Le 21 août 2026, l'autorité néerlandaise de protection des données a infligé à Uber une amende de 824,99 millions d'euros pour avoir laissé des algorithmes désactiver des chauffeurs sans véritable contrôle humain. C'est l'une des plus grosses amendes RGPD jamais prononcées et un signal clair : les régulateurs utiliseront le RGPD, et pas seulement le règlement sur l'IA, pour encadrer les décisions d'IA. Uber a annoncé qu'elle ferait appel.
Nous avons présenté les faits dans notre article précédent. Celui-ci pose une autre question : que devriez-vous montrer à un régulateur pour prouver que votre contrôle humain est réel ?
L'affaire en bref
Entre 2018 et 2022, Uber a utilisé des systèmes automatisés pour suspendre ou désactiver définitivement des comptes de chauffeurs en cas de soupçon de fraude ou de mauvaises notes. Pour les chauffeurs, une désactivation signifiait perdre leurs revenus du jour au lendemain. La plainte à l'origine de l'affaire venait de chauffeurs en France, et l'autorité néerlandaise a mené l'enquête car le siège européen d'Uber est à Amsterdam. Elle a constaté des violations de l'article 22 du RGPD, qui protège les personnes contre les décisions fondées exclusivement sur un traitement automatisé et qui les affectent de manière significative, ainsi que des règles de transparence du RGPD.
L'« humain dans la boucle » doit être réel
L'enseignement le plus utile de la décision pour les entreprises est le critère qu'elle applique à la supervision humaine. Un contrôle ne compte que si la personne a un réel pouvoir de modifier le résultat et l'exerce effectivement. Une validation de pure forme de la sortie d'une machine ne suffit pas.
Cela rejoint la jurisprudence européenne. Dans l'arrêt SCHUFA (C-634/21), la Cour de justice a jugé que l'établissement d'un score peut être en lui-même la « décision » lorsqu'un tiers s'y fie largement. Dans Dun & Bradstreet Austria (C-203/22), elle a exigé que les entreprises expliquent la procédure et les principes réellement appliqués. Le fil conducteur : les régulateurs regardent ce que le système et les personnes qui l'entourent font réellement, pas ce que dit le document de politique interne.
Cinq tests qu'un régulateur peut appliquer
Voyez une supervision réelle comme cinq questions, chacune appelant une preuve :
- Le temps. Le réviseur a-t-il assez de temps par dossier pour se faire son propre avis ? Une file de 200 dossiers à l'heure n'est pas un contrôle.
- L'information. Le réviseur voit-il pourquoi le système a signalé cette personne, et pas seulement le score ?
- Le pouvoir. Peut-il annuler le résultat sans l'autorisation d'un responsable ni une justification plus longue que celle nécessaire pour approuver ?
- L'indépendance. Est-il évalué sur son accord avec le système, par exemple via des objectifs de rapidité ou de volume ?
- Les résultats. Les réviseurs changent-ils parfois le résultat ? Un taux d'infirmation de zéro est un signal d'alerte, pas un indicateur de réussite.
Constituez le dossier de preuves
Pour chaque processus automatisé qui affecte significativement une personne, comme le tri de CV, le scoring de crédit, les alertes de fraude, la tarification ou la clôture de compte, conservez un dossier succinct contenant :
- une description du processus et de la place de l'étape humaine ;
- le rôle, la formation et le pouvoir de décision du réviseur ;
- des journaux montrant le temps de revue et les taux d'infirmation, contrôlés chaque trimestre ;
- l'explication donnée aux personnes concernées et la voie pour contester une décision ;
- l'AIPD couvrant le processus.
Si vous exploitez une plateforme de travail numérique, notez que les règles de la directive européenne sur le travail via une plateforme relatives à la supervision humaine et au réexamen doivent être transposées d'ici le 2 décembre 2026, ce qui rend cet exercice urgent.
Le CEPD fixe aussi les règles de l'entraînement de l'IA
Pendant que les sanctions font la une, le Comité européen de la protection des données façonne la manière dont les modèles d'IA peuvent être construits. Le 7 juillet 2026, il a adopté les lignes directrices 03/2026 sur le web scraping pour l'IA générative, en consultation jusqu'au 30 octobre. Le projet voit dans l'intérêt légitime la base juridique réaliste pour moissonner des données personnelles afin d'entraîner l'IA, mais seulement avec de solides garanties :
- des critères de collecte clairs et l'exclusion des sources sensibles ;
- des filtres pour les catégories particulières de données, qui conservent leur protection de l'article 9 même collectées par accident ;
- des limites sur les sorties et les requêtes pour empêcher les modèles de révéler des données personnelles ;
- le respect des oppositions comme robots.txt et les réserves de fouille de textes et de données.
Le message pratique : « nous l'avons pris sur le web public » n'est pas une défense. Les régulateurs veulent voir une diligence documentée. Voir notre guide sur les données d'entraînement de l'IA.
GDPRChat est un widget de chat client IA conçu avec des portes de consentement conformes à l'article 7 et une suppression automatique des données — la conformité est intégrée dans l'architecture, pas ajoutée après coup quand un régulateur commence à poser des questions.
Cinq leçons pour les PME
- Listez vos décisions automatisées. Repérez chaque processus où un logiciel décide de quelque chose d'important pour une personne sans humain.
- Rendez le contrôle humain réel. Donnez aux réviseurs du temps, du contexte et du pouvoir, et consignez quand ils infirment le système.
- Expliquez les décisions. Dites aux personnes quand une IA intervient, comment contester le résultat et qui contacter.
- Vérifiez vos fournisseurs. Si vous achetez des outils d'IA, demandez comment leurs modèles ont été entraînés et si les données moissonnées ont été filtrées.
- Conservez les preuves. Les politiques ne suffisent pas. La décision Uber a reposé sur ce que le système faisait réellement.
En bref
L'affaire Uber est un avertissement écrit en euros. L'IA peut accélérer les décisions, mais selon le RGPD la responsabilité de ces décisions reste aux personnes, et à l'entreprise qui déploie le système.
Réserver une consultation gratuite avec GDPRGard → et nous vous aiderons à vérifier si le contrôle humain de vos outils résisterait à l'examen.
Sources
- Autoriteit Persoonsgegevens : Uber condamnée à près de 825 millions d'euros pour blocage automatisé de chauffeurs (21 août 2026)
- Dastra : amende de 825 millions d'euros, Uber sanctionnée pour décisions automatisées
- CEPD : lignes directrices 03/2026 sur le web scraping pour l'IA générative
- Reed Smith : les lignes directrices du CEPD sur le web scraping pour l'IA
Répondez à une courte auto-évaluation sur la manière dont les décisions automatisées sont revues dans votre entreprise, au regard de la norme de supervision humaine de l'art. 22.
À lire également :
- Oubliez le règlement IA — le RGPD sanctionne déjà les entreprises pour leurs erreurs liées à l'IA
- L'excuse « c'était public » n'existe plus : le RGPD couvre désormais formellement les données d'entraînement de l'IA
- Le règlement IA s'applique aux systèmes à haut risque. Vous avez désormais deux régulateurs.