オランダ当局、Uberに約8億2500万ユーロの制裁金 - 人間を挟まない運転手アカウント停止がGDPR違反

オランダのデータ保護当局 Autoriteit Persoonsgegevens（AP）が2026年8月21日、Uberに 824,990,000ユーロ の制裁金を科したと発表した¹。理由は、同社が運転手について 完全に自動化された意思決定 を行っていたと認定されたことだ¹。

対象になったのは、運転手のアカウントを止める処理そのものである。Uberはソフトウェアで運転手の運転挙動と客からの評価を追跡し、不正の疑いを検知するか評価が低すぎると判定すると、当該運転手のアカウントを自動的に無効化していた¹。低評価が続いた場合は永久に無効化されることもあったという¹。APは「ここに人間による判断はなかった」とし、これが2018年から2022年にかけて起きていたとしている¹。

罰せられたのは「決め方」

APの認定は2点ある。ひとつはGDPRが定める 完全自動化された意思決定の禁止 への違反、もうひとつは自動的な意思決定について運転手に十分な説明をしていなかったこと（説明を受ける権利の侵害）だ¹。APは、Uberが既に違反行為をやめていることも明記している¹。

APの副委員長 Monique Verdier 氏は発表の中で、運転手が容赦なく停止され、その瞬間からUber経由の収入を失っていたと述べ、大きな結果をもたらす決定をコンピュータが単独で下してはならず、まず人間が見るべきだったとしている¹。

つまり争点は、停止という判断が正しかったかどうかではない。判断に至る過程に人間が実質的に関与していたか である。ここは生成AIやLLMの話ではなく、以前からある業務ロジックの自動化についての判断だが、社内でエージェントにどこまで決めさせるかを線引きしようとしている場合、その線がどこに引かれるのかを示す実例になっている。

端緒はフランスの運転手171人

調査のきっかけは、フランスの人権団体 Ligue des droits de l’Homme（LDH）に 171人のフランス人運転手 が申し立てたことだった¹。LDHは運転手に代わってフランスのデータ保護当局CNILに苦情を出し、Uberの欧州本社がオランダにあることから、GDPRの ワンストップショップ機構 に沿ってAPが調査を担当した¹。APは調査中にフランス当局と緊密に連携し、制裁金の決定についても他の欧州の監督機関とすり合わせたとしている¹。

制裁金の額は、欧州のすべてのデータ保護当局が共通の方法で算定する。上限は企業の全世界年間売上高の4%で、Uberの2025年の売上高は約445億ユーロだったとAPは説明している¹。

これはAPがUberに科した4件目の制裁金でもある。2018年に60万ユーロ、2023年に1000万ユーロ、2024年に2億9000万ユーロと段階的に額が上がってきており、後の2件についてはUberが争っていて手続きが継続中だ¹。

Uberは「不釣り合いだ」と反論

Uberは今回の制裁金にも不服を申し立てた¹。Reutersが伝えた同社の言い分は、決定にも金額にも強く反対する、というものだ²。反論の柱として同社が挙げているのは自社の現在の運用で、運転手の権利を軽んじてはおらず、いまの仕組みでは人間がレビューに入り、停止された運転手が結論を争う道も用意されている、という説明である²。

APが認定した事実そのものについても、同社は争っている。Reutersの報道による同社の説明では、停止は通常ごく短期間にとどまり、永久の無効化を人間のレビューなしに決めたことはない——つまり、低評価が続いた運転手のアカウントが自動で永久に無効化されていたというAPの認定を、Uberは受け入れていない²。金額が不釣り合いだとする根拠としては、実際に影響が及んだ運転手の少なさも挙げており、2021年に欧州で低評価を理由に無効化されたのは126人だったという²。

決定書は8月17日付で、Reutersが閲覧したと報じている²。制裁金の額をドルに換算した約9億6600万ドルという数字や、GDPRの下で2番目に大きい制裁金にあたるという位置づけも、APの発表ではなくReutersの記述だ²。手続きが継続中である以上、この額がそのまま確定するかどうかは現時点では分からない。

「自動でよいか」を決める側にとっての意味

この件で問われた条文について、Reutersは次のように整理している。重大な影響を伴う判断をアルゴリズムだけに委ねることは認められず、実質を伴う人間の確認と、当事者が結論を争える経路の確保が要求される²。今回はその規定が実際に適用され、制裁金という形をとった事例にあたる。

日本国内でも、AIを使った与信・審査・採用・アカウント停止といった処理は増えている。EUに拠点や利用者を持つ事業であれば同じ枠組みの射程に入るし、そうでなくても「自動で決めてよい範囲」を社内で決める際の参照点にはなる。実務的に効いてくるのは、判断の自動化そのものより 人間の関与をどう設計し、どう記録し、当事者にどう説明するか のほうだ。APが問題視した2点（人間の判断がなかったこと、説明が不十分だったこと）は、どちらも運用設計の話である。

APはこの発表を自ら「Algorithms explained（アルゴリズムの解説）」というテーマに分類している¹。規制当局がこの件を、プライバシー侵害というより アルゴリズムによる統治の問題 として扱っていることの表れと考えられる。

欧州ではこの数か月、AIに対する制度側の要求が具体的な運用に落ちてきている。EU AI法の透明性義務に対応してClaudeが生成テキストに不可視の透かしを入れた件や、欧州委員会がAI生成コンテンツのラベリング行動規範を公表した件は、いずれも「出力に何を表示するか」の話だった。今回はその手前、入力から結論までの過程に人間がいたか が問われている。データの所在地を選べるようにするMistralの Regional Endpoints のような動きが「どこで処理するか」への対応だとすれば、こちらは「誰が決めるか」への対応にあたる。

AIをめぐる制度は欧州以外でも地域ごとに整備が進んでおり、オーストラリアが国家AI枠組みの策定を発表した件のように、どの型を採るかは国によって分かれている。自動化の設計を見直すなら、まず「この判断を人間が実際に見ているか」「見ていることを後から示せるか」の2点から棚卸しするのが手をつけやすい。