L'Autorité néerlandaise de protection des données (AP) a infligé à Uber une amende de 825 millions d'euros, soit environ 966 millions de dollars, pour avoir utilisé des systèmes automatisés pour désactiver les comptes des conducteurs sans les informer correctement, dans ce qui est considéré comme la deuxième plus grande sanction jamais infligée en vertu du règlement général européen sur la protection des données.

La décision, rapportée vendredi par Reuters après que l'agence de presse a examiné les conclusions du régulateur, se situe à l'intersection de deux des tendances technologiques les plus importantes : la diffusion de la gestion algorithmique dans l'économie des petits boulots et l'application de plus en plus affirmée par l'Europe des règles qui régissent la prise de décision automatisée. Pour une couverture continue de la manière dont les gouvernements contrôlent les systèmes d'IA, suivez le rapport sur la réglementation d'AI Buzz Wire.

Ce que le régulateur a trouvé

Selon l'AP, les systèmes automatisés d'Uber ont temporairement suspendu les comptes de plusieurs chauffeurs en Europe soupçonnés de fraude entre 2020 et 2022. Dans certains cas, les chauffeurs avec de faibles évaluations clients ont été suspendus définitivement.

Le régulateur a conclu que cette pratique violait les droits des conducteurs en vertu du RGPD, qui interdit aux entreprises de laisser un algorithme informatique prendre des décisions ayant un impact significatif sur la vie des gens. Être coupé d’une plateforme dont dépendent les conducteurs pour leur subsistance est considéré comme une conséquence importante.

"L'AP a déterminé qu'Uber avait violé les droits des conducteurs, en particulier le droit de ne pas être soumis à une prise de décision automatisée ayant des conséquences importantes", a déclaré le régulateur dans sa décision, citée par Reuters. "Uber a également violé leur droit à l'information."

Pourquoi un régulateur néerlandais a pris le cas

L'enquête fait suite à une plainte déposée par des chauffeurs Uber en France. L'AP a traité l'affaire parce que le siège européen d'Uber est situé aux Pays-Bas, ce qui fait de l'autorité néerlandaise le principal superviseur de la confidentialité des opérations de la société de covoiturage dans l'Union européenne.

C'est l'ampleur de la sanction qui rend le cas exceptionnel. L'amende de 825 millions d'euros est considérée comme la deuxième plus élevée jamais infligée en vertu du RGPD, dépassée seulement par l'amende de 1,2 milliard d'euros imposée à Meta en 2023 par le régulateur irlandais de la protection des données pour les transferts illégaux de données d'utilisateurs européens vers les États-Unis. Meta, comme Uber, a fait appel de cette amende et l'affaire n'est toujours pas résolue.

Réponse d'Uber

Uber a déclaré qu'il ferait appel de la décision, arguant qu'il n'avait pas désactivé définitivement les comptes sans examen humain. La société a déclaré à Reuters qu'elle ne prenait plus de décisions permanentes concernant la désactivation uniquement via des systèmes automatisés.

"Nous sommes fortement en désaccord avec cette décision et cette amende disproportionnée", a déclaré un porte-parole d'Uber dans un communiqué, ajoutant que l'entreprise prend les droits des conducteurs au sérieux et que ses politiques actuelles incluent des examens humains et la possibilité pour les conducteurs de contester les décisions de compte.

Pourquoi l'affaire est importante au-delà d'Uber

À la base, la décision est un avertissement pour toute entreprise qui laisse un logiciel faire des choix conséquents concernant les personnes – désactiver des comptes, réduire les paiements, restreindre l’accès à une plate-forme – sans surveillance humaine ni transparence significative.

Les dispositions du RGPD en matière de prise de décision automatisée ont été rédigées des années avant la vague actuelle d'agents d'IA et d'outils de gestion algorithmique, mais les régulateurs européens les appliquent de plus en plus aux systèmes modernes d'apprentissage automatique. L’amende imposée à Uber démontre que les règles ont du mordant : les sanctions peuvent désormais atteindre le même ordre de grandeur que les grandes actions antitrust, et elles s’appliquent aux décisions prises par des systèmes fonctionnant à l’échelle de millions d’utilisateurs.

Pour les plateformes d’économie des petits boulots, cette affaire est susceptible d’entraîner un vaste réexamen des systèmes de détection des fraudes, de désactivation basée sur les notations et de vérification d’identité – précisément le type de flux de travail automatisés qui ont toujours été peu coûteux à exécuter et difficiles à contester pour les travailleurs concernés. Les conducteurs européens se plaignent depuis longtemps du fait que les suspensions de comptes arrivent avec peu d'explications et sans possibilité pratique de faire appel, et la décision de l'AP valide directement l'essentiel de ces plaintes.

La décision intervient également alors que Bruxelles impose des obligations supplémentaires aux systèmes d'IA par le biais de la loi européenne sur l'IA, qui impose des exigences de transparence et de gestion des risques aux systèmes qui affectent les individus. Les entreprises qui n’ont pas encore déterminé lesquels de leurs processus automatisés relèvent de ces régimes sont désormais confrontées à un risque juridique et financier croissant – un signal renforcé par le Financial Times, qui a noté que la sanction d’Uber se classe parmi les plus importantes sanctions RGPD jamais enregistrées.

Que se passe-t-il ensuite

L'appel d'Uber sera porté devant les tribunaux néerlandais, une procédure qui, dans des cas précédents tels que celui de Meta, a déjà duré plusieurs années. Dans le même temps, l'amende constitue la mesure coercitive européenne la plus importante à ce jour contre la gestion algorithmique des comptes, et les régulateurs de la vie privée de tout le bloc devraient étudier de près le raisonnement de l'AP.

Pour les conducteurs, le changement pratique immédiat pourrait être limité : Uber maintient que ses systèmes actuels incluent déjà un examen humain. Mais la décision établit que la suspension d'une personne d'une plateforme dont elle dépend pour ses revenus est une « conséquence importante » en vertu du droit européen, et que les entreprises doivent informer les gens lorsque de telles décisions sont prises à leur sujet.

Alors que les systèmes automatisés prennent davantage de décisions dans l’ensemble de l’économie, du prêt à l’embauche en passant par l’accès aux plateformes, le cas Uber offre l’un des signaux les plus clairs à ce jour sur l’endroit où se situent les frontières juridiques – et sur le prix à payer pour les franchir.

Gardez une longueur d'avance sur la réglementation de l'IA Lire plus d'actualités sur l'IA →