何が起きたか
2026年10月8日、オランダの個人情報保護機関（Autoriteit Persoonsgegevens、AP）は、Uberに対し、GDPR第22条（完全自動化された個人に関する決定の禁止）およびGDPR第13条（運転手へのプロファイリングに関する情報提供義務違反）の違反を理由に、824,990,000ユーロの行政罰金を科すことを発表した。本件は、CNILを通じて提起された171人のフランス人Uber運転手による苦情に端を発し、GDPRのワンストップショップ手続きに基づきAPが処理した。APは、Uberが2018年から2022年にかけて、詐欺の疑いまたは顧客評価の持続的な低下を理由に運転手のアカウントを自動的に無効化し、その間の収入損失を引き起こしたことを認定した。Uberは違反行為を停止し、控訴しているが、裁判所の最終判断はまだ下されていない。
なぜ重要か
これは過去最大級のGDPR罰金の一つであり、単なるデータ取り扱いではなく、アルゴリズム（AI駆動）による意思決定を直接的に対象としている——意味のある人の関与なしに重大な決定を下す自動化されたアカウント・労働者管理システムは、違法な完全自動化された意思決定に該当することを示唆している。これは、EU域内で個人に影響を与える決定を行うためにAIエージェントや自動化を利用するすべての導入者にとって、責任リスクを実質的に引き上げるものである。
必要な対応
個人に法的または同様に重要な影響を与える決定（アカウント無効化、制裁、スコアリング、解雇、不正フラグ）を行うために使用されるAI・自動化を監査し、意味のある人的審査・関与を確保し、Art. 13-15の透明性義務を遵守すること。EUで自動化された意思決定を導入する前に、法的根拠を文書化すること。