우버, 알고리즘 기반 드라이버 비활성화로 네덜란드 규제당국에 8억 2천5백만 유로 벌금 부과

네덜란드 데이터 보호 당국(Autoriteit Persoonsgegevens, AP)이 우버(Uber)에 대해 적절한 인간의 감독 없이 자동화된 알고리즘을 사용해 운전자 계정을 비활성화한 것이 EU 일반 개인정보 보호 규정(GDPR)을 직접 위반했다며 8억 2500만 유로의 벌금을 부과했습니다. 2026년 8월 21일에 발표된 이 벌금은 현재까지 GDPR 위반으로 부과된 벌금 중 가장 큰 규모 중 하나로, 불투명한 AI 의사 결정 과정에 대한 규제 강화를 의미합니다.

무슨 일이 있었나

규제 당국에 따르면, 우버의 시스템은 사기 탐지나 성과 지표 등 운전자 행동에 대한 알고리즘 평가를 기반으로 운전자 계정을 자동으로 종료했습니다. AP는 우버가 이러한 결정이 어떻게 이루어졌는지에 대해 충분한 투명성을 제공하지 않았고, 운전자에게 비활성화에 이의를 제기할 수 있는 효과적인 채널을 제공하지 않았다는 점을 밝혔습니다. 이는 인간의 개입 없이 법적 효과(예: 계약 종료)를 발생시키는 자동화된 처리에만 기반한 결정을 받지 않을 권리를 개인에게 부여하는 GDPR 제22조를 위반합니다.

주요 세부 사항

• 벌금 금액: 8억 2500만 유로 (현재 환율로 약 9억 6000만 달러).
• 규제 기관: Autoriteit Persoonsgegevens (네덜란드 데이터 보호 당국).
• 위반 사항: 의미 있는 인간 검토나 운전자 보호 장치 없이 자동화된 계정 비활성화.
• GDPR 영향: 법적 결과를 수반하는 완전 자동화된 의사 결정을 제한하는 제22조에 해당할 가능성.

AI 에이전트에 대한 시사점

이번 판결은 사람에 대해 중요한 결정을 내리는 AI 에이전트를 배포하는 모든 팀에게 경종을 울립니다. 에이전트가 대출 승인, 후보자 순위 결정, 또는 우버의 경우처럼 계정 종료에 사용된다면 다음을 보장해야 합니다:

1. 불리한 결정에 대해 인간의 검토가 파이프라인에 내장되어야 합니다.
2. 영향을 받는 개인에게 AI의 논리에 대한 명확한 설명이 제공되어야 합니다.
3. 간단한 이의 제기 절차가 존재해야 합니다.
4. GDPR 제22조 및 유사한 규정의 준수 여부를 감사해야 합니다.

개발자에게 이는 결정 입력을 기록하고 설명 가능성을 제공하며 수동 재정의 메커니즘을 갖춘 시스템을 설계하는 것을 의미합니다. 블랙박스로 알고리즘을 운영하던 시대는 끝났습니다. 규제 당국이 주시하고 있습니다.