La AEPD fija garantías para la IA laboral

La Agencia Española de Protección de Datos advierte sobre los requisitos del RGPD para utilizar inteligencia artificial en la evaluación de currículums y candidaturas, con especial atención a la evaluación de impacto, la transparencia y la intervención humana.

La evaluación algorítmica bajo supervisión jurídica

La Agencia Española de Protección de Datos (AEPD) ha emitido una advertencia preventiva a una empresa que estudia implantar una herramienta de inteligencia artificial para analizar currículums, asignar puntuaciones y priorizar candidaturas en procesos de selección de personal y movilidad interna. La comunicación, fechada el 23 de septiembre de 2026, recuerda las obligaciones que deben observarse cuando el tratamiento de datos personales puede influir en el acceso al empleo o en la promoción profesional.

La herramienta todavía no se habría puesto en funcionamiento, aunque la empresa había comunicado a su personal su próxima implantación. Por tanto, la intervención de la Agencia se produce en una fase previa al tratamiento proyectado y persigue que la entidad identifique y gestione los riesgos jurídicos antes de utilizar el sistema.

La AEPD reconoce que estas soluciones pueden mejorar la eficiencia de los recursos humanos. Sin embargo, su incorporación requiere evaluar las consecuencias del tratamiento y garantizar que la automatización no comprometa los derechos de las personas candidatas y trabajadoras.

Protección de datos desde el diseño y por defecto

El principio de protección de datos desde el diseño y por defecto exige incorporar las garantías correspondientes desde la concepción del sistema. No se trata únicamente de revisar su cumplimiento una vez desarrollado, sino de definir desde el inicio las medidas técnicas y organizativas adecuadas a la naturaleza, el alcance y los riesgos del tratamiento.

En este contexto, la empresa debe evaluar los posibles efectos del sistema sobre los derechos y libertades de las personas afectadas. Cuando el tratamiento pueda entrañar un alto riesgo, deberá realizar previamente una evaluación de impacto en protección de datos, de acuerdo con las exigencias del RGPD.

Esta evaluación resulta especialmente relevante cuando las puntuaciones generadas por una herramienta pueden condicionar la selección de personal. El análisis debe permitir identificar los riesgos previsibles y determinar las medidas necesarias para afrontarlos antes de que el sistema entre en funcionamiento.

Transparencia y garantías frente a la automatización

La AEPD recuerda que las personas candidatas y trabajadoras deben recibir información clara, accesible y comprensible sobre el tratamiento de sus datos y sobre la función de la herramienta en la evaluación de sus perfiles.

La transparencia debe permitir conocer el papel que desempeña la inteligencia artificial dentro del proceso, especialmente cuando sus resultados pueden influir en la valoración de la adecuación de una persona a un puesto de trabajo.

Asimismo, la empresa ha señalado que la decisión final correspondería a una persona. La Agencia advierte, no obstante, que la intervención humana debe ser efectiva. Quien decida ha de poder examinar críticamente la puntuación generada, valorar la información disponible y adoptar una decisión propia, sin asumir automáticamente el resultado algorítmico.

El alcance del artículo 22 del RGPD

El artículo 22 del Reglamento General de Protección de Datos reconoce el derecho a no ser objeto de decisiones basadas únicamente en tratamientos automatizados, incluida la elaboración de perfiles, cuando produzcan efectos jurídicos o afecten significativamente a la persona de forma similar.

La aplicación de esta disposición dependerá del funcionamiento concreto de la herramienta y del grado real de intervención humana. También deberán valorarse las excepciones previstas en el propio Reglamento y las garantías que resulten exigibles en cada supuesto.

Por ello, la existencia formal de una persona encargada de aprobar la decisión no resulta suficiente si, en la práctica, esta se limita a confirmar la puntuación del sistema.

Una actuación preventiva conforme al RGPD

La advertencia se apoya en el artículo 58.2.a) del RGPD, que permite a las autoridades de control advertir a los responsables o encargados cuando las operaciones de tratamiento previstas puedan infringir el Reglamento.

Esta medida no constituye una declaración de infracción ni una sanción. Su finalidad es preventiva y permite que la entidad revise el proyecto antes de ponerlo en marcha.