Wat kost het niet-naleven van de AI Act? De boetes in perspectief

Het korte antwoord

De AI Act kent forse maximumboetes, maar die zijn in de eerste plaats bedoeld voor grote technologiebedrijven en aanbieders van AI-systemen. Als mkb-bedrijf dat AI-tools van anderen gebruikt, loopt u een veel kleiner risico dan de krantenkoppen suggereren. Toch zijn er situaties waarin ook een mkb-bedrijf een boete kan krijgen, en die situaties worden concreter naarmate meer deadlines verstrijken.

Wat zegt de wet precies?

De boetestructuur staat in artikel 99 van de AI Act. Er zijn drie niveaus:

• Overtredingen van de verboden praktijken (artikel 5): maximaal 35 miljoen euro of 7% van de wereldwijde jaaromzet, afhankelijk van welk bedrag hoger is.
• Overtredingen van de meeste andere verplichtingen, zoals eisen aan hoog-risico systemen (artikel 6, 9, 10, 11, 14, 16, 26) en transparantieverplichtingen (artikel 50): maximaal 15 miljoen euro of 3% van de wereldwijde jaaromzet.
• Het verstrekken van onjuiste of misleidende informatie aan toezichthouders: maximaal 7,5 miljoen euro of 1,5% van de wereldwijde jaaromzet.

Voor kleine en middelgrote ondernemingen geldt altijd het laagste van de twee bedragen. Bij grote bedrijven geldt het hoogste. Dat is een belangrijk verschil: een mkb-bedrijf met een jaaromzet van 2 miljoen euro betaalt bij een 3%-overtreding maximaal 60.000 euro, niet 15 miljoen.

Wanneer kunnen boetes worden opgelegd?

Niet alle verplichtingen zijn al handhaafbaar. De tijdlijn bepaalt wanneer toezichthouders mogen optreden:

• Verboden praktijken (artikel 5) en AI-geletterdheid (artikel 4): handhaafbaar sinds 2 februari 2025.
• GPAI-modelverplichtingen (artikel 51 tot en met 55): van toepassing sinds 2 augustus 2025, maar boetebevoegdheid voor toezichthouders start pas op 2 augustus 2026.
• Transparantieverplichtingen voor chatbots, deepfakes en AI-content (artikel 50, leden 1, 3 en 4): deadline is 2 augustus 2026, daarna handhaafbaar.
• Hoog-risico AI-systemen als standalone toepassing (artikel 6, lid 2 en artikel 26): deadline is 2 december 2027.
• Hoog-risico AI ingebouwd in gereguleerde producten: deadline is 2 augustus 2028.

Dit betekent dat de meeste mkb-bedrijven nu al kunnen worden aangesproken op verboden praktijken en AI-geletterdheid, maar dat de grote hoog-risico verplichtingen pas later handhaafbaar worden.

Hoe groot is het risico voor het mkb in de praktijk?

Eerlijk gezegd: op dit moment is de kans op een directe boete voor een gemiddeld mkb-bedrijf klein. Toezichthouders richten zich in de eerste fase op aanbieders van AI-systemen, grote platforms en evidente overtredingen van de verboden uit artikel 5. Denk aan manipulatieve AI-technieken of ongeoorloofde biometrische surveillance.

Dat neemt niet weg dat er situaties zijn waarbij een mkb-bedrijf wel degelijk in beeld kan komen:

• U gebruikt een AI-systeem voor werving en selectie of kredietbeoordeling en voldoet niet aan de verplichtingen voor hoog-risico systemen (artikel 26).
• U zet een chatbot in zonder de gebruiker te informeren dat hij met een AI-systeem praat (artikel 50, lid 1), na 2 augustus 2026.
• U past een verboden praktijk toe, zoals een systeem dat gebruikers onbewust manipuleert (artikel 5), wat al handhaafbaar is.
• U kunt bij een controle niet aantonen dat uw medewerkers voldoende AI-geletterdheid hebben (artikel 4).

Bij die laatste twee categorieën hoeft u niet te wachten op een klacht van een klant. Een toezichthouder kan ook ambtshalve optreden.

Proportionaliteit: de wet schrijft het voor

Artikel 99 verplicht toezichthouders uitdrukkelijk om rekening te houden met de omvang en de middelen van de organisatie, de aard en ernst van de overtreding, de mate van samenwerking met de toezichthouder en of het de eerste overtreding betreft. Een mkb-bedrijf dat te goeder trouw handelt, documentatie bijhoudt en meewerkt bij een onderzoek, zal in de praktijk een veel lagere boete krijgen dan de wettelijke maxima suggereren.

Dat is geen vrijbrief om niets te doen, maar het is wel een reden om niet in paniek te raken over krantenkoppen over miljoenenboetes.

Wat kost het u als u niets doet?

De financiële risico's zijn niet alleen boetes. Denk ook aan:

• Reputatieschade als een klant of concurrent een melding doet bij de toezichthouder.
• Contractuele aansprakelijkheid als uw gebruik van AI in strijd is met afspraken met opdrachtgevers, zeker in B2B-ketens waar grote afnemers AI-compliance beginnen te eisen.
• Herstelkosten als u achteraf processen moet aanpassen die u eerder had kunnen inrichten.

De kosten van tijdig naleven zijn voor de meeste mkb-bedrijven beperkt: een interne richtlijn, een korte training voor medewerkers, een transparantievermelding bij uw chatbot. De kosten van achteraf repareren zijn doorgaans hoger.

De nuchtere volgende stap

Weet u of uw bedrijf al voldoet aan de verplichtingen die nu al gelden, zoals AI-geletterdheid en de verboden praktijken? En bent u voorbereid op de transparantiedeadline van 2 augustus 2026? Doe de gratis zelfscan op nuchter.ai en ontdek in tien minuten waar u staat.