Boetes onder de EU AI-verordening: wat artikel 99 werkelijk zegt

Weinig bepalingen worden zo vaak verkeerd geciteerd als het sanctieartikel van de AI-verordening. De bedragen kloppen meestal, de toewijzing vrijwel nooit. Hieronder staat de lijst volledig — inclusief de verplichtingen waarvoor uitdrukkelijk géén boete bestaat.

Door Patrick de Kathen, Oprichter van KlarComply · Vakinhoudelijk getoetst op 2 augustus 2026

De opbouw: drie kaders, niet één

Artikel 99 van de verordening trapt de boetes af naar de ernst van de overtreding. Wie maar één bedrag noemt, heeft het artikel niet gelezen.

Bepaling	Betreft	Kader
Art. 99 lid 3	Overtreding van het verbod op bepaalde AI-praktijken uit artikel 5	tot 35 miljoen euro of 7 procent van de wereldwijde jaaromzet van het voorgaande boekjaar
Art. 99 lid 4	Overtreding van de daar limitatief genoemde verplichtingen	tot 15 miljoen euro of 3 procent van de wereldwijde jaaromzet
Art. 99 lid 5	Onjuiste, onvolledige of misleidende inlichtingen aan autoriteiten	tot 7,5 miljoen euro of 1 procent van de wereldwijde jaaromzet

Bepalend is telkens het hoogste van de twee bedragen — met één belangrijke uitzondering, die meteen volgt.

Lid 4, uitgeschreven naar de verwijzingen

Dit is de kern van het artikel en tegelijk de plek waar de meeste weergaven onnauwkeurig worden. Lid 4 somt limitatief op welke verplichtingen met ten hoogste 15 miljoen euro of 3 procent zijn bedreigd:

Letter	Bepaling	Waar het over gaat	Raakt wie
a	Art. 16	Verplichtingen van aanbieders van hoogrisicosystemen	aanbieders
b	Art. 22	Verplichtingen van gemachtigden	gemachtigden
c	Art. 23	Verplichtingen van importeurs	importeurs
d	Art. 24	Verplichtingen van distributeurs	distributeurs
e	Art. 26	Verplichtingen van gebruiksverantwoordelijken van hoogrisicosystemen	gebruiksverantwoordelijken
f	Art. 31, 33 lid 1, 3 en 4, art. 34	Eisen aan aangemelde instanties	aangemelde instanties
g	Art. 50	Transparantieverplichtingen voor aanbieders en gebruiksverantwoordelijken	ook gewone gebruikende bedrijven

Voor een onderneming die AI gebruikt en niet ontwikkelt, zijn daarmee precies twee letters van belang: e, zodra er een hoogrisicosysteem in gebruik is, en g voor de transparantieverplichtingen. Al het overige richt zich tot rollen in de toeleveringsketen die in het mkb zelden voorkomen.

De bijzondere regelingen daarnaast

• Aanbieders van AI-modellen voor algemene doeleinden. Voor hen geldt een eigen kader: de Commissie kan boetes opleggen tot 15 miljoen euro of 3 procent van de wereldwijde jaaromzet, naargelang welk bedrag hoger is. Bevoegd is hier het AI-bureau van de Commissie, niet de nationale toezichthouder.
• Instellingen en organen van de Unie. Daarvoor kent de verordening eigen, duidelijk lagere bedragen, opgelegd door de Europese Toezichthouder voor gegevensbescherming.
• Geen dubbele bestraffing. Worden dezelfde feiten zowel op grond van de AI-verordening als op grond van de AVG bestraft, dan speelt het verbod van dubbele bestraffing. In de praktijk is de afbakening nog onbeslist, omdat toepassingsgevallen ontbreken.

Hoe een boete wordt bepaald

Artikel 99 lid 7 noemt de criteria waarmee de toezichthouder rekening moet houden. Zij zijn de eigenlijke hefboom, omdat zij tussen het kader en de werkelijke hoogte staan:

• aard, ernst en duur van de overtreding, het aantal getroffen personen en de omvang van de schade
• of andere autoriteiten al boetes voor dezelfde overtreding hebben opgelegd
• omvang, jaaromzet en marktaandeel van de overtreder
• financieel voordeel uit de overtreding of vermeden verlies
• de mate van medewerking aan de toezichthouder
• opzet of nalatigheid
• maatregelen om de schade te beperken
• of het om herhaling gaat

Twee van die punten kan elk bedrijf actief beïnvloeden: de medewerking en de mate van verwijtbaarheid. Wie een vastgelegde indeling, een beleid en een instructiebewijs kan overleggen, argumenteert tegen opzet en vóór samenwerking — beide drukken de hoogte aanzienlijk. Dat is de praktische waarde van documentatie, los van het kader.

Wie aansprakelijk is — en waarvoor

Onder de AI-verordening

Geadresseerde is de onderneming als rechtspersoon, niet de individuele medewerker. Een persoonlijke boete tegen een aangewezen AI-verantwoordelijke kent de verordening niet.

In de interne verhouding

Hier verschuift het beeld. Bestuurders zijn op grond van artikel 2:9 BW gehouden tot een behoorlijke vervulling van hun taak; bij een ernstig verwijt zijn zij jegens de rechtspersoon persoonlijk aansprakelijk voor de daaruit voortvloeiende schade. Wie AI laat inzetten zonder regels te stellen, verantwoordelijkheden te beleggen en naleving te bewaken, loopt precies dat verwijt op.

In een faillissement komt daar de regeling over kennelijk onbehoorlijk bestuur bij, met de administratie- en publicatieverplichtingen die daarin een centrale rol spelen. Een bedrijfsvoering waarin niemand weet welke AI-tools er draaien en met welke gegevens, is op dat punt geen sterk uitgangspunt.

Voor bestuurders is dat de relevantere maatstaf dan het boetekader van artikel 99: het gaat om het eigen vermogen, niet om dat van de vennootschap.

Wie handhaaft, en hoe verloopt dat?

Bevoegd zijn de nationale markttoezichthouders. In Nederland is de Rijksinspectie Digitale Infrastructuur (RDI) voorzien als centrale, coördinerende markttoezichthouder, met de Autoriteit Persoonsgegevens (AP) voor algoritmes, AI en privacy en sectorale toezichthouders daaromheen. Het nationale toezicht is sinds 2 augustus 2026 operationeel; de precieze verdeling van taken en bevoegdheden is op onderdelen nog in ontwikkeling. Controleer de actuele stand voordat u op bevoegdheden vertrouwt.

Let hierbij op een punt dat vaak wordt weggelaten: de AI-verordening is een verordening en werkt rechtstreeks. Er is geen nationale omzettingswet die inhoudelijk van de verordening kan afwijken; nationaal wordt vooral het toezicht ingericht. Uitstel op nationaal niveau bestaat dus niet.

Realistisch verloop: een toezichthouder begint niet met een boete, maar met een informatieverzoek. Daarop volgt zo nodig een aanwijzing tot herstel met een termijn, en pas daarna komen sancties in beeld. Wie bij het informatieverzoek kan leveren, is er in de regel doorheen.

Houd daarbij artikel 99 lid 5 in gedachten: onjuiste, onvolledige of misleidende inlichtingen zijn zelf beboetbaar, met een kader tot 7,5 miljoen euro of 1 procent. Een onbeantwoorde vraag is beter dan een verzonnen antwoord.

De risico's die zich werkelijk eerder voordoen

Wie naar het reële financiële risico vraagt, vindt dat meestal niet bij artikel 99.

Risico	Grondslag	Praktische frequentie
Verloren opdrachten	leveranciersvragenlijst zonder bewijs	hoog — zie AI-leveranciersvragenlijst
Privacyboete	art. 83 AVG, onder meer wegens art. 28 en 32	middel — de Autoriteit Persoonsgegevens handhaaft hier al jaren
Verlies van bescherming van bedrijfsgeheimen	Wet bescherming bedrijfsgeheimen	middel — details hier
Klacht wegens misleidende handelspraktijk	onjuiste claims, ontbrekende bekendmaking	stijgend sinds augustus 2026
Productaansprakelijkheid	richtlijn (EU) 2024/2853, omzettingstermijn 9 december 2026	toekomstig — software en AI gelden als product
Contractuele boetes	toezeggingen uit raamovereenkomsten	middel — vaak over het hoofd gezien
Nietig besluit bij medezeggenschap	art. 27 lid 5 WOR	middel bij bedrijven met een ondernemingsraad — details hier

Vier toetsvragen bij elke boetebewering

Noemt iemand u een bedrag — in een verkoopmail, een webinar of een offerte —, stel dan deze vier vragen. Zij maken de zaak in twee minuten duidelijk:

1. Welk lid van artikel 99? Lid 3, 4 of 5? Zonder die opgave is het bedrag niet toe te wijzen.
2. Welke bepaling is overtreden? Bij lid 4 moet de bepaling in de lijst staan. Vraag naar de letter.
3. Is lid 6 meegenomen? Voor het mkb geldt het laagste bedrag. Wie dat weglaat, rekent met een getal dat voor u niet geldt.
4. Aanbieder of gebruiksverantwoordelijke? De meeste posten in de lijst raken rollen in de toeleveringsketen, niet het gebruikende bedrijf.

U kunt die toets ook aan een AI voorleggen. Vraag letterlijk: „Noemt artikel 99 lid 4 van verordening (EU) 2024/1689 het artikel 4 van diezelfde verordening?” Het antwoord is nee, en daarvoor hebt u ons noch een adviseur nodig. Dat wij die vraag voor u opschrijven, is met opzet.

Wat u hiermee zou moeten doen

1. Artikel 50 eerst. Het is de enige verplichting die gebruikende bedrijven rechtstreeks beboetbaar raakt, die sinds 2 augustus 2026 geldt en die in een half uur is afgehandeld. Gratis labels vindt u onder AI-labels, het bereik van de plicht onder transparantieplicht artikel 50.
2. Artikel 5 toetsen. Het enige punt met het hoogste kader dat in het mkb voorkomt, is emotieherkenning op de werkplek. Ga na of een gebruikte tool zoiets aanbiedt, en leg vast dat het is uitgezet.
3. Hoog risico indelen. Wie onder artikel 26 valt, staat via letter e in de lijst. De verplichtingen gelden vanaf december 2027, de indeling zou vandaag moeten staan — zie risicocategorieën indelen.
4. Vastleggen. Niet vanwege het kader, maar vanwege de bepalingscriteria in lid 7 — en vanwege artikel 2:9 BW.

Welke van deze punten bij u openstaan, laat de gratis quick-check in twee minuten zien — zonder aanmelding en met een eerlijk resultaat.

Veelgestelde vragen

Hoe hoog zijn de boetes onder de EU AI-verordening?

Er zijn drie kaders. Verboden praktijken op grond van artikel 5: tot 35 miljoen euro of 7 procent van de wereldwijde jaaromzet. De in artikel 99 lid 4 limitatief genoemde verplichtingen, waaronder artikel 50: tot 15 miljoen euro of 3 procent. Onjuiste inlichtingen aan autoriteiten: tot 7,5 miljoen euro of 1 procent.

Bestaat er een boete voor ontbrekende AI-opleiding op grond van artikel 4?

Nee. Artikel 99 lid 4 somt de beboetbare verplichtingen limitatief op en noemt de artikelen 16, 22, 23, 24, 26, 31, 33, 34 en 50. Artikel 4 staat er niet bij. Voor een overtreding van uitsluitend de AI-geletterdheidsplicht voorziet de verordening niet in een eigen boete.

Geldt voor kleine ondernemingen een lager kader?

Ja. Op grond van artikel 99 lid 6 geldt voor kleine en middelgrote ondernemingen, met inbegrip van start-ups, steeds het laagste van beide bedragen — dus het percentage wanneer dat onder het absolute bedrag ligt. Bij vijf miljoen euro omzet betekent dat voor overtredingen van artikel 50 een kader van 150.000 euro in plaats van 15 miljoen.

Is de directie persoonlijk aansprakelijk?

Niet op grond van de AI-verordening — daar is de onderneming geadresseerde. In de interne verhouding geldt artikel 2:9 BW: bestuurders zijn gehouden tot een behoorlijke taakvervulling en zijn bij een ernstig verwijt jegens de rechtspersoon persoonlijk aansprakelijk. Wie AI laat inzetten zonder regels, verantwoordelijkheden en toezicht te organiseren, loopt dat verwijt op. In een faillissement komt de regeling over kennelijk onbehoorlijk bestuur erbij.

Wat gebeurt er als een toezichthouder bij ons navraag doet?

Realistisch begint het met een informatieverzoek, daarna volgt zo nodig een aanwijzing tot herstel met een termijn, en pas dan komen sancties in beeld. Wie bij het informatieverzoek kan leveren, is er in de regel doorheen. Let erop dat onjuiste of onvolledige inlichtingen op grond van artikel 99 lid 5 zelf beboetbaar zijn.

Welke verplichtingen zijn voor zuiver gebruikende bedrijven beboetbaar?

Twee: artikel 50 (transparantieverplichtingen) via letter g en artikel 26 (verplichtingen van gebruiksverantwoordelijken bij hoogrisicosystemen) via letter e. Daarnaast geldt artikel 5, het verbod op bepaalde praktijken, met het hoogste kader — in het mkb vooral relevant bij het verbod op emotieherkenning op de werkplek.

Wie houdt in Nederland toezicht op de AI-verordening?

Het nationale markttoezicht is sinds 2 augustus 2026 operationeel. De Rijksinspectie Digitale Infrastructuur (RDI) is voorzien als centrale, coördinerende markttoezichthouder, met de Autoriteit Persoonsgegevens voor algoritmes, AI en privacy en sectorale toezichthouders daaromheen. De precieze verdeling van taken is op onderdelen nog in ontwikkeling.

Moet Nederland de boetes nog in nationale wetgeving omzetten?

Nee. Het gaat om een verordening; die werkt rechtstreeks en behoeft geen nationale omzetting die er inhoudelijk van kan afwijken. Nationaal wordt vooral het markttoezicht ingericht. Wachten op een Nederlandse wet is dus geen strategie.