Lekcija od 825 milijuna: je li ljudski pregled u vašem UI procesu stvaran?

Nizozemsko tijelo za zaštitu podataka je 21. kolovoza 2026. kaznilo Uber s 824,99 milijuna eura jer je dopustilo da algoritmi deaktiviraju vozače bez stvarnog ljudskog pregleda. To je jedna od najvećih GDPR kazni ikad i jasan signal da će regulatori GDPR, a ne samo Akt o UI-ju, koristiti za nadzor odluka UI-ja. Uber je rekao da će se žaliti.

Činjenice slučaja obradili smo u našem ranijem članku. Ovaj postavlja drukčije pitanje: što biste morali pokazati regulatoru da dokažete da je vaš ljudski pregled stvaran?

Slučaj ukratko

Između 2018. i 2022. Uber je koristio automatizirane sustave za suspenziju ili trajnu deaktivaciju vozačkih računa zbog sumnje na prijevaru ili niskih ocjena. Vozačima je deaktivacija značila gubitak prihoda preko noći. Pritužba koja je pokrenula slučaj stigla je od vozača u Francuskoj, a nizozemsko tijelo vodilo je istragu jer je Uberovo sjedište u EU-u u Amsterdamu. Utvrdilo je povrede članka 22. GDPR-a, koji štiti ljude od odluka temeljenih isključivo na automatiziranoj obradi koje ih bitno pogađaju, kao i pravila o transparentnosti iz GDPR-a.

„Čovjek u petlji” mora biti stvaran

Najkorisniji dio odluke za tvrtke je mjerilo koje primjenjuje na ljudski nadzor. Pregled se računa samo ako osoba ima stvarnu moć promijeniti ishod i to doista čini. Formalno potpisivanje strojnog izlaza nije dovoljno.

To je u skladu s europskom sudskom praksom. U presudi SCHUFA (C-634/21) Sud je utvrdio da samo izrada ocjene može biti „odluka” kad se treća strana na nju znatno oslanja. U predmetu Dun & Bradstreet Austria (C-203/22) zahtijevao je da tvrtke objasne postupak i načela koji se stvarno primjenjuju. Zajednička nit: regulatori gledaju što sustav i ljudi oko njega stvarno rade, a ne što piše u dokumentu politike.

Pet testova koje regulator može primijeniti

Zamislite smislen nadzor kao pet pitanja, na svako od kojih se može odgovoriti dokazima:

1. Vrijeme. Ima li pregledavatelj dovoljno vremena po slučaju da stvori vlastito mišljenje? Red od 200 slučajeva na sat nije pregled.
2. Informacije. Vidi li pregledavatelj zašto je sustav označio tu osobu, a ne samo ocjenu?
3. Ovlast. Može li poništiti rezultat bez dopuštenja nadređenog ili obrazloženja duljeg od onog potrebnog za slaganje?
4. Neovisnost. Mjeri li se pregledavatelja prema slaganju sa sustavom, na primjer ciljevima brzine ili protoka?
5. Ishodi. Mijenjaju li pregledavatelji ikad rezultat? Stopa poništavanja od nule crvena je zastavica, a ne pokazatelj uspjeha.

Napravite dosje dokaza

Za svaki automatizirani proces koji bitno utječe na osobu, poput probira životopisa, kreditnog bodovanja, oznaka prijevare, određivanja cijena ili zatvaranja računa, vodite kratak dosje koji sadrži:

• opis procesa i mjesta ljudskog koraka;
• ulogu, obuku i ovlast odlučivanja pregledavatelja;
• zapise o trajanju pregleda i stopama poništavanja, provjeravane tromjesečno;
• objašnjenje dano pogođenim osobama i put za osporavanje odluke;
• DPIA koja pokriva proces.

Ako upravljate platformom za digitalni rad, imajte na umu da se pravila Direktive EU-a o radu putem platformi o ljudskom nadzoru i preispitivanju moraju prenijeti do 2. prosinca 2026., zbog čega je ova vježba hitna.

EDPB postavlja pravila i za treniranje UI-ja

Dok provedba zauzima naslovnice, Europski odbor za zaštitu podataka oblikuje kako se UI modeli smiju graditi. Dana 7. srpnja 2026. donio je Smjernice 03/2026 o web scrapingu za generativni UI, u savjetovanju do 30. listopada. Nacrt legitimni interes vidi kao realnu pravnu osnovu za prikupljanje osobnih podataka s weba radi treniranja UI-ja, ali samo uz snažne zaštitne mjere:

• jasni kriteriji prikupljanja i isključivanje osjetljivih izvora;
• filtri za posebne kategorije podataka, koje zadržavaju zaštitu iz članka 9. čak i kad se prikupe slučajno;
• ograničenja izlaza i upita kako modeli ne bi otkrivali osobne podatke;
• poštovanje isključenja poput robots.txt i pridržaja rudarenja teksta i podataka.

Praktična poruka: „uzeli smo s javnog weba” nije obrana. Regulatori žele vidjeti dokumentiranu dužnu pažnju. Pogledajte naš vodič o podacima za treniranje UI-ja.

Pet lekcija za MSP-ove

1. Popišite svoje automatizirane odluke. Pronađite svaki proces u kojem softver bez čovjeka odlučuje nešto važno o osobi.
2. Učinite ljudski pregled smislenim. Dajte pregledavateljima vrijeme, kontekst i ovlast te bilježite kad poništavaju sustav.
3. Objasnite odluke. Recite ljudima kad je UI uključen, kako mogu osporiti rezultat i kome se obratiti.
4. Provjerite dobavljače. Ako kupujete UI alate, pitajte kako su modeli trenirani i jesu li prikupljeni podaci filtrirani.
5. Čuvajte dokaze. Politike nisu dovoljne. Odluka o Uberu temeljila se na onome što je sustav stvarno radio.

Zaključak

Slučaj Uber upozorenje je napisano u eurima. UI može ubrzati odluke, ali prema GDPR-u odgovornost za te odluke ostaje na ljudima i na tvrtki koja sustav primjenjuje.

Rezervirajte besplatno savjetovanje s GDPRGardom → i pomoći ćemo vam provjeriti bi li ljudski pregled u vašim alatima izdržao provjeru.

Izvori

• Autoriteit Persoonsgegevens: Uber kažnjen s gotovo 825 milijuna eura zbog automatiziranog blokiranja vozača (21. kol. 2026.)
• Dastra: kazna od 825 milijuna eura, Uber sankcioniran zbog automatiziranog odlučivanja
• EDPB: Smjernice 03/2026 o web scrapingu za generativni UI
• Reed Smith: EDPB-ove smjernice o web scrapingu za UI

Pročitajte i:

• Zaboravite Akt o UI — GDPR već kažnjava tvrtke za pogreške umjetne inteligencije
• Izgovor "bilo je javno" je gotov: GDPR sada formalno pokriva podatke za treniranje UI-ja
• Akt o umjetnoj inteligenciji sada vrijedi za visokorizične sustave. Odgovarate dvama regulatorima.