El 21 de agosto de 2026, la autoridad neerlandesa de protección de datos multó a Uber con 824,99 millones de euros por dejar que algoritmos desactivaran a conductores sin una revisión humana real. Es una de las mayores multas del RGPD y una señal clara de que los reguladores usarán el RGPD, y no solo el Reglamento de IA, para controlar las decisiones de IA. Uber ha dicho que recurrirá.
Ya cubrimos los hechos del caso en nuestro artículo anterior. Este plantea otra pregunta: ¿qué tendrías que mostrar a un regulador para demostrar que tu revisión humana es real?
El caso en breve
Entre 2018 y 2022, Uber usó sistemas automatizados para suspender o desactivar de forma permanente cuentas de conductores por sospecha de fraude o valoraciones bajas. Para los conductores, la desactivación significaba perder sus ingresos de la noche a la mañana. La queja que inició el caso vino de conductores en Francia, y la autoridad neerlandesa dirigió la investigación porque la sede de Uber en la UE está en Ámsterdam. Encontró infracciones del artículo 22 del RGPD, que protege a las personas de decisiones basadas únicamente en tratamiento automatizado que les afecten significativamente, y de las normas de transparencia del RGPD.
El «humano en el bucle» tiene que ser real
La parte más útil de la decisión para las empresas es el criterio que aplica a la supervisión humana. Una revisión solo cuenta si la persona tiene poder real para cambiar el resultado y lo ejerce de verdad. Una validación meramente formal de lo que dice la máquina no basta.
Esto encaja con la jurisprudencia europea. En la sentencia SCHUFA (C-634/21), el Tribunal de Justicia declaró que elaborar una puntuación puede ser por sí mismo la «decisión» cuando un tercero se apoya mucho en ella. En Dun & Bradstreet Austria (C-203/22) exigió que las empresas expliquen el procedimiento y los principios realmente aplicados. El hilo común: los reguladores miran lo que el sistema y las personas a su alrededor hacen realmente, no lo que dice el documento de política.
Cinco pruebas que puede aplicar un regulador
Piensa en la supervisión real como cinco preguntas, cada una respondible con pruebas:
- Tiempo. ¿Tiene el revisor tiempo suficiente por caso para formar su propio criterio? Una cola de 200 casos por hora no es una revisión.
- Información. ¿Puede el revisor ver por qué el sistema marcó a esa persona, y no solo la puntuación?
- Autoridad. ¿Puede anular el resultado sin permiso de un superior ni una justificación más larga que la necesaria para estar de acuerdo?
- Independencia. ¿Se le mide por coincidir con el sistema, por ejemplo con objetivos de velocidad o volumen?
- Resultados. ¿Cambian alguna vez los revisores el resultado? Una tasa de anulación de cero es una señal de alarma, no una métrica de éxito.
Construye el expediente de pruebas
Para cada proceso automatizado que afecte significativamente a una persona, como el cribado de CV, la puntuación crediticia, las alertas de fraude, los precios o el cierre de cuentas, conserva un expediente breve con:
- una descripción del proceso y de dónde está el paso humano;
- el papel, la formación y la capacidad de decisión del revisor;
- registros del tiempo de revisión y de las tasas de anulación, revisados cada trimestre;
- la explicación dada a los afectados y la vía para impugnar una decisión;
- la EIPD que cubre el proceso.
Si operas una plataforma de trabajo digital, ten en cuenta que las normas de supervisión y revisión humanas de la Directiva de la UE sobre trabajo en plataformas deben transponerse antes del 2 de diciembre de 2026, lo que hace urgente este ejercicio.
El CEPD también fija reglas para el entrenamiento de IA
Mientras la aplicación de sanciones acapara los titulares, el Comité Europeo de Protección de Datos está moldeando cómo pueden construirse los modelos de IA. El 7 de julio de 2026 adoptó las Directrices 03/2026 sobre web scraping para IA generativa, en consulta hasta el 30 de octubre. El borrador considera el interés legítimo la base jurídica realista para extraer datos personales con los que entrenar IA, pero solo con garantías sólidas:
- criterios de recogida claros y exclusión de fuentes sensibles;
- filtros para categorías especiales de datos, que conservan su protección del artículo 9 aunque se recojan por accidente;
- límites en salidas y prompts para impedir que los modelos revelen datos personales;
- respeto de las exclusiones como robots.txt y las reservas de minería de textos y datos.
El mensaje práctico: «lo sacamos de la web pública» no es una defensa. Los reguladores quieren ver diligencia documentada. Consulta nuestra guía sobre datos de entrenamiento de IA.
GDPRChat es un widget de chat con clientes basado en IA, construido con puertas de consentimiento conforme al artículo 7 y eliminación automática de datos — el cumplimiento está integrado en la arquitectura, no añadido después de que un regulador empiece a hacer preguntas.
Cinco lecciones para las pymes
- Lista tus decisiones automatizadas. Encuentra cada proceso en el que un software decide algo importante sobre una persona sin intervención humana.
- Haz que la revisión humana sea real. Da a los revisores tiempo, contexto y autoridad, y registra cuándo anulan al sistema.
- Explica las decisiones. Di a las personas cuándo interviene la IA, cómo pueden impugnar el resultado y a quién dirigirse.
- Revisa a tus proveedores. Si compras herramientas de IA, pregunta cómo se entrenaron sus modelos y si se filtraron los datos extraídos.
- Guarda las pruebas. Las políticas no bastan. La decisión sobre Uber se basó en lo que el sistema hacía realmente.
En resumen
El caso Uber es una advertencia escrita en euros. La IA puede acelerar las decisiones, pero según el RGPD la responsabilidad de esas decisiones sigue siendo de las personas y de la empresa que despliega el sistema.
Reserva una consulta gratuita con GDPRGard → y te ayudaremos a comprobar si la revisión humana de tus herramientas resistiría un examen.
Fuentes
- Autoriteit Persoonsgegevens: Uber multada con casi 825 millones de euros por bloqueo automatizado de conductores (21 ago. 2026)
- Dastra: multa de 825 millones de euros, Uber sancionada por decisiones automatizadas
- CEPD: Directrices 03/2026 sobre web scraping para IA generativa
- Reed Smith: directrices del CEPD sobre web scraping para IA
Responda a una breve autoevaluación sobre cómo se revisan las decisiones automatizadas en su empresa, medida frente al estándar de supervisión humana del art. 22.
Lee también:
- Olvida el Reglamento de IA — el RGPD ya multa a empresas por errores de IA
- Se acabó la excusa de «era público»: el RGPD ya cubre formalmente los datos de entrenamiento de IA
- El Reglamento de IA ya se aplica a los sistemas de alto riesgo. Ahora respondes ante dos reguladores.