Uber får miljardbot för algoritm

En Uberförare öppnar appen en morgon och ser att kontot har spärrats. Plattformens system har reagerat på något: kanske en körväg som tolkats som misstänkt prismanipulation, kanske en serie låga kundbetyg. Inget brev i förväg, inget telefonsamtal, ingen människa som först gått igenom ärendet. Bara ett besked på skärmen om att det inte går att arbeta.

Det är kärnan i de 825 miljoner euro i böter som den nederländska dataskyddsmyndigheten AP i veckan beslutade att ålägga Uber. Det är den näst största sanktionsavgiften hittills enligt EU:s dataskyddslagstiftning, efter Metas böter på 1,2 miljarder euro 2023 (Reuters via Yahoo Finance, DutchNews). Enligt myndigheten använde Uber mjukvara för att stänga av eller permanent koppla bort förare i Europa utan tillräcklig information och utan verklig mänsklig prövning (NOS, Euractiv).

Lagen som säger att en dator inte får avgöra ensam

Den rättsliga grunden är artikel 22 i GDPR, EU:s dataskyddsförordning. Den ger människor rätt att inte bli föremål för beslut som enbart fattas automatiskt, om beslutet får betydande följder för dem (GDPR official text). En personanpassad annonsrekommendation faller normalt utanför. Att bli avstängd från sin inkomstkälla gör det inte.

Gränsen går där ett automatiserat system påverkar försörjning eller rättslig ställning. Under den gränsen kan mjukvara fortfarande rangordna körningar eller flagga mönster. Över den kräver GDPR tre saker: att en människa faktiskt granskar ärendet, att den berörda personen får veta vilka uppgifter och vilken logik som legat bakom beslutet, och att det finns ett fungerande sätt att bestrida det (GDPR official text, EDPB-endorsed guidance). ”Mänsklig prövning” betyder inte att en anställd klickar på ”bekräfta” i ett ärendeverktyg. Enligt den vägledning som godkänts av Europeiska dataskyddsstyrelsen ska granskaren förstå systemets utslag, kunna se underliggande uppgifter och ha mandat att ändra beslutet (EDPB-endorsed guidance).

AP:s vice ordförande Monique Verdier formulerade saken rakt: förare gjordes inaktiva utan förvarning, och en dator bör inte självständigt fatta beslut med stora konsekvenser innan en människa har granskat dem (Xinhua).

Franska förare, nederländska böter

Ärendet började med klagomål från franska Uberförare. Enligt uppgifter rörde det sig om 171 klagande, även om någon ursprunglig klagoinlaga inte har offentliggjorts (Boursorama/AFP, Le Figaro/AFP). Enligt GDPR:s regler leds gränsöverskridande ärenden normalt av tillsynsmyndigheten i det land där företaget har sitt europeiska huvudkontor. Eftersom Uber är baserat i Amsterdam tog den nederländska myndigheten över. Därför kunde franska förares klagomål leda till ett beslut med räckvidd över hela EU (NRC).

AP bedömde att Ubers system flaggade förare för misstänkt bedrägeri eller låga betyg och därefter spärrade konton utan tillräcklig förklaring eller en effektiv möjlighet att invända. Uber bestrider centrala delar av detta. Bolaget säger att permanenta avstängningar inte var helt automatiserade och att endast 126 europeiska förare stängdes av 2021 på grund av låga kundbetyg (Reuters via Yahoo Finance, Quartz). Uber beskriver böterna som oproportionerliga, uppger att de granskade rutinerna avvecklades för flera år sedan och bekräftar att beslutet kommer att överklagas (Bloomberg via Yahoo Finance).

Beloppet kan ändras, men principen består

Överklagandet innebär att beloppet på 825 miljoner euro inte är slutligt. Domstol kan fastställa, sänka eller upphäva avgiften. När nyheten publicerades hade AP:s fullständiga beslut ännu inte offentliggjorts, vilket gör beräkningen av sanktionsbeloppet oklar (Boursorama/AFP). Ubers tidigare nederländska böter på 290 miljoner euro för överföring av förardata till USA uppges ha vilandeförklarats under överklagandet. Även detta beslut kan därför komma att pausas (DutchNews).

Den bredare signalen går längre än Uber. Miljontals plattformsarbetare har i dag inte en chef, utan mjukvara, som avgör om de kan tjäna pengar en viss dag. GDPR används redan för att reglera hur plattformar styr arbetskraft med algoritmer, innan nyare regler som EU:s AI-förordning och plattformsarbetsdirektivet har blivit huvudarenan. AI-förordningen klassar AI i arbetslivet som högrisk och kräver därför extra kontroll. Plattformsarbetsdirektivet ska ge gigarbetare starkare rätt att angripa automatiserade beslut (Deutschlandfunk, AI Act, Regulation 2024/1689). Reglerna pekar åt samma håll: mjukvara får stödja ett arbetsbeslut, men den får inte vara den enda ansvariga aktören.

För den som är beroende av en plattform för sin inkomst är den praktiska innebörden redan tydlig. Om en algoritm spärrar kontot finns rätten att få veta vilka uppgifter och vilken logik som använts, att få beslutet prövat av en verklig person och att kunna invända. Oavsett om domstol till slut landar i 825 miljoner euro eller 82 miljoner euro för Uber består de rättigheterna.