L'algoritmo decide da solo: multa da 825 milioni

Il 21 agosto l'Autorità olandese per la protezione dei dati ha comminato a Uber una sanzione da 824.990.000 euro. È la seconda più alta mai emessa in Europa sotto il GDPR. Il motivo non è una fuga di dati, non è un trasferimento illecito verso gli Stati Uniti, non è un consenso raccolto male.

Il motivo è che un software disattivava gli account dei conducenti da solo.

La CNIL francese, che ha cooperato all'istruttoria dopo il reclamo collettivo presentato nel 2020 dalla Ligue des droits de l'Homme e ne ha dato notizia il 24 agosto, usa una formula che vale la pena rileggere due volte: quelle disattivazioni erano decisioni individuali automatizzate «per la completa assenza di intervento umano». Non intervento umano insufficiente. Assente.

Che cosa ha deciso l'autorità olandese?

Che due comportamenti di Uber violavano l'articolo 22 del GDPR: la sospensione temporanea dell'account per sospetta frode e la disattivazione, temporanea e definitiva, per valutazioni basse ricevute dai clienti. In entrambi i casi la decisione partiva e si concludeva dentro il sistema. Il reclamo collettivo riguarda oltre 170 conducenti; i fatti vanno dal 2018 al 2022.

Perché riguarda un'azienda con dodici dipendenti?

Perché l'articolo 22 non ha una soglia dimensionale. Non dice «si applica alle piattaforme con più di mille collaboratori»: dice che una persona ha diritto a non essere sottoposta a una decisione basata unicamente su un trattamento automatizzato che produca effetti giuridici o incida in modo analogo su di lei. Vale per Uber e vale per un'officina con tre meccanici.

Cambia solo la cifra della sanzione, che è proporzionata al fatturato. Non cambia la regola. E qui c'è il punto che rende questa notizia diversa da tutte le altre di agosto.

L'AI Act è stato rinviato, l'articolo 22 no

Il 24 luglio 2026 è stato pubblicato in Gazzetta ufficiale dell'Unione il Regolamento (UE) 2026/1744, il cosiddetto Digital Omnibus. Fra le altre cose ha spostato l'applicazione degli obblighi per i sistemi ad alto rischio dell'Allegato III al 2 dicembre 2027, e quelli dell'Allegato I al 2 agosto 2028. Nell'Allegato III ci sono, per intero, i sistemi usati per la selezione del personale, l'assegnazione dei compiti, la valutazione delle prestazioni e la cessazione del rapporto di lavoro.

Molte aziende italiane hanno letto quel rinvio come sedici mesi di tregua. La sanzione a Uber dice che la tregua non c'è mai stata: l'obbligo di tenere una persona dentro le decisioni che pesano su un'altra persona non arriva dall'AI Act. È in vigore dal 25 maggio 2018 e ha appena prodotto la seconda multa più alta della storia del GDPR. Le sanzioni dell'AI Act sono un capitolo che si aprirà; questo è già aperto.

Dove si nasconde una decisione automatizzata in una PMI?

Quasi mai dove ci si aspetta. Non nel chatbot del sito, che risponde e basta. Sta nei punti in cui un'automazione chiude un percorso invece di preparare una risposta: uno scarto di candidature per parole chiave, un blocco dell'account cliente per pattern sospetto, un fido negato da uno scoring, un turno assegnato da un algoritmo, un rimborso rifiutato in automatico.

Sono flussi che una PMI costruisce in un pomeriggio con n8n o Make, e che nessuno registra come «decisione». Il nodo che decide è un if in mezzo a un diagramma.

C'è poi un obbligo tutto italiano che quasi nessuno ha assolto. L'articolo 1-bis del Decreto trasparenza (D.lgs. 104/2022) impone al datore di lavoro di informare lavoratori e rappresentanze sindacali quando usa sistemi decisionali o di monitoraggio automatizzati che incidono su assunzione, assegnazione dei compiti, valutazione delle prestazioni o cessazione del rapporto: vanno dichiarati la logica di funzionamento, le categorie di dati trattati e i parametri usati. Il Garante privacy ha chiarito che quell'informativa non sostituisce le tutele del GDPR. Si somma.

Che cosa vuol dire «intervento umano» per davvero?

Non che qualcuno veda la decisione. Che qualcuno possa ribaltarla. La Corte di giustizia dell'Unione, nella sentenza SCHUFA del 7 dicembre 2023 (causa C-634/21), ha stabilito che anche un punteggio calcolato da un terzo è una decisione ai sensi dell'articolo 22 quando influisce in modo determinante sull'esito.

Tradotto in pratica: se l'operatore che «approva» ha davanti solo l'esito e un pulsante, e non ha né i dati né il tempo né l'autorità per dire di no, l'intervento umano è una finzione procedurale. Il test è semplice e piuttosto crudele: nell'ultimo trimestre, quante volte una persona ha ribaltato il verdetto della macchina? Se la risposta è zero, decide la macchina.

I quattro gesti che mettono al riparo

Uno. Fare l'elenco dei punti in cui un'automazione chiude un percorso su una persona — candidato, cliente, fornitore, dipendente. È mezza giornata di lavoro e si appoggia allo stesso registro dell'inventario degli strumenti AI.

Due. Su ognuno, decidere se l'esito è definitivo o è una proposta. Se è definitivo e riguarda una persona, serve qualcuno che lo firmi, con i dati sotto gli occhi e la possibilità concreta di cambiarlo. Vale anche per le automazioni che rispondono al posto vostro, come quelle descritte nella guida su come rispondere ai preventivi in automatico: una proposta di risposta è un conto, un rifiuto spedito da solo è un altro.

Tre. Dire alla persona che c'è un sistema automatico e come contestarlo. Nel caso Uber la contestazione dell'autorità è duplice: nessun preavviso adeguato e nessuna revisione umana. Sono due mancanze distinte e ciascuna basta a fare l'illecito.

Quattro. Tenere traccia. Data, esito della macchina, esito finale, chi ha firmato. Senza quel registro non si dimostra nulla, e nel contenzioso l'onere della prova sta sul titolare del trattamento, non sulla persona che si è vista chiudere l'account.

Uber ha dichiarato di essere in forte disaccordo con la decisione, di ritenere la sanzione sproporzionata e di volerla impugnare; sostiene che oggi le disattivazioni prevedono un intervento umano e la possibilità di ricorso. L'esito dell'appello si conoscerà fra anni. La norma su cui l'autorità ha fondato la sanzione, nel frattempo, è in vigore adesso — e non aspetta dicembre 2027.