A 21 de agosto de 2026, a autoridade neerlandesa de proteção de dados aplicou à Uber uma coima de 824,99 milhões de euros por deixar que algoritmos desativassem motoristas sem revisão humana efetiva. É uma das maiores coimas do RGPD de sempre e um sinal claro de que os reguladores usarão o RGPD, e não apenas o Regulamento da IA, para fiscalizar as decisões de IA. A Uber disse que vai recorrer.
Já tratámos os factos do caso no nosso artigo anterior. Este coloca outra pergunta: o que teria de mostrar a um regulador para provar que a sua revisão humana é real?
O caso em resumo
Entre 2018 e 2022, a Uber usou sistemas automatizados para suspender ou desativar definitivamente contas de motoristas por suspeita de fraude ou avaliações baixas. Para os motoristas, a desativação significava perder o rendimento de um dia para o outro. A queixa que deu origem ao caso veio de motoristas em França, e a autoridade neerlandesa conduziu a investigação porque a sede da Uber na UE é em Amesterdão. Concluiu que houve violações do artigo 22.º do RGPD, que protege as pessoas de decisões baseadas exclusivamente em tratamento automatizado que as afetem significativamente, e das regras de transparência do RGPD.
O «humano no circuito» tem de ser real
A parte mais útil da decisão para as empresas é o critério que aplica à supervisão humana. Uma revisão só conta se a pessoa tiver poder real para alterar o resultado e o exercer de facto. Uma validação meramente formal do resultado da máquina não basta.
Isto está em linha com a jurisprudência europeia. No acórdão SCHUFA (C-634/21), o Tribunal de Justiça decidiu que a elaboração de uma pontuação pode ser, por si só, a «decisão» quando um terceiro se baseia fortemente nela. Em Dun & Bradstreet Austria (C-203/22) exigiu que as empresas expliquem o procedimento e os princípios efetivamente aplicados. O fio condutor: os reguladores olham para o que o sistema e as pessoas à sua volta realmente fazem, não para o que diz o documento de política.
Cinco testes que um regulador pode aplicar
Pense na supervisão efetiva como cinco perguntas, cada uma com resposta documentável:
- Tempo. O revisor tem tempo suficiente por caso para formar a sua própria opinião? Uma fila de 200 casos por hora não é uma revisão.
- Informação. O revisor consegue ver porque é que o sistema sinalizou essa pessoa, e não apenas a pontuação?
- Autoridade. Pode reverter o resultado sem autorização de um superior nem uma justificação mais longa do que a necessária para concordar?
- Independência. É avaliado por concordar com o sistema, por exemplo através de metas de rapidez ou volume?
- Resultados. Os revisores alguma vez alteram o resultado? Uma taxa de reversão de zero é um sinal de alerta, não uma métrica de sucesso.
Construa o dossiê de provas
Para cada processo automatizado que afete significativamente uma pessoa, como triagem de CV, pontuação de crédito, sinalização de fraude, preços ou encerramento de contas, mantenha um dossiê curto com:
- uma descrição do processo e de onde se situa o passo humano;
- o papel, a formação e o poder de decisão do revisor;
- registos do tempo de revisão e das taxas de reversão, verificados trimestralmente;
- a explicação dada às pessoas afetadas e o caminho para contestar uma decisão;
- a AIPD que cobre o processo.
Se explora uma plataforma de trabalho digital, note que as regras da Diretiva da UE sobre trabalho em plataformas relativas à supervisão e revisão humanas têm de ser transpostas até 2 de dezembro de 2026, o que torna este exercício urgente.
O CEPD também define regras para o treino de IA
Enquanto a fiscalização faz as manchetes, o Comité Europeu para a Proteção de Dados está a moldar a forma como os modelos de IA podem ser construídos. A 7 de julho de 2026 adotou as Orientações 03/2026 sobre web scraping para IA generativa, em consulta até 30 de outubro. O projeto vê no interesse legítimo a base jurídica realista para extrair dados pessoais da web para treinar IA, mas só com garantias fortes:
- critérios de recolha claros e exclusão de fontes sensíveis;
- filtros para categorias especiais de dados, que mantêm a proteção do artigo 9.º mesmo quando recolhidas por acidente;
- limites nas saídas e nos prompts para impedir que os modelos revelem dados pessoais;
- respeito pelas exclusões como o robots.txt e as reservas de text and data mining.
A mensagem prática: «tirámos da web pública» não é defesa. Os reguladores querem ver diligência documentada. Veja o nosso guia sobre dados de treino de IA.
O GDPRChat é um widget de chat com clientes baseado em IA, construído com portas de consentimento nos termos do artigo 7.º e eliminação automática de dados — a conformidade está integrada na arquitetura, e não acrescentada depois de um regulador começar a fazer perguntas.
Cinco lições para as PME
- Liste as suas decisões automatizadas. Encontre cada processo em que um software decide algo importante sobre uma pessoa sem intervenção humana.
- Torne a revisão humana efetiva. Dê aos revisores tempo, contexto e autoridade, e registe quando revertem o sistema.
- Explique as decisões. Diga às pessoas quando há IA envolvida, como podem contestar o resultado e a quem recorrer.
- Verifique os seus fornecedores. Se compra ferramentas de IA, pergunte como foram treinados os modelos e se os dados extraídos foram filtrados.
- Guarde provas. As políticas não bastam. A decisão sobre a Uber assentou no que o sistema realmente fazia.
Em resumo
O caso Uber é um aviso escrito em euros. A IA pode acelerar as decisões, mas, segundo o RGPD, a responsabilidade por essas decisões continua a ser das pessoas e da empresa que implanta o sistema.
Marque uma consulta gratuita com a GDPRGard → e ajudamos a verificar se a revisão humana nas suas ferramentas resistiria a um exame.
Fontes
- Autoriteit Persoonsgegevens: Uber multada em quase 825 milhões de euros por bloqueio automatizado de motoristas (21 ago. 2026)
- Dastra: coima de 825 milhões de euros, Uber sancionada por decisões automatizadas
- CEPD: Orientações 03/2026 sobre web scraping para IA generativa
- Reed Smith: orientações do CEPD sobre web scraping para IA
Responda a uma breve autoavaliação sobre como as decisões automatizadas são revistas na sua empresa, medida face ao padrão de supervisão humana do art. 22.º.
Leia também:
- Esqueça o regulamento da IA — o RGPD já está a multar empresas por erros de IA
- A desculpa "era público" acabou: o RGPD agora cobre formalmente os dados de treino da IA
- O regulamento da IA já se aplica aos sistemas de alto risco. Agora responde perante dois reguladores.