Quand l'algorithme est le patron : ce que l'amende de 825 millions d'euros contre Uber signifie pour l'IA au travail

De plus en plus de décisions au travail commencent par un logiciel. Un outil classe les CV avant qu'un recruteur ne les lise. Une application distribue les horaires et les tâches. Un filtre antifraude ou un système de notation décide qui reste actif sur une plateforme. Souvent, les personnes concernées ne savent jamais qui, le cas échéant, a validé la décision.

Les autorités européennes mettent désormais un prix sur ces erreurs. En août 2026, l'autorité néerlandaise de protection des données a infligé à Uber une amende de 824 990 000 € pour avoir laissé un logiciel désactiver des comptes de chauffeurs sans intervention humaine. En septembre, le régulateur espagnol a adressé un avertissement à une entreprise au sujet de l'outil d'IA qu'elle comptait utiliser pour présélectionner des candidats. Et d'ici le 2 décembre 2026, les pays de l'UE doivent avoir transposé la directive sur le travail via une plateforme, qui impose qu'un humain, et non un algorithme, décide de suspendre ou de résilier un compte.

Cet article est fourni à titre d'information générale et ne constitue pas un conseil juridique. C'est un guide pratique pour les dirigeants, les responsables RH et les équipes produit. Nous avons traité la décision Uber elle-même dans notre précédent article sur la décision Uber ; nous regardons ici ce qu'elle signifie pour tous ceux qui gèrent des personnes avec des logiciels.

Pourquoi la gestion algorithmique est au centre de l'attention

• La décision Uber a gagné toute l'Europe. L'Autoriteit Persoonsgegevens (AP) a annoncé l'amende le 21 août 2026, la CNIL a suivi le 24 août, et le Comité européen de la protection des données (CEPD) a publié une synthèse le 8 octobre 2026.
• L'Espagne a agi deux fois. Le 23 septembre, l'AEPD a publié un avertissement formel concernant un outil d'IA de recrutement. Le 7 octobre, elle a émis des orientations sur les systèmes algorithmiques au travail, deux jours après l'entrée en vigueur d'un nouveau décret espagnol sur l'information des travailleurs au sujet des algorithmes.
• Une échéance approche. La directive (UE) 2024/2831 sur le travail via une plateforme doit être transposée d'ici le 2 décembre 2026.
• D'autres mesures pourraient suivre. Le 6 octobre 2026, 2EU a rapporté que la vice-présidente exécutive de la Commission, Roxana Mînzatu, avait indiqué au Parlement européen que la gestion algorithmique fait partie des sujets étudiés pour la future loi sur les emplois de qualité (Quality Jobs Act). Aucun texte n'a été publié, et un sujet à l'étude ne garantit pas une mesure précise.

Ce qu'Uber a fait, et pourquoi le régulateur a dit non

Selon l'AP, entre 2018 et 2022, Uber a utilisé un logiciel pour surveiller le comportement des chauffeurs et suivre les notes des clients. En cas de soupçon de fraude, ou de notes trop basses, le compte du chauffeur était désactivé automatiquement : temporairement, ou définitivement en cas de notes durablement basses. Aucune évaluation humaine n'a eu lieu, et les chauffeurs perdaient leurs revenus Uber pendant la désactivation.

L'AP a constaté deux violations du RGPD :

• L'article 22, qui donne aux personnes le droit de ne pas faire l'objet d'une décision fondée exclusivement sur un traitement automatisé produisant des effets juridiques ou les affectant de manière significative de façon similaire. La CNIL explique que les désactivations étaient des décisions automatisées « en raison de l'absence totale d'intervention humaine », avec un effet important sur des chauffeurs qui ne pouvaient plus gagner leur vie.
• L'article 13, car les chauffeurs n'étaient pas correctement informés. L'article 13, paragraphe 2, point f), exige des « informations utiles concernant la logique sous-jacente » ainsi que les conséquences pour la personne.

Trois autres éléments comptent :

• Tout est parti d'une plainte. 171 chauffeurs français se sont tournés vers la Ligue des droits de l'Homme, qui a déposé plainte auprès de la CNIL. Le siège européen d'Uber se trouvant aux Pays-Bas, l'AP a mené le dossier au titre du mécanisme du guichet unique du RGPD.
• L'amende est lourde, mais pas maximale. Les amendes RGPD peuvent atteindre 4 % du chiffre d'affaires mondial. L'AP a estimé le chiffre d'affaires 2025 d'Uber à environ 44,5 milliards €, soit une amende d'environ 1,9 %.
• Elle n'est pas définitive. Uber a mis fin à cette pratique mais conteste l'amende. C'est la quatrième amende de l'AP contre Uber, après 600 000 € en 2018, 10 millions € en 2023 et 290 millions € en 2024 ; les deux dernières sont également contestées.

Un « humain dans la boucle » doit être réel

Peu d'entreprises construisent des machines à licencier entièrement automatisées. Le risque le plus courant est plus discret : un outil note ou classe des personnes, et un humain valide uniquement pour la forme. L'AEPD espagnole vient précisément d'aborder ce point.

Son avertissement (AI-00009-2026) portait sur un outil, pas encore utilisé, qui analyserait des CV, noterait les candidats et les hiérarchiserait pour le recrutement et la mobilité interne. L'entreprise affirmait qu'une personne prendrait toujours la décision finale, que l'outil ignorait les attributs sensibles et qu'il était audité périodiquement. L'avertissement de l'AEPD et sa note d'orientation du 7 octobre n'en dressent pas moins une liste exigeante :

• La revue humaine doit être substantielle. Le décideur doit pouvoir évaluer de façon critique le score et s'en écarter. Si l'humain n'est là que sur le papier, l'article 22 peut quand même s'appliquer.
• Suivre les désaccords. Consignez les cas où les relecteurs s'écartent de la recommandation automatisée. Une absence systématique de désaccord peut signaler que les gens se fient simplement au score.
• Vérifier les variables de substitution. Dire qu'un outil n'utilise pas de données sensibles ne suffit pas ; il faut vérifier si d'autres variables servent de substituts (proxys).
• Les outils de groupe ne déplacent pas la responsabilité. Si un outil est développé de façon centralisée par un groupe, l'entité locale qui l'utilise reste responsable de sa propre évaluation.
• Les audits doivent être vérifiables. Documentez le périmètre, la version du système testée, les taux d'erreur, les impacts différenciés, l'efficacité du contrôle humain et les mesures correctives prises. Une simple mention que les systèmes sont « régulièrement revus » ne suffit pas.
• Évaluer d'abord. Évaluez les risques avant l'utilisation et, lorsque le risque est probablement élevé, réalisez une analyse d'impact relative à la protection des données (AIPD). L'article 35, paragraphe 3, point a), du RGPD l'exige pour l'évaluation systématique et approfondie de personnes fondée sur un traitement automatisé et sur laquelle reposent des décisions importantes. Notre article sur les raisons pour lesquelles les chatbots IA posent un problème d'AIPD montre ce qu'une AIPD doit couvrir.

Un avertissement n'est pas une amende. Mais l'AEPD a souligné qu'il fait peser sur l'entreprise la charge de s'adapter et de prouver sa conformité.

L'Espagne a aussi ajouté une couche de droit du travail. Le décret royal 723/2026, en vigueur depuis le 5 octobre 2026, oblige les employeurs à informer chaque travailleur par écrit des systèmes de décision algorithmiques ou automatisés et, lorsque ceux-ci déterminent les conditions de travail, de leurs critères et de leurs règles de fonctionnement. Les nouveaux salariés doivent être informés avant leur prise de poste ; les salariés en poste peuvent en faire la demande, et l'employeur doit répondre sous 30 jours ouvrables. L'AEPD note que cela ne remplace pas la transparence exigée par le RGPD ; les obligations se recoupent.

Travail via une plateforme : dès le 2 décembre, un humain doit décider

La directive sur le travail via une plateforme est la première loi européenne écrite spécifiquement pour la gestion algorithmique. Elle couvre les plateformes de travail numériques qui organisent un travail effectué dans l'UE, où qu'elles soient établies, et ses règles sur la gestion algorithmique protègent toutes les personnes qui effectuent un travail via une plateforme, y compris celles sans contrat de travail. Parmi les règles clés :

• Données interdites (article 7). Les systèmes automatisés ne peuvent pas traiter de données sur l'état émotionnel ou psychologique ni sur des conversations privées, collecter des données lorsque la personne ne travaille pas, prédire l'exercice de droits tels que l'activité syndicale, ni déduire des caractéristiques telles que l'origine ethnique, la santé ou l'orientation sexuelle. Ces limites s'appliquent dès le recrutement.
• AIPD par défaut (article 8). Les traitements réalisés par ces systèmes sont réputés susceptibles d'engendrer un risque élevé, et les plateformes doivent recueillir l'avis des travailleurs et de leurs représentants.
• Transparence (article 9). Les travailleurs doivent être informés des systèmes qui les concernent, y compris de leurs principaux paramètres et des motifs de suspension ou de résiliation d'un compte, au plus tard dès leur premier jour de travail.
• Contrôle humain (article 10). Les plateformes doivent évaluer l'impact des décisions automatisées au moins tous les deux ans, avec du personnel habilité à les infirmer. Article 10, paragraphe 5 : toute décision de restreindre, suspendre ou résilier un compte « est prise par un être humain ».
• Explication et réexamen (article 11). Les personnes reçoivent un exposé écrit des motifs pour des décisions telles qu'une suspension, et peuvent demander un réexamen, auquel il faut répondre dans un délai de deux semaines.

Les autorités de protection des données feront respecter les articles 7 à 11, avec le plafond d'amende le plus élevé du RGPD. Des questions demeurent : le service de conformité LexLint se demande si une suspension automatisée immédiate pour suspicion de fraude, réexaminée ensuite par un humain, satisfait à l'article 10, paragraphe 5. Les lois nationales pourraient y répondre.

Le règlement sur l'IA : ce qui s'applique déjà et ce qui arrive

Le règlement sur l'IA (règlement (UE) 2024/1689) ajoute une couche supplémentaire :

• Déjà interdit. Depuis le 2 février 2025, l'article 5, paragraphe 1, point f), interdit l'IA qui déduit les émotions des personnes sur le lieu de travail ou dans l'éducation, sauf pour des raisons médicales ou de sécurité.
• Haut risque à partir du 2 décembre 2027. L'annexe III énumère l'IA utilisée pour recruter et sélectionner des personnes, ainsi que l'IA servant aux décisions de promotion, de licenciement, d'attribution des tâches et de suivi des performances. Après l'Omnibus numérique sur l'IA (règlement (UE) 2026/1744, en vigueur depuis le 27 juillet 2026), ces règles à haut risque s'appliquent à partir du 2 décembre 2027. Consultez notre calendrier de conformité du règlement sur l'IA pour la chronologie complète.
• Informez vos équipes. En vertu de l'article 26, paragraphe 7, les employeurs qui déploient un système d'IA à haut risque sur le lieu de travail doivent informer les représentants des travailleurs et les travailleurs concernés avant sa mise en service. L'article 26, paragraphe 11, ajoute que les personnes faisant l'objet de décisions prises ou assistées par de tels systèmes doivent être informées.

Rien de tout cela n'attend 2027 en droit de la protection des données. Le RGPD, y compris l'article 22, s'applique dès aujourd'hui à ces outils, et l'article 88 permet aux États membres d'adopter des règles plus spécifiques sur les données des salariés.

Liste de contrôle pratique pour les entreprises qui utilisent l'IA pour gérer des personnes

• ☐ Inventoriez vos systèmes de décision : filtres antifraude, seuils de notation, scoring de CV, attribution des horaires et tableaux de bord de performance, y compris les outils tiers.
• ☐ Repérez les décisions « exclusivement automatisées » qui bloquent, rejettent, désactivent ou classent des personnes avec des effets significatifs.
• ☐ Rendez la revue humaine réelle : donnez aux relecteurs du temps, les données sous-jacentes, une formation et le pouvoir d'infirmer le système.
• ☐ Consignez les dérogations. Si les relecteurs ne contredisent jamais l'outil, cherchez pourquoi.
• ☐ Réalisez une AIPD avant le lancement et mettez-la à jour quand le modèle, les données ou la finalité changent.
• ☐ Expliquez en langage clair ce qui déclenche une mesure et comment les personnes peuvent obtenir qu'un humain réexamine leur cas.
• ☐ Testez les biais et les proxys et conservez des dossiers d'audit qu'un tiers pourrait vérifier.
• ☐ Vérifiez qu'aucun outil ne déduit les émotions au travail.
• ☐ Associez tôt les représentants des travailleurs.
• ☐ Plateformes : suivez votre transposition nationale de la directive sur le travail via une plateforme et veillez à ce que les suspensions et résiliations soient décidées par une personne.
• ☐ Préparez le 2 décembre 2027, date d'application des règles à haut risque du règlement sur l'IA aux systèmes d'emploi.

Une note pour les lecteurs brésiliens

Les tribunaux brésiliens ont déjà appliqué le droit de la protection des données aux chauffeurs d'applications. Dans l'arrêt REsp 2.135.783-DF, rendu le 18 juin 2024, la Cour supérieure de justice (STJ) a jugé qu'un chauffeur exclu d'une plateforme a droit, en vertu de l'article 20 de la LGPD (loi 13.709/2018), au réexamen des décisions automatisées qui définissent son profil professionnel. Les résumés de l'arrêt précisent que la plateforme peut suspendre immédiatement un compte en cas de faute grave, mais doit en donner les motifs et permettre ensuite au chauffeur de répondre. Une différence : la LGPD garantit un réexamen mais, contrairement au RGPD, n'exige pas expressément une intervention humaine. Les plateformes brésiliennes qui organisent un travail effectué dans l'UE relèveront aussi de la directive sur le travail via une plateforme.

Conclusion

L'affaire Uber concerne des chauffeurs, mais sa leçon vaut pour toute organisation qui laisse un logiciel décider du sort de personnes. L'automatisation n'est pas illégale en soi. Ce qui l'est, ce sont les décisions inexpliquées et non contestables qui coupent le revenu ou la carrière de quelqu'un. Le message des régulateurs est constant : dites aux gens quand des algorithmes interviennent, expliquez leur fonctionnement, et placez une vraie personne dotée d'un vrai pouvoir derrière les décisions importantes. Les entreprises qui le font dès maintenant seront prêtes pour les règles sur les plateformes de décembre, l'échéance 2027 du règlement sur l'IA et ce qu'apportera la loi sur les emplois de qualité.

Réservez une consultation gratuite avec GDPRGard → et nous vous aiderons à passer en revue les décisions automatisées de vos outils RH et opérationnels.

Sources

• Autoriteit Persoonsgegevens : Uber krijgt boete van bijna 825 miljoen euro (21 août 2026)
• CEPD : Dutch DPA fines Uber EUR 824 990 000 (8 oct. 2026)
• CNIL : Automated decisions, Uber fined nearly EUR 825 million (24 août 2026)
• Reuters : Dutch regulator fines Uber $966 million for automating driver suspensions (21 août 2026)
• AEPD : La Agencia recuerda las garantías para utilizar IA en el análisis de currículums (23 sept. 2026)
• AEPD : Sistemas algorítmicos en el ámbito laboral (7 oct. 2026)
• A&O Shearman : Spain, AEPD warns on use of AI in recruitment (13 oct. 2026)
• EUR-Lex : directive (UE) 2024/2831 relative à l'amélioration des conditions de travail dans le cadre du travail via une plateforme
• EU-OSHA : directive 2024/2831/UE, travail via une plateforme
• LexLint : directive sur le travail via une plateforme, articles 9 à 11
• LawPlayer : directive (UE) 2024/2831, article 10 (contrôle humain)
• AI Act Service Desk : article 26, obligations des déployeurs de systèmes d'IA à haut risque
• AI Act Service Desk : annexe III, systèmes d'IA à haut risque
• White & Case : EU AI Omnibus enters into force, amending the AI Act
• 2EU : Commission brings algorithmic management into Quality Jobs Act work (6 oct. 2026)
• RGPD, articles 13, 22, 35 et 88 (gdpr-info.eu)
• Dizer o Direito : STJ, REsp 2.135.783-DF (août 2024)
• Brésil : LGPD, loi n° 13.709/2018

À lire également :

• Amende Uber de 825 M€ : quand « l'algorithme a décidé » devient une responsabilité
• Le règlement sur l'IA est reporté, pas annulé : votre calendrier de conformité 2026 à 2028
• Votre chatbot IA n'anonymise rien