% van de wereldwijde jaarlijkse omzet. Het verstrekken van onjuiste, onvolledige of misleidende informatie aan aangemelde instanties of nationale bevoegde autoriteiten wordt bestraft met maximaal €7,5 miljoen of 1% van de wereldwijde jaarlijkse omzet.

Voor aanbieders van GPAI-modellen verwijst Artikel 99(3) naar de boetedrempels die van toepassing zijn op verplichtingen op grond van Hoofdstuk V (Articles 53–56), inclusief verplichtingen inzake systeemrisico voor aanbieders van GPAI-modellen met systeemrisico. Wanneer de overtredende partij een kmo of startup is, geldt het omzetpercentageplafond wanneer dit een lager absoluut bedrag oplevert dan het plafond van het vaste bedrag. Nationale bevoegde autoriteiten zijn verantwoordelijk voor het opleggen en handhaven van boetes binnen hun rechtsgebied, terwijl het AI-bureau de handhavingsbevoegdheid heeft over aanbieders van GPAI-modellen op Unieniveau.

Wat dit in de praktijk betekent

Artikel 99 is de handhavingsruggegraat van de EU AI-verordening. De gelaagde structuur bepaalt direct hoe organisaties hun nalevingsprogramma's moeten prioriteren.

Voor aanbieders van hoog-risico AI-systemen geldt de laag van 3%/€15 miljoen bij tekortkomingen zoals ontoereikende conformiteitsbeoordelingen, ontbrekende technische documentatie, niet-conforme kwaliteitsbeheersystemen, of het verzuim om systemen te registreren in de EU-database op grond van Article 71. Een fabrikant van medische hulpmiddelen die een AI-ondersteund diagnostisch hulpmiddel inzet zonder de vereiste conformiteitsbeoordeling op grond van Annex VI te voltooien, staat bijvoorbeeld bloot aan aansprakelijkheid in deze laag.

Voor elke exploitant die verboden AI-toepassingen inzet — zoals real-time biometrische identificatie in openbare ruimten buiten de beperkte uitzonderingen, sociale scoring door overheidsinstanties, of subliminale manipulatietechnieken — geldt de laag van 7%/€35 miljoen. Dit zijn de harde verboden van de verordening, en het niveau van de sanctie geeft aan dat geen enkele zakelijke rechtvaardiging een overtreding kan compenseren.

Voor ontwikkelaars en gebruiksverantwoordelijken van GPAI-modellen zijn boetes in de laag van 3% van toepassing bij tekortkomingen rond technische documentatie, transparantie inzake auteursrechten en — voor modellen met systeemrisico — verplichtingen inzake incidentmelding en adversarial testing.

Voor alle exploitanten triggert het misleiden van toezichthouders tijdens markttoezichtonderzoeken de laag van 1%. Dit is operationeel significant: het betekent dat intern documentbeheer, auditsporen en samenwerkingsprotocollen met autoriteiten robuust moeten zijn voordat toezichthouders aankloppen.

Evenredigheidsfactoren — waaronder de duur van de overtreding, de mate van samenwerking en eerdere overtredingen — leiden autoriteiten bij het bepalen van de feitelijke boete binnen het toepasselijke plafond.

Kernverplichtingen

• Verboden praktijken vermijden (Article 5): Elke inzet of het in de handel brengen van AI-systemen die de in Article 5 vermelde praktijken toepassen — inclusief real-time identificatie op afstand via biometrie in voor het publiek toegankelijke ruimten (buiten de vermelde uitzonderingen), sociale scoring, subliminale manipulatie en exploitatie van kwetsbaarheden — stelt de exploitant bloot aan de hoogste sanctielaag.
• Verplichtingen van aanbieders voor hoog-risico AI-systemen nakomen: Aanbieders moeten conformiteitsbeoordelingen, technische documentatie, kwaliteitsbeheersystemen en post-market monitoring bijhouden. Tekortkomingen op een van deze gebieden vallen onder de mid-level boete.
• Voldoen aan GPAI-modelverplichtingen (Chapter V): Aanbieders van AI-modellen voor algemene doeleinden moeten voldoen aan transparantie-, documentatie- en auteursrechtenbeleidverplichtingen; aanbieders van GPAI-modellen met systeemrisico worden geconfronteerd met aanvullende vereisten rond incidentmelding, modelevaluaties en cyberbeveiligingsmaatregelen.
• Nauwkeurige informatie verstrekken aan autoriteiten: Alle exploitanten moeten samenwerken met nationale markttoezichtautoriteiten en het AI-bureau, en mogen geen onjuiste of misleidende informatie verstrekken tijdens onderzoeken of conformiteitsprocedures.
• Zorg voor kmo-evenredige naleving: Hoewel kmo's profiteren van evenredigheidsbeschouwing bij het vaststellen van boetes, zijn zij niet vrijgesteld van inhoudelijke verplichtingen — zij moeten nog steeds voldoen aan toepasselijke vereisten en zijn onderworpen aan handhaving.
• Interne auditsporen bijhouden: Gezien het feit dat boetes kunnen worden gematigd op basis van de mate van samenwerking en genomen corrigerende maatregelen, moeten organisaties bewijs bijhouden van nalevingsstappen, procedures voor incidentrespons en te goeder trouw uitgevoerde betrokkenheid bij toezichthouders.

Relatie tot andere artikelen

Artikel 99 kan niet op zichzelf worden gelezen — het is de handhavingsuitdrukking van verplichtingen die in de gehele verordening zijn gedefinieerd.

De meest directe koppelingen zijn met Article 5 (verboden praktijken, die de hoogste sanctielaag triggeren) en Articles 8–15 (vereisten voor hoog-risico AI-systemen, de primaire bron van mid-level overtredingen). Article 53–56 (GPAI-verplichtingen) dragen bij aan de sanctiestructuur voor aanbieders van basismodellen. Article 71 (EU-database voor hoog-risico AI-systemen) is een registratieverplichting waarvan de schending onder de mid-level laag valt.

Article 100 is de zustersbepaling voor instellingen en organen van de Unie, die een parallel sanctieregime toepast dat wordt beheerd door de Europese Toezichthouder voor gegevensbescherming in plaats van nationale autoriteiten.

Article 98 (sancties bij niet-naleving door aangemelde instanties) en Article 101 (delegatie van bevoegdheid met betrekking tot boetes voor GPAI-aanbieders) staan direct naast elkaar in het sanctiehoofdstuk en moeten samen met Artikel 99 worden gelezen voor een volledig beeld van de handhavingsarchitectuur van de verordening. Articles 74–79 (markttoezicht en handhaving) definiëren het procedurele kader waarbinnen Artikel 99-boetes worden opgelegd.

Nalevingstijdlijn

De EU AI-verordening trad in werking op 2 augustus 2024 (twintig dagen na publicatie in het Publicatieblad). Artikel 99 zelf werd van toepassing op 2 augustus 2025, na de twaalfmaandelijkse overgangsperiode op grond van Artikel 113(2).

Het gefaseerde toepassingsschema is essentiële context voor het begrijpen van wanneer de blootstelling aan sancties van toepassing wordt op verschillende verplichtingen:

• 2 februari 2025 — Verbodsbepalingen (Article 5) werden van toepassing, wat betekent dat overtredingen van verboden AI-praktijken sindsdien onderworpen zijn aan de laag van 7%/€35 miljoen.
• 2 augustus 2025 — Algemene toepassingsdatum voor de meeste bepalingen van de verordening, inclusief Artikel 99 zelf, GPAI-modelverplichtingen (Chapter V) en het governancekader. De boetelagen van 3%/€15 miljoen en 1%/€7,5 miljoen werden vanaf deze datum operationeel.
• 2 december 2026 — Hoog-risico AI-systemen gedekt door Annex I (bestaande harmonisatiewetgeving van de Unie) moeten voldoen aan de volledige hoog-risicovereisten, waardoor verplichtingen van aanbieders op grond van Articles 8–15 handhaafbaar worden met blootstelling aan boetes.
• 2 augustus 2027 — Hoog-risico AI-systemen vermeld in Annex III die al voor 2 augustus 2024 op de markt waren, moeten voldoen, waarmee de gefaseerde invoering voor bestaande hoog-risico-inzetten wordt voltooid.

Organisaties dienen hun AI-portfolio te koppelen aan deze data om hun huidige en toekomstige blootstelling aan sancties op grond van Artikel 99 te bepalen.