La IA en recursos humanos exige cumplimiento normativo

La Agencia Española de Protección de Datos (AEPD) ha emitido una advertencia preventiva a una empresa que estudia incorporar una herramienta de inteligencia artificial para analizar currículums, asignar puntuaciones y priorizar candidaturas en procesos de selección de personal y movilidad interna.

La actuación, comunicada el 23 de septiembre de 2026, se produce antes de la puesta en funcionamiento del sistema, aunque la empresa ya había informado a su personal sobre su próxima implantación. La herramienta podría influir en decisiones relacionadas con el acceso al empleo y la promoción profesional, por lo que su utilización requiere garantías específicas en materia de protección de datos.

La Agencia reconoce que la inteligencia artificial puede mejorar la eficiencia y la calidad de los procesos de selección. Sin embargo, recuerda que las empresas deben integrar las obligaciones legales desde el inicio del proyecto y valorar cómo puede afectar el tratamiento de datos a los derechos de las personas candidatas y trabajadoras.

Las garantías deben incorporarse desde el diseño

La primera obligación destacada por la AEPD es la protección de datos desde el diseño y por defecto. Este principio exige considerar las medidas de protección adecuadas desde las primeras fases de desarrollo y configuración de la herramienta.

En la práctica, la empresa debe adoptar medidas técnicas y organizativas apropiadas y analizar los riesgos asociados al tratamiento. La evaluación debe atender a las características del sistema y a las posibles consecuencias de utilizar sus resultados para valorar la idoneidad de una candidatura.

Además, cuando el tratamiento pueda entrañar un alto riesgo para los derechos y libertades de las personas, será necesario realizar previamente una evaluación de impacto en protección de datos. Esta evaluación permite identificar los riesgos relevantes y establecer medidas para prevenirlos o reducirlos antes de iniciar el tratamiento.

Información clara para candidatos y trabajadores

La transparencia constituye otra de las exigencias señaladas por la Agencia. Las personas afectadas deben recibir información clara, accesible y comprensible sobre el tratamiento de sus datos personales y sobre el papel que desempeña la inteligencia artificial en la evaluación de sus perfiles.

Esta obligación adquiere especial relevancia cuando la herramienta asigna puntuaciones que pueden condicionar la selección de una persona para un puesto de trabajo. La información debe permitir comprender que el sistema interviene en el proceso de evaluación, sin perjuicio de las restantes obligaciones informativas aplicables conforme al RGPD.

La empresa también deberá garantizar que la utilización de la herramienta no convierta la puntuación automatizada en un criterio asumido de manera irreflexiva por quienes participan en la decisión.

La intervención humana debe ser efectiva

La empresa ha manifestado que la decisión final correspondería a una persona. La AEPD recuerda, no obstante, que la participación humana debe ser real y no meramente formal.

Quien adopte la decisión debe poder examinar críticamente la información proporcionada por el sistema, valorar su adecuación y decidir de forma autónoma. Limitarse a aceptar automáticamente la puntuación generada por la inteligencia artificial no satisface el criterio de intervención humana efectiva señalado por la Agencia.

Este aspecto se relaciona con el artículo 22 del Reglamento General de Protección de Datos, que reconoce el derecho a no ser objeto de determinadas decisiones basadas únicamente en tratamientos automatizados cuando producen efectos jurídicos o afectan significativamente a las personas de forma similar.

La aplicación de esta disposición dependerá del funcionamiento concreto de la herramienta y del grado de intervención humana, sin perjuicio de las excepciones previstas en el propio Reglamento.

Una advertencia preventiva, no una sanción

La actuación se fundamenta en el artículo 58.2.a) del RGPD, que permite a las autoridades de control advertir a los responsables o encargados cuando las operaciones de tratamiento previstas puedan infringir el Reglamento.

La advertencia no supone que la empresa haya cometido una infracción. Su finalidad es preventiva y busca que la entidad pueda revisar el proyecto y adaptar el tratamiento a las exigencias legales antes de su puesta en marcha.

La AEPD recuerda así que la incorporación de inteligencia artificial a los procesos de selección debe acompañarse de una evaluación previa de los riesgos, información transparente y supervisión humana efectiva. La mejora de la eficiencia empresarial debe ser compatible con la protección de los derechos de las personas.