Respuesta breve. La multa administrativa de 824.990.000 euros impuesta por la autoridad neerlandesa de protección de datos a Uber pone el foco en dos riesgos empresariales: adoptar decisiones totalmente automatizadas que afectan significativamente a una persona y no informar de forma suficiente sobre el perfilado. Uber ha recurrido y todavía no existe una decisión judicial firme.
El Comité Europeo de Protección de Datos (EDPB) publicó el 8 de octubre de 2026 la información nacional sobre la decisión de la Autoriteit Persoonsgegevens (AP) contra Uber B.V. El caso afecta a la desactivación temporal o permanente de cuentas de conductores cuando el sistema detectaba sospechas de fraude o valoraciones bajas. La consecuencia podía ser la pérdida de ingresos durante la desactivación. La ficha oficial del EDPB identifica como referencias los artículos 22 y 13 del RGPD.
Cómo se relaciona con otras empresas
El caso no se limita a plataformas de movilidad. El mismo riesgo aparece cuando una empresa deja que un sistema puntúe, clasifique o bloquee a personas y esa salida condiciona sus derechos, ingresos, acceso o relación contractual.
Ejemplos habituales
Scoring de crédito, fraude, riesgo o precio.
Cribado de candidaturas, priorización o evaluación de desempeño.
Bloqueos, pérdida de visibilidad o suspensión de cuentas.
Exclusión, límites de acceso o decisiones sobre clientes.
La clave no es el sector ni la etiqueta “IA”, sino la consecuencia real: quién queda afectado, qué puede perder y si una persona puede revisar y cambiar la decisión con criterio propio.
Cuando una empresa va a implantar una herramienta de IA, conviene revisar antes su finalidad, los datos tratados, el proveedor, la supervisión humana y las condiciones de uso. Consulta esta guía para revisar una implantación de inteligencia artificial antes de contratar.
Qué ha resuelto exactamente la autoridad neerlandesa
Según la información difundida por el EDPB, la AP consideró que Uber tomaba decisiones plenamente automatizadas sobre conductores. El sistema podía desactivar cuentas de forma temporal por sospechas de fraude o por puntuaciones de clientes demasiado bajas y, si las valoraciones negativas persistían, desactivarlas de forma permanente.
La autoridad apreció dos bloques de incumplimiento:
- Decisiones automatizadas ilícitas: la prohibición y las excepciones del artículo 22 del RGPD debían analizarse porque las medidas podían producir efectos relevantes sobre la actividad y los ingresos de los conductores.
- Información insuficiente: Uber no habría explicado suficientemente a los conductores la existencia de la toma de decisiones automatizada y el perfilado.
La AP impuso una multa administrativa, pero Uber ha recurrido la decisión. Por tanto, debe hablarse de una resolución administrativa recurrida, no de una condena judicial firme. La cifra comunicada es 824.990.000 euros y el EDPB señala que las infracciones ya han cesado.
Qué significa el artículo 22 del RGPD para una empresa
El artículo 22 reconoce el derecho de la persona a no quedar sometida a una decisión basada únicamente en un tratamiento automatizado, incluida la elaboración de perfiles, cuando produzca efectos jurídicos o le afecte significativamente de modo similar. No basta con etiquetar la herramienta como “asistente”, “algoritmo” o “motor de riesgo”: hay que analizar lo que hace realmente en el proceso.
Una recomendación no es siempre una decisión
Un sistema puede limitarse a ordenar casos para que una persona los revise. Sin embargo, la intervención humana debe ser real y no meramente formal. La persona revisora necesita información suficiente, competencia para apartarse del resultado y tiempo para valorar datos adicionales. Si solo confirma automáticamente el resultado del modelo, el riesgo de que la decisión sea considerada exclusivamente automatizada aumenta.
También debe examinarse el efecto acumulado. Una sola puntuación quizá no produzca una consecuencia jurídica, pero una combinación de scoring, bloqueo de cuenta, reducción de visibilidad o exclusión de un servicio puede afectar de forma significativa a la persona.
Qué deben revisar las empresas que usan scoring o perfilado
El caso Uber exige conocer y documentar el flujo de decisión. Conviene empezar por un inventario de sistemas que clasifican, puntúan, bloquean o asignan condiciones a personas.
1. Identificar el resultado y quién decide
Debe documentarse qué datos entran, qué resultado genera el sistema, quién lo recibe y qué medida se adopta. Hay que diferenciar una alerta interna de una desactivación, una denegación, un cambio de precio o una pérdida de acceso.
2. Analizar si existe una decisión exclusivamente automatizada
La empresa debe comprobar si la intervención humana cambia realmente el resultado o se limita a validar una recomendación. Este análisis debe conservarse con ejemplos, roles, permisos y evidencias de revisión.
3. Revisar la información entregada
La información de privacidad debe explicar el perfilado, sus consecuencias y los derechos de la persona. En este punto son relevantes los artículos 13 y 14 del RGPD, además del artículo 22 cuando se cumplan sus condiciones.
4. Evaluar exactitud, sesgos y calidad de datos
Una decisión automatizada no se vuelve lícita por estar respaldada por estadísticas. Hay que revisar errores, datos desactualizados, variables indirectas, falsos positivos y diferencias injustificadas entre grupos. En sistemas de fraude o reputación, la trazabilidad de la alerta es especialmente importante.
5. Revisar proveedor, contrato y evidencias
El contrato tecnológico debe permitir conocer la lógica funcional, las fuentes de datos, los cambios de versión, los niveles de servicio, la conservación de registros y la colaboración ante reclamaciones. El responsable del tratamiento no puede trasladar toda la responsabilidad al proveedor porque el sistema sea externo.
Cuando el tratamiento pueda implicar un alto riesgo, conviene valorar una evaluación de impacto relativa a la protección de datos. La EIPD aplicada a inteligencia artificial y decisiones automatizadas debe conectar riesgos, medidas, supervisión y riesgo residual, no limitarse a una descripción técnica.
Relación con el AI Act
El Reglamento de IA y el RGPD se complementan, pero no son intercambiables. El RGPD analiza el tratamiento de datos personales, la base jurídica, la información, los derechos y las decisiones automatizadas. El AI Act añade obligaciones sobre determinados sistemas de inteligencia artificial, transparencia, gestión de riesgos, supervisión humana, registros y control del uso.
Una empresa puede tener que cumplir ambos marcos sobre un mismo sistema. Cumplir el contrato del proveedor o clasificar un sistema conforme al AI Act no demuestra por sí mismo que la decisión respete el artículo 22 del RGPD. Del mismo modo, haber hecho una EIPD no sustituye todos los controles de gobernanza que puedan ser exigibles por el Reglamento de IA.
Checklist de decisiones automatizadas RGPD
- Tenemos un inventario de sistemas que puntúan, clasifican o bloquean personas.
- Sabemos si existe una decisión exclusivamente automatizada y qué efecto produce.
- La intervención humana puede modificar el resultado y queda documentada.
- La información de privacidad explica el perfilado y sus consecuencias.
- Revisamos exactitud, sesgos, falsos positivos y datos desactualizados.
- El contrato con el proveedor permite auditar, corregir y responder a derechos.
- Hemos valorado si procede una EIPD y qué riesgo residual queda.
- Conservamos registros suficientes para explicar una decisión concreta.
Preguntas frecuentes
¿La multa de Uber es una sanción firme?
No. Es una multa administrativa impuesta por la autoridad neerlandesa y comunicada por el EDPB. Uber ha recurrido y no existe todavía una decisión judicial firme. La resolución sí ofrece un criterio relevante para valorar riesgos de decisiones automatizadas y perfilado.
¿Una revisión humana evita siempre la aplicación del artículo 22?
No. La revisión debe ser efectiva, informada y capaz de modificar el resultado. Una aprobación automática o puramente formal puede no ser suficiente.
¿Todas las empresas que usan IA deben detener sus sistemas?
No. Deben analizar el uso concreto, los datos, las personas afectadas, la consecuencia y las garantías. La respuesta puede ser reforzar la supervisión, mejorar la información, corregir datos, limitar usos o rediseñar el proceso.
Fuente oficial y criterio aplicado
Fuente principal: EDPB, “Dutch DPA fines Uber EUR 824 990 000…”, publicada el 8 de octubre de 2026 y consultada el 16 de octubre de 2026. Marco jurídico: Reglamento (UE) 2016/679, artículos 13, 14 y 22. La información sobre el recurso y la ausencia de decisión judicial firme se mantiene expresamente para no presentar la resolución como definitiva.
Autor: Álvaro Ruipérez Candón, abogado de derecho digital y privacidad en ScandoUp Global Legal. Contacto: arc@scandoup.com. Actualizado y consultado el 16 de octubre de 2026.
¿Tu empresa usa scoring, perfilado o bloqueos automáticos?
Podemos revisar el tratamiento, la información, la supervisión humana y la documentación necesaria.
Conoce nuestro servicio de abogados de protección de datos para empresas.
Contenido informativo y general. La aplicación del artículo 22 del RGPD depende de los hechos, datos, sistema y consecuencias de cada caso. Este artículo no constituye asesoramiento jurídico.