AI Act boetes: hoeveel kost non-compliance écht?

De boetes onder de EU AI Act zijn de hoogste in EU-digitalewetgeving ooit. Toch onderschatten veel Nederlandse organisaties hun exposure — vaak omdat ze de structuur van Artikel 99 niet doorgronden, of omdat ze denken dat handhaving nog ver weg is. Dit artikel rekent voor wat een AI Act-overtreding daadwerkelijk kost en hoe u uw eigen risico in 2 minuten kunt inschatten.

De drie boetecategorieën van Artikel 99

Verordening (EU) 2024/1689 onderscheidt drie boetecategorieën, elk met een vast plafond én een percentage van de wereldwijde jaaromzet. De hoogste van de twee is van toepassing — en dat is bij grote organisaties bijna altijd het percentage. Het plafond beschermt vooral het MKB.

Voor MKB en startups (definitie: minder dan 250 medewerkers en omzet ≤ € 50 mln) geldt op grond van Artikel 99 lid 6 dat de laagste van de twee bedragen geldt — een belangrijke verzachting, maar geen vrijbrief. Toezichthouders mogen daarnaast cumulatief boetes opleggen per overtreding én aanvullende maatregelen treffen, zoals het verbieden van het AI-systeem op de Europese markt.

Wat kost een AI Act-overtreding écht? Vijf gevalsstudies

Onderstaande cases zijn fictief, maar gebaseerd op realistische Nederlandse profielen en de boete-maxima uit Artikel 99. Ze laten zien hoe snel exposure oploopt — en waarom proactieve compliance vrijwel altijd goedkoper is dan handhaving achteraf.

Case 1: HR-tech (recruitment-AI)

Een Nederlandse HR-techscale-up met € 80 mln wereldwijde omzet zet een CV-screeningmodel in dat onder Annex III, punt 4 valt (werkgelegenheid). Bij een audit blijkt: geen risicomanagementsysteem (art. 9), geen bias-testing op de trainingsdata (art. 10) en onvoldoende documentatie van menselijk toezicht (art. 14).

Toepassing: 3 % van € 80 mln = € 2,4 mln. Plus een verplichting om het systeem terug te trekken tot herstel. Reputatieschade en verlies van enterprise-klanten zijn niet ingerekend.

Case 2: Bank — credit scoring

Een middelgrote Nederlandse bank (€ 1,2 mld wereldwijde rente-inkomsten) gebruikt een AI-model voor consumentenkrediet (Annex III, punt 5b). Bij een DNB-onderzoek wordt vastgesteld dat de bank het model niet heeft geregistreerd in de EU-database (art. 49) en dat de transparantie-eisen (art. 13) niet zijn vervuld.

Toepassing: 3 % van € 1,2 mld = € 36 mln. Hoger dan het plafond van € 15 mln, dus het percentage is leidend. Daar bovenop loopt een AVG-onderzoek voor onrechtmatige verwerking — boetes kunnen cumulatief worden opgelegd.

Case 3: Zorginstelling — diagnostische AI

Een academisch ziekenhuis met € 600 mln omzet implementeert een radiologie-AI van een externe leverancier. Het systeem valt onder Annex I (medisch hulpmiddel) en is dus hoog-risico. De CE-markering ontbreekt en de logging-verplichting (art. 12) is niet ingericht.

Toepassing: 3 % van € 600 mln = € 18 mln. Het ziekenhuis is verantwoordelijk als deployer én als gebruiker — de leverancier (provider) krijgt een eigen boete tot € 15 mln. Aanvullend: risico op aansprakelijkheid bij patiëntschade.

Case 4: Onderwijsinstelling — proctoring

Een hogeschool gebruikt AI-proctoring met emotieherkenning tijdens tentamens. Sinds 2 februari 2025 is emotieherkenning op onderwijsinstellingen verboden (Art. 5 lid 1f). De Autoriteit Persoonsgegevens stelt vast dat het verbod is overtreden.

Toepassing: maximaal € 35 mln of 7 % omzet. Bij een hogeschool met € 180 mln rijksbijdrage komt 7 % uit op € 12,6 mln. Het plafond ligt hoger, dus het percentage is leidend. Reputatieverlies en bestuurlijke gevolgen voor het College van Bestuur komen daar bovenop.

Case 5: E-commerce MKB — chatbot

Een Nederlandse e-commercepartij (€ 18 mln omzet, 60 medewerkers) zet een AI-chatbot in zonder gebruikers te informeren dat zij met AI praten (art. 50). De overtreding valt onder beperkt-risico transparantie en wordt door het ACM gemeld.

Toepassing: 3 % van € 18 mln = € 540.000. Maar onder de MKB-clausule (art. 99 lid 6) geldt het laagste bedrag, dus € 540.000 in plaats van € 15 mln. Nog steeds genoeg om de jaarwinst te wissen.

Concrete cijfers per sector

Onderstaande tabel toont indicatieve maximale exposure (3 % van wereldwijde jaaromzet, gangbaar voor hoog-risico AI) voor enkele Nederlandse sectoren. Het exacte bedrag hangt af van de overtreding, recidive en verzachtende omstandigheden.

Voor verboden praktijken (lid 3) liggen alle bedragen ruim 2× hoger: 7 % in plaats van 3 %, met een plafond van € 35 mln. Voor een beursgenoteerde bank zou dat een exposure van € 700 mln betekenen — per overtreding.

Bereken uw eigen exposure

Wilt u in twee minuten weten waar uw organisatie staat? Onze AI Act Boete Calculator rekent uw indicatieve maximumboete door op basis van branche, omzet en type overtreding. Het resultaat is geen juridisch advies, maar geeft bestuurders en compliance officers een snelle "wake-up call" voor budgetdiscussies.

Wanneer kunnen boetes worden opgelegd?

De sanctiebepalingen van Artikel 99 zijn sinds 2 augustus 2025 van toepassing. Maar niet alle artikelen waarop ze gebaseerd zijn, zijn al in werking. Een overzicht van de relevante data — voor een volledige roadmap zie de AI Act Tijdlijn 2025-2027:

• 2 februari 2025: Verbod op de praktijken uit Artikel 5 — boetes tot € 35 mln of 7 %.
• 2 augustus 2025: Sanctie-regels van toepassing. Verplichtingen voor GPAI-aanbieders.
• 2 augustus 2026: Volledige handhaving voor hoog-risico AI onder Annex III — boetes tot € 15 mln of 3 %.
• 2 augustus 2027: Hoog-risico AI in producten (Annex I, zoals medische hulpmiddelen).

Wie int de boete en hoe verloopt handhaving?

In Nederland zijn meerdere toezichthouders aangewezen. De Autoriteit Persoonsgegevens (AP) coördineert via de directie Coördinatie Algoritmes (DCA), met sectorale toezichthouders zoals DNB (financieel), AFM (markt), IGJ (zorg), ACM (consumenten) en de Inspectie Justitie en Veiligheid (rechtshandhaving). Op EU-niveau ondersteunt het AI Office (DG CNECT) de handhaving voor GPAI-modellen.

Toezichthouders kunnen handhavingsacties starten op basis van klachten, eigen onderzoek, marktsignalen of incidentmeldingen (verplicht onder art. 73 voor ernstige incidenten met hoog-risico AI). Bij vermoeden van overtreding hebben zij toegang tot technische documentatie, broncode, trainingsdata en logs (art. 74).

Wat bepaalt de hoogte van de boete?

Artikel 99 lid 7 noemt expliciet de factoren die toezichthouders moeten meewegen:

• • Aard, ernst en duur van de overtreding
• • Aantal getroffen personen en hoogte van de schade
• • Of de overtreding opzettelijk of nalatig was
• • Mate van samenwerking met de toezichthouder
• • Eerdere overtredingen (recidive)
• • Mate waarin technische en organisatorische maatregelen zijn getroffen (compliance-bewijs verlaagt de boete substantieel)

Dit laatste punt is cruciaal: organisaties die kunnen aantonen dat zij een AI-governance framework hebben opgezet, een AI-register bijhouden en periodieke interne audits uitvoeren, kunnen rekenen op significante mitigatie. In AVG-zaken zien we kortingen tot 50–70 % bij aantoonbare compliance-inspanning.

De economie van compliance: cost of non-compliance

De directe boete is slechts de top van de ijsberg. De totale "cost of non-compliance" omvat:

Vergelijk dit met de typische kosten van proactieve compliance: een complete AI-audit en governance-implementatie kost voor een middelgrote organisatie doorgaans 2–6 % van de potentiële maximale boete. De business case is daarmee zelden ingewikkeld.

Hoe verkleint u uw exposure?

Vier concrete stappen die u dit kwartaal kunt zetten:

1. Inventariseer alle AI-systemen. Stel een AI-register op met provider, deployer-rol, data, output en gebruikscontext per systeem.
2. Classificeer risico's. Bepaal per systeem of het verboden, hoog-risico, beperkt of minimaal risico is — gebruik onze Risk Assessment Tool.
3. Voer een gap-analyse uit. Toets per hoog-risico systeem tegen art. 9–15 en bepaal welke maatregelen ontbreken. Een onafhankelijke AI-audit versnelt dit proces.
4. Bouw een AI-governance framework. Beleid, rollen, documentatie en periodieke audits. Bewijs van governance verlaagt boetes substantieel én voorkomt incidenten.

Conclusie

De boetes onder de EU AI Act zijn niet symbolisch. Voor middelgrote Nederlandse organisaties praten we al snel over miljoenen euro's per overtreding, en voor multinationals over honderden miljoenen of meer. Tegelijk is de wet zo gestructureerd dat aantoonbare compliance-inspanning substantiële mitigatie oplevert — wat proactieve audits en governance de facto tot een verzekeringspolis maakt.

De grootste fout die organisaties nu maken is wachten op handhaving. Toezichthouders bouwen sinds Q3 2025 actief capaciteit op, en de eerste handhavingszaken in Europa worden in 2026 verwacht. Wie dan nog moet beginnen met inventariseren, loopt achter de feiten aan.