Introduction
En août 2026, l'Autoriteit Persoonsgegevens — l'autorité néerlandaise de protection des données — a prononcé une amende de 824,9 millions d'euros à l'encontre d'Uber, soit 4 % de son chiffre d'affaires mondial annuel, le plafond légal prévu par le RGPD. Deuxième sanction la plus élevée jamais infligée sous ce règlement, juste derrière celle de 1,2 milliard d'euros imposée à Meta en 2023, cette décision ne concerne ni une fuite de données ni un accès non autorisé. Elle vise une architecture décisionnelle : entre 2018 et 2022, le système d'Uber suspendait les comptes de ses chauffeurs de manière entièrement automatisée, sans qu'aucun être humain ne valide ou ne contrôle ce processus. À l'origine de l'enquête : les plaintes de 171 chauffeurs français, transmises à une organisation de défense des droits, qui ont alerté l'autorité néerlandaise — Uber ayant son siège européen à Amsterdam.
L'article 22 du RGPD : une contrainte d'architecture
Le texte juridique central est l'article 22 du RGPD : toute personne a le droit de ne pas faire l'objet d'une décision fondée exclusivement sur un traitement automatisé, dès lors que cette décision produit des effets juridiques significatifs — suspension, licenciement, refus de crédit.
Ce principe est souvent perçu comme une obligation légale abstraite. L'affaire Uber montre qu'il s'agit en réalité d'une exigence de conception du pipeline de données. Si aucun point de contrôle humain n'est prévu avant l'exécution d'une action à impact fort, la conformité est structurellement impossible — peu importe la qualité des données en entrée ou la sophistication du système de logging.
Ce que cela révèle sur la gouvernance des pipelines
La mécanique en cause chez Uber n'est pas une exception. De nombreuses organisations opèrent des systèmes comparables : des flux de données qui évaluent des comportements ou des scores, puis déclenchent des actions — désactivation d'accès, gel de compte, signalement automatique — sans intervention humaine intermédiaire.
Ces architectures sont généralement conçues avec des critères d'efficacité opérationnelle : rapidité, scalabilité, réduction des coûts de traitement. La supervision humaine y est traitée comme un problème de conformité à résoudre en aval, rarement comme un paramètre de conception à intégrer dès la phase de data engineering. L'amende Uber inverse cette logique : c'est l'absence de revue humaine dans la boucle décisionnelle qui constitue la violation, pas le résultat de la décision elle-même. Un pipeline conçu sans point de contrôle reste non conforme même s'il n'a jamais produit de faux positif.
Questions concrètes pour les équipes data
Cette affaire soulève des points opérationnels directs pour les responsables de données et les architectes de pipelines.
Cartographie des décisions à impact fort. Quels flux aboutissent à des actions automatisées affectant significativement des individus — employés, clients, partenaires ? Ces traitements sont-ils documentés comme tels dans le registre RGPD de l'organisation ?
Points de validation humaine. Ces pipelines prévoient-ils une étape de revue avant l'exécution d'une action sensible ? Une interface de validation intégrée au workflow peut suffire à modifier radicalement le statut de conformité d'un système entier.
Traçabilité et explicabilité. Les outils BI et les plateformes analytiques qui alimentent ces décisions produisent-ils une trace suffisamment lisible pour qu'un opérateur comprenne le résultat et puisse le contester si nécessaire ?
Un signal structurel pour les DSI et data officers
L'amende Uber — 825 millions d'euros sur quatre ans — donne une mesure concrète du risque attaché à des pipelines décisionnels non gouvernés. Elle s'inscrit dans un contexte où l'AI Act européen renforce parallèlement les exigences de supervision humaine pour les systèmes à haut risque, créant une double contrainte réglementaire que les équipes data ne peuvent plus ignorer lors de la conception de leurs architectures.
Pour les organisations qui industrialisent leurs capacités analytiques, la leçon dépasse largement le cas Uber : la gouvernance de la donnée doit s'imbriquer dans la conception des pipelines décisionnels dès le départ — et non s'y greffer une fois le système en production.