Introducción
En agosto de 2026, la Autoriteit Persoonsgegevens —la autoridad neerlandesa de protección de datos— impuso a Uber una multa de 824,9 millones de euros, equivalente al 4 % de su facturación mundial anual: el techo legal establecido por el RGPD. Es la segunda sanción más elevada jamás impuesta bajo este reglamento, solo por detrás de los 1.200 millones de euros que recibió Meta en 2023. Lo que distingue esta resolución es su objeto: no se trata de una brecha de seguridad ni de un acceso no autorizado. El foco está en una arquitectura de decisión. Entre 2018 y 2022, el sistema de Uber suspendía las cuentas de sus conductores de forma completamente automatizada, sin que ningún ser humano validara o supervisara el proceso. El origen de la investigación: las denuncias de 171 conductores franceses, canalizadas a través de una organización de defensa de derechos, que alertaron a la autoridad neerlandesa —Uber tiene su sede europea en Ámsterdam—.
El artículo 22 del RGPD: una restricción de arquitectura
El núcleo jurídico del caso es el artículo 22 del RGPD: toda persona tiene derecho a no ser objeto de una decisión basada exclusivamente en un tratamiento automatizado cuando dicha decisión produzca efectos jurídicos significativos: una suspensión, un despido, una denegación de crédito.
Este principio suele interpretarse como una obligación legal abstracta. El caso Uber demuestra que es, ante todo, una exigencia de diseño del pipeline de datos. Si no existe ningún punto de control humano antes de que se ejecute una acción de alto impacto, el cumplimiento normativo es estructuralmente imposible, con independencia de la calidad de los datos de entrada o de la sofisticación del sistema de logging.
Lo que esto revela sobre la gobernanza de pipelines
El mecanismo en cuestión en Uber no es una excepción. Muchas organizaciones operan sistemas comparables: flujos de datos que evalúan comportamientos o scores y activan acciones —desactivación de accesos, bloqueo de cuentas, alertas automáticas— sin intervención humana intermedia.
Estas arquitecturas suelen diseñarse bajo criterios de eficiencia operativa: velocidad, escalabilidad, reducción de costes de procesamiento. La supervisión humana se trata como un problema de cumplimiento que se resolverá en una fase posterior, raramente como un parámetro de diseño que debe integrarse desde la etapa de data engineering. La multa a Uber invierte esta lógica: la infracción no es el resultado de una decisión incorrecta, sino la ausencia de revisión humana en el bucle decisional. Un pipeline diseñado sin puntos de control sigue siendo no conforme aunque nunca haya generado un falso positivo.
Preguntas concretas para los equipos de datos
Este caso plantea cuestiones operativas directas para los responsables de datos y los arquitectos de pipelines.
Inventario de decisiones de alto impacto. ¿Qué flujos desembocan en acciones automatizadas que afectan de forma significativa a personas —empleados, clientes, socios—? ¿Están documentados como tales en el registro de tratamientos RGPD de la organización?
Puntos de validación humana. ¿Estos pipelines incluyen una etapa de revisión antes de ejecutar una acción sensible? Una interfaz de validación integrada en el flujo de trabajo puede bastar para transformar radicalmente el estatus de cumplimiento de todo un sistema.
Trazabilidad y explicabilidad. ¿Las herramientas de BI y las plataformas analíticas que alimentan estas decisiones generan un registro suficientemente legible para que un operador comprenda el resultado y pueda impugnarlo si es necesario?
Una señal estructural para CIOs y responsables de datos
La multa a Uber —825 millones de euros en cuatro años— ofrece una medida concreta del riesgo asociado a pipelines de decisión sin gobernanza. Se inscribe en un contexto en el que el AI Act europeo refuerza paralelamente las exigencias de supervisión humana para los sistemas de alto riesgo, creando una doble presión regulatoria que los equipos de datos ya no pueden ignorar en el momento de diseñar sus arquitecturas.
Para las organizaciones que están industrializando sus capacidades analíticas, la lección va mucho más allá del caso Uber: la gobernanza del dato debe integrarse en el diseño de los pipelines de decisión desde el primer momento, no injertarse en el sistema una vez que ya está en producción.