L’Olanda multa Uber per 825 milioni: le decisioni automatizzate hanno un prezzo in Europa

Il 21 agosto 2026 l’Autoriteit Persoonsgegevens, l’autorità olandese per la protezione dei dati, ha comunicato una sanzione di 824.990.000 euro a Uber. La contestazione riguarda il modo in cui, fra il 2018 e il 2022, la piattaforma sospendeva e disattivava gli account dei conducenti: un processo interamente automatico, applicato ai sospetti di frode e alle valutazioni dei clienti sotto una certa soglia. È il secondo importo più alto fra le sanzioni emesse finora in applicazione del GDPR, dopo il miliardo e duecento milioni inflitto a Meta nel 2023.

La decisione che cambia la vita economica di una persona resta un atto che qualcuno deve firmare, anche quando a produrla è una riga di codice.

La vicepresidente dell’autorità, Monique Verdier, ha riassunto la contestazione osservando che decisioni con conseguenze di questa portata spettano a una persona. Uber replica su tre punti: sostiene che le sospensioni siano in larga parte temporanee, che le disattivazioni definitive passino da una revisione umana e che i conducenti dispongano di un canale di appello. La società definisce la sanzione sproporzionata e ha annunciato ricorso.

Che cosa contesta l’autorità

L’ancoraggio giuridico è l’articolo 22 del GDPR, che riserva alla persona il diritto di ottenere l’intervento umano quando una decisione basata unicamente su un trattamento automatizzato produce effetti giuridici o incide in modo analogamente significativo. Per un conducente, la disattivazione dell’account coincide con la perdita della fonte di reddito: l’effetto significativo è pacifico.

L’autorità aggiunge un secondo profilo, di solito trascurato nelle letture giornalistiche: l’informativa. Uber avrebbe descritto in modo insufficiente ai conducenti l’esistenza e la logica del processo automatico. È il combinato dei due profili che rende la contestazione solida, perché chi subiva la decisione ignorava sia il meccanismo sia la strada per contestarlo.

Il fascicolo nasce lontano dalle istituzioni. Brahim Ben Ali, ex conducente francese disattivato nel 2019, ha raccolto le testimonianze di altri 170 colleghi e ha portato l’esposto nei Paesi Bassi, dove Uber ha la sede europea. L’organizzazione svizzera PersonalData.io lo ha assistito nella ricostruzione dei dati che documentano come le decisioni venivano prese. È la terza sanzione olandese contro la società, dopo i 290 milioni del 2024 sui trasferimenti di dati dei conducenti e una precedente da 10 milioni.

Il precedente italiano è già scritto

Chi legge la notizia come una vicenda olandese guarda lontano da casa. Il Garante per la protezione dei dati personali percorre la stessa strada da cinque anni.

Nel 2021 ha sanzionato Foodinho, società del gruppo Glovo, per 2,6 milioni di euro: l’algoritmo che assegnava gli ordini produceva effetti discriminatori e la società aveva omesso le verifiche previste. Nel novembre 2024 è arrivata una seconda sanzione da 5 milioni sulla stessa società, con una formula che il Garante ha messo nel titolo del provvedimento: l’algoritmo resta contestabile dai lavoratori. Il trattamento riguardava oltre 35.000 rider e comprendeva dati biometrici usati per la verifica dell’identità, dei quali l’Autorità ha vietato l’ulteriore trattamento.

La sostanza dei tre provvedimenti coincide. Quando un sistema decide sulla vita economica di una persona, quella persona ha diritto a un intervento umano, a esprimere la propria posizione e a contestare l’esito. La cifra olandese aggiunge un ordine di grandezza, e con esso l’attenzione dei consigli di amministrazione.

L’articolo 22 arriva prima dell’AI Act

Qui sta il punto che riguarda ogni impresa italiana che sta portando modelli e agenti dentro processi decisionali.

Il 2 agosto 2026 è entrata in applicazione la parte dell’AI Act dedicata alla governance e agli obblighi di trasparenza, con i poteri pieni delle autorità nazionali; in Italia il quadro attuativo è quello ricostruito nel deep del 6 agosto di questa sala stampa. Gli obblighi sui sistemi ad alto rischio, quelli che disciplinano la sorveglianza umana con l’articolo 14, sono stati spostati dal pacchetto Digital Omnibus al 2 dicembre 2027 e al 2 agosto 2028. Molti piani di adeguamento hanno adottato quello slittamento come nuova data di riferimento.

La sanzione olandese mostra il limite del ragionamento. L’articolo 22 del GDPR è applicabile dal maggio 2018, dispone di otto anni di prassi delle autorità europee e di un massimale sanzionatorio che arriva al 4 % del fatturato mondiale annuo. Il selezionatore automatico di curriculum, il motore antifrode che blocca un conto, il punteggio che esclude un fornitore da una gara: tutti e tre ricadono già oggi sotto quel testo, a prescindere da quando l’AI Act completerà il proprio calendario.

La revisione umana che regge

Il cuore della difesa di Uber riguarda proprio questo: la società afferma che una revisione umana esisteva. L’autorità replica che alcuni conducenti hanno subito la disattivazione definitiva in via interamente automatica. Al di là dell’esito del ricorso, la controversia indica dove passa la linea.

Una revisione umana che regge davanti a un’autorità mostra quattro proprietà verificabili.

Autorità reale sull’esito. Chi rivede dispone del potere di ribaltare la decisione, e lo esercita in una quota misurabile di casi. Un tasso di conferma vicino al 100 % descrive un timbro, e le autorità lo leggono così.

Accesso ai fattori. Il revisore vede i dati e il peso che hanno determinato l’esito, in forma comprensibile. Una schermata che riporta il solo verdetto trasforma la revisione in un atto di fede.

Tempo e competenza. Una coda di trecento casi al giorno per revisore descrive un processo che il volume ha già deciso.

Tracciamento. Data, identità del revisore, elementi consultati, motivazione, esito. È la parte che si produce in ispezione, e coincide con quello che l’articolo 14 dell’AI Act chiederà dal 2027.

Cosa fare adesso

Le azioni che seguono valgono a prescindere dal fornitore di modello scelto.

Censire le decisioni, prima dei sistemi. L’inventario utile elenca le decisioni che l’organizzazione prende sulle persone: assunzione, credito, blocco di un conto, sospensione di un profilo, punteggio di un fornitore. Per ciascuna, la domanda è chi firma l’esito oggi.

Misurare il tasso di ribaltamento. Per ogni decisione con revisione umana dichiarata, estrarre la percentuale di esiti modificati dal revisore negli ultimi dodici mesi. È l’indicatore che un’autorità chiede per primo, e si calcola con i dati già in casa.

Scrivere l’informativa nella lingua di chi la riceve. L’articolo 22 richiede che la persona conosca l’esistenza del processo automatico, la sua logica e le conseguenze. Un paragrafo dentro il contratto quadro copre l’adempimento formale; un messaggio nel momento della decisione copre il rischio reale.

Datare l’audit trail al 2027. I registri che l’articolo 14 dell’AI Act renderà obbligatori sui sistemi ad alto rischio sono gli stessi che oggi dimostrano la conformità all’articolo 22. Costruirli una volta sola conviene.

La domanda che il caso olandese lascia aperta al mercato europeo riguarda la scala. Uber ha automatizzato una decisione ripetuta milioni di volte, e il costo dell’automazione è emerso otto anni dopo, quando il volume delle testimonianze ha reso il caso istruibile. Le imprese che stanno automatizzando oggi decisioni analoghe hanno un vantaggio che Uber allora aveva in misura minore: sanno già che cosa un’autorità andrà a cercare.

Autore

Pablo Liuzzi

Founder, Synthos Logic