Premier échange de 30 minutes, sans engagement.
Demande d'information
· Nice et
100 km à la ronde, à distance partout en France.
Le 21 août 2026, l’autorité néerlandaise de protection des données a prononcé une amende de 824 990 000 euros contre Uber pour avoir laissé des systèmes automatisés désactiver des comptes de chauffeurs sans intervention humaine réelle. La CNIL, qui a instruit le dossier à l’origine, l’a relayée dans un communiqué du 24 août. Le montant a fait les titres. Ce n’est pourtant pas ce qui devrait retenir l’attention d’un directeur des ressources humaines : c’est le raisonnement, qui se transpose sans effort à la plupart des outils RH déployés aujourd’hui.
L’Autoriteit Persoonsgegevens (AP), homologue néerlandais de la CNIL, a prononcé la sanction. Le siège européen d’Uber étant établi aux Pays-Bas, l’AP est l’autorité chef de file au titre du mécanisme dit du « guichet unique » prévu par le RGPD. La CNIL est autorité concernée : elle indique avoir étroitement coopéré avec l’AP, notamment lors des contrôles, dans l’analyse des éléments de preuve et lors de l’examen du projet de décision.
L’affaire ne vient pas d’un contrôle spontané. Elle naît d’une plainte collective déposée en 2020 auprès de la CNIL par la Ligue des droits de l’Homme, pour le compte de plus de 170 chauffeurs, complétée en 2021.
C’est la troisième sanction issue de cette plainte de 2020, après 10 millions d’euros le 11 décembre 2023 pour des manquements à l’information des personnes, et 290 millions d’euros le 22 juillet 2024 pour des transferts de données hors de l’Union européenne. Uber a annoncé faire appel.
Deux séries de traitements sont visées :
Dans les deux cas, l’autorité relève l’absence d’intervention humaine réelle dans la chaîne de décision. Et elle en tire la conséquence qui fait la gravité du dossier : comme le résume la CNIL, « ces décisions affectent de manière significative les chauffeurs qui, en cas de blocage de leur compte, ne peuvent plus effectuer de courses et générer de revenus ».
Un second manquement est retenu : l’insuffisance de l’information délivrée aux personnes sur le fonctionnement de ces dispositifs.
L’article 22 du RGPD pose un principe simple et large : une personne a le droit de ne pas faire l’objet d’une décision fondée exclusivement sur un traitement automatisé, y compris le profilage, produisant des effets juridiques la concernant ou l’affectant de manière significative de façon similaire.
Trois exceptions seulement permettent d’y déroger : le consentement explicite de la personne, la nécessité de la décision pour la conclusion ou l’exécution d’un contrat, ou une autorisation par le droit de l’Union ou le droit national. Et même dans ces cas, des garanties doivent être mises en place : information sur la logique sous-jacente et sur les conséquences envisagées, droit d’obtenir une intervention humaine, droit d’exprimer son point de vue, droit de contester la décision.
Le point qui fait la décision Uber est celui-ci : l’intervention humaine doit être réelle. Un opérateur qui valide en série des propositions du système, sans autorité ni information suffisantes pour les infirmer, n’est pas une intervention humaine au sens de l’article 22. C’est une signature. Le critère n’est pas la présence d’un humain dans l’organigramme du processus ; c’est sa capacité effective à changer l’issue.
Il serait confortable de ranger cette affaire au rayon des plateformes et de passer à autre chose. Les faits ne s’y prêtent pas. Le raisonnement de l’autorité repose sur deux éléments — une décision défavorable produite par un algorithme, un effet significatif sur la capacité de la personne à travailler et à percevoir un revenu — que l’on retrouve dans un grand nombre d’outils RH ordinaires :
Ce n’est pas une extrapolation. La CNIL a inscrit le recrutement parmi ses trois thématiques prioritaires de contrôle pour 2026, dans une publication du 3 avril 2026. Elle y annonce vérifier en particulier « les systèmes de prise de décision automatisée, l’information des candidats ainsi que les durées de conservation », et cible prioritairement les grandes entreprises et les cabinets de recrutement. Elle précise que cette thématique préfigure l’exercice de ses futures attributions d’autorité de surveillance du marché dans le champ du travail, au titre du règlement européen sur l’intelligence artificielle.
Autrement dit : le sujet est déjà au programme, et le dossier Uber fournit le standard d’appréciation.
Une confusion s’est installée depuis l’été. Le règlement (UE) 2026/1744 du 8 juillet 2026 a repoussé l’application des obligations principales pesant sur les systèmes d’IA à haut risque de l’annexe III — catégorie qui inclut explicitement l’emploi et la gestion de la main-d’œuvre — à une date qui n’excédera pas le 2 décembre 2027. Beaucoup d’entreprises en ont conclu qu’elles disposaient de quinze mois de répit sur leurs outils RH. Nous détaillons ce calendrier dans notre article sur l’état du droit de l’AI Act.
Deux réserves s’imposent d’emblée. La première tient au calendrier lui-même : le 2 décembre 2027 est une date butoir, pas une échéance certaine, et une entreprise qui bâtit son plan sur cette seule date raisonne sur l’hypothèse la plus favorable.
La seconde est plus importante. Le report ne concerne que l’AI Act. Le RGPD, lui, s’applique depuis 2018, et son article 22 n’a jamais été suspendu. La sanction Uber est prononcée sur ce fondement, pas sur celui de l’AI Act. Un employeur qui aurait décidé de ne rien faire jusqu’à fin 2027 sur ses outils de tri et d’évaluation resterait exposé, aujourd’hui, au corps de règles le plus outillé et le plus contrôlé des deux.
La validation humaine de façade. Un recruteur qui reçoit 400 candidatures classées par un score et n’ouvre que les trente premières n’exerce pas d’arbitrage sur les 370 autres. La décision d’écarter a été prise par le système. Le remède n’est pas d’ajouter une case à cocher, mais de donner au recruteur le temps, l’information et le mandat de remonter dans la liste.
La décision « préparatoire » qui décide en réalité. Beaucoup d’outils sont présentés comme des aides à la décision. Le critère juridique ne tient pas à l’étiquette : si le résultat produit par le système détermine en fait l’issue, la décision est automatisée.
L’information générique. Une mention « nous pouvons utiliser des outils automatisés » dans une politique de confidentialité ne satisfait pas l’obligation d’information sur la logique sous-jacente. Le candidat ou le salarié doit comprendre quels critères pèsent, et par quelle voie contester.
Recenser d’abord, sans présumer du résultat. Établissez la liste des traitements RH qui produisent, seuls ou presque, une conséquence défavorable pour une personne : tri, scoring, évaluation, affectation, exclusion, alerte. Interrogez les éditeurs sur ce que fait réellement le moteur, pas sur ce que dit la plaquette. Une part de ces fonctions est enfouie dans des modules achetés sur étagère, activés par défaut.
Tester l’intervention humaine plutôt que de la déclarer. Pour chaque traitement recensé, posez trois questions : la personne qui valide dispose-t-elle des éléments pour infirmer la proposition ? A-t-elle l’autorité pour le faire ? Combien de fois l’a-t-elle fait au cours des six derniers mois ? Le troisième chiffre est le plus parlant, et c’est celui qu’une autorité de contrôle demandera.
Réécrire l’information des candidats et des salariés. Elle doit décrire la logique du dispositif, ses conséquences, et la voie de recours effective. C’est le manquement le moins coûteux à corriger et l’un des deux retenus contre Uber.
Ouvrir une voie de réexamen documentée. Un canal identifié, un délai de réponse, une trace écrite. En cas de contrôle comme en cas de contentieux prud’homal, l’absence de recours effectif est ce qui transforme un outil discutable en manquement caractérisé.
Consulter le CSE et former les équipes concernées. Le déploiement d’un outil d’IA ou d’un dispositif de scoring modifiant les conditions de travail relève de l’information-consultation du comité social et économique. Et un recruteur formé à lire un score — à savoir ce qu’il mesure et ce qu’il ignore — est la garantie la moins coûteuse que puisse acheter une direction des ressources humaines.
Fixer le délai. Le report de l’AI Act à décembre 2027 est une opportunité de calendrier, pas une dispense. Traiter l’article 22 en 2026 revient à faire, un an à l’avance et sur un fondement déjà opposable, l’essentiel du travail que l’annexe III exigera.
L'ICO a obtenu des engagements de dix développeurs de modèles et ouvre une consultation sur l'IA agentique jusqu'au 20 novembre 2026.
Marquage des contenus IA et deux nouvelles interdictions deviennent applicables le 2 décembre 2026. Ce que les entreprises doivent vérifier.
Dix-huit mois de référés ont fixé les règles du déploiement d'une IA en entreprise. Panorama des décisions et des obligations du CSE.
Sans engagement, sans diaporama. On regarde où vous en êtes, et je vous dis franchement si nous sommes le bon interlocuteur.
Demande d'information
Réponse sous 24 heures ouvrées. Si vous préférez parler de vive voix, réservez plutôt un créneau de 30 minutes — c'est souvent plus rapide.