Nařízení stanoví horní hranice správních pokut podle závažnosti porušení. Je-li pachatelem podnik, použije se vyšší z obou uvedených hodnot:
- až 35 mil. EUR nebo 7 % celkového celosvětového ročního obratu za předchozí účetní období – za porušení zákazů podle článku 5 (čl. 99 odst. 3);
- až 15 mil. EUR nebo 3 % obratu – za nesplnění povinností poskytovatelů (čl. 16), zplnomocněných zástupců (čl. 22), dovozců (čl. 23), distributorů (čl. 24), provozovatelů (čl. 26) a oznámených subjektů (čl. 31, čl. 33 odst. 1, 3 a 4, čl. 34) a povinností transparentnosti podle článku 50 (čl. 99 odst. 4);
- až 7,5 mil. EUR nebo 1 % obratu – za poskytnutí nesprávných, neúplných či zavádějících informací oznámeným subjektům nebo vnitrostátním příslušným orgánům v odpovědi na jejich žádost (čl. 99 odst. 5).
Pro poskytovatele obecných modelů AI (GPAI) platí samostatný režim podle článku 101: pokutu až 3 % celosvětového ročního obratu nebo 15 mil. EUR (podle toho, co je vyšší) ukládá přímo Evropská komise, a to za úmyslné či nedbalostní porušení. Tato pravomoc se uplatňuje od 2. srpna 2026.
Pro malé a střední podniky a startupy se u každé kategorie použije nižší z obou částek (čl. 99 odst. 6). Sankce musí být účinné, přiměřené a odrazující a musí zohledňovat okolnosti konkrétního případu (čl. 99 odst. 1 a 7); vedle pokut mohou mít podobu i výstrahy nebo jiného nepeněžního opatření. U orgánů a subjektů veřejné správy si každý členský stát sám určí, do jaké míry jim lze pokuty ukládat (čl. 99 odst. 8). Vymáhání článku 4 (AI gramotnost) probíhá podle národních právních předpisů: článek 4 není ve výčtu v čl. 99 odst. 4, sankce se proto odvozují z obecného zmocnění v čl. 99 odst. 1.