Nederländsk tillsynsmyndighet bötfäller Uber 825 miljoner euro över AI-drivna förarinaktiveringar i ett landmärke GDPR-fall

Den nederländska dataskyddsmyndigheten (AP) har bötfällt Uber 825 miljoner euro – ungefär 966 miljoner dollar – för att ha använt automatiserade system för att inaktivera förares konton utan att tillräckligt informera dem, i vad som tros vara det näst största straff som någonsin utfärdats enligt Europas allmänna dataskyddsförordning.

Beslutet, som rapporterades i fredags av Reuters efter att nyhetsbyrån granskat tillsynsmyndighetens resultat, hamnar i skärningspunkten mellan två av de mest följdriktiga trenderna inom teknologin: spridningen av algoritmisk hantering i spelningsekonomin och Europas alltmer självsäkra upprätthållande av reglerna som styr automatiserat beslutsfattande. Följ AI Buzz Wires regelrapportering för löpande bevakning av hur regeringar övervakar AI-system.

Vad regulatorn hittade

Enligt AP stängde Ubers automatiserade system tillfälligt av kontona för flera förare i Europa som misstänktes för bedrägeri mellan 2020 och 2022. I vissa fall stängdes förare med låga kundbetyg permanent.

Tillsynsmyndigheten drog slutsatsen att praxisen kränkte förarnas rättigheter enligt GDPR, som begränsar företag från att låta en datoralgoritm fatta beslut som har en betydande inverkan på människors liv. Att bli avskuren från en plattform som enskilda förare är beroende av för sin försörjning anses vara en betydande konsekvens.

"AP har fastställt att Uber kränkte förarnas rättigheter, särskilt rätten att inte bli föremål för automatiserat beslutsfattande som har betydande konsekvenser", sa tillsynsmyndigheten i sitt beslut, som citeras av Reuters. "Uber har också brutit mot deras rätt att bli informerad."

Varför en nederländsk tillsynsmyndighet tog fallet

Utredningen härrörde från ett klagomål från Uber-förare i Frankrike. AP hanterade ärendet eftersom Ubers europeiska huvudkontor är beläget i Nederländerna, vilket gör den nederländska myndigheten till den främsta integritetsövervakaren för färdtjänstföretagets verksamhet i hela EU.

Straffskalan är det som gör fallet exceptionellt. Böterna på 825 miljoner euro tros vara den näst högsta som någonsin utfärdats enligt GDPR, endast överträffad av det straff på 1,2 miljarder euro som ålades Meta 2023 av Irlands dataskyddstillsynsmyndighet för olagliga överföringar av europeisk användardata till USA. Meta, liksom Uber, överklagade böterna, och fallet är fortfarande olöst.

Ubers svar

Uber sa att de skulle överklaga beslutet med argumentet att de inte permanent inaktiverade konton utan mänsklig granskning. Företaget berättade för Reuters att det inte längre fattar permanenta beslut om avaktivering enbart genom automatiserade system.

"Vi håller inte med om detta beslut och oproportionerliga böter", sa en talesperson för Uber i ett uttalande och tillade att företaget tar förarnas rättigheter på allvar och att dess nuvarande policyer inkluderar mänskliga granskningar och möjligheter för förare att bestrida kontobeslut.

Varför ärendet är viktigt bortom Uber

I grunden är beslutet en varning till varje företag som låter programvara göra följdval om människor – avaktivera konton, minska utbetalningar, begränsa åtkomsten till en plattform – utan meningsfull mänsklig tillsyn eller transparens.

GDPR:s automatiska beslutsfattande bestämmelser skrevs år före den nuvarande vågen av AI-agenter och algoritmiska hanteringsverktyg, men europeiska tillsynsmyndigheter tillämpar dem i allt högre grad på moderna maskininlärningssystem. Uber-böterna visar att reglerna bär tänder: straff kan nu nå samma storleksordning som stora antitruståtgärder, och de gäller beslut som fattas av system som fungerar i en skala av miljontals användare.

För spelningsekonomiplattformar kommer ärendet sannolikt att föranleda en bred omprövning av bedrägeriupptäckt, klassificeringsbaserad inaktivering och identitetsverifieringssystem – just den typen av automatiserade arbetsflöden som historiskt sett har varit billiga att köra och svåra att utmana för berörda arbetare. Förare i Europa har länge klagat på att kontoavstängningar kommer med liten förklaring och ingen praktisk möjlighet att överklaga, och AP:s beslut bekräftar direkt kärnan i dessa klagomål.

Domen kommer också när Bryssel lägger ytterligare skyldigheter på AI-system genom EU:s AI-lag, som ställer krav på transparens och riskhantering på system som påverkar individer. Företag som inte redan har kartlagt vilka av deras automatiserade processer som faller under dessa regimer möter nu ökande juridisk och ekonomisk exponering – en signal förstärkt av Financial Times, som noterade att Uber-straffet rankas bland de största GDPR-sanktionerna någonsin.

Vad händer härnäst

Ubers överklagande kommer att gå genom de holländska domstolarna, en process som i prejudikatfall som Metas redan har sträckt sig över år. Under tiden står böterna som den mest betydande europeiska verkställighetsåtgärden hittills mot algoritmisk kontohantering, och integritetsregulatorer över hela blocket förväntas studera AP:s resonemang noggrant.

För förare kan den omedelbara praktiska förändringen vara begränsad – Uber upprätthåller att dess nuvarande system redan inkluderar mänsklig granskning. Men beslutet slår fast att avstängning av någon från en plattform de förlitar sig på för inkomst är en "betydande konsekvens" enligt europeisk lag, och att företag måste informera människor när sådana beslut fattas om dem.

När automatiserade system tar mer beslutsfattande i hela ekonomin, från utlåning till uthyrning till plattformsaccess, erbjuder Uber-fallet en av de tydligaste signalerna hittills om var de juridiska gränserna går – och om priset för att passera dem.

Stay ahead of AI Regulation Läs mer AI-nyheter →