무슨 일이 있었나
2026년 10월 8일, 네덜란드 개인정보보호기관(AP)은 Uber에 대해 GDPR 제22조(완전 자동화된 개별 의사결정 금지) 및 제13조(프로파일링에 관한 운전자 정보 미제공) 위반을 이유로 EUR 824,990,000의 행정 과징금을 부과한다고 발표했다. 이 사건은 CNIL을 통해 제기된 171명의 프랑스 Uber 운전자들의 불만에서 비롯되었으며, GDPR 원스톱숍 절차에 따라 AP가 처리했다. AP는 Uber가 2018년부터 2022년 사이에 사기 의심 또는 지속적으로 낮은 고객 평점을 이유로 운전자 계정을 자동으로 비활성화했으며, 이로 인해 비활성화 기간 동안 운전자들의 수입 손실이 발생했음을 확인했다. Uber는 위반 행위를 중단했고 항소했으며, 아직 최종 법원 판결은 없다.
왜 중요한가
이는 역대 최대 규모의 GDPR 과징금 중 하나이며, 단순한 데이터 처리가 아닌 알고리즘(AI 기반) 의사결정을 정면으로 겨냥한 것으로, 의미 있는 인간 개입 없이 중대한 결과를 초래하는 결정을 내리는 자동화된 계정/근로자 관리 시스템이 불법적인 완전 자동화된 의사결정에 해당함을 시사한다. 이는 EU 내에서 개인에게 영향을 미치는 결정을 내리기 위해 AI 에이전트/자동화를 사용하는 모든 배포자의 책임 노출을 실질적으로 증가시킨다.
필요한 조치
개인에게 법적 또는 이와 유사하게 중대한 영향을 미치는 결정(계정 비활성화, 제재, 스코어링, 해고, 사기 탐지)을 내리는 데 사용되는 모든 AI/자동화를 감사하고, 의미 있는 인간 검토/기여를 보장하며, 제13조~15조의 투명성 의무를 준수하고, EU에서 자동 의사결정을 배포하기 전에 법적 근거를 문서화하라.