824 990 000 € d'amende pour Uber : ce qu'une véritable validation humaine exige de votre PME

Le 17 août 2026, l'autorité néerlandaise de protection des données a infligé à Uber une amende de 824 990 000 euros pour avoir désactivé des comptes de chauffeurs par des décisions entièrement automatisées, sans aucune intervention humaine. La leçon vaut pour toute PME : ce n'est pas « l'IA » qui est interdite, c'est la décision significative entièrement automatisée. Seuls trois motifs l'autorisent : l'exécution d'un contrat ou le consentement explicite, avec le droit garanti à une intervention humaine et à la contestation, ou une loi qui prévoit elle-même des mesures appropriées de sauvegarde.

Cet article remet les faits d'équerre, car la presse retient « 825 millions » et « l'algorithme d'Uber », alors que la décision porte sur un point beaucoup plus précis et beaucoup plus utile à un dirigeant : la différence entre une machine qui prépare et une machine qui tranche. Nous détaillons ce que dit exactement l'autorité, ce que conteste Uber, ce que l'article 22 du RGPD exige vraiment, et comment câbler une validation humaine réelle dans une petite structure.

« A computer should not make decisions on its own that have major consequences for you. These decisions should have been looked at first by a human being. »

Monique Verdier, vice-présidente de l'Autoriteit Persoonsgegevens, communiqué officiel de l'autorité néerlandaise, 21 août 2026.

L'essentiel en cinq points

• L'amende est de 824 990 000 euros, montant exact de la décision du 17 août 2026 ; « 825 millions » est l'arrondi de presse. C'est la deuxième plus grosse sanction jamais prononcée sous le RGPD, derrière les 1,2 milliard d'euros infligés à Meta en 2023, selon Reuters.
• L'autorité qui sanctionne est néerlandaise (l'AP), pas française : le siège européen d'Uber est à Amsterdam, et la CNIL a coopéré dans le cadre du guichet unique européen après une plainte de la Ligue des droits de l'Homme pour plus de 170 chauffeurs, comme le détaille le communiqué de la CNIL du 24 août 2026.
• Le grief central n'est pas « l'IA » : c'est l'absence totale d'intervention humaine dans des désactivations de comptes qui coupaient les revenus des chauffeurs, entre 2018 et 2022 selon l'AP.
• Uber conteste : recours déposé, désaccord sur des faits et sur le montant, et affirmation que ses politiques actuelles prévoient des revues humaines, selon la déclaration rapportée par Reuters.
• Pour une PME, la règle pratique : par principe, aucune décision automatisée significative sans humain ; les exceptions « contrat » et « consentement explicite » imposent une intervention humaine réelle, une expression du point de vue et une voie de contestation ; l'exception légale exige une loi qui prévoit elle-même des mesures de sauvegarde. Et une validation humaine n'est jamais un tampon : elle doit être informée et traçable.

Ce que dit exactement la décision

Commençons par l'autorité. Le communiqué de la CNIL du 24 août 2026 est formel : « En coopération avec la CNIL, l'autorité néerlandaise de protection des données a prononcé à l'encontre des sociétés UBER B.V. et UBER TECHNOLOGIES INC. une amende de 824 990 000 euros pour avoir pris des décisions individuelles automatisées concernant les chauffeurs de sa plateforme. » Écrire « amende de la CNIL » serait donc une erreur : la CNIL a été saisie en 2020 d'une plainte collective de la Ligue des droits de l'Homme, mais c'est l'AP qui menait le dossier, l'établissement principal d'Uber en Europe se situant aux Pays-Bas, dans le cadre du guichet unique, c'est-à-dire le mécanisme européen qui confie l'enquête à l'autorité du pays du siège.

Sur les faits, la décision vise deux mécanismes précis, décrits dans le communiqué de l'AP du 21 août 2026 : la désactivation temporaire de comptes en cas de suspicion de fraude, et la désactivation temporaire puis définitive en cas de notes clients durablement basses. L'autorité retient que ces désactivations « constituent des décisions individuelles automatisées en raison de l'absence totale d'intervention humaine dans le processus de décision », pour reprendre les termes de la CNIL. L'effet sur les personnes est le cœur du dossier : un chauffeur désactivé ne peut plus effectuer de courses ni générer de revenus via la plateforme.

Sur la période, les sources divergent et nous les rapportons comme telles : l'AP écrit que ces pratiques ont eu lieu « between 2018 and 2022 », tandis que la dépêche de Reuters, qui a consulté la décision du 17 août, parle d'incidents européens « in 2020 to 2022 ». L'écart importe peu pour la leçon, mais il illustre une discipline : citer chaque chiffre avec sa source plutôt que fondre les deux.

Le montant, enfin, se comprend avec le barème : les amendes RGPD peuvent atteindre 4 % du chiffre d'affaires mondial annuel, et Uber a réalisé environ 44,5 milliards d'euros de chiffre d'affaires en 2025, selon l'AP. C'est la quatrième sanction de l'autorité néerlandaise contre Uber, après 600 000 euros en 2018, 10 millions en 2023 et 290 millions en 2024, les deux dernières faisant encore l'objet de procédures.

L'article 22 ne vise pas « l'IA », il vise l'absence d'humain

C'est le point que le récit médiatique rate le plus souvent, et le plus utile à comprendre pour une PME. L'article 22 du règlement (UE) 2016/679 ne parle ni d'intelligence artificielle ni de modèles : il donne à toute personne le droit de ne pas faire l'objet d'une décision fondée exclusivement sur un traitement automatisé, dès lors qu'elle produit des effets juridiques à son égard ou l'affecte de manière significative de façon similaire. La doctrine de la CNIL sur le profilage et la décision entièrement automatisée, publiée le 29 mai 2018, définit cette dernière comme « une décision prise à l'égard d'une personne, par le biais d'algorithmes appliqués à ses données personnelles, sans qu'aucun être humain n'intervienne dans le processus ».

Deux conséquences pratiques, contre-intuitives. La première : une décision entièrement automatisée peut exister sans aucune IA. Une règle tableur qui radie automatiquement un client au troisième impayé, un workflow no-code qui refuse un devis sous un seuil, un script qui clôt un dossier sans revue : si l'effet sur la personne est significatif, le cadre de l'article 22 s'applique. La seconde, symétrique : un modèle d'IA générative qui prépare une réponse, un devis ou une décision qu'un humain nommé examine ensuite n'est pas une décision entièrement automatisée. Le critère juridique n'est pas la technologie employée, c'est la présence ou l'absence d'un humain dans la décision.

Le même texte de doctrine précise les exceptions et les garanties, toujours selon la CNIL : une décision entièrement automatisée peut être licite si elle repose sur le consentement explicite de la personne, si elle est nécessaire à la conclusion ou à l'exécution d'un contrat, ou si une loi l'encadre, mais des garanties s'imposent alors, propres à chaque cas. Pour le contrat et le consentement explicite, la personne doit être informée de l'existence de la décision, de sa logique et de ses conséquences prévues, et elle dispose d'un droit à une intervention humaine : obtenir un réexamen de sa situation, exprimer son point de vue, obtenir une explication et contester la décision. Pour la voie légale, c'est la loi elle-même qui doit prévoir des mesures appropriées pour la sauvegarde des droits et libertés de la personne, comme le prévoit l'article 22, paragraphes 2 et 3, du règlement. C'est précisément ce socle qui manquait dans le processus d'Uber, selon l'autorité néerlandaise.

Une dernière distinction, utile pour ne pas tout mélanger : le profilage, c'est-à-dire l'établissement d'un profil individualisé pour évaluer et prédire le comportement d'une personne, n'est pas synonyme de décision automatisée. La doctrine CNIL insiste : une décision peut être entièrement automatisée sans aucun profilage, comme une amende envoyée automatiquement après un excès de vitesse constaté par un radar, et un profilage peut n'aboutir à aucune décision. Ce qui engage la responsabilité de l'entreprise au titre de l'article 22, c'est le moment où une décision individuelle tombe, pas l'existence d'un score ou d'un profil en amont.

La contradiction Uber, racontée honnêtement

Uber ne s'est pas incliné. La dépêche de Reuters du 21 août 2026, qui a pu consulter la décision du 17 août, rapporte la déclaration du porte-parole : « We strongly disagree with this decision and disproportionate fine », avec recours annoncé. La contestation porte aussi sur les faits : Uber affirme ne pas avoir procédé à des désactivations définitives sans revue humaine dans les cas de suspicion de fraude, et déclare ne plus prendre de décisions de désactivation définitive par des systèmes entièrement automatisés, ses politiques actuelles prévoyant selon lui des revues humaines et des voies de contestation pour les chauffeurs.

Face à cela, deux éléments factuels. L'AP écrit elle-même que « Uber has now stopped the violations » : l'autorité constate donc la cessation des pratiques, ce qui ne remet pas en cause la sanction sur la période écoulée. Et le montant reste hors norme : deuxième sanction la plus élevée jamais prononcée sous le RGPD, derrière les 1,2 milliard d'euros infligés à Meta par l'Irlande en 2023, elle aussi contestée, selon Reuters.

Leçon de lecture pour un dirigeant : le dossier n'est pas tranché, et cet article ne le tranche pas. Ce qui est d'ores et déjà utile, c'est la doctrine appliquée : une désactivation qui coupe un revenu est une décision à effet significatif, et l'absence totale d'intervention humaine la rend contraire au RGPD aux yeux de l'autorité. La justice dira si les faits retenus sont exacts.

Ce qu'une véritable validation humaine exige

Le réflexe risqué, en lisant cette affaire, serait d'ajouter un clic de validation cosmétique : un écran où un employé appuie sur « OK » sans regarder, par centaines de dossiers à la minute. Ce n'est pas ce que le texte exige. Ce que le droit dit, précisément : l'article 22, paragraphe 3, du RGPD accorde à la personne, lorsque la décision est nécessaire à un contrat ou fondée sur son consentement explicite, le droit d'obtenir une intervention humaine du responsable de traitement, d'exprimer son point de vue et de contester la décision ; lorsque c'est une loi qui autorise la décision, c'est ce texte qui doit prévoir des mesures appropriées pour la sauvegarde de ses droits et libertés ; la doctrine CNIL ajoute le réexamen de la situation et l'information sur la logique du traitement. Voilà pour le droit positif.

Apport Origin : pour traduire ces obligations en conception de processus, nous vérifions quatre propriétés dans nos propres architectures d'agents ; c'est notre grille de travail, pas une liste littérale du règlement :

1. Compétence : la personne qui valide connaît le métier et comprend ce que la machine propose, ses données d'entrée et ses cas d'erreur connus.
2. Autorité : elle peut réellement dire non, modifier ou suspendre, sans que la réponse soit écrite d'avance par le volume à traiter.
3. Temps : le flux est dimensionné pour que chaque dossier significatif puisse être examiné, pas seulement échantillonné.
4. Trace : chaque décision est journalisée (proposition de la machine, décision humaine, motif), et la personne concernée dispose d'une voie de contestation identifiée.

C'est la même logique que celle que nous câblons entre un agent et des données sensibles : la machine propose, une couche de politique borne, un humain valide les actions à effet, comme dans notre architecture de sécurité d'un agent connecté à la base clients. Et c'est le troisième verrou de notre méthode de déploiement, détaillé dans notre article sur les trois verrous, dont la validation humaine câblée : qui relit, qui tranche, à quelle étape.

Une exigence d'amont précède ces quatre propriétés : l'information. La doctrine CNIL impose que la personne soit informée, dès la collecte de ses données et à tout moment sur sa demande, de l'existence d'une telle décision, de la logique sous-jacente, de l'importance et des conséquences prévues du traitement. L'AP reproche d'ailleurs à Uber, en plus des décisions elles-mêmes, de ne pas avoir suffisamment informé les chauffeurs, comme l'indique son communiqué. Une validation humaine parfaite ne répare pas une information absente : les deux obligations sont distinctes, et les deux ont été sanctionnées.

Avant votre prochain processus automatisé, contrôlez ces points :

• ☐ Chaque décision automatisée à effet significatif (revenu, accès, résiliation, refus) est recensée, avec son propriétaire nommé.
• ☐ Un humain compétent peut réellement examiner chaque cas significatif, avec autorité pour infirmer.
• ☐ La personne concernée est informée de la logique de la décision et dispose d'une voie de contestation.
• ☐ Chaque décision est tracée : proposition de la machine, décision humaine, motif, date.
• ☐ Les exceptions de l'article 22 ne sont invoquées que si leurs garanties propres sont en place : intervention humaine et contestation pour le contrat et le consentement, mesures de sauvegarde prévues par la loi pour la voie légale.

Cas appliqué : la radiation automatique des mauvais payeurs dans une PME de 40 personnes

Appliquons la grille à une entreprise fictive de services, 40 personnes, 3 000 clients. Ce scénario est un exercice pédagogique, pas un retour client.

Le constat : depuis deux ans, un workflow de facturation radie automatiquement tout client au troisième impayé et coupe son accès au portail. Aucun humain ne revoit la décision ; le client la découvre en se connectant. Radiation et coupure d'accès affectent significativement la relation contractuelle : le processus ressemble, dans sa structure, à une décision entièrement automatisée à effet significatif, et il a été mis en place sans qu'aucune exception de l'article 22 ni aucune garantie n'ait été examinée.

La remise en ordre, en quatre semaines. Semaine 1 : le dirigeant nomme un propriétaire du processus, la directrice administrative, et le workflow passe en mode proposition : la machine classe les dossiers, elle ne radie plus. Semaine 2 : la règle de validation est écrite en une page, qui examine (la directrice administrative ou son adjoint), sur quels critères (montant, ancienneté, échanges en cours), avec quel pouvoir (maintenir, aménager, radier). Semaine 3 : la voie de contestation est branchée, un simple lien dans chaque notification qui aboutit à un humain, et le journal des décisions est activé : proposition, décision, motif, date. Semaine 4 : un avis juridique externe vérifie si l'exception « nécessaire à l'exécution du contrat » peut couvrir certains cas résiduels, et lesquels. Coût de l'opération : du temps de cadrage et une journée de conseil, pas de logiciel nouveau. Le gain n'est pas seulement juridique : les radiations abusives de bons clients, jusque-là invisibles, deviennent mesurables.

Les limites de cet article

Disons clairement ce que cet article n'affirme pas. Il n'est pas un avis juridique : la qualification d'un processus au regard de l'article 22 dépend des faits, et seul un conseil peut la porter sur votre cas. Le dossier Uber n'est pas tranché : Uber a déposé un recours et conteste des faits, notamment l'absence de revue humaine sur certaines désactivations, comme le rapporte Reuters ; nous rapportons les deux versions sans les fusionner. La période exacte des faits varie selon les sources, 2018 à 2022 pour l'AP, 2020 à 2022 dans la décision lue par Reuters. Nous n'avons pas consulté le texte intégral de la décision néerlandaise, qui n'est pas publié en ligne ; notre lecture repose sur les communiqués officiels de l'AP et de la CNIL et sur la dépêche Reuters. Enfin, Uber est une plateforme traitant des millions de décisions : la transposition à une PME est une analogie de principe, pas une équivalence de régime.

Apport Origin : « l'IA prépare, vous validez » est notre principe de câblage depuis toujours ; cette affaire en donne la version judiciaire, avec un prix affiché. Dans nos diagnostics, la question « qui peut dire non à la machine, et comment » arrive systématiquement avant les questions de modèle ou de coût, parce que c'est elle qui détermine ce qu'on a le droit d'automatiser. Le déroulé d'un diagnostic Origin Labs pour une PME de services commence par cartographier ces points de décision : pour chacun, qui propose, qui tranche, avec quelle trace et quelle voie de contestation. C'est exactement la grille en quatre propriétés ci-dessus, et elle tient sur une page.

Questions fréquentes

Est-ce une amende de la CNIL ?

Non. L'autorité qui a prononcé l'amende est l'Autoriteit Persoonsgegevens, le régulateur néerlandais, compétent parce que l'établissement principal d'Uber en Europe est à Amsterdam. La CNIL a été saisie en 2020 de la plainte collective de la Ligue des droits de l'Homme et a coopéré tout au long de la procédure, dans le cadre du guichet unique européen, comme le précise son communiqué du 24 août 2026.

Mon outil de scoring ou mon workflow no-code est-il concerné par l'article 22 ?

Possiblement, et la technologie n'y change rien : l'article 22 du RGPD vise toute décision fondée exclusivement sur un traitement automatisé dès lors qu'elle produit un effet juridique ou affecte significativement une personne, que le traitement repose sur un modèle d'IA, une règle tableur ou un workflow no-code. La question à se poser est double : la décision est-elle individuelle et significative, et un humain intervient-il réellement ? Si les deux réponses vous gênent, faites qualifier le processus.

Faut-il un humain pour chaque décision automatisée ?

Non. L'article 22 ne vise que les décisions individuelles à effet juridique ou significatif ; les statistiques de groupe, les propositions qu'un humain examine réellement et les alertes remontées à un responsable qui décide restent hors du champ, comme le détaille la doctrine CNIL. Et même dans le champ, des exceptions existent, chacune avec ses garanties : information et, pour le contrat et le consentement explicite, droit à une intervention humaine et à la contestation ; pour la décision autorisée par une loi, des mesures appropriées prévues par ce texte lui-même.

Que risque une PME concrètement ?

Le barème théorique est le même pour tous : jusqu'à 4 % du chiffre d'affaires mondial annuel, comme le rappelle l'AP. En pratique, ce dossier part d'une plainte de plus de 170 chauffeurs : le déclencheur réaliste d'une procédure est une plainte de personnes affectées, pas une patrouille. La protection la moins chère reste le recensement de vos décisions automatisées significatives et une validation humaine réelle, documentée.

Uber a-t-il reconnu les faits ?

Non. Uber a déposé un recours, déclare être en désaccord avec la décision et le montant, et affirme que ses politiques actuelles prévoient des revues humaines et des voies de contestation, selon sa déclaration rapportée par Reuters. L'AP constate de son côté que les infractions ont cessé. La justice tranchera ; la doctrine, elle, est déjà applicable.

Sources

• CNIL, Décisions automatisées : sanction de près de 825 millions d'euros à l'encontre d'UBER, 24 août 2026 : montant exact de 824 990 000 euros, rôle de l'AP et coopération de la CNIL au titre du guichet unique, plainte de la Ligue des droits de l'Homme, qualification des désactivations (fraude, notation basse) en décisions individuelles automatisées pour absence totale d'intervention humaine, relue le 30 août 2026.
• Autoriteit Persoonsgegevens, Uber fined nearly 825 million euros for automated driver blocking, 21 août 2026 : mécanismes de désactivation, période 2018 à 2022, citation de Monique Verdier, barème des 4 % et chiffre d'affaires 2025 d'environ 44,5 milliards d'euros, cessation des infractions, recours d'Uber, historique des quatre amendes, relue le 30 août 2026. Le communiqué de la CNIL du 24 août 2026, relais français de la même affaire, écrit « plus de 170 chauffeurs » : c'est le libellé retenu ici, plutôt que le « 171 » qui circule dans la presse.
• Reuters (Toby Sterling), Dutch regulator fines Uber $966mln for automating driver suspensions, document shows, 21 août 2026 : décision du 17 août 2026 consultée par Reuters, deuxième plus grosse amende RGPD derrière Meta (1,2 milliard d'euros, 2023), déclaration d'Uber (« We strongly disagree with this decision and disproportionate fine »), recours, revues humaines actuelles selon Uber, contestation partielle des faits, période 2020 à 2022, relue le 30 août 2026 (dépêche reprise par ZAWYA, l'original Reuters étant soumis à authentification).
• EUR-Lex, Règlement (UE) 2016/679 (RGPD), article 22 : droit de ne pas faire l'objet d'une décision fondée exclusivement sur un traitement automatisé produisant des effets juridiques ou affectant significativement la personne, exceptions et garanties, relu le 30 août 2026.
• CNIL, Profilage et décision entièrement automatisée, doctrine du 29 mai 2018 (lignes directrices du G29) : définition de la décision entièrement automatisée, effets juridiques et significatifs, exceptions, droit à une intervention humaine, réexamen et contestation, relue le 30 août 2026.