Il 21 agosto 2026 l'autorità olandese per la protezione dei dati ha multato Uber per 824,99 milioni di euro per aver lasciato che algoritmi disattivassero gli autisti senza un vero controllo umano. È una delle sanzioni GDPR più alte di sempre e un chiaro segnale che le autorità useranno il GDPR, e non solo il Regolamento sull'IA, per vigilare sulle decisioni dell'IA. Uber ha dichiarato che farà ricorso.
Abbiamo trattato i fatti del caso nel nostro articolo precedente. Questo pone un'altra domanda: cosa dovresti mostrare a un'autorità per dimostrare che il tuo controllo umano è reale?
Il caso in breve
Tra il 2018 e il 2022 Uber ha usato sistemi automatizzati per sospendere o disattivare in via definitiva gli account degli autisti per sospetta frode o punteggi bassi. Per gli autisti la disattivazione significava perdere il reddito da un giorno all'altro. Il reclamo che ha dato origine al caso veniva da autisti in Francia, e l'autorità olandese ha condotto l'indagine perché la sede europea di Uber è ad Amsterdam. Ha rilevato violazioni dell'articolo 22 GDPR, che tutela le persone dalle decisioni basate unicamente sul trattamento automatizzato che incidono in modo significativo su di esse, e delle regole di trasparenza del GDPR.
L'«umano nel circuito» deve essere reale
La parte più utile della decisione per le aziende è il criterio che applica alla supervisione umana. Una revisione conta solo se la persona ha un reale potere di cambiare l'esito e lo esercita davvero. Una convalida di pura forma dell'output di una macchina non basta.
Ciò è coerente con la giurisprudenza europea. Nella sentenza SCHUFA (C-634/21) la Corte di giustizia ha stabilito che la produzione di uno score può essere essa stessa la «decisione» quando un terzo vi si affida in misura determinante. In Dun & Bradstreet Austria (C-203/22) ha preteso che le aziende spieghino la procedura e i principi effettivamente applicati. Il filo comune: le autorità guardano a ciò che il sistema e le persone attorno ad esso fanno davvero, non a ciò che dice il documento di policy.
Cinque test che un'autorità può applicare
Pensa alla supervisione efficace come a cinque domande, ciascuna con una risposta documentabile:
- Tempo. Il revisore ha abbastanza tempo per caso per formarsi un giudizio proprio? Una coda di 200 casi all'ora non è una revisione.
- Informazione. Il revisore vede perché il sistema ha segnalato quella persona, e non solo lo score?
- Autorità. Può ribaltare l'esito senza il permesso di un superiore o una motivazione più lunga di quella necessaria per concordare?
- Indipendenza. Viene valutato sulla concordanza con il sistema, ad esempio tramite obiettivi di velocità o volumi?
- Risultati. I revisori cambiano mai l'esito? Un tasso di ribaltamento pari a zero è un campanello d'allarme, non un indicatore di successo.
Costruisci il fascicolo di prove
Per ogni processo automatizzato che incide in modo significativo su una persona, come la selezione di CV, lo scoring creditizio, le segnalazioni di frode, i prezzi o la chiusura di account, conserva un breve fascicolo con:
- una descrizione del processo e di dove si colloca il passaggio umano;
- il ruolo, la formazione e il potere decisionale del revisore;
- registri dei tempi di revisione e dei tassi di ribaltamento, verificati ogni trimestre;
- la spiegazione fornita agli interessati e il percorso per contestare una decisione;
- la DPIA relativa al processo.
Se gestisci una piattaforma di lavoro digitale, tieni presente che le norme della direttiva UE sul lavoro tramite piattaforma su supervisione e riesame umani devono essere recepite entro il 2 dicembre 2026, il che rende urgente questo esercizio.
Anche il CEPD fissa regole per l'addestramento dell'IA
Mentre le sanzioni fanno notizia, il Comitato europeo per la protezione dei dati sta plasmando il modo in cui si possono costruire i modelli di IA. Il 7 luglio 2026 ha adottato le linee guida 03/2026 sul web scraping per l'IA generativa, in consultazione fino al 30 ottobre. La bozza vede nel legittimo interesse la base giuridica realistica per raccogliere dati personali dal web e addestrare l'IA, ma solo con garanzie solide:
- criteri di raccolta chiari ed esclusione delle fonti sensibili;
- filtri per le categorie particolari di dati, che mantengono la tutela dell'articolo 9 anche se raccolte per errore;
- limiti su output e prompt per impedire ai modelli di rivelare dati personali;
- rispetto delle esclusioni come robots.txt e delle riserve sul text and data mining.
Il messaggio pratico: «l'abbiamo preso dal web pubblico» non è una difesa. Le autorità vogliono vedere una diligenza documentata. Vedi la nostra guida ai dati di addestramento dell'IA.
GDPRChat è un widget di chat con i clienti basato su IA, costruito con gate di consenso conformi all'art. 7 e cancellazione automatica dei dati — la conformità è integrata nell'architettura, non aggiunta in seguito quando un'autorità inizia a fare domande.
Cinque lezioni per le PMI
- Elenca le tue decisioni automatizzate. Individua ogni processo in cui un software decide qualcosa di importante su una persona senza un umano.
- Rendi reale la revisione umana. Dai ai revisori tempo, contesto e autorità, e registra quando ribaltano il sistema.
- Spiega le decisioni. Di' alle persone quando interviene l'IA, come possono contestare l'esito e a chi rivolgersi.
- Controlla i fornitori. Se acquisti strumenti di IA, chiedi come sono stati addestrati i modelli e se i dati raccolti dal web sono stati filtrati.
- Conserva le prove. Le policy non bastano. La decisione su Uber si è fondata su ciò che il sistema faceva davvero.
In sintesi
Il caso Uber è un monito scritto in euro. L'IA può accelerare le decisioni, ma secondo il GDPR la responsabilità di quelle decisioni resta alle persone e all'azienda che impiega il sistema.
Prenota una consulenza gratuita con GDPRGard → e ti aiuteremo a verificare se la revisione umana nei tuoi strumenti reggerebbe a un controllo.
Fonti
- Autoriteit Persoonsgegevens: Uber multata per quasi 825 milioni di euro per il blocco automatizzato degli autisti (21 ago. 2026)
- Dastra: sanzione da 825 milioni di euro, Uber punita per decisioni automatizzate
- CEPD: Linee guida 03/2026 sul web scraping per l'IA generativa
- Reed Smith: le linee guida del CEPD sul web scraping per l'IA
Rispondete a una breve autovalutazione su come vengono riviste le decisioni automatizzate nella vostra azienda, misurata rispetto allo standard di supervisione umana dell'art. 22.
Leggi anche:
- Dimentica il regolamento IA — il GDPR già oggi multa le aziende per errori legati all'IA
- La scusa «era pubblico» non regge più: il GDPR ora copre formalmente i dati di addestramento dell'IA
- Il regolamento IA si applica ai sistemi ad alto rischio. Ora rispondi a due autorità.