GDPR pokuta ve výši 825 milionů eur — téměř 20 miliard korun — je číslo, které by mělo přimět každého českého podnikatele k zamyšlení. Nizozemský regulátor ji uložil Uberu za to, že automatizované systémy rozhodovaly o deaktivaci účtů řidičů, aniž by jim firma řádně vysvětlila proč a aniž by do procesu dostatečně zapojila živého člověka. Jde o druhou nejvyšší sankci v celé historii GDPR — překonala ji pouze pokuta 1,2 miliardy eur udělená Metě v roce 2023 za nelegální přenos dat uživatelů Facebooku do USA.
Uber přitom čelí kritice za události z let 2020 až 2022. Systémy tehdy vyhodnocovaly chování řidičů — například podezřelé objížďky nebo přijímání jízd bez úmyslu je dokončit — a automaticky jim blokovaly přístup k platformě. V roce 2021 bylo jen z důvodu nízkého hodnocení zákazníky v Evropě deaktivováno 126 řidičů. Uber sice tvrdí, že trvalé deaktivace vždy procházely lidskou kontrolou, regulátor to však nepovažoval za dostatečné.
Co GDPR říká o algoritmických rozhodnutích
Evropské nařízení o ochraně osobních údajů výslovně zakazuje, aby o životě člověka — jeho práci, příjmu nebo smlouvě — rozhodoval výhradně počítačový algoritmus bez smysluplného lidského přezkumu. Dotčená osoba musí být o takovém rozhodnutí informována a musí mít možnost se proti němu bránit. Právě tato dvě práva Uber podle regulátora porušil: právo nebýt předmětem čistě automatizovaného rozhodování a právo na informaci.
Pro české firmy je to přímé varování. AI nástroje dnes běžně vstupují do HR procesů, zákaznického scoringu, schvalování úvěrů nebo hodnocení dodavatelů. Pokud firma taková rozhodnutí nedokáže vysvětlit a nedá dotčeným osobám možnost se odvolat, pohybuje se na tenkém ledě — bez ohledu na to, zda je to velký technologický gigant, nebo středně velká česká společnost.
Pojištění odpovědnosti firem v éře AI nestačí jen kybernetické krytí
Většina českých podnikatelů si pod pojmem kybernetické pojištění představí krytí škod po hackerském útoku nebo úniku dat. To je sice základ, ale případ Uberu ukazuje, že odpovědnost za algoritmická rozhodnutí je jiná kategorie rizika. Sem patří zejména tři typy pojištění, o kterých by měl každý manažer nebo majitel firmy vědět.
D&O pojištění (Directors & Officers) chrání statutární orgány — jednatele, členy představenstva — před osobní odpovědností za manažerská rozhodnutí, včetně těch, která se týkají zavádění nových technologií nebo nedostatečného dohledu nad automatizovanými systémy. Pojištění profesní odpovědnosti kryje škody způsobené při výkonu odborné činnosti — relevantní například pro HR agentury, poradenské firmy nebo softwarové společnosti, jejichž produkty ovlivňují rozhodnutí klientů. A konečně cyber liability pojištění v širším pojetí dnes zahrnuje i sankce za porušení GDPR, náklady na právní zastoupení a náhradu škody třetím stranám.
Co si z případu Uber odnést jako česká firma
Zaprvé: nestačí mít AI systém nastavený technicky správně — firma musí být schopna každé automatizované rozhodnutí s dopadem na konkrétního člověka vysvětlit, doložit a umožnit jeho přezkum. Zadruhé: pojistné krytí je třeba přizpůsobit skutečným rizikům. Pokud firma využívá algoritmy v HR, při hodnocení zákazníků nebo při správě smluv, měla by se svým pojišťovacím makléřem probrat, zda stávající pojistky tato rizika skutečně pokrývají — nebo zda obsahují výluky právě pro regulatorní sankce. Uber se sice proti pokutě odvolá, ale i samotný proces odvolání stojí čas, peníze a reputaci. To jsou náklady, které žádná pojistka plně nekryje.