Decisiones automatizadas en la empresa: lo que la multa a Uber cambia para una pyme

Un conductor de Uber abre su aplicación una mañana. Un mensaje breve: cuenta suspendida, no más carreras, no más ingresos. Al otro lado, ninguna persona a la que dirigirse, ningún nombre bajo la decisión. Un algoritmo leyó sus últimos indicadores, un algoritmo decidió, y un sistema cortó el acceso. Multipliquen por varios miles de casos, entre 2018 y 2022, y tienen la materia prima de la sanción que la autoridad neerlandesa de protección de datos hizo pública el 21 de agosto de 2026, en cooperación con la CNIL francesa. En España, un caso equivalente sería tramitado por la Agencia Española de Protección de Datos (AEPD).

El importe hace el titular: 824.990.000 euros. El motivo es más interesante que el importe. No es un fallo de seguridad, no es una filtración, no es una transferencia de datos mal encuadrada. Es el artículo 22 del RGPD, el que prohíbe que una decisión que produzca efectos significativos sobre una persona se adopte exclusivamente por una máquina, sin intervención humana real.

Un directivo de pyme que introduce automatización en su día a día, incluidos sus correos, tiene interés en comprender con exactitud lo que esta decisión dice, y sobre todo lo que no dice.

Lo que la CNIL y su homóloga neerlandesa acaban de decir

La sanción no la impuso la CNIL. El establecimiento principal de Uber en Europa se encuentra en los Países Bajos, lo que convierte a la Autoriteit Persoonsgegevens en autoridad principal de control en el sentido del RGPD. La CNIL cooperó en la investigación, en particular porque la denuncia inicial, en 2020, procedía de 171 conductores franceses trasladada por la Ligue des droits de l'Homme. La autoridad francesa difundió la decisión mediante un comunicado publicado el 24 de agosto de 2026. En un caso puramente español, la autoridad competente sería la AEPD, o bien la propia AP como autoridad principal si el establecimiento principal permaneciera en los Países Bajos.

La decisión apunta a dos mecanismos distintos. El primero suspende temporalmente la cuenta de un conductor cuando el sistema sospecha fraude. El segundo suspende temporal o definitivamente la cuenta cuando la nota del cliente cae por debajo de un umbral. En ambos casos, la autoridad señala que la salida del algoritmo produce un efecto inmediato sobre el conductor, hasta la pérdida de su medio de vida, y que el camino entre la señal y el efecto no incluye ninguna intervención humana real.

La palabra importante es real. La decisión precisa que la intervención humana exigida por el artículo 22 supone un poder efectivo de revertir la salida de la máquina, realmente ejercido, y no un sello estampado sobre un resultado ya listo. Un operador que valida al kilómetro, sin mirar, no marca esa casilla. Un flujo en el que rechazar cuesta demasiado para hacerse, tampoco.

Uber ha anunciado que recurrirá. La calificación jurídica definitiva no está, por tanto, cerrada. Lo que sí lo está es la lectura adoptada por la autoridad principal: el importe, el motivo y la definición de la intervención humana forman una señal, independiente del resultado del recurso.

La línea real no está entre manual y automatizado

La lectura rápida de este caso consiste en decir que la automatización se vuelve arriesgada, y que hay que renunciar a ella. Sería una lectura cómoda y falsa. El artículo 22 no apunta a la automatización, apunta a una categoría muy precisa: la decisión basada exclusivamente en un tratamiento automatizado que produce efectos jurídicos o afecta significativamente a la persona de forma similar. La palabra exclusivamente hace todo el trabajo.

La línea que hay que sostener pasa, por tanto, por otro lado. Pasa entre dos cosas que se confunden, en las conversaciones de directivos, desde que la inteligencia artificial empezó a tocar los procesos operativos.

Esta distinción no es un truco de abogado. Es también lo que el usuario siente. Una herramienta que propone y espera mantiene la mano de su lado; una herramienta que actúa sola se la quita. Es el mismo gesto el que tranquiliza y el que protege.

Un punto de honestidad, sin embargo: esta distinción no basta por sí sola para descartar el artículo 22. Es necesaria, no suficiente. La finalidad del tratamiento, la naturaleza del efecto, la información entregada a los interesados y los recursos abiertos también cuentan. El papel de un artículo de blog no es zanjar en lugar de su asesor jurídico, es darle la buena pregunta que plantear.

Lo que una pyme de 5 a 50 empleados debe retener

La lectura peor calibrada sería decirse que el caso concierne a las plataformas y no a su empresa de dieciocho personas. El RGPD no prevé umbral de tamaño para el artículo 22: la regla apunta al tratamiento, no a la organización que lo opera. Lo que cambia, en la práctica, es el número de situaciones en las que una pyme produce decisiones puramente automáticas que afectan significativamente a una persona.

Existen. Un programa de cribado de candidaturas que descarta CV sin que ningún humano lea uno solo. Un scoring de cliente que rechaza un expediente sin que un comercial haya abierto la ficha. Una respuesta estandarizada enviada automáticamente a una reclamación, sin que un responsable haya visto lo que el cliente pedía. Ninguno de estos casos tiene la escala del caso Uber. El mecanismo jurídico, en cambio, pertenece a la misma familia.

El primer trabajo de un directivo es, por tanto, escribir esta lista: ¿qué produce hoy, en mi empresa, un efecto sobre una persona sin que ningún humano haya mirado? Siete u ocho líneas, casi siempre. Una vez puesta la lista, cada línea se arbitra en frío, con su asesor jurídico cuando la pregunta es fina. Es lo contrario de la postura de espera que consiste en esperar que la pregunta no se plantee.

Lo que un asistente de correo es, y lo que no es

El correo es uno de los sitios donde esta distinción se juega en concreto, porque es uno de los sitios donde la automatización avanza rápido. Un asistente de correo puede leer los mensajes entrantes, comprender su contexto, clasificar, priorizar, resumir, preparar un borrador de respuesta. También puede, en ciertas configuraciones, enviar directamente. Los dos mundos existen, y no pertenecen a la misma categoría.

Neston se sitúa explícitamente en el primero. El asistente prepara una respuesta en unos cuatro segundos, en el estilo de su usuario y teniendo en cuenta al interlocutor, y después la devuelve al humano, que relee, corrige si procede y envía. Nada parte sin ese gesto. Esta decisión de arquitectura es también una respuesta a lo que dice el artículo 22: lo que produce el efecto sobre el destinatario es el envío validado, no la salida del modelo.

El segundo punto que importa, sobre este tema, es el lugar por donde transitan los datos. Neston funciona con alojamiento europeo, y una opción Mistral permite una pila enteramente UE para las organizaciones que exigen ese marco. No es una garantía de conformidad, no es tampoco un producto de seguridad: es una elección de arquitectura, descrita y verificable, que el responsable del tratamiento inscribe en su propio análisis. El marco completo del asunto se aborda en nuestra guía RGPD y asistente de correo con IA.

Lo que esta sanción NO cambia

No convierte la automatización en ilegal, no hace de cada programa un objeto de riesgo, y no dispensa de escribir lo que hace su herramienta, para quién, con qué datos y bajo qué mirada humana. No sustituye a su análisis de alojamiento, no sustituye a su registro, no sustituye a su abogado. Lo que aporta es más útil que una regla nueva: relee una regla existente con una cifra que la vuelve audible. A 824,99 millones de euros, el artículo 22 deja de ser una abstracción. Se convierte en un punto del contrato que hay que escribir, y en una línea del funcionamiento que hay que sostener.

FAQ: decisión automatizada, artículo 22 y pyme

Para ir más lejos

• IA email y RGPD: la guía de conformidad 2026, el marco general del tratamiento de datos cuando una herramienta lee sus correos
• Mistral y Outlook: la pila europea para un asistente de correo, lo que cambia la opción de un modelo alojado en Europa
• Productividad de correo en Outlook y Gmail: el método, el trasfondo operativo del asunto, desde el día a día
• Detectores de texto IA y correos profesionales, lo que ve un destinatario cuando un asistente ha preparado la respuesta
• Asistente de correo con IA alojado en Francia, el enfoque de arquitectura europea sobre los datos

Artículo publicado el 4 de septiembre de 2026 · Tiempo de lectura: 6 minutos · ≈ 1.310 palabras