Nizozemský úřad pro ochranu osobních údajů udělil 21. srpna 2026 Uberu pokutu 824 990 000 eur za to, že software sám vypínal řidičům účty — při podezření na podvod nebo při nízkém hodnocení od zákazníků. Žádný člověk se na to předtím nepodíval. České firmy si tenhle případ přečtou jako zprávu o Uberu a velkém čísle, ale podstatné je něco jiného: úřad tu netrestal špatný model ani únik dat. Trestal chybějící mezikrok. A přesně na tenhle typ systému už tři týdny dopadá i AI Act.
Co se stalo
- Kdo a kolik: Autoriteit Persoonsgegevens (AP), nizozemský dozorový úřad, uložil 21. srpna 2026 pokutu 824 990 000 eur. Většina zpráv ji zaokrouhluje na 825 milionů.
- Co Uber dělal: software sledoval chování řidičů za volantem a hodnocení od zákazníků. Když zaznamenal podezření na podvod nebo příliš nízká hodnocení, účet řidiče se automaticky deaktivoval — dočasně, a při trvale nízkém hodnocení natrvalo. Po dobu deaktivace řidič přišel o příjem z Uberu.
- V čem je porušení: podle AP šlo o porušení zákazu plně automatizovaného rozhodování podle GDPR a zároveň o to, že Uber řidiče o automatickém rozhodování dostatečně neinformoval. Jsou to dvě samostatná provinění, ne jedno.
- Kdy se to dělo: mezi lety 2018 a 2022. Úřad výslovně dodává, že Uber porušování mezitím ukončil — pokuta je za minulost, ne za dnešní stav.
- Jak to úřad zdůvodnil: místopředsedkyně AP Monique Verdier v tiskové zprávě říká: „Een computer mag niet zelfstandig besluiten nemen die grote gevolgen voor jou hebben. Hier had eerst een mens naar moeten kijken." — Počítač nesmí samostatně činit rozhodnutí, která pro vás mají velké následky. Nejdřív se na to měl podívat člověk.
- Odkud případ přišel: ne z Nizozemska. Podnět dalo 171 francouzských řidičů, kteří se obrátili na organizaci Ligue des droits de l'Homme; ta pak podala stížnost francouzskému úřadu CNIL. Protože Uber má evropskou centrálu v Nizozemsku, vyšetřování podle mechanismu jednoho kontaktního místa převzal nizozemský AP, spolupracoval s francouzským úřadem a rozhodnutí sladil s dalšími evropskými dozorovými orgány.
- Jak vzniklo to číslo: horní strop je 4 % celosvětového ročního obratu. Uber měl podle AP v roce 2025 obrat kolem 44,5 miliardy eur. Uber se proti pokutě odvolal.
- Není to poprvé: jde o čtvrtou pokutu, kterou AP Uberu uložil — v roce 2018 to bylo 600 000 eur, v roce 2023 deset milionů, v roce 2024 dvě stě devadesát milionů. Proti posledním dvěma se Uber brání a řízení stále běží.
Co v převzatých zprávách nebylo
Otevřel jsem si tiskovou zprávu úřadu v nizozemštině i angličtině a proti tomu, co šlo českými médii, se liší ve třech věcech.
- Období je 2018–2022, ne 2020–2022. Část převzatých textů uvádí kratší období. V originále i v anglickém překladu stojí „tussen 2018 en 2022", tedy plné čtyři roky. Není to detail — čím delší doba, tím hůř se argumentuje, že šlo o dočasné nedopatření.
- Není to nizozemská kauza. Titulky typu „Uber dostal v Nizozemsku pokutu" svádějí k tomu brát to jako lokální spor. Spustili to francouzští řidiči přes francouzskou nevládní organizaci a francouzský úřad. Nizozemský AP to řešil jen proto, že tam Uber sídlí. Pro českou firmu z toho plyne praktická věc: stěžovat si nemusí váš zákazník ani váš zaměstnanec a nemusí to být u českého úřadu — a stejně to skončí u dozoru příslušného podle vaší centrály.
- Úřad netvrdí, že rozhodnutí byla věcně špatná. Nikde v tiskové zprávě není, že by software řidiče označoval chybně, ani kolik jich bylo vypnuto neprávem. Porušení spočívá v tom, jakým způsobem se rozhodovalo, ne v tom, že by výsledek byl nesprávný. To je pro firmy nejnepříjemnější část: obhajoba „ale ten model má vysokou přesnost" na tenhle typ nálezu nefunguje.
Několik zdrojů také uvádí, že jde o druhou nejvyšší pokutu v historii GDPR. Úřad to nikde netvrdí, ověřit jsem to u primárního zdroje nedokázal, takže to tu neuvádím jako fakt.
Proč se to týká i vás
Pravidlo, o které tu jde, není nové a nemá nic společného s tím, jestli máte vlastní model. Článek 22 GDPR platí od roku 2018 a říká, že člověk má právo nebýt předmětem rozhodnutí založeného výhradně na automatizovaném zpracování, které pro něj má právní účinky nebo se ho obdobně významně dotýká. Výjimky jsou jen tři: rozhodnutí nutné k uzavření či plnění smlouvy, výslovný souhlas, nebo zákon. A i pak musíte podle odstavce 3 zajistit alespoň právo na lidský zásah, právo vyjádřit svůj názor a právo rozhodnutí napadnout.
Nizozemský úřad ve svém výkladu k automatizovanému rozhodování k tomu přidává dvě povinnosti, na které se běžně zapomíná: umět srozumitelně vysvětlit, jak rozhodnutí vzniká, a systém pravidelně sledovat a testovat, jestli dělá to, co má.
Kde se tohle v české firmě reálně objevuje, aniž by tomu kdokoli říkal AI:
- automatické zamítnutí uchazeče podle skóre z náborového nástroje,
- zablokování účtu zákazníka nebo dodavatele antifraud pravidlem,
- vyřazení brigádníka či kurýra z rozpisu podle hodnocení,
- automatické zamítnutí reklamace, odmítnutí objednávky na fakturu, snížení kreditního limitu.
Ve všech případech je rozhodující jediná otázka: podepsal to nějaký člověk, který to mohl otočit — nebo systém rozhodl a člověk se to dozvěděl až ze stížnosti?
A teď ta druhá vrstva, kvůli které je tenhle případ aktuální. Pokuta je čistě podle GDPR, s AI Actem nemá nic společného. Ale stejný systém dnes spadá i pod něj. Příloha III nařízení (EU) 2024/1689 řadí mezi vysoce rizikové v bodě 4 písm. b) systémy AI určené „za účelem rozhodování s dopadem na podmínky pracovněprávních vztahů, postup v zaměstnání nebo ukončení smluvních pracovněprávních vztahů, za účelem přidělování úkolů na základě individuálního chování (…) nebo za účelem sledování a hodnocení výkonnosti a chování osob v rámci těchto vztahů." To je popis toho, co Uber dělal, skoro doslova.
Podle článku 113 se nařízení používá od 2. srpna 2026 — tedy už tři týdny. (Odloženo do srpna 2027 je jen to, co spadá pod čl. 6 odst. 1, což jsou systémy vestavěné do regulovaných výrobků. Příloha III mezi ně nepatří.) Pro firmu, která takový systém používá, z toho podle článku 26 plyne mimo jiné: pověřit lidským dohledem konkrétní osoby, které k tomu mají způsobilost a pravomoc (odst. 2), uchovávat protokoly nejméně šest měsíců (odst. 6) a — pokud jste zaměstnavatel — před nasazením informovat zástupce zaměstnanců a dotčené pracovníky (odst. 7). Podle článku 86 má navíc dotčená osoba právo získat od vás jasné a smysluplné vysvětlení role systému v rozhodnutí.
Jinými slovy: to, za co Uber platí zpětně podle GDPR, je dnes navíc povinnost dopředu doložit.
Co s tím
Čtyři kroky. První z nich není nákup ničeho a zabere odpoledne.
- 1. Sepište, co u vás rozhodne bez podpisu. Projděte procesy, kde systém někoho vyřadí, zablokuje, zamítne nebo mu něco sníží. U každého napište jméno člověka, který to může zvrátit, a jak dlouho mu to trvá. Položky, kde místo jména zbyde prázdno, jsou váš seznam rizik — a bývá kratší, než se čeká.
- 2. U těch položek doplňte tři práva z čl. 22 odst. 3. Lidský zásah, možnost vyjádřit se, možnost rozhodnutí napadnout. V praxi to znamená jednu větu v oznámení („proti tomuto rozhodnutí se můžete odvolat na …") a někoho, kdo tu schránku opravdu čte. Tohle je levné a je to přesně to, co Uberu chybělo.
- 3. Rozlište „člověk to schvaluje" od „člověk to odklikává". Formální schvalovatel, který dostane sto návrhů denně a nemá čas ani podklady na to je posoudit, vás neochrání — AP i AI Act mluví o dohledu vykonávaném osobou, která má způsobilost a pravomoc rozhodnutí změnit. Změřte si, kolik procent návrhů takový člověk skutečně otočí. Když vyjde nula, je ten podpis dekorace.
- 4. Zapněte si logy dřív, než je budete potřebovat. Šest měsíců je minimum podle čl. 26 odst. 6 AI Actu, ale hlavní důvod je jiný: bez záznamu, co systém rozhodl a na základě čeho, nedokážete splnit ani právo na vysvětlení, ani se bránit, když někdo přijde se stížností za dva roky zpátky. Nastavit retenci je práce na hodinu, zpětně to nejde vůbec.
A teď proti vlastnímu byznysu: jestli u vás žádný systém sám o lidech nerozhoduje — máte automatizované jen účetnictví, sklad a rozesílání newsletteru — tak z tohohle případu pro vás neplyne nic a nekupujte si kvůli němu audit. Článek 22 se týká rozhodnutí o lidech s vážnými následky, ne automatizace jako takové. Stejně tak platí, že první krok ze seznamu výše zvládne váš vlastní člověk, který zná procesy, líp než kdokoli zvenčí — externí pohled má smysl až u sporných položek, kde si nejste jistí, jestli tam „vážné následky" jsou, nebo ne.
Kde to řeším s klienty
Tenhle typ mapování — které rozhodnutí u vás padne bez člověka a co k němu potřebujete doložit — je jádro AI Agent Governance Checkupu. Když si nejste jistí, kde všude u vás dnes rozhoduje automat, začněte AI Risk Scanem zdarma. Z jiné strany se téhož dotkl dřívější text o tom, kdo si na vaši AI může stěžovat — a Uber je jeho učebnicová ilustrace: stěžovali si Francouzi, rozhodl nizozemský úřad, zaplatí americká firma.