Uber multa 825 milioni euro: il rischio legale dell'AI decisionale

824.990.000 euro: l'analisi del costo dell'automazione

La cifra è precisa, quasi chirurgica: 824.990.000 euro. Non si tratta di una semplice sanzione amministrativa, ma di un segnale sistemico inviato dall'Autorità Garante per la protezione dei dati personali olandese (AP) a tutte le piattaforme che utilizzano l'intelligenza artificiale per la gestione del capitale umano. La multa colpisce UBER B.V., con sede ad Amsterdam, e UBER TECHNOLOGIES INC., headquartered a San Francisco.

Dal punto di vista strategico, l'entità della sanzione riflette la gravità della violazione dell'Articolo 22 del GDPR, che disciplina i processi decisionali automatizzati. Per un imprenditore, questo dato indica che il rischio legale legato all'automazione non è più marginale. Quando un algoritmo decide il destino economico di un collaboratore, il costo di un errore di compliance può superare di gran lunga il risparmio operativo derivante dall'eliminazione del personale di revisione.

Analisi di business: Uber ha cercato di scalare l'efficienza operativa eliminando il costo del controllo umano nelle disattivazioni. Tuttavia, l'assenza di un 'human-in-the-loop' ha trasformato un'ottimizzazione dei processi in un passivo finanziario di quasi un miliardo di euro. La lezione è chiara: l'automazione totale di decisioni ad alto impatto è un rischio finanziario non sostenibile sotto il regime normativo europeo.

Il software che licenzia: cronaca di una disattivazione automatica

Tra il 2018 e il 2022, migliaia di autisti si sono risvegliati scoprendo di non poter più accedere alla piattaforma. Non c'era stata una chiamata, nessuna email di preavviso, né la possibilità di discutere il caso con un supervisore. Il software di Uber monitorava costantemente il comportamento di guida e le recensioni lasciate dai clienti.

Il meccanismo era binario. Se il sistema rilevava un sospetto di frode, l'account veniva disattivato temporaneamente. Se, invece, le recensioni dei clienti scendevano sotto una certa soglia in modo persistente, la disattivazione diventava permanente. In entrambi i casi, l'effetto era immediato: la perdita totale del reddito derivante dal servizio.

Monique Verdier, vicepresidente dell'AP, ha descritto la brutalità di questo processo affermando che 'Drivers were deactivated without pardon'. Secondo Verdier, è inaccettabile che un computer prenda decisioni autonome con conseguenze così pesanti per l'individuo, sottolineando che tali decisioni avrebbero dovuto essere preventivamente esaminate da un essere umano.

Perché manca l'intervento umano?

La questione non è tecnica, ma di governance. Uber ha implementato un sistema di profiling e tracking online che operava in un circuito chiuso. Il software non suggeriva una sanzione a un manager, ma eseguiva l'azione di blocco direttamente nel database.

L'Autorità olandese ha riscontrato due violazioni principali. La prima riguarda il divieto di decisioni interamente automatizzate che producano effetti giuridici o incidano significativamente sulla persona. La seconda riguarda la trasparenza: Uber non ha informato adeguatamente gli autisti sull'esistenza e sul funzionamento di questi processi decisionali automatizzati, violando l'Articolo 13 del GDPR.

Analisi strategica: Molte aziende confondono l'automazione del workflow con l'automazione della decisione. Automatizzare la raccolta dati è efficiente; automatizzare la sanzione senza un passaggio di validazione umana è, in Europa, illegale. Il 'gap' umano che Uber ha cercato di colmare per velocizzare le operazioni è diventato il punto di rottura legale.

I 171 autisti della Ligue: il volto della contestazione

L'intera vicenda non sarebbe emersa senza l'azione coordinata di un gruppo di lavoratori. Tutto inizia nel 2020, quando 171 autisti francesi decidono di non accettare passivamente il blocco dei propri account. Si rivolgono alla Ligue des droits de l’Homme (LDH), un'organizzazione per i diritti umani in Francia, che trasforma il disagio individuale in un'azione collettiva.

La LDH ha depositato l'esposto presso la CNIL (Commission Nationale de l'Informatique et des Libertés), l'autorità francese per la privacy. Il reclamo non riguardava solo le disattivazioni, ma anche la trasparenza sulle informazioni fornite agli utenti e il trasferimento di dati personali al di fuori dell'Unione Europea. Questo caso dimostra come le associazioni di categoria e i garanti per i diritti umani stiano diventando i principali 'trigger' per le indagini antitrust e sulla privacy contro le Big Tech.

Come funziona lo One-Stop-Shop

Il caso Uber è un esempio da manuale di come funziona la cooperazione tra le autorità europee per evitare che le aziende giochino con le diverse giurisdizioni nazionali. Poiché Uber ha la sua sede europea nei Paesi Bassi, l'Autorità olandese (AP) è stata l'interlocutore principale, ma il processo è stato collettivo.

Questo meccanismo, regolato dal GDPR, permette a un'azienda di interfacciarsi principalmente con un unico garante (il 'One-Stop-Shop'), ma garantisce che l'autorità leader collabori strettamente con i garanti degli altri paesi membri dove i cittadini sono stati danneggiati. In questo caso, la CNIL ha supportato l'AP in ogni fase, dall'analisi delle prove alla revisione della bozza di decisione.

Il diritto di non essere algoritmi

La sentenza dell'AP solleva una questione filosofica e giuridica fondamentale: il diritto alla revisione umana. Uber ha trattato i propri driver come variabili di un'equazione di efficienza. Se il punteggio X scende sotto Y, allora l'azione è Z (disattivazione). Questo approccio ignora il contesto, l'eccezione e l'errore del dato.

La lettura critica di questo caso suggerisce che l'Europa stia tracciando un confine invalicabile tra l'AI assistenziale (che aiuta l'uomo a decidere) e l'AI decisionale (che sostituisce l'uomo). La multa di 824,99 milioni di euro è il prezzo pagato per aver tentato di eliminare la discrezionalità umana da un rapporto di lavoro, seppur mediato da una piattaforma.

Uber ha fatto ricorso contro la sanzione e non esiste ancora una decisione giudiziaria definitiva. Tuttavia, l'azienda ha già dichiarato di aver interrotto le violazioni. Questo indica che, indipendentemente dall'esito del ricorso, l'azienda ha riconosciuto l'insostenibilità del modello precedente.

Gig economy e sanzioni UE: l'impatto per le imprese

Il caso Uber non è un episodio isolato, ma l'ultimo atto di una serie di sanzioni. La stessa AP aveva già multato l'azienda per 10 milioni di euro nel dicembre 2023 per mancanza di informazioni ai driver, e per 290 milioni di euro nel luglio 2024 per trasferimenti illeciti di dati fuori dall'UE. Si può approfondire la questione consultando i dettagli della decisione dell'EDPB.

Per le imprese italiane che operano nel settore della gig economy o che utilizzano software di monitoraggio dei dipendenti, le implicazioni sono immediate. L'adozione di sistemi di AI per la valutazione delle performance non può tradursi in sanzioni automatiche. Qualsiasi sistema di 'scoring' che porti a una penalizzazione economica o contrattuale deve prevedere un passaggio di validazione umana documentabile.

Scenari futuri e indicatori:
1. Scenario di conformità: Le piattaforme implementano dashboard di ricorso immediato per i lavoratori. Indicatore: Introduzione di clausole di 'diritto alla revisione umana' nei termini di servizio.
2. Scenario di escalation: Altre autorità nazionali (come il Garante Privacy italiano) avviano indagini analoghe su piattaforme di delivery. Indicatore: Apertura di istruttorie formali su algoritmi di assegnazione turni o sanzioni automatiche.
3. Scenario normativo: L'AI Act europeo integrarebbe queste sanzioni con requisiti di trasparenza ancora più stringenti per i sistemi AI ad alto rischio. Indicatore: Pubblicazione delle linee guida definitive dell'UE sulla classificazione dei sistemi di gestione del personale come 'high-risk'.

In sintesi, l'UE sta definendo un perimetro dove l'efficienza algoritmica si ferma davanti alla dignità del lavoratore. Per l'imprenditore moderno, l'integrazione dell'AI deve passare per un audit di compliance che non guardi solo alla protezione del dato, ma alla legittimità della decisione automatizzata. La Autorità olandese ha dimostrato che il risparmio di un manager che non deve più controllare i report può costare centinaia di milioni di euro in sanzioni.

Domande frequenti

Fonti: Edpb, Autoriteitpersoonsgegevens, Cnil ·