Uber, multa da €825 million sull’algoritmo

Un autista apre l’app di Uber una mattina e scopre che l’account è bloccato. Il software della piattaforma ha segnalato qualcosa: forse un percorso insolito interpretato come un tentativo di gonfiare la tariffa, forse una sequenza di valutazioni negative da parte dei passeggeri. Nessuna lettera di preavviso, nessuna telefonata, nessuna persona che abbia esaminato il caso. Solo una schermata che, di fatto, dice che oggi non si lavora.

È questo lo scenario al centro della multa da 825 milioni di euro che l’Autorità olandese per la protezione dei dati, la AP, ha inflitto questa settimana a Uber: la seconda sanzione più alta mai comminata in Europa in base alla normativa sulla privacy, dopo gli 1,2 miliardi di euro imposti a Meta nel 2023 (Reuters via Yahoo Finance, DutchNews). Secondo il regolatore, Uber ha usato software per sospendere o escludere in modo definitivo autisti in diversi Paesi europei senza fornire informazioni adeguate e senza garantire un vero controllo umano (NOS, Euractiv).

La norma che vieta al computer di decidere da solo

Il punto giuridico è l’articolo 22 del GDPR, il regolamento europeo sulla protezione dei dati. La norma riconosce alle persone il diritto a non subire decisioni prese esclusivamente da un software quando quelle decisioni incidono in modo significativo sulla vita (GDPR official text). Una raccomandazione pubblicitaria personalizzata non rientra in questa categoria. La perdita del reddito, sì.

La linea è abbastanza netta. Al di sotto, il software può continuare a ordinare le corse o segnalare anomalie. Al di sopra, quando sono in gioco il reddito o la posizione giuridica di una persona, il GDPR richiede tre cose: che un essere umano esamini davvero il caso, che l’interessato sappia quali dati e quale logica abbiano portato alla decisione, e che esista un modo concreto per contestarla (GDPR official text, EDPB-endorsed guidance). Per «controllo umano» non basta che un dipendente clicchi «conferma» su una dashboard. Le linee guida dei regolatori precisano che chi rivede la decisione deve capire l’output del software, vedere i dati sottostanti e avere il potere di ribaltare l’esito (EDPB-endorsed guidance).

La vicepresidente della AP, Monique Verdier, lo ha detto senza giri di parole: gli autisti venivano disattivati senza preavviso, e un computer non dovrebbe prendere autonomamente decisioni con conseguenze rilevanti prima che una persona le abbia valutate (Xinhua).

Autisti francesi, multa olandese

Il caso nasce dai reclami presentati da autisti Uber francesi, secondo quanto riferito da 171 ricorrenti, anche se il ricorso originario non risulta pubblicamente disponibile (Boursorama/AFP, Le Figaro/AFP). In base alle regole del GDPR, nelle vicende transfrontaliere guida di norma l’autorità del Paese in cui una società ha la sede europea. Poiché Uber ha sede ad Amsterdam, la pratica è finita nelle mani del garante olandese: così una protesta partita dalla Francia ha prodotto una decisione con portata continentale (NRC).

La AP ha accertato che i sistemi di Uber segnalavano autisti per sospette frodi o valutazioni basse e sospendevano gli account senza spiegazioni sufficienti né strumenti efficaci di ricorso. Uber contesta elementi centrali della ricostruzione: sostiene che le disattivazioni permanenti non fossero interamente automatizzate e che nel 2021 soltanto 126 autisti europei siano stati esclusi per valutazioni basse dei clienti (Reuters via Yahoo Finance, Quartz). La società definisce la sanzione «sproporzionata», afferma che le pratiche oggetto dell’indagine sono state abbandonate anni fa e ha già annunciato ricorso (Bloomberg via Yahoo Finance).

La cifra può cambiare, il principio no

Il ricorso rende non definitiva la cifra di 825 milioni di euro. I giudici potranno confermarla, ridurla o annullarla del tutto. Quando la notizia è emersa, la decisione integrale della AP non era ancora stata pubblicata, e dunque il calcolo preciso della sanzione resta poco trasparente (Boursorama/AFP). La precedente multa olandese da 290 milioni di euro inflitta a Uber per il trasferimento negli Stati Uniti dei dati degli autisti sarebbe stata sospesa in attesa dell’appello, e lo stesso potrebbe accadere anche in questo caso (DutchNews).

Il segnale, però, va oltre Uber. Milioni di lavoratori delle piattaforme dipendono ormai da software, più che da un responsabile in carne e ossa, per sapere se in una certa giornata potranno guadagnare. Il GDPR viene già usato per controllare il modo in cui le piattaforme gestiscono il lavoro tramite algoritmi, prima ancora che il terreno principale dello scontro diventino norme più recenti come l’AI Act dell’UE, che classifica l’intelligenza artificiale nei luoghi di lavoro come ad alto rischio e impone controlli rafforzati, o la direttiva sul lavoro tramite piattaforma, che darà ai lavoratori della gig economy maggiori diritti nel contestare decisioni automatizzate (Deutschlandfunk, AI Act, Regulation 2024/1689). Tutte queste norme spingono nella stessa direzione: il software può aiutare a prendere una decisione sul lavoro, ma non può essere l’unico soggetto a cui attribuirne la responsabilità.

Per chi dipende da una piattaforma per il reddito, la conseguenza pratica è già chiara. Se un algoritmo blocca l’account, esiste il diritto di sapere quali dati e quale logica siano stati usati, di ottenere il riesame da parte di una persona reale e di contestare la decisione. Che alla fine un tribunale faccia pagare a Uber 825 milioni o 82 milioni di euro per avere ignorato quei diritti, i diritti restano.