Artikel 99 — Sanktioner (EU:s AI-förordning)

Artikel 99 i förordning (EU) 2024/1689 — Sanktioner. Officiell text, praktisk tolkning, centrala skyldigheter och konsekvenser för efterlevnad.

Sammanfattning av den officiella texten

Artikel 99 i förordning (EU) 2024/1689 fastställer ramen för administrativa sanktioner vid överträdelser av EU:s AI-förordning. Den innehåller en trestegsstruktur för böter kalibrerade efter överträdelsens allvarlighetsgrad.

De allvarligaste överträdelserna — kränkningar av de förbjudna AI-metoder som anges i Article 5 — medför böter på upp till 35 miljoner euro eller 7 % av den totala globala årsomsättningen, beroende på vilket belopp som är högst. Överträdelser av andra skyldigheter som åläggs leverantörer, driftsättare, importörer och distributörer — inklusive de som avser AI-system med hög risk, transparensskyldigheter och GPAI-modeller — är föremål för böter på upp till 15 miljoner euro eller 3 % av den globala årsomsättningen. Att lämna felaktiga, ofullständiga eller vilseledande uppgifter till anmälda organ eller nationella behöriga myndigheter bestraffas med upp till 7,5 miljoner euro eller 1 % av den globala årsomsättningen.

För leverantörer av GPAI-modeller hänvisar artikel 99(3) till de bötesnivåer som gäller för skyldigheter enligt kapitel V (Articles 53–56), inklusive skyldigheter avseende systemrisk för leverantörer av GPAI-modeller med systemrisk. När den överträdande parten är ett SMF eller ett nystartadt företag tillämpas omsättningsprocentskaket när det ger ett lägre absolut belopp än taket för det fasta beloppet. Nationella behöriga myndigheter ansvarar för att ålägga och verkställa böter inom sin jurisdiktion, medan AI-byrån har verkställighetsbehörighet över leverantörer av GPAI-modeller på unionsnivå.

Vad detta innebär i praktiken

Artikel 99 är ryggraden för verkställighet av EU:s AI-förordning. Dess nivåstruktur formar direkt hur organisationer bör prioritera sina efterlevnadsprogram.

För leverantörer av AI-system med hög risk gäller nivån 3 %/15 miljoner euro vid brister som otillräckliga överensstämmelsesbedömningar, saknad teknisk dokumentation, icke-kompatibla kvalitetsledningssystem eller underlåtenhet att registrera system i EU-databasen enligt Article 71. En tillverkare av medicintekniska produkter som driftsätter ett AI-assisterat diagnostikverktyg utan att slutföra den erforderliga överensstämmelsesbedömningen enligt Annex VI exponeras exempelvis på denna nivå.

För varje operatör som driftsätter förbjudna AI-tillämpningar — såsom biometrisk realtidsidentifiering på offentliga platser utanför de snäva undantagen, social poängsättning av offentliga myndigheter eller subliminal manipulationsteknik — gäller nivån 7 %/35 miljoner euro. Dessa är förordningens absoluta förbud, och bötesnivån signalerar att ingen affärsmässig motivering kan kompensera en överträdelse.

För utvecklare och driftsättare av GPAI-modeller är böter på 3 %-nivån kopplade till brister kring teknisk dokumentation, transparens avseende upphovsrätt och — för modeller med systemrisk — skyldigheter gällande incidentrapportering och adversariell testning.

För alla operatörer utlöser det att vilseleda tillsynsmyndigheter under marknadskontrollutredningar 1 %-nivån. Detta är operationellt betydelsefullt: det innebär att intern dokumenthantering, granskningskedjor och samarbetsprotokoll med myndigheter måste vara robusta innan tillsynsmyndigheterna kommer på besök.

Proportionalitetsfaktorer — inklusive överträdelsens varaktighet, grad av samarbete och tidigare överträdelser — vägleder myndigheterna vid fastställandet av den faktiska boten inom tillämpligt tak.

Centrala skyldigheter

• Undvika förbjudna metoder (Article 5): Varje driftsättning eller utsläppande på marknaden av AI-system som tillämpar de metoder som anges i Article 5 — inklusive biometrisk fjärridentifiering i realtid i allmänt tillgängliga utrymmen (utanför angivna undantag), social poängsättning, subliminal manipulation och utnyttjande av sårbarheter — utsätter operatören för den högsta sanktionsnivån.
• Uppfylla leverantörsskyldigheter för AI-system med hög risk: Leverantörer måste upprätthålla överensstämmelsesbedömningar, teknisk dokumentation, kvalitetsledningssystem och övervakning efter utsläppande på marknaden. Brister på något av dessa områden är föremål för böter på mellannivå.
• Följa skyldigheter avseende GPAI-modeller (Chapter V): Leverantörer av AI-modeller för allmänna ändamål måste uppfylla skyldigheter avseende transparens, dokumentation och policy för upphovsrätt; leverantörer av GPAI-modeller med systemrisk möter ytterligare krav kring incidentrapportering, modellutvärderingar och cybersäkerhetsåtgärder.
• Lämna korrekta uppgifter till myndigheter: Alla operatörer måste samarbeta med nationella marknadskontrollmyndigheter och AI-byrån, och får inte lämna felaktiga eller vilseledande uppgifter under utredningar eller överensstämmelseförfaranden.
• Säkerställa SMF-proportionerlig efterlevnad: Även om SMF drar nytta av proportionalitetshänsyn vid bötesbestämningen är de inte undantagna från materiella skyldigheter — de måste fortfarande uppfylla tillämpliga krav och är föremål för verkställighet.
• Upprätthålla interna granskningskedjor: Med tanke på att böter kan moduleras av graden av samarbete och vidtagna korrigerande åtgärder bör organisationer upprätthålla bevis för efterlevnadsåtgärder, incidenthanteringsförfaranden och ett lojalt engagemang med tillsynsmyndigheter.

Förhållande till andra artiklar

Artikel 99 kan inte läsas isolerat — den är verkställighetsuttrycket för skyldigheter som definieras i hela förordningen.

De mest direkta kopplingarna är till Article 5 (förbjudna metoder, som utlöser den högsta sanktionsnivån) och Articles 8–15 (krav på AI-system med hög risk, den primära källan till mellannivåöverträdelser). Article 53–56 (GPAI-skyldigheter) bidrar till sanktionsstrukturen för leverantörer av grundmodeller. Article 71 (EU-databasen för AI-system med hög risk) är en registreringsskyldighet vars överträdelse fångas upp av mellannivån.

Article 100 är sysslingsbestämmelsen för unionens institutioner och organ, som tillämpar ett parallellt sanktionssystem administrerat av Europeiska datatillsynsmannen snarare än nationella myndigheter.

Article 98 (sanktioner vid anmälda organs bristande efterlevnad) och Article 101 (delegation av befogenhet avseende böter för GPAI-leverantörer) ligger omedelbart intill i sanktionskapitlet och bör läsas tillsammans med artikel 99 för en fullständig bild av förordningens verkställighetsarkitektur. Articles 74–79 (marknadskontroll och verkställighet) definierar det processuella ramverket inom vilket artikel 99-böter åläggs.

Tidsplan för efterlevnad

EU:s AI-förordning trädde i kraft den 2 augusti 2024 (tjugo dagar efter offentliggörandet i Europeiska unionens officiella tidning). Artikel 99 i sig blev tillämplig den 2 augusti 2025, efter den tolv månader långa övergångsperioden enligt artikel 113(2).

Den stegvisa tillämpningsplanen är ett kritiskt sammanhang för att förstå när exponeringen för sanktioner kopplas till olika skyldigheter:

• 2 februari 2025 — Förbudsbestämmelserna (Article 5) blev tillämpliga, vilket innebär att överträdelser av förbjudna AI-metoder sedan detta datum är föremål för bötesnivån 7 %/35 miljoner euro.
• 2 augusti 2025 — Allmänt tillämplighetsdatum för det mesta av förordningen, inklusive artikel 99 i sig, skyldigheter avseende GPAI-modeller (Chapter V) och styrningsramen. Bötesnivåerna 3 %/15 miljoner euro och 1 %/7,5 miljoner euro trädde i kraft från detta datum.
• 2 december 2026 — AI-system med hög risk som omfattas av Annex I (befintlig unionsharmoniseringslagstiftning) måste uppfylla de fullständiga kraven för hög risk, vilket gör leverantörsskyldigheter enligt Articles 8–15 verkställbara med bötesexponering.
• 2 augusti 2027 — AI-system med hög risk som förtecknas i Annex III och som redan befann sig på marknaden före den 2 augusti 2024 måste uppfylla kraven, vilket slutför den gradvisa infasningen för befintliga driftsättningar med hög risk.

Organisationer bör kartlägga sin AI-portfölj mot dessa datum för att fastställa nuvarande och framtida bötesexponering enligt artikel 99.