Decisiones automatizadas y RGPD: 825 millones de euros por una validación humana ausente

Una decisión automatizada que priva a un conductor de su cuenta sin que un ser humano la revise: la autoridad neerlandesa, en cooperación con la CNIL, ha cifrado la infracción en 824 990 000 euros. La validación humana cabe en un artículo del RGPD y su ausencia tiene un precio.

El 24 de agosto de 2026, la CNIL anunció una sanción de 824 990 000 euros impuesta a Uber por la autoridad neerlandesa de protección de datos en cooperación con ella. El motivo cabe en una frase: desactivaciones de cuentas de conductores calificadas como decisiones individuales automatizadas, adoptadas sin validación humana, con fundamento en el artículo 22 del RGPD.

Lo que reprocha la decisión

Uber desactivaba cuentas ante sospechas de fraude o puntuaciones bajas. Un conductor desactivado pierde sus ingresos de un día para otro sin saber qué regla provocó el cambio. La autoridad neerlandesa consideró que estas decisiones las tomaba el propio tratamiento, sin que una persona las examinara de verdad. El mismo procedimiento ya había dado lugar a dos sanciones: 10 millones de euros en diciembre de 2023 por falta de información a los conductores y 290 millones en julio de 2024 por transferencias de datos fuera de la Unión Europea, siempre según la página de la CNIL del 24 de agosto de 2026.

Lo que dice el artículo 22

El artículo 22 del RGPD reconoce a toda persona el derecho a no ser objeto de una decisión basada únicamente en un tratamiento automatizado, incluida la elaboración de perfiles, que produzca efectos jurídicos sobre ella o la afecte significativamente. Existen tres excepciones: la ejecución de un contrato, una autorización prevista por el Derecho de la Unión o de un Estado miembro y el consentimiento explícito. Ninguna de ellas exime de un examen serio de la decisión cuando la persona la impugna. Determinar si tu programa entra en este ámbito debe hacerse con tu asesor, no en un artículo de un diario: la frontera entre ayudar a decidir y tomar una decisión automatizada depende del detalle de tus pantallas.

Una casilla marcada no equivale a una revisión

La CNIL, en su nota de julio de 2026 sobre IA agéntica y protección de datos personales, recuerda la interpretación adoptada por el Tribunal de Justicia en el asunto SCHUFA del 7 de diciembre de 2023: la intervención humana debe ser real, efectiva e influir en la decisión final. La nota añade que «una validación puramente formal o automática es insuficiente». Un empleado que pulsa «validar» cincuenta veces por hora en una pantalla que ya muestra la respuesta y no ofrece otra salida no constituye la garantía exigida por el texto. La misma nota observa que la multiplicación de agentes dificulta apreciar el grado real de supervisión, algo válido para cualquier cadena de tratamientos donde nadie sabe ya quién decidió.

Lo que cambia cuando encargas un programa

Si tu aplicación decide por sí sola rechazar un expediente, suspender un acceso, fijar una tarifa personalizada o clasificar a un candidato, debes poder mostrar dónde interviene un ser humano, con qué información a la vista y qué puede cambiar. Esta exigencia se traduce en pantallas, permisos de acceso y reglas de recurso, por tanto en líneas del documento de requisitos escritas antes de construir. Añadirla después equivale a reabrir todo el recorrido del usuario, a menudo la parte más cara de un producto. Es el tipo de asunto que las preguntas incómodas hacen aflorar en una hora de trabajo si se plantean en el momento adecuado.

Una herramienta de generación mediante prompts no hace ninguna de estas preguntas. Describes una pantalla, la produce y nada en la conversación te pregunta quién decide cuando la máquina se equivoca. Es cierto de los generadores más rápidos del mercado, incluidos aquellos cuyos créditos detallamos esta mañana, y no es un defecto por su parte: venden velocidad de prototipado. En Maestro, cada documento propuesto por los agentes se detiene ante tu «Me parece bien». Este punto de validación afecta a los documentos del proyecto, no a las decisiones que tomará tu aplicación una vez en servicio. Son dos revisiones distintas y la segunda sigue teniendo que diseñarse producto por producto.

En la práctica

Toma la lista de acciones que tu programa ejecuta sin que se lo pidan: rechazos, suspensiones, recordatorios, puntuaciones y prioridades. Para cada una, escribe tres líneas. Quién puede impugnarla y por qué vía. Quién la vuelve a examinar y en qué plazo. Qué información ve esa persona al decidir y qué tiene poder para modificar. Si queda una línea vacía, el asunto sigue abierto y es mejor descubrirlo ante un documento que después de una reclamación. La revisión organizada como una arquitectura cuesta unas horas durante la definición; el otro camino es el que tomó Uber y su importe figura al principio de esta página.