Premier échange de 30 minutes, sans engagement.
Demande d'information
· Nice et
100 km à la ronde, à distance partout en France.
Le 21 août 2026, l’autorité néerlandaise de protection des données a infligé à Uber une amende de 824 990 000 euros. Trois jours plus tard, le 24 août, la CNIL relayait en France une sanction qu’elle n’a pas prononcée. Le montant a fait les titres. Le raisonnement juridique, lui, est passé plus inaperçu — alors que c’est lui qui concerne directement toute entreprise qui automatise une décision affectant des personnes.
Cette décision ne porte pas sur l’AI Act. Elle porte sur l’article 22 du RGPD, en vigueur depuis 2018. C’est précisément ce qui la rend immédiatement opérante.
Plusieurs titres français ont écrit « la CNIL sanctionne Uber ». C’est inexact, et la nuance a des conséquences pratiques.
L’autorité qui a prononcé l’amende est l’Autoriteit Persoonsgegevens (AP), l’autorité néerlandaise, compétente comme autorité chef de file au titre du mécanisme de guichet unique du RGPD, l’établissement principal d’Uber dans l’Union se trouvant aux Pays-Bas. La CNIL a co-instruit le dossier et informé les plaignants, comme le prévoit la procédure de coopération. Il n’existe donc pas de délibération de la formation restreinte de la CNIL dans cette affaire.
Cela signifie, pour une entreprise française filiale d’un groupe européen, que son interlocuteur en cas de contrôle sur un traitement décidé au niveau du groupe peut très bien ne pas être la CNIL. La question de l’établissement principal se pose avant le contentieux, pas pendant.
Entre 2018 et 2022 selon l’autorité, Uber a désactivé des comptes de chauffeurs — temporairement ou définitivement — sur le fondement de scores de suspicion de fraude ou de notations clients basses. La CNIL résume le constat retenu : ces désactivations constituent des décisions automatisées en raison de l’absence totale d’intervention humaine dans le processus de décision.
L’origine de la procédure est française : une plainte collective déposée en 2020 devant la CNIL par la Ligue des droits de l’Homme pour le compte de 171 chauffeurs, complétée en 2021. Le communiqué de la CNIL évoque « plus de 170 chauffeurs ».
Le fondement principal est l’article 22 du RGPD, qui interdit en principe qu’une personne fasse l’objet d’une décision fondée exclusivement sur un traitement automatisé produisant des effets juridiques la concernant ou l’affectant de manière significative. Selon les analyses disponibles, la décision retient également les articles 13 et 14, qui imposent d’informer les personnes sur la logique sous-jacente d’un traitement automatisé et ses conséquences ; le communiqué de la CNIL, lui, ne cite que l’article 22.
La désactivation d’un compte prive le chauffeur de sa source de revenus : l’effet significatif ne fait pas débat. Reste la question qui intéresse toutes les directions des ressources humaines : à partir de quand considère-t-on qu’un humain est intervenu ?
Uber conteste le constat de l’autorité. L’entreprise fait valoir que la plupart des suspensions étaient brèves, que les désactivations définitives comportaient une revue humaine, et que ses procédures actuelles prévoient un droit de recours. Le texte intégral de la décision néerlandaise n’était pas encore public à la date de publication de cet article : il faut donc s’en tenir au constat rapporté par les deux autorités — une absence d’intervention humaine sur les décisions litigieuses — sans surinterpréter le raisonnement.
En revanche, la doctrine des autorités européennes sur ce qu’est une intervention humaine est stable et documentée depuis les lignes directrices du groupe de l’article 29, reprises par le Comité européen de la protection des données. Pour faire sortir une décision du champ de l’article 22, l’intervention humaine doit être effective : la personne qui relit doit disposer d’un pouvoir réel d’infirmer la proposition algorithmique, de la compétence pour l’apprécier, de l’autorité pour la contredire et du temps pour le faire. Une validation formelle, un clic de confirmation, une relecture par lot ne suffisent pas.
C’est un critère de preuve, et il se prépare. Concrètement, une entreprise qui veut pouvoir démontrer l’effectivité de sa supervision humaine doit être capable de produire :
Une organisation incapable de produire ces éléments est, du point de vue de l’autorité, dans une situation d’automatisation exclusive, quelles que soient ses déclarations.
L’affaire concerne des chauffeurs de plateforme, mais le raisonnement ne comporte aucune limite sectorielle. Il s’applique à toute décision produisant un effet significatif sur une personne. En ressources humaines, cela vise notamment :
Deux points méritent d’être soulignés pour éviter les contresens.
D’abord, la présence d’un être humain dans le processus global ne suffit pas : c’est l’intervention sur la décision individuelle qui compte. Un recruteur qui définit les critères de filtrage puis ne regarde que les candidatures retenues n’intervient pas sur la décision d’écarter les autres.
Ensuite, l’article 22 ne se limite pas à l’IA. Une règle métier codée en dur, un filtre de candidature sur un critère unique, un tableur qui trie automatiquement relèvent du même texte. Le sujet est l’automatisation de la décision, pas la sophistication de la technique.
Uber conteste le montant, qu’elle juge disproportionné, et a annoncé un recours. Pour appuyer cette disproportion, l’entreprise avance que 126 chauffeurs seulement auraient été définitivement désactivés en Europe en 2021 pour cause de notes clients basses — un chiffre issu de sa défense, et non d’une volumétrie publiée par l’autorité, qui n’en a pas diffusé. Selon le média Implicator.ai, le recours suspend l’exécution de l’amende, potentiellement pour plusieurs années. Les deux sanctions antérieures de la même série — 10 millions d’euros le 11 décembre 2023 pour défaut d’information, 290 millions d’euros le 22 juillet 2024 pour des transferts de données hors Union — sont elles aussi toujours contestées.
Il faut donc écrire que la sanction n’est pas définitive. Mais l’incertitude porte sur le montant et sur le sort d’Uber, pas sur la règle : l’article 22 est en vigueur, et il est désormais établi que les autorités européennes savent l’appliquer à un dispositif de gestion algorithmique de la main-d’œuvre à une échelle qui dépasse largement les plafonds habituels.
Selon le média néerlandais IO+, le montant représente environ 1,85 % du chiffre d’affaires mondial 2025 d’Uber, évalué à 44,5 milliards d’euros, ce qui en ferait la deuxième plus lourde sanction RGPD prononcée à ce jour, derrière l’amende de 1,2 milliard d’euros infligée à Meta en 2023. Ces ratios proviennent d’une source secondaire et doivent être maniés comme tels.
Recenser les décisions automatisées avant de recenser les outils. L’inventaire utile n’est pas la liste des logiciels d’IA, c’est la liste des décisions prises ou préparées sans examen individuel : filtrage de CV, alertes disciplinaires, calculs de variable, affectations. Beaucoup de ces décisions ne passent par aucun outil identifié comme « IA ».
Qualifier chacune au regard de l’article 22. Trois questions suffisent : la décision produit-elle un effet juridique ou significatif ? Est-elle fondée exclusivement sur un traitement automatisé ? Si oui, relève-t-elle d’une des exceptions de l’article 22.2 — nécessité contractuelle, autorisation légale, consentement explicite — et, dans ce cas, les garanties prévues sont-elles en place ?
Rendre la supervision humaine démontrable. Instrumenter le taux d’infirmation, tracer les examens, former et mandater explicitement les relecteurs. Un dispositif de supervision qui n’infirme jamais rien est un indice à charge, pas une preuve de qualité de l’algorithme.
Mettre l’information des personnes au niveau exigé. Les articles 13 et 14 imposent d’expliquer la logique du traitement et ses conséquences. Une mention générique dans une politique de confidentialité ne satisfait pas cette obligation dans un processus de recrutement ou d’évaluation.
Ne pas attendre l’AI Act pour agir. Les obligations applicables aux systèmes d’IA à haut risque en matière de recrutement et de gestion des ressources humaines ont été reportées au 2 décembre 2027 par l’omnibus numérique. Le RGPD, lui, s’applique aujourd’hui — c’est tout le sens de cette affaire. Le détail du calendrier européen est repris dans notre article sur les obligations réellement applicables au titre de l’AI Act.
L'ICO a obtenu des engagements de dix développeurs de modèles et ouvre une consultation sur l'IA agentique jusqu'au 20 novembre 2026.
Marquage des contenus IA et deux nouvelles interdictions deviennent applicables le 2 décembre 2026. Ce que les entreprises doivent vérifier.
Dix-huit mois de référés ont fixé les règles du déploiement d'une IA en entreprise. Panorama des décisions et des obligations du CSE.
Sans engagement, sans diaporama. On regarde où vous en êtes, et je vous dis franchement si nous sommes le bon interlocuteur.
Demande d'information
Réponse sous 24 heures ouvrées. Si vous préférez parler de vive voix, réservez plutôt un créneau de 30 minutes — c'est souvent plus rapide.