Ce que reproche l'autorité néerlandaise à Uber
L'Autorité néerlandaise de protection des données (AP) a rendu, le 17 août 2026 selon un document examiné par Reuters, une décision infligeant à Uber une amende de 824,99 millions d'euros. Le régulateur estime que l'entreprise a désactivé des comptes de chauffeurs par le biais de systèmes automatisés, sans les en informer correctement et sans leur garantir les droits que le RGPD attache aux décisions prises sans intervention humaine déterminante. La décision précise qu'Uber a violé « le droit de ne pas faire l'objet d'une prise de décision automatisée ayant des conséquences significatives » ainsi que « le droit à l'information ». L'AP qualifie ces manquements d'infraction grave, ce qui justifie selon elle le montant de la sanction.
L'affaire trouve son origine dans une plainte déposée en France et porte sur des incidents survenus dans plusieurs pays européens entre 2020 et 2022. Le dossier a été traité par le régulateur néerlandais parce que le siège européen d'Uber est installé à Amsterdam, ce qui en fait l'autorité chef de file pour ce type de contentieux au sein de l'Union.
Des algorithmes censés détecter la fraude, mais qui décidaient aussi de la sanction
Les suspensions visées concernaient des chauffeurs soupçonnés de comportements frauduleux, en particulier des détours jugés inutiles destinés à gonfler le prix des courses, ou l'acceptation de courses sans intention réelle de les effectuer. Ces anomalies étaient repérées par des systèmes automatisés, qui pouvaient ensuite déclencher une suspension du compte. L'AP relève également que des chauffeurs ayant reçu de faibles notes de la part des clients ont, dans certains cas, été exclus définitivement de la plateforme. Uber affirme de son côté ne pas avoir désactivé définitivement des comptes sans examen humain, une divergence d'appréciation qui reste au cœur du litige.
Pour un chauffeur, la conséquence d'une suspension n'est pas anecdotique : elle interrompt immédiatement l'accès à la plateforme et donc aux revenus qui en découlent, avec pour seule certitude de devoir ensuite comprendre ce qui lui est reproché et tenter de le contester.
Ce que dit le RGPD sur les décisions automatisées
Le règlement général sur la protection des données interdit les décisions automatisées produisant un impact important sur la vie des personnes, dès lors qu'elles ne s'accompagnent pas d'un contrôle humain et d'une possibilité réelle de les contester. Ce n'est donc pas l'usage d'un algorithme de détection qui est en cause en tant que tel, mais l'absence de garanties suffisantes au moment où cette détection se traduit par une conséquence professionnelle majeure pour la personne concernée. L'AP a jugé que, sur la période 2020-2022, ces garanties n'étaient pas réunies chez Uber, ni sur le plan de l'information préalable, ni sur celui du contrôle humain effectif.
Uber conteste et revendique des garanties renforcées
Uber a annoncé son intention de faire appel. Un porte-parole du groupe a déclaré : « Nous sommes en profond désaccord avec cette décision et cette amende disproportionnée », en affirmant que l'entreprise garantit des contrôles humains ainsi que le droit de contester les suspensions. Dans une autre déclaration, Uber a précisé : « Nous contestons fermement cette décision ainsi que le montant disproportionné de l'amende, et nous ferons appel », ajoutant que l'AP avait examiné « d'anciennes pratiques, abandonnées depuis plusieurs années ».
L'entreprise soutient prendre « très au sérieux » les décisions ayant un impact sur les chauffeurs et veiller à ce qu'elles soient « justes » et « équitables ». Elle précise : « Cela implique que la revue de ces décisions par des personnes s'accompagne de protections solides et que les chauffeurs ont la possibilité de faire appel s'ils estiment que nous avons commis une erreur. » Uber indique par ailleurs qu'un examen humain est désormais obligatoire avant toute désactivation définitive d'un compte, et qu'une procédure d'appel formelle a été mise en place, la décision de suspension définitive ne reposant plus uniquement sur un système automatisé.
Une amende qui rejoint le sommet du classement RGPD
Avec ce montant, Uber se place au deuxième rang des sanctions RGPD les plus élevées jamais prononcées, derrière l'amende de 1,2 milliard d'euros infligée à Meta par l'Irlande en 2023 pour le transfert illégal vers les États-Unis des données d'utilisateurs européens de Facebook, décision dont Meta a fait appel.
| Entreprise | Montant | Année | Autorité | Motif |
|---|---|---|---|---|
| Meta | 1,2 milliard d'euros | 2023 | Irlande (DPC) | Transfert de données d'utilisateurs européens vers les États-Unis |
| Uber | 824,99 millions d'euros | 2026 | Pays-Bas (AP) | Suspension automatisée de comptes de chauffeurs sans contrôle humain ni information suffisante |
Ce que cela change pour les entreprises qui associent IA et décisions humaines
Le dossier Uber illustre une frontière que le RGPD trace depuis longtemps, mais que la généralisation des outils d'intelligence artificielle rend concrète pour un nombre croissant d'employeurs : automatiser la détection d'une anomalie est autorisé, automatiser la décision qui en découle lorsqu'elle a des conséquences professionnelles significatives ne l'est pas, sauf à garantir un contrôle humain réel, une information préalable et une voie de contestation. Pour une entreprise française qui utilise des modèles d'IA pour analyser des données de performance, de comportement ou de fraude concernant des salariés ou des prestataires, la décision néerlandaise rappelle que le paramétrage technique ne suffit pas : c'est l'organisation du processus de décision, avec ou sans intervention humaine effective, qui est examinée par les régulateurs.
Cette exigence de contrôle humain se distingue de la question, connexe mais différente, de la protection des données envoyées aux modèles d'IA eux-mêmes. Des plateformes françaises comme Moon AI, éditée par Stellarr Studio SAS, proposent par exemple un mécanisme appelé Moon Blur, qui remplace les données personnelles par des jetons avant leur envoi à des modèles tiers, puis les rétablit au retour. Ce procédé étant réversible, il s'agit d'une pseudonymisation au sens du RGPD, et non d'une anonymisation : les données restent identifiables si l'on dispose de la clé de correspondance. Un tel dispositif peut réduire l'exposition des données personnelles lors de leur traitement par des modèles tiers, mais il ne remplace pas les obligations spécifiques aux décisions automatisées mises en cause dans l'affaire Uber, à savoir le contrôle humain effectif et la possibilité de contester une décision ayant des conséquences significatives.
Les sources consultées ne font pas mention d'une articulation de cette décision avec l'AI Act, le règlement européen sur l'intelligence artificielle. La sanction infligée à Uber repose exclusivement sur le RGPD, tel qu'appliqué par l'autorité néerlandaise. Les entreprises qui déploient des systèmes d'IA dans la gestion de leurs collaborateurs ou prestataires ne peuvent donc, à ce stade et sur la base de ce dossier, se référer qu'aux exigences du RGPD en matière de décision automatisée pour évaluer leur exposition.
Questions fréquentes
Le RGPD interdit-il toute utilisation de l'IA dans les décisions concernant des salariés ou des prestataires ?
Non. Le RGPD n'interdit pas le recours à des systèmes automatisés pour détecter des anomalies ou instruire un dossier. Il interdit qu'une décision produisant un effet important sur une personne repose exclusivement sur un traitement automatisé, sans contrôle humain ni possibilité de contestation. C'est ce défaut de garanties, et non l'usage de l'IA en soi, que sanctionne l'autorité néerlandaise dans le dossier Uber.
Une entreprise française pourrait-elle faire l'objet d'une sanction comparable ?
L'affaire montre que le mécanisme de plainte peut partir d'un pays, en l'occurrence la France, et être traité par l'autorité de protection des données du pays où se trouve le siège européen de l'entreprise concernée, ici les Pays-Bas pour Uber. Les sources ne donnent pas d'exemple de sanction comparable visant une entreprise française, mais le principe d'un contrôle humain et d'une possibilité de contestation pour les décisions automatisées à fort impact s'applique dans les mêmes termes à toute entreprise soumise au RGPD.
Le simple fait d'ajouter un contrôle humain suffit-il à se mettre en conformité ?
D'après les éléments de la décision néerlandaise, le contrôle humain doit être réel et s'accompagner d'une information préalable de la personne concernée ainsi que d'une possibilité effective de contester la décision. Uber affirme avoir mis en place un examen humain obligatoire avant toute désactivation définitive et une procédure d'appel formelle, mais l'AP a jugé que ces garanties n'étaient pas suffisamment respectées pendant la période 2020-2022 visée par l'enquête.
Cette amende concerne-t-elle aussi l'AI Act européen ?
Les sources disponibles n'établissent aucun lien entre cette sanction et l'AI Act. La décision de l'autorité néerlandaise repose uniquement sur le RGPD et sur les droits qu'il attache aux décisions automatisées ayant des conséquences significatives.