Sanksjoner

Bøter ved overtredelser

EU AI Act fastsetter betydelige, etter alvorlighet graderte bøter, sammenlignbare med GDPR, og i øvre ende enda høyere. Den som bryter forordningen, risikerer sanksjoner som kan ramme hele bedriften.

De tre bøtenivåene i EU AI Act

Forordningen graderer bøter etter overtredelsens alvorlighet i tre klart definerte nivåer. Avgjørende: det er det høyeste av de to beløpene som gjelder, altså enten det faste maksimumsbeløpet i euro eller prosentandelen av global årsomsetning. For SMB-er og oppstartsbedrifter gjelder derimot det laveste beløpet som øvre grense (detaljer lenger nede).

Nivå 1: Forbudte praksiser

Opptil 35 mill. € eller 7 % av global årsomsetning, utelukkende ved brudd på forbudte KI-praksiser etter artikkel 5, for eksempel sosial rangering av myndigheter eller manipulative systemer som undergraver menneskers atferd.

Nivå 2: Øvrige plikter

Opptil 15 mill. € eller 3 % av global årsomsetning, ved brudd på leverandør- eller ibruktakerplikter, inkludert plikten til KI-kompetanse etter artikkel 4. Dette nivået rammer de fleste bedrifter.

Nivå 3: Uriktige opplysninger

Opptil 7,5 mill. € eller 1,5 % av global årsomsetning, ved uriktige eller villedende opplysninger overfor nasjonale markedsovervåkingsmyndigheter eller EUs KI-kontor i forbindelse med kontroller eller meldeplikter.

Ved fastsettelse av bøten tar myndighetene blant annet hensyn til overtredelsens alvorlighet og varighet, og om bedriften har truffet hensiktsmessige tiltak. En dokumentert opplæring av ansatte er ett slikt formildende bevis.

Hvem ilegger bøtene?

Håndhevingen av EU AI Act er de nasjonale markedsovervåkingsmyndighetenes ansvar i de respektive EU-medlemsstatene. Hver medlemsstat utpeker én eller flere kompetente myndigheter som kan gjennomføre kontroller, følge opp klager og ilegge sanksjoner ved overtredelser. Hvilke myndigheter som får ansvar fastsettes nasjonalt av den enkelte stat.

På europeisk nivå koordinerer EUs KI-kontor (European AI Office) tilsynet med GPAI-modeller og sørger for ensartet anvendelse av forordningen på tvers av landegrenser. Bedrifter som opererer på tvers av landegrenser kan bli kontrollert av myndigheter i flere medlemsstater. Den rettslige rammen for dette følger direkte av EU AI Act.

Særregel for SMB-er og oppstartsbedrifter

Små og mellomstore bedrifter samt oppstartsbedrifter nyter et særlig vern mot uforholdsmessig høye sanksjoner i EU AI Act: ved beregningen av bøten gjelder for dem det laveste av de to beløpene (fastbeløp eller prosentandel av global årsomsetning) som øvre grense, mens det for store bedrifter er det høyeste beløpet som er avgjørende.

I praksis betyr det: en oppstartsbedrift med lav omsetning betaler ved en nivå 2-overtredelse maksimalt prosentandelen av omsetningen, forutsatt at denne er under 15 mill. €, og ikke det fulle maksimumsbeløpet. Denne verneregelen fritar imidlertid SMB-er ikke fra pliktene selv. Særlig gjelder plikten til KI-kompetanse etter artikkel 4 uavhengig av bedriftsstørrelse for alle som bruker KI yrkesmessig.

Fra når kan bøter ilegges?

Sanksjonsbestemmelsene i EU AI Act trer ikke alle i kraft på én gang. Tidsplanen er avgjørende for spørsmålet om hvilke bøter som faktisk kan ilegges fra når:

Siden 2. februar 2025: Forbudene etter artikkel 5 (forbudte KI-praksiser) og plikten til KI-kompetanse etter artikkel 4 gjelder, og dermed også de tilhørende bøtebestemmelsene for nivå 1 og 2 på disse områdene. Den som ennå ikke har handlet, befinner seg allerede på sanksjonsbart terreng.
Fra 2. august 2025: De generelle sanksjonsbestemmelsene gjelder fullt ut, for brudd på alle øvrige leverandør- og ibruktakerplikter, inkludert kravene til GPAI-modeller med generelt bruksformål.
Fra 2. august 2026: De omfattende pliktene for høyrisiko-KI-systemer blir gjeldende, og dermed kan også bøter for brudd på disse ilegges.

Alle frister, overgangsordninger og unntak forklarer frissiden i detalj.

Slik unngår bedrifter bøter

Den beste beskyttelsen mot bøter er dokumenterbart samsvar — ikke bare faktisk overholdelse av pliktene, men dokumentert bevis for det overfor myndigheter. Den som ikke kan legge frem dokumentasjon ved en kontroll, risikerer sanksjoner selv om vedkommende faktisk opptrer regelrett.

Etabler KI-kompetanse etter artikkel 4: ansatte som bruker KI, må ha tilstrekkelig kunnskap om funksjonsmåte, risikoer og grenser for de benyttede KI-systemene. Dette gjelder ibruktakere av alle størrelser, fra enkeltforetak til konsern.
Dokumenter opplæring sertifisert: en kontrollerbar EU AI Act-opplæring med automatisk revisjonsspor viser myndigheter at bedriften aktivt og dokumenterbart har sørget for aktsomhet. Dette beviset virker formildende ved bøtefastsettelsen.
Inventariser KI-bruken: lag en fullstendig oversikt over hvilke KI-systemer som brukes i hvilke prosesser og hvilken risikoklasse de tilhører. Bare den som vet hva vedkommende bruker, kan handle i samsvar med regelverket.
Hold fristene i sikte: handle i god tid før de sentrale fristene på frissiden, særlig 2. august 2025 og 2. august 2026.

Vanlige spørsmål

Kan bøter ilegges for små feil?

Ikke enhver overtredelse medfører automatisk maksimal bot. Størrelsen avhenger av alvorlighet, varighet og forsett, samt om bedriften har samarbeidet og truffet tiltak. Likevel bør heller ikke tilsynelatende mindre overtredelser — som manglende dokumentasjon av KI-kompetanse etter artikkel 4 — undervurderes. Flere svar om plikter og unntak finner du på vår FAQ-side.

Gjelder bøten per ansatt eller per bedrift?

Bøter retter seg mot bedriften som helhet, ikke mot enkeltansatte. Avgjørende for omsetningsandelen er den globale totalomsetningen til bedriften eller konserngruppen — ikke omsetningen til ett enkelt sted eller datterselskap. Dette gjør de prosentvise øvre grensene særlig betydningsfulle for internasjonale bedrifter og understreker hvorfor systematisk, dekkende opplæring av ansatte er så viktig. Det fullstendige rettsgrunnlaget forklarer siden EU AI Act: oversikt.

Lær opp teamet nå Til plikten om KI-kompetanse

Merk: denne oversikten er til informasjon og erstatter ikke juridisk rådgivning.