Uberille €825 miljoonan algoritmisakko

Uber-kuljettaja avaa sovelluksen aamulla ja huomaa, että tili on suljettu. Järjestelmä on tulkinnut jotakin poikkeavaksi: ehkä reitin, jonka se katsoo paisuttaneen hintaa, tai sarjan heikkoja asiakasarvioita. Ennakkovaroitusta ei tule, eikä tapausta ole välttämättä arvioinut ihminen. Näytöllä lukee käytännössä, ettei tänään tehdä töitä.

Tästä on kyse 825 miljoonan euron sakossa, jonka Alankomaiden tietosuojaviranomainen AP määräsi Uberille tällä viikolla. Kyse on EU:n tietosuoja-asetuksen historian toiseksi suurimmasta seuraamuksesta. Suurempi on ollut vain Metalle vuonna 2023 määrätty 1,2 miljardin euron sakko (Reuters via Yahoo Finance, DutchNews).

Viranomaisen mukaan Uber käytti ohjelmistoja, joilla kuljettajia eri puolilla Eurooppaa suljettiin tilapäisesti tai pysyvästi pois alustalta ilman riittäviä tietoja päätöksen perusteista ja ilman todellista ihmisen tekemää arviointia (NOS, Euractiv).

Laki, jonka mukaan tietokone ei saa päättää yksin

Oikeudellinen ydin on EU:n yleisen tietosuoja-asetuksen eli GDPR:n 22 artikla. Sen mukaan ihmisellä on oikeus olla joutumatta pelkästään automaattisen päätöksenteon kohteeksi, jos päätöksellä on häneen merkittävä vaikutus (GDPR official text). Personoitu mainossuositus ei yleensä ylitä tätä rajaa. Tulonlähteen katkaiseminen ylittää.

Raja kulkee siinä, missä ohjelmisto ei enää vain järjestä tietoa tai nosta poikkeamia esiin vaan käytännössä päättää ihmisen toimeentulosta tai oikeudellisesta asemasta. Tällöin GDPR edellyttää kolmea asiaa: ihmisen on arvioitava tapaus aidosti, henkilölle on kerrottava päätöksen taustalla käytetyt tiedot ja logiikka, ja päätös on voitava riitauttaa toimivalla tavalla (GDPR official text, EDPB-endorsed guidance).

"Ihmisen arviointi" ei tarkoita sitä, että työntekijä painaa hallintapaneelissa hyväksyntänappia. Euroopan tietosuojaviranomaisten ohjeistuksen mukaan arvioijan on ymmärrettävä ohjelmiston tuottama tulos, nähtävä päätöksen taustatiedot ja voitava muuttaa päätös (EDPB-endorsed guidance).

AP:n varapuheenjohtaja Monique Verdier tiivisti asian suoraan: kuljettajia tehtiin epäaktiivisiksi ilman varoitusta, eikä tietokoneen pidä tehdä yksin päätöksiä, joilla on ihmiselle suuria seurauksia, ennen kuin ihminen on katsonut tapauksen (Xinhua).

Ranskalaiset kuljettajat, hollantilainen sakko

Tapaus lähti liikkeelle ranskalaisten Uber-kuljettajien valituksista. Valittajia kerrotaan olleen 171, mutta alkuperäistä valitusasiakirjaa ei ole julkaistu (Boursorama/AFP, Le Figaro/AFP).

GDPR:n rajat ylittävissä tapauksissa päävastuu kuuluu yleensä sen jäsenmaan viranomaiselle, jossa yhtiön EU-päätoimipaikka sijaitsee. Uberin Euroopan pääkonttori on Amsterdamissa, joten Alankomaiden viranomainen johti tutkintaa. Siksi Ranskassa tehty kuljettajavalitus johti koko Eurooppaa koskevaan valvontapäätökseen (NRC).

AP:n mukaan Uberin järjestelmät merkitsivät kuljettajia epäillyn väärinkäytön tai heikkojen arvioiden perusteella ja sulkivat tilejä ilman riittävää selitystä tai tehokasta muutoksenhakukeinoa. Uber kiistää keskeisiä osia viranomaisen tulkinnasta. Yhtiön mukaan pysyvät tilien sulkemiset eivät olleet täysin automatisoituja, ja vuonna 2021 vain 126 eurooppalaista kuljettajaa poistettiin alustalta heikkojen asiakasarvioiden vuoksi (Reuters via Yahoo Finance, Quartz).

Uber pitää sakkoa suhteettomana, sanoo tutkinnan kohteena olleiden käytäntöjen päättyneen jo vuosia sitten ja aikoo valittaa päätöksestä (Bloomberg via Yahoo Finance).

Summa voi muuttua, periaate tuskin

Valitus tarkoittaa, ettei 825 miljoonan euron sakko ole lopullinen. Tuomioistuin voi pitää sen voimassa, alentaa sitä tai kumota sen. AP:n koko päätöstä ei ollut julkaistu uutisen tullessa julki, joten sakon laskentaperusteet eivät vielä ole tarkasti tiedossa (Boursorama/AFP).

Uberille aiemmin määrätty 290 miljoonan euron hollantilainen sakko kuljettajatietojen siirtämisestä Yhdysvaltoihin on tiettävästi keskeytetty valituksen ajaksi. Sama voi tapahtua nytkin (DutchNews).

Tapaus on silti Uberia laajempi. Miljoonien alustatyöntekijöiden työpäivä riippuu jo ohjelmiston arviosta eikä esihenkilön päätöksestä. GDPR:ää käytetään nyt alustayhtiöiden algoritmisen työnjohdon valvontaan jo ennen kuin uudempi sääntely nousee pääkentäksi.

EU:n tekoälyasetus luokittelee työelämän tekoälyjärjestelmät korkean riskin järjestelmiksi, mikä tuo niille lisävalvontaa. Alustatyödirektiivi puolestaan vahvistaa keikkatyöntekijöiden oikeuksia riitauttaa automaattisia päätöksiä (Deutschlandfunk, AI Act, Regulation 2024/1689). Suunta on sama: ohjelmisto voi tukea työelämää koskevaa päätöstä, mutta se ei voi olla ainoa vastuullinen päätöksentekijä.

Alustasta toimeentulonsa saavan kannalta käytännön johtopäätös on selvä. Jos algoritmi sulkee tilin, käyttäjällä on oikeus saada tietää, mihin tietoihin ja logiikkaan päätös perustui, saada tapaus todellisen ihmisen arvioitavaksi ja riitauttaa ratkaisu. Riippumatta siitä, jääkö Uberin lopulliseksi hinnaksi 825 miljoonaa vai 82 miljoonaa euroa, nämä oikeudet eivät ole katoamassa.