Uber-algoritmus miatt €825 million bírság

Egy sofőr reggel megnyitja az Uber alkalmazását, és azt látja, hogy zárolták a fiókját. A platform szoftvere valamit gyanúsnak talált: talán egy szokatlan útvonalat, amelyet viteldíj-felhajtásként értelmezett, talán több gyenge utasértékelést egymás után. Nincs előzetes levél, nincs telefonhívás, nincs ember, aki ténylegesen megnézte volna az ügyet. Csak egy képernyő, amelyből kiderül: ma nem dolgozhat.

Erről szól az a 825 millió eurós bírság, amelyet a holland adatvédelmi hatóság, az AP szabott ki ezen a héten az Uberre. Ez a GDPR, vagyis az európai adatvédelmi rendelet történetének második legnagyobb büntetése a Meta 2023-as, 1,2 milliárd eurós szankciója után (Reuters via Yahoo Finance, DutchNews). A hatóság szerint az Uber olyan szoftvert használt, amely Európa-szerte felfüggesztette vagy végleg kizárta a sofőröket a platformról anélkül, hogy megfelelő tájékoztatást kaptak volna, vagy valódi emberi felülvizsgálat történt volna (NOS, Euractiv).

A szabály, amely szerint egy gép nem dönthet egyedül

Az ügy jogi magja a GDPR 22. cikke. Ez kimondja, hogy az embereket nem lehet kizárólag automatizált döntésnek alávetni, ha annak rájuk nézve jelentős következménye van (GDPR official text). Egy személyre szabott reklámajánlás még nem ilyen. Az viszont igen, ha valakit elvágnak a jövedelmétől.

A határ viszonylag világos. A szoftver rangsorolhat fuvarokat, és jelezhet gyanús mintázatokat. De amikor valakinek a megélhetése vagy jogi helyzete forog kockán, a GDPR három dolgot vár el: embernek kell érdemben megvizsgálnia az ügyet, az érintettnek tudnia kell, milyen adatok és logika alapján született a döntés, és használható módot kell kapnia arra, hogy vitassa azt (GDPR official text, EDPB-endorsed guidance). Az „emberi felülvizsgálat” nem azt jelenti, hogy egy munkatárs rákattint a „megerősítés” gombra. Az adatvédelmi iránymutatás szerint a felülvizsgálónak értenie kell a szoftver kimenetét, látnia kell az alapul szolgáló adatokat, és joga kell legyen felülírni a gépi döntést (EDPB-endorsed guidance).

Monique Verdier, az AP alelnöke ezt egyszerűen fogalmazta meg: a sofőröket figyelmeztetés nélkül tették inaktívvá, márpedig egy számítógép nem hozhat önállóan súlyos következményekkel járó döntéseket azelőtt, hogy ember nézné meg az ügyet (Xinhua).

Francia sofőrök, holland bírság

Az eljárás francia Uber-sofőrök panaszaiból indult. A beszámolók szerint 171 panaszosról volt szó, bár az eredeti beadvány nyilvánosan nem került elő (Boursorama/AFP, Le Figaro/AFP). A GDPR rendszerében a határokon átnyúló ügyekben többnyire annak az országnak a hatósága jár el vezetőként, ahol a cég uniós központja működik. Mivel az Uber európai központja Amszterdamban van, a holland hatóság vitte az ügyet, így lett a francia sofőrök panaszaiból egész Európára kiható döntés (NRC).

Az AP szerint az Uber rendszerei csalásgyanú vagy alacsony értékelések miatt jelölték meg a sofőröket, majd megfelelő magyarázat és hatékony jogorvoslat nélkül függesztették fel a fiókokat. Az Uber ezt több ponton vitatja. A cég szerint a végleges kizárások nem teljesen automatizáltan történtek, és 2021-ben mindössze 126 európai sofőrt zártak ki alacsony ügyfélértékelések miatt (Reuters via Yahoo Finance, Quartz). A vállalat „aránytalan”-nak nevezi a bírságot, azt állítja, hogy a vizsgált gyakorlatokat évekkel ezelőtt megszüntette, és jelezte, hogy fellebbez (Bloomberg via Yahoo Finance).

Az összeg változhat, az elv aligha

A fellebbezés miatt a 825 millió euró még nem végleges. A bíróság helybenhagyhatja, csökkentheti vagy akár teljesen megsemmisítheti a bírságot. Amikor az ügy nyilvánosságra került, az AP teljes határozatát még nem tették közzé, ezért az összeg pontos kiszámítása sem látható (Boursorama/AFP). Az Uber korábbi, 290 millió eurós holland bírságát, amelyet a sofőradatok Egyesült Államokba továbbítása miatt szabtak ki, a beszámolók szerint a fellebbezés idejére felfüggesztették; ez most is megtörténhet (DutchNews).

Az ügy jelentősége túlmutat az Uberen. Platformmunkások millióinál ma már nem egy közvetlen vezető, hanem szoftver dönti el, kereshetnek-e pénzt az adott napon. A GDPR-t már most arra használják a hatóságok, hogy korlátok közé szorítsák az algoritmikus munkairányítást, még mielőtt az újabb szabályok, például az EU mesterséges intelligenciáról szóló rendelete vagy a platformmunkáról szóló irányelv válnának a fő jogi tereppé. Az AI Act a munkahelyi mesterséges intelligenciát magas kockázatú rendszerként kezeli, ezért szigorúbb felügyeletet ír elő; a platformmunkás-irányelv pedig erősebb jogokat ad majd a gig economy dolgozóinak az automatizált döntések vitatására (Deutschlandfunk, AI Act, Regulation 2024/1689). Mindhárom szabályozási irány ugyanoda mutat: a szoftver segítheti a munkahelyi döntést, de nem lehet az egyetlen felelős döntéshozó.

Aki platformból él, annak a gyakorlati következtetés már most világos. Ha egy algoritmus blokkolja a fiókját, joga van tudni, milyen adatok és milyen logika alapján történt ez, joga van valódi emberi felülvizsgálathoz, és joga van vitatni a döntést. Hogy a bíróság végül 825 millió vagy 82 millió euróban méri-e az Uber felelősségét, az még nyitott kérdés. Ezek a jogok viszont nem fognak eltűnni.