Vanaf 2 augustus 2026 kan het AI Office van de Europese Commissie aanbieders van general-purpose AI-modellen (GPAI) beboeten tot 3% van de wereldwijde jaaromzet of 15 miljoen euro, afhankelijk van welk bedrag hoger is. Dat volgt uit artikel 101 van Verordening (EU) 2024/1689, de EU AI Act. De boete geldt bij inbreuken op GPAI-verplichtingen, het niet verstrekken van gevraagde documentatie, het niet naleven van opgelegde maatregelen of het weigeren van toegang voor modelevaluaties.
Grote taalmodellen achter systemen als ChatGPT, Claude en Gemini vallen onder de categorie GPAI. Voor organisaties die op deze modellen leunen betekent dit dat hun AI-leverancier voorwerp van onderzoek, bevelen of boetes kan worden. Dat is een risico dat doorwerkt in hun eigen continuïteit en verantwoording, ook al ligt de sanctie bij de aanbieder.
Wat staat er precies in artikel 101 van de EU AI Act over GPAI-boetes?
Volgens de toelichting op artikel 101 op de AI Act Service Desk van de Europese Commissie kan de Commissie aanbieders van GPAI-modellen een boete opleggen tot 3% van hun wereldwijde jaaromzet of 15 miljoen euro, afhankelijk van welk bedrag hoger is. De sanctie geldt bij opzettelijke of nalatige inbreuken.
De situaties die een boete kunnen uitlokken staan concreet omschreven:
- inbreuk op de verplichtingen die voor GPAI-modellen gelden;
- het niet verstrekken van gevraagde informatie en documentatie;
- het niet naleven van maatregelen die de Commissie oplegt;
- het niet verlenen van toegang aan de Commissie voor het evalueren van een model.
Artikel 101 staat niet los. De volledige tekst van Verordening (EU) 2024/1689 in het Publicatieblad bevat in artikel 99 een gelaagde boetestructuur voor het bredere systeem: de hoogste band voor verboden praktijken, een middenband van 15 miljoen euro of 3% voor andere verplichtingen, en een lagere band voor bepaalde informatieplichten. Praktijkanalyse van Regulation-AI.eu bij artikel 99 legt uit dat deze middenband breed van toepassing is op niet-verboden inbreuken door aanbieders, deployers, importeurs, distributeurs en aangemelde instanties, inclusief de transparantieplichten uit artikel 50.
Welke bevoegdheden krijgt het AI Office vanaf 2 augustus 2026?
De analyse van SERVOLA, gepubliceerd op 9 juli 2026, plaatst een concrete datum op de handhaving. Volgens dat stuk worden de GPAI-handhavingsbevoegdheden van de Commissie van toepassing vanaf 2 augustus 2026. Vanaf dat moment kan het AI Office documentatie opvragen, modelevaluaties uitvoeren, maatregelen voor naleving en risicobeperking opleggen en boetes onder artikel 101 opleggen.
Dat de handhaving centraal bij de Commissie ligt, blijkt ook uit de eigen pagina over het European AI Office. Daar staat dat GPAI-modellen rechtstreeks door de Commissie worden gemonitord en dat niet-naleving tot boetes kan leiden. Naar onze inschatting is dit de kern van de verschuiving: de handhaving voor grote general-purpose modellen ligt niet uitsluitend bij nationale toezichthouders, maar bij een centraal EU-orgaan met eigen onderzoeks- en sanctiebevoegdheden. Dat is redactionele duiding; de brontekst stelt alleen vast dat het AI Office deze rol vervult.
Wie de bredere tijdlijn wil plaatsen, vindt context in onze bespreking van de harde AI Act-plichten vanaf augustus 2026 na de Digital Omnibus.
Wat betekent GPAI-handhaving voor organisaties die ChatGPT, Claude of Gemini gebruiken?
De boetes richten zich op de aanbieders van de modellen, niet direct op afnemers. Toch is er een doorwerking. Als een kernleverancier onder onderzoek komt, een bevel krijgt om een model aan te passen of terug te trekken, of een boete opgelegd krijgt, raakt dat de continuïteit en verantwoording van de organisaties die op dat model bouwen. Naar onze inschatting is dit het praktische punt voor teams die met vertrouwelijke of gereguleerde informatie werken: leveranciersrisico wordt een expliciete laag in het eigen risicobeeld.
Dat maakt een aantal voorbereidende stappen relevant, als redactionele aanbeveling en niet als juridische norm:
- breng in kaart welke GPAI-modellen daadwerkelijk in welke workflows worden gebruikt;
- leg vast welke AI Act-plichten bij die aanbieders horen, zoals documentatie, risicobeperking en transparantie;
- regel auditrechten en bewijsverplichtingen in AI-contracten;
- bereid exit en fallback voor AI-diensten bij verstoring voor, zodat verstoring bij één leverancier niet meteen een proces platlegt.
Meer achtergrond over compliance-verplichtingen staat in onze themahub over de EU AI Act en compliance.
Hoe leg je in je eigen workflows vast welke GPAI-modellen je gebruikt?
Het antwoord begint bij zichtbaarheid: weten welk model welke taak uitvoert en welke gegevens daarbij naar de leverancier gaan. Zonder dat overzicht is het lastig om aan te tonen hoe de plichten van een aanbieder doorwerken in het eigen logging-, privacy- en toezichtbeleid.
Op dit punt kan een verificatielaag concreet helpen. IamVera.ai is geen chatbot en geen eigen taalmodel, maar een privacygerichte verificatielaag voor professionals die met vertrouwelijke informatie werken. Vera kan een taak door geselecteerde onafhankelijke AI-modellen routeren en verificatiestappen, correcties, onderlinge verschillen en bronnen zichtbaar maken voor inspectie. Dat ondersteunt controle, maar garandeert geen juistheid en elimineert geen hallucinaties; het professionele eindoordeel blijft bij de gebruiker. Meer over hoe teams onenigheid tussen modellen als signaal gebruiken, staat in onze uitleg over multi-model-verificatie en de grens daarvan.
Voor de gegevenskant is de Semantic Privacy Shield relevant. Die kan gevoelige documentwaarden vóór AI-verwerking vervangen door synthetische, sessiegebonden equivalenten op EU-infrastructuur; de AI-keten analyseert de gesynthetiseerde versie en de originele waarden kunnen daarna lokaal worden hersteld. De workflow is fail-closed: als de privacycontrole mislukt, wordt het document niet doorgestuurd. Dit is een architectuurbeschrijving en geen garantie van volledige AVG-compliance. Wie wil bewijs verzamelen over AI-gebruik per workflow, vindt daar het bijbehorende overzicht.
De kern blijft: de EU-handhaving richt zich vanaf augustus 2026 rechtstreeks op de GPAI-laag. Organisaties die op grote modellen leunen doen er verstandig aan die upstream-verplichtingen te vertalen naar hun eigen zichtbaarheid, verantwoording en verificatie.
Bronnen en referenties
Bronnen: Het artikel steunt op artikel 101 en de tekst van Verordening (EU) 2024/1689 via AI Act Service Desk en EUR-Lex, op de pagina van het AI Office van de Europese Commissie en op praktijkanalyses van Regulation-AI.eu en SERVOLA.