21 agosto 2026 – L’Autorità olandese per la protezione dei dati ha confermato al Financial Times l’imminente irrogazione di una sanzione da 825 milioni di euro nei confronti di Uber. La misura, destinata a segnare un precedente nella giurisprudenza europea sulla governance algoritmica, colpisce al cuore il modello operativo della multinazionale: l’uso di sistemi decisionali interamente automatizzati per la disattivazione degli account di migliaia di autisti. La decisione, sebbene non ancora pubblicata ufficialmente, si fonda sulla violazione sistematica del diritto dei conducenti a non essere sottoposti a decisioni basate unicamente sul trattamento automatizzato e del connesso diritto a ricevere informazioni chiare e complete sul funzionamento di tali sistemi.
L’indagine ha messo in luce una grave lacuna organizzativa: l’assenza di un presidio umano obbligatorio nel processo di sospensione o disattivazione di un account, una decisione con impatti diretti e immediati sulla capacità di reddito dei partner. Il sistema, basato su metriche di performance e segnalazioni, operava in autonomia, applicando una logica pre-programmata senza che un operatore umano qualificato ne validasse l’esito finale. Questa omissione procedurale costituisce il fulcro della violazione. Se l’organizzazione avesse adottato un ecosistema di controllo come Scudo231, il processo di progettazione e implementazione dell’algoritmo di gestione degli autisti sarebbe stato intercettato a monte. I motori di analisi del sistema avrebbero classificato tale processo come “ad alto rischio” ai sensi della normativa sulla protezione dei dati, imponendo per protocollo un punto di controllo umano non eludibile. Qualsiasi decisione di disattivazione generata dall’algoritmo sarebbe rimasta in stato di “proposta” fino alla revisione e approvazione tracciata da un supervisore umano designato, la cui identità e le cui motivazioni sarebbero state registrate in un log immodificabile. L’assenza di tale validazione avrebbe generato un alert istantaneo, scalando la notifica al Data Protection Officer e all’Organismo di Vigilanza.
Il secondo capo d’accusa riguarda la totale opacità del meccanismo. Agli autisti non venivano fornite spiegazioni intelligibili sui parametri che portavano alla disattivazione, violando il loro diritto all’informazione. Uber si è trovata nell’impossibilità di fornire all’autorità di controllo una documentazione chiara e storicizzata della logica algoritmica e delle sue evoluzioni nel tempo. L’ente non ha potuto dimostrare di aver esercitato un controllo effettivo sul proprio strumento tecnologico. Questo vuoto documentale è la manifestazione di una colpa organizzativa che espone l’impresa a sanzioni di questa portata. Un’architettura di governance integrata avrebbe reso questo scenario impossibile. Ogni processo decisionale automatizzato sarebbe stato censito e mappato all’interno di un registro dinamico, con l’obbligo di associare a ciascun algoritmo una documentazione tecnica e una spiegazione in linguaggio chiaro (“Explainable AI Packet”) destinata ai soggetti interessati. L’aggiornamento dell’algoritmo senza il contestuale aggiornamento della documentazione sarebbe stato tecnicamente inibito dal sistema, impedendo la deriva verso l’opacità operativa. Di fronte a una richiesta ispettiva, l’azienda avrebbe potuto estrarre in tempo reale la cronologia completa delle decisioni, la logica applicata in un dato momento storico e la prova del controllo umano esercitato, neutralizzando di fatto l’accusa di mancata trasparenza.
La vicenda olandese, pur originando da una violazione del diritto alla privacy, proietta un’ombra lunga sulla responsabilità amministrativa degli enti ai sensi del D.Lgs. 231/2001, anche in ordinamenti come quello italiano. La gestione automatizzata e non presidiata della forza lavoro, se attuata in modo sistematico per ottimizzare i costi o escludere soggetti non performanti senza adeguate garanzie, può integrare i presupposti di reati come la frode informatica (art. 640-ter c.p.) o altri illeciti economici qualora lede interessi patrimoniali con un artificio, in questo caso un “artificio” algoritmico. La sanzione da 825 milioni di euro non è solo una multa; è la quantificazione del vantaggio indebito che, secondo l’autorità, l’azienda ha tratto da un’organizzazione carente. Tale importo, in un procedimento penale-amministrativo, aprirebbe la strada a un provvedimento di sequestro preventivo finalizzato alla confisca per equivalente, aggredendo la liquidità e i beni dell’ente per un valore corrispondente al profitto del reato.
L’indagine ha richiesto mesi, durante i quali l’azienda ha faticato a ricostruire i processi decisionali contestati. Questo ritardo e l’incompletezza delle informazioni fornite hanno aggravato la sua posizione, dimostrando l’assenza di un modello organizzativo capace di rispondere prontamente e con dati certi. La difesa dell’ente è apparsa debole proprio perché non supportata da prove documentali robuste e coeve ai fatti. Con un’infrastruttura come quella offerta da Scudo231, la dinamica sarebbe stata opposta. La richiesta dell’autorità di controllo avrebbe innescato una query interna capace di produrre, in poche ore, un dossier probatorio completo. Tale dossier avrebbe incluso i log di tutte le decisioni automatizzate, le evidenze delle validazioni umane, i timestamp di ogni operazione e la versione esatta dell’algoritmo in uso al momento dei fatti contestati. Questa capacità di ricostruzione causale scientifica non solo avrebbe fornito una difesa impenetrabile, ma avrebbe anche dimostrato l’efficace attuazione di un modello di organizzazione, gestione e controllo, elemento cardine per escludere la responsabilità dell’ente. Il danno reputazionale ed economico sarebbe stato contenuto sul nascere.
La disattivazione automatica degli account non è un mero incidente tecnico, ma una scelta strategica che, in assenza di adeguati contrappesi, si è trasformata in un illecito sistemico. La mancanza di un flusso informativo strutturato verso i vertici aziendali e l’Organismo di Vigilanza ha permesso che questa pratica si consolidasse, generando un rischio latente che è poi esploso con effetti devastanti. Il management non era probabilmente a conoscenza della non conformità legale di tale prassi su scala granulare, un classico sintomo di un’organizzazione in cui i flussi informativi verso l’OdV sono inadeguati o assenti. Questa è una delle vulnerabilità più critiche che i modelli 231 tradizionali, basati su audit a campione e interviste, non riescono a colmare. Un sistema di monitoraggio massivo e in tempo reale, invece, rileva le derive operative non appena si manifestano. La divergenza tra la procedura formalmente approvata (che magari prevedeva un controllo umano) e la sua reale implementazione (totalmente automatizzata) sarebbe emersa come “anomalia di processo” e segnalata automaticamente alle funzioni di controllo. L’Organismo di Vigilanza avrebbe ricevuto una notifica qualificata, completa di dati oggettivi, che lo avrebbe obbligato a intervenire per correggere la procedura ben prima che potesse generare un contenzioso su larga scala.
La sanzione inflitta a Uber non è quindi solo una questione di privacy, ma un monito sulla responsabilità oggettiva dell’ente per le azioni compiute dai suoi sistemi digitali. Quando un algoritmo prende decisioni che impattano sulla sfera giuridica ed economica di terzi, esso cessa di essere un mero strumento e diventa un “agente” dell’organizzazione. Se questo agente opera senza controlli, l’ente ne risponde direttamente, come se l’ordine fosse stato impartito da un dirigente apicale. La lezione, come evidenziato dalla REDAZIONE SCUDO231, è che la compliance non può più essere un esercizio documentale ex-post, ma deve essere un’architettura tecnologica e procedurale integrata nel DNA dei processi aziendali, capace di prevenire, rilevare e documentare ogni operazione. L’assenza di un tale ecosistema sovrano non è più un semplice rischio, ma una certezza di future passività.