Uber sanctionné 825 M€ pour ses algorithmes : ce que ça impose à votre PME

825 millions d'euros. C'est l'amende que le régulateur néerlandais a infligée à Uber le 21 août. Le motif ? Des décisions prises par des algorithmes, sans le moindre humain dans la boucle. Des chauffeurs suspendus ou virés par un ordinateur. Point.

Vous n'êtes pas Uber. Votre PME lyonnaise ne pèse pas des milliards. Mais la règle qui coince Uber, c'est l'article 22 du RGPD. Il s'applique à vous aussi. Et si vous utilisez du scoring RH, de la modération auto ou de la notation client, vous êtes concerné. On décortique.

Ce qui s'est passé chez Uber

L'Autoriteit Persoonsgegevens (l'équivalent néerlandais de la CNIL) a confirmé une amende d'un montant exact de 824 990 000 euros. La raison officielle : Uber « a pris des décisions entièrement automatisées concernant ses chauffeurs ».

Pourquoi les Pays-Bas et pas la France ? L'affaire a démarré par une plainte de chauffeurs déposée en France. Mais le siège européen d'Uber est aux Pays-Bas. Avec le mécanisme du guichet unique RGPD, c'est le régulateur néerlandais qui a mené l'enquête, en coopération avec la CNIL. Les faits couvrent la période 2018-2022.

Deux mécanismes ont été sanctionnés :

• Suspensions temporaires pour fraude présumée. Les systèmes d'Uber suspendaient des chauffeurs soupçonnés de fraude, par exemple quand l'algo détectait des détours inutiles pour gonfler le tarif, ou des trajets acceptés sans intention de les faire.
• Désactivations définitives liées aux notes. Des chauffeurs avec de faibles évaluations clients pouvaient voir leur compte définitivement désactivé par un système informatique.

Le point qui tue : « Aucune évaluation humaine n'intervenait dans ce processus » entre 2018 et 2022. Aucun humain pour vérifier, aucun recours clair. Le régulateur reproche aussi un défaut d'information : les chauffeurs ne savaient pas comment ces décisions étaient prises.

Monique Verdier, vice-présidente de l'autorité néerlandaise, a résumé le fond du dossier : « un ordinateur ne doit pas prendre seul des décisions ayant des conséquences majeures ». Retenez cette phrase. C'est tout le sujet.

À 825 millions d'euros, c'est la deuxième plus grosse amende RGPD de l'histoire, derrière les 1,2 milliard infligés à Meta en 2023. Uber conteste, juge la sanction disproportionnée et fait appel. L'entreprise affirme notamment que les désactivations permanentes impliquaient bien une révision humaine. Ce sera à la justice de trancher. Mais le principe juridique, lui, ne bouge pas.

Une décision automatisée au sens du RGPD, c'est quoi exactement

La définition de la CNIL est simple. Une décision entièrement automatisée, c'est une décision prise par un algorithme, sans aucune intervention humaine. Elle peut découler d'un profilage, mais pas forcément.

Le texte qui encadre ça, c'est l'article 22 du RGPD. Il vise les décisions purement automatisées qui produisent des « effets juridiques » ou qui « affectent de manière significative » les personnes. Traduction concrète : dès qu'une décision touche les droits, l'emploi, le revenu ou l'accès à un service d'une personne, vous êtes dans le champ.

Le principe posé par l'article 22 : une personne a le droit de ne pas faire l'objet d'une décision fondée uniquement sur un traitement automatisé quand elle a un effet significatif sur elle.

Il existe trois exceptions, et elles sont étroites :

• La décision est nécessaire à l'exécution d'un contrat.
• Elle est autorisée par la loi.
• Elle repose sur le consentement explicite de la personne.

Attention au piège. Même quand une exception s'applique, la personne conserve trois droits : bénéficier d'une intervention humaine, exprimer son point de vue, et contester la décision. Vous ne pouvez pas vous cacher derrière « c'était nécessaire au contrat » pour supprimer tout recours.

Et sur cette notion de « nécessité », la CNIL est claire : elle doit être interprétée strictement. L'automatisation doit être objectivement nécessaire, pas simplement pratique ou rentable pour vous. S'il existe une alternative raisonnable avec un humain dans la boucle, l'exception ne tient plus.

Un dernier point qui élargit le risque. Dans l'affaire SCHUFA (décembre 2023), la Cour de justice de l'UE a jugé que même un algorithme de scoring de crédit relève de l'article 22 dès lors qu'il influence de manière significative la décision humaine prise ensuite. Autrement dit : ce n'est pas parce qu'un humain clique en bout de chaîne que vous êtes tiré d'affaire.

« Intervention humaine » : le point où tout le monde se plante

C'est le cœur du dossier Uber, et c'est là que la plupart des PME vont tomber sans le savoir.

Une intervention humaine réelle, ce n'est pas un opérateur qui valide en série la sortie du modèle sans jamais rien remettre en cause. Une validation de pure forme, un clic automatique sur « OK », un salarié qui entérine 300 décisions par jour sans regarder : ça ne compte pas. Pour le RGPD, ça reste une décision automatisée.

L'intervention doit être significative. Concrètement, la personne qui valide doit :

• Avoir l'autorité et la compétence pour modifier la décision.
• Disposer des éléments pour comprendre pourquoi l'algo propose ça.
• Prendre le temps d'examiner le cas, pas de le tamponner à la chaîne.
• Pouvoir aller à l'encontre de la recommandation du système.

C'est exactement le débat entre Uber et le régulateur. Uber dit qu'il y avait une révision humaine. L'autorité dit qu'entre 2018 et 2022, il n'y en avait aucune sur ces process. Peu importe l'issue de l'appel : posez-vous la question pour vos propres outils. Votre « validation humaine » est-elle réelle, ou est-ce un tampon ?

Auditer vos process : les trois zones à risque dans une PME

Vous n'avez pas d'algo de suspension de chauffeurs. Mais vous avez peut-être ça, sans y avoir mis un nom RGPD dessus.

1. Le scoring RH et le recrutement

Vous utilisez un outil qui trie les CV, note les candidats, écarte automatiquement certains profils ? Un logiciel qui évalue la performance ou signale les salariés « à risque » ? Si une décision d'écarter ou de sanctionner tombe sans humain qui examine vraiment le dossier, vous êtes dans l'article 22. Un rejet de candidature a un effet significatif sur une personne. Ce n'est pas anodin.

2. La modération et la suspension de comptes

Marketplace, plateforme, communauté, service en ligne : si vous bannissez ou suspendez des utilisateurs sur la base d'un score automatique de « comportement suspect », c'est le scénario Uber en miniature. La suspension définitive d'un compte pro qui gagne sa vie dessus, c'est un effet significatif. Il faut un recours humain réel.

3. La notation client et le refus de service

Scoring de solvabilité, blacklist automatique, refus de commande ou de crédit décidé par un algo : même logique. L'affaire SCHUFA le rappelle. Si votre score conditionne l'accès à un service, l'humain doit pouvoir intervenir et la personne doit pouvoir contester.

La checklist pour vous mettre en règle

Passez vos traitements automatisés au crible. Pour chacun :

• Cartographiez. Listez tous les process où un logiciel prend ou prépare une décision qui touche une personne (candidat, salarié, client, utilisateur).
• Qualifiez l'effet. La décision a-t-elle un effet juridique ou significatif ? Refus, sanction, exclusion, coupure de revenu : oui. Suggestion de produit : non.
• Vérifiez l'humain. Y a-t-il une intervention humaine réelle, avec pouvoir de modifier la décision ? Ou juste un tampon ? Soyez honnête.
• Ouvrez un recours. La personne peut-elle contester et parler à un humain ? Documentez ce canal.
• Informez. Uber a aussi été sanctionné pour défaut d'information. Vos mentions et votre politique de confidentialité doivent expliquer qu'un traitement automatisé existe, sa logique et ses conséquences.
• Tracez. Gardez une trace des décisions et des interventions humaines. En cas de contrôle, c'est ce qui vous sauve.

Pour aller plus loin sur le cadre, notre article RGPD et IA en entreprise : ce que vous pouvez faire, ce que vous ne pouvez pas détaille les usages autorisés et interdits. Et pour garder la preuve de qui a décidé quoi, voyez Tracer les décisions prises avec l'aide d'une IA.

Ce que ça change pour vous, maintenant

Le risque n'est pas théorique. La violation de l'article 22 relève du plafond de sanction le plus élevé du RGPD : jusqu'à 20 millions d'euros ou 4 % du chiffre d'affaires annuel mondial, le montant le plus élevé étant retenu. C'est ce plafond qui a permis l'amende record contre Uber.

Une PME de la région ne prendra jamais 825 millions. Mais 4 % de votre CA, ça pique. Et une plainte suffit à déclencher une enquête, comme celle des chauffeurs français à l'origine de ce dossier.

La bonne nouvelle : la mise en conformité coûte bien moins cher que l'amende. Remettez un humain compétent dans les décisions qui comptent. Ouvrez un vrai canal de contestation. Dites clairement à vos candidats, salariés et clients quand une machine intervient dans une décision qui les concerne. C'est du bon sens, et c'est la loi.

Si vous déployez des agents IA qui agissent en autonomie, posez d'abord vos garde-fous. Notre guide Agents IA en production : les cinq garde-fous à poser vous donne le cadre. Un ordinateur ne doit pas décider seul quand ça change la vie de quelqu'un. Uber vient de le payer 825 millions.