Un chauffeur Uber ouvre son application un matin. Un message court : compte suspendu, plus de courses possibles, plus de revenus. À l'autre bout, aucune personne à qui parler, aucun nom sur la décision. Un algorithme a lu ses derniers indicateurs, un algorithme a tranché, et un système a coupé l'accès. Multipliez par plusieurs milliers de cas, entre 2018 et 2022, et vous avez la matière première de l'amende que l'autorité néerlandaise de protection des données a rendue publique le 21 août 2026, en coopération avec la CNIL.
Le montant fait le titre : 824 990 000 euros. Le motif est plus intéressant que le montant. Ce n'est pas un défaut de sécurité, ce n'est pas une fuite, ce n'est pas un transfert de données mal cadré. C'est l'article 22 du RGPD, celui qui interdit qu'une décision produisant des effets significatifs sur une personne soit prise exclusivement par une machine, sans intervention humaine réelle.
Un dirigeant de PME qui met de l'automatique dans son quotidien, y compris sur ses emails, a intérêt à comprendre exactement ce que cette décision dit, et surtout ce qu'elle ne dit pas.
Réponse rapide : l'amende de 824,99 millions d'euros prononcée contre Uber sanctionne des désactivations de chauffeurs décidées sans intervention humaine réelle, au visa de l'article 22 du RGPD. Pour une PME, la ligne à tenir ne passe pas entre manuel et automatique, elle passe entre assister et décider.
Ce que la CNIL et son homologue néerlandais viennent de dire
La sanction n'a pas été prononcée par la CNIL. L'établissement principal d'Uber en Europe se trouve aux Pays-Bas, ce qui fait de l'Autoriteit Persoonsgegevens l'autorité chef de file au sens du RGPD. La CNIL a coopéré à l'enquête, notamment parce que la plainte initiale, en 2020, émanait de 171 chauffeurs français relayés par la Ligue des droits de l'Homme. Elle a relayé la décision par un communiqué publié le 24 août 2026.
La décision vise deux mécanismes distincts. Le premier suspend temporairement le compte d'un chauffeur lorsque le système soupçonne une fraude. Le second suspend temporairement ou définitivement le compte lorsque la note client tombe sous un seuil. Dans les deux cas, l'autorité relève que la sortie de l'algorithme produit un effet immédiat sur le chauffeur, jusqu'à la perte de son moyen de gagner sa vie, et que le chemin entre le signal et l'effet ne comporte aucune intervention humaine réelle.
Le mot important est réelle. La décision précise que l'intervention humaine attendue par l'article 22 suppose un pouvoir effectif de renverser la sortie de la machine, réellement exercé, et pas un tampon apposé sur un résultat déjà prêt. Un opérateur qui valide au kilomètre, sans regarder, ne coche pas la case. Un flux dans lequel refuser coûte trop cher pour être fait, non plus.
Uber a annoncé faire appel. La qualification juridique définitive n'est donc pas figée. Ce qui l'est, en revanche, c'est la lecture retenue par l'autorité chef de file : le montant, le motif et la définition de l'intervention humaine forment un signal, indépendant du sort de l'appel.
La vraie ligne, ce n'est pas manuel contre automatique
La lecture rapide de cette affaire consiste à dire que l'automatisation devient risquée, et donc qu'il faut y renoncer. Ce serait une lecture confortable et fausse. L'article 22 ne vise pas l'automatisation, il vise une catégorie très précise : la décision fondée exclusivement sur un traitement automatisé qui produit des effets juridiques ou affecte la personne de manière significative de façon similaire. Le mot exclusivement fait tout le travail.
La ligne à tenir passe donc ailleurs. Elle passe entre deux choses qu'on confond, dans les discussions de dirigeants, depuis que l'intelligence artificielle a commencé à toucher les processus opérationnels.
Le partage à écrire noir sur blanc. Un logiciel qui assiste range, priorise, résume, propose une réponse, et attend qu'un humain regarde, décide et clique. Un logiciel qui décide produit lui-même l'effet sur la personne : il envoie, il refuse, il désactive, il classe un dossier. La première catégorie n'est pas visée par l'article 22 tant que la validation humaine est réelle. La seconde y entre dès lors que l'effet est significatif.
Cette distinction n'est pas une astuce d'avocat. Elle est aussi ce que l'utilisateur ressent. Un outil qui propose et attend garde la main de son côté ; un outil qui agit tout seul la lui prend. C'est le même geste qui rassure et qui protège.
Un point d'honnêteté, cependant : cette distinction ne suffit pas à elle seule à écarter l'article 22. Elle est nécessaire, pas suffisante. La finalité du traitement, la nature de l'effet, l'information donnée aux personnes concernées et les recours ouverts comptent aussi. Le rôle d'un article de blog n'est pas de trancher à la place de votre conseil, il est de vous donner la bonne question à poser.
Ce qu'une PME de 5 à 50 personnes peut retenir
La lecture la plus mal calibrée serait de se dire que l'affaire concerne les plateformes et pas votre entreprise de dix-huit personnes. Le RGPD ne prévoit pas de seuil de taille pour l'article 22 : la règle vise le traitement, pas l'organisation qui l'opère. Ce qui change, en pratique, c'est le nombre de situations dans lesquelles une PME produit des décisions purement automatiques qui affectent significativement une personne.
Il en existe. Un logiciel de tri de candidatures qui écarte des CV sans qu'un humain n'en lise un seul. Un scoring client qui refuse un dossier sans qu'un commercial ait ouvert la fiche. Une réponse standardisée envoyée automatiquement à une réclamation, sans qu'un manager ait vu ce que le client demandait. Aucun de ces cas n'a l'ampleur de l'affaire Uber. Le mécanisme juridique, lui, appartient à la même famille.
Le premier travail d'un dirigeant est donc d'écrire cette liste : qu'est-ce qui, dans mon entreprise, produit aujourd'hui un effet sur une personne sans qu'aucun humain n'ait regardé ? Sept ou huit lignes, le plus souvent. Une fois la liste posée, chaque ligne s'arbitre à froid, avec votre conseil quand la question est fine. C'est l'inverse de la posture d'attente qui consiste à espérer que la question ne se posera pas.
Ce qu'un assistant email est, et ce qu'il n'est pas
L'email est un des endroits où cette distinction se joue concrètement, parce que c'est un des endroits où l'automatisation avance vite. Un assistant email peut lire les messages entrants, comprendre leur contexte, classer, prioriser, résumer, préparer un brouillon de réponse. Il peut aussi, dans certaines configurations, envoyer directement. Les deux mondes existent, et ils ne relèvent pas de la même catégorie.
Neston se range explicitement dans le premier. L'assistant prépare une réponse en quatre secondes environ, dans le style de son utilisateur et en tenant compte du correspondant, puis la remet à l'humain, qui relit, corrige au besoin, et envoie. Rien ne part sans ce geste. Cette décision d'architecture est aussi une réponse à ce que dit l'article 22 : ce qui produit l'effet sur le destinataire, c'est l'envoi validé, pas la sortie du modèle.
Le second point qui compte, sur ce sujet, est l'endroit où les données transitent. Neston fonctionne avec un hébergement européen, et une option Mistral permet une pile entièrement UE pour les organisations qui exigent ce cadre. Ce n'est pas une garantie de conformité, ce n'est pas non plus un produit de sécurité : c'est un choix d'architecture, décrit et vérifiable, que le responsable de traitement inscrit dans sa propre analyse. Le cadre complet du sujet est traité dans notre guide RGPD et assistant email 2026.
L'humain valide toujours avant l'envoi.
L'assistant s'intègre à Outlook, apprend votre style, prépare une réponse en quelques secondes, et vous la remet pour que vous la relisiez et la validiez. Rien ne part sans vous. 14 jours d'essai gratuit, sans carte bancaire.
Démarrer l'essai gratuit →Windows 10/11 · Outlook · Option Mistral EU
Ce que cette amende ne change pas
Elle ne rend pas l'automatisation illégale, elle ne fait pas de tout logiciel un objet à risque, et elle ne dispense pas d'écrire ce que fait votre outil, pour qui, avec quelles données, et sous quel regard humain. Elle ne remplace pas votre analyse d'hébergement, elle ne remplace pas votre registre, elle ne remplace pas votre avocat. Ce qu'elle apporte est plus utile qu'une nouvelle règle : elle relit une règle existante avec un chiffre qui la rend audible. À 824,99 millions d'euros, l'article 22 arrête d'être une abstraction. Il devient un point du contrat à écrire, et une ligne du fonctionnement à tenir.
FAQ : décision automatisée, article 22 et PME
Aller plus loin
- IA email et RGPD : le guide de conformité 2026, le cadre général du traitement des données quand un outil lit vos emails
- Mistral et Outlook : la pile européenne pour un assistant email, ce que change l'option d'un modèle hébergé en Europe
- Productivité email sur Outlook et Gmail : la méthode, l'arrière-plan opérationnel du sujet, côté quotidien
- Détecteurs de texte IA et emails professionnels, ce que voit un destinataire quand un assistant a préparé la réponse
🔬 Sources
- Autoriteit Persoonsgegevens, communiqué du 21 août 2026 : amende de 824 990 000 euros contre Uber B.V. et Uber Technologies Inc. au titre de l'article 22 du RGPD, pour désactivations temporaires en cas de soupçon de fraude et temporaires ou définitives en cas de note client basse, décidées sans intervention humaine réelle, sur des pratiques observées entre 2018 et 2022.
- CNIL, communiqué relayé le 24 août 2026 : rappel de la coopération de la CNIL en tant qu'autorité concernée, origine de l'affaire en 2020 avec une plainte de 171 chauffeurs français relayée par la Ligue des droits de l'Homme, portée européenne de la décision.
- Règlement (UE) 2016/679 du 27 avril 2016, article 22 : « La personne concernée a le droit de ne pas faire l'objet d'une décision fondée exclusivement sur un traitement automatisé, y compris le profilage, produisant des effets juridiques la concernant ou l'affectant de manière significative de façon similaire. »
Article publié le 4 septembre 2026 · Temps de lecture : 6 minutes · ≈ 1 280 mots