Europa-Parlamentets og Rådets forordning (EU) 2024/1689 af 13. juni 2024 om kunstig intelligens — populært kaldet EU AI Act — indeholder et sanktionsregime, der i sin strengeste udgave overgår selv GDPR-bødeniveauerne. Artikel 99 fastsætter de administrative bøder, og det er afgørende for enhver virksomhed, der udvikler, importerer, distribuerer eller anvender AI-systemer i EU, at forstå, hvilke overtrædelser der udløser hvilke konsekvenser.
Denne artikel gennemgår alle tre bødeniveauer, de nationale myndigheders skønsbeføjelse, SMV-lempelserne, markedsovervågningsrammens beføjelser, de danske tilsynsmyndigheder, EU AI Offices rolle og forholdet til GDPR — og afslutter med en konkret risikovurdering for danske virksomheder.
1. EU AI Acts sanktionsregime: tre niveauer og proportionalitetsprincippet
Artikel 99 i EU AI Act opstiller tre differentierede bødeniveauer baseret på overtrædelsens alvorlighed. Logikken spejler en pyramidestruktur: de alvorligste overtrædelser — dem der truer grundlæggende rettigheder — straffes hårdest, mens tekniske og proceduremæssige fejl behandles med større mildhed.
Proportionalitetsprincippet er centralt i hele sanktionsstrukturen. Artikel 99, stk. 2 fastslår, at bøderne skal være effektive, stå i et rimeligt forhold til overtrædelsen og have en afskrækkende virkning. Myndighederne skal ved fastsættelse af bøden bl.a. vurdere: overtrædelsens karakter, alvor og varighed, eventuelle tidligere overtrædelser, det opnåede fortjenstgrundlag eller undgåede tab, samarbejde med myndighederne, samt om overtrædelsen er sket forsætligt eller uagtsomt.
De tre niveauer kan opsummeres:
| Overtrædelsestype | Maksimal bøde (juridisk person) |
|---|---|
| Art. 5 — forbudte AI-praksisser | 35 mio. EUR eller 7% af global årsomsætning |
| Annex III + kerneforpligtelser + Art. 50 transparenskrav | 15 mio. EUR eller 3% af global årsomsætning |
| Misvisende info til myndigheder/notified bodies | 7,5 mio. EUR eller 1% af global årsomsætning |
Det er altid den højeste af de to størrelser (fast beløb vs. procentandel), der anvendes som loft — ikke summen. For en stor dansk koncern med 500 mio. EUR i global omsætning vil 7%-niveauet udgøre 35 mio. EUR, mens loftet for samme virksomhed ved Annex III-overtrædelser er 15 mio. EUR.
2. Art. 99, stk. 3: 35 mio. EUR / 7% for overtrædelse af Art. 5 (forbudte praksisser)
Den højeste bødetærskel i EU AI Act er reserveret til overtrædelser af artikel 5, som forbyder en række AI-praksisser, der anses for at udgøre en uacceptabel risiko for samfundet og den menneskelige værdighed.
Forbudte praksisser ifølge Art. 5 (gældende fra 2. februar 2025) omfatter bl.a.:
- Subliminale teknikker, der manipulerer adfærd uden personens bevidste samtykke
- Udnyttelse af sårbare gruppers svagheder (alder, handicap, social situation)
- Sociale pointsystemer (social scoring) til generel evaluering af borgere af offentlige myndigheder
- Realtids-biometrisk fjernidentifikation i offentlige rum til retshåndhævelsesformål (med snævre undtagelser)
- Forudsigelse af kriminalitet baseret udelukkende på profilering
- Opbygning af ansigtsgenkendelses-databaser ved ukontrolleret skrabning fra internet eller CCTV
- Følelsesregistrering på arbejdspladser og i uddannelsesinstitutioner
Overtrædelse af disse forbud udløser bøder op til 35 mio. EUR eller 7% af den samlede globale årsindtægt i det foregående regnskabsår — og det er det højeste beløb, der finder anvendelse.
Det er værd at bemærke, at forbuddene i Art. 5 trådte i kraft allerede den 2. februar 2025, seks måneder efter EU AI Acts ikrafttrædelse den 1. august 2024. Virksomheder, der i dag anvender AI-systemer med social scoring-elementer, manipulative brugergrænseflader eller ubegrænsede biometriske databaser, er allerede i risikoeksponering.
3. Art. 99, stk. 4: 15 mio. EUR / 3% for overtrædelse af Annex III-forpligtelser
Det midterste bødeniveau gælder for overtrædelser af forpligtelserne knyttet til højrisiko-AI-systemer oplistet i Bilag III (Annex III) til forordningen. Annex III-systemerne omfatter AI på områder som:
- Biometrisk identifikation og kategorisering
- Kritisk infrastruktur (energi, vand, transport)
- Uddannelse og erhvervsuddannelse
- Beskæftigelse, arbejdstagerstyring og adgang til selvstændig erhvervsvirksomhed
- Adgang til og nytte af private og offentlige ydelser
- Retshåndhævelse
- Migration, asyl og grænseforvaltning
- Retsvæsenets administration og demokratiske processer
For HR-tech-deployere er Annex III, punkt 4 det centrale omdrejningspunkt. Systemer til rekruttering, udvælgelse af ansøgere, forfremmelse, opsigelse og performanceevaluering er alle eksplicit nævnt som høj-risiko kategorier. Overtrædelse af de tilhørende forpligtelser — herunder krav om risikostyring (Art. 9), datakvalitet (Art. 10), teknisk dokumentation (Art. 11), gennemsigtighed (Art. 13) og menneskelig tilsyn (Art. 14) — kan sanktioneres med op til 15 millioner EUR eller 3 % af den globale omsætning.
Art. 99, stk. 5: 7,5 mio. EUR / 1% for fejlagtige oplysninger til myndigheder
Det laveste sanktionsniveau gælder for afgivelse af urigtige, ufuldstændige eller vildledende oplysninger til noterede organer eller kompetente nationale myndigheder. Det er et sanktionsniveau, der ikke bør undervurderes: tilsynsmyndighederne kan anmode om adgang til teknisk dokumentation, og enhver væsentlig udeladelse eller fejl i materialet kan udløse dette niveau. Forpligtelsen til korrekthed over for myndighederne gælder fra det tidspunkt, et høj-risiko AI-system er bragt på markedet, og vedvarer i dokumentationens opbevaringsperiode på mindst 10 år.