Recursos humanos · Inteligencia artificial · Privacidad
Clasificar currículums, asignar puntuaciones o recomendar candidatos puede agilizar un proceso, pero también crear perfiles, errores o discriminaciones difíciles de detectar. La empresa debe gobernar el sistema antes de utilizarlo en decisiones laborales.
¿Quieres saber qué implica para tu empresa?
Álvaro Ruipérez puede revisar el impacto práctico de esta novedad en tus tratamientos, contratos y sistemas de IA.
Qué ha recordado la AEPD sobre la IA en currículums
El 23 de septiembre de 2026 la AEPD informó de una advertencia a una empresa que evaluaba implantar un sistema para analizar currículums y asignar puntuaciones. La Agencia subrayó que las garantías de protección de datos deben incorporarse desde el inicio. Una advertencia no es una sanción ni permite atribuir una multa: indica que el diseño previsto requería correcciones antes del despliegue.
El mensaje es relevante para cualquier organización que utilice un ATS, un proveedor de reclutamiento o un sistema propio con funciones algorítmicas. Nuestro servicio de abogados de inteligencia artificial y AI Act para empresas revisa esos proyectos desde la fase de selección y contratación.
Qué tratamientos pueden existir en un proceso de selección
Un currículum puede contener nombre, contacto, experiencia, formación, fotografía, edad aproximada, nacionalidad o información adicional aportada por la persona. El sistema puede extraer datos, inferir competencias, comparar perfiles, ordenar candidaturas o recomendar descartes. Cada operación debe estar descrita y vinculada a una finalidad legítima.
También deben identificarse fuentes externas, datos adquiridos, pruebas, entrevistas grabadas y variables derivadas. Una inferencia sobre personalidad, rendimiento o adecuación sigue siendo información sobre una persona y puede afectar significativamente a sus oportunidades.
Obligaciones que deben coordinarse
RGPD y LOPDGDD
La empresa debe aplicar los principios de licitud, transparencia, minimización, exactitud, limitación de la conservación, seguridad y responsabilidad proactiva. La base jurídica y la información a candidatos deben responder al uso real del sistema. Si el proveedor actúa como encargado, el contrato debe cumplir el artículo 28 y reflejar subencargados, asistencia y medidas.
Decisiones automatizadas
Cuando una decisión se adopta exclusivamente mediante tratamiento automatizado y produce efectos jurídicos o significativamente similares, entra en juego el artículo 22 del RGPD. Añadir una revisión humana nominal no basta: la persona revisora debe comprender la recomendación, poder contrastarla y tener autoridad para cambiarla.
Reglamento europeo de inteligencia artificial
El AI Act clasifica como alto riesgo numerosos sistemas utilizados para contratación, selección, decisiones que afectan a condiciones laborales, promoción o terminación. La calificación exacta depende de la función y de las excepciones aplicables. El proveedor y la empresa usuaria deben identificar su rol, la documentación disponible y las obligaciones correspondientes.
Controles antes de implantar el sistema
| Control | Pregunta clave | Evidencia |
|---|---|---|
| Finalidad | ¿Qué tarea concreta automatiza o apoya? | Ficha de caso de uso y límites |
| Datos | ¿Qué variables usa y cuáles infiere? | Diccionario de datos y procedencia |
| Exactitud | ¿Cómo se detectan errores y sesgos? | Pruebas, métricas y revisión periódica |
| Transparencia | ¿Qué se explica a candidatos y revisores? | Información clara y guías internas |
| Intervención humana | ¿Puede cuestionarse la puntuación? | Procedimiento y responsables |
| Proveedor | ¿Quién accede, aloja o reutiliza datos? | Contrato, subencargados y seguridad |
| Riesgo | ¿Procede una EIPD? | Cribado y evaluación documentada |
La EIPD y la calidad de los datos
La evaluación de impacto debe realizarse antes del tratamiento cuando sea probable un alto riesgo. En selección de personal son especialmente relevantes el perfilado, la escala, la combinación de fuentes, las categorías especiales, las personas vulnerables y la dificultad para impugnar un resultado.
La exactitud no consiste solo en que el currículum esté bien transcrito. Debe comprobarse que la variable sea pertinente, que la inferencia tenga validez para la finalidad y que el modelo no reproduzca sesgos históricos. Una puntuación precisa desde el punto de vista técnico puede ser jurídicamente inadecuada si mide algo irrelevante o discriminatorio.
Checklist para recursos humanos y dirección
- Inventariar herramientas, integraciones y proveedores del proceso de selección.
- Describir cada decisión y el peso real de la recomendación algorítmica.
- Eliminar variables innecesarias y justificar las que se utilicen.
- Revisar base jurídica, información a candidatos y plazo de conservación.
- Formalizar el encargo y evaluar transferencias internacionales cuando proceda.
- Realizar el cribado de EIPD y completarla antes del despliegue si es necesaria.
- Probar exactitud, sesgos, accesibilidad y casos límite con datos adecuados.
- Diseñar una intervención humana real y un canal para solicitar revisión.
- Formar a selección, RRHH, tecnología, compras y responsables de negocio.
- Supervisar cambios del modelo, del proveedor y de las variables.
Preguntas frecuentes
¿La AEPD ha sancionado a la empresa del caso de currículums?
La comunicación de 23 de septiembre de 2026 describe una advertencia a una empresa que evaluaba implantar el sistema. No debe presentarse como una multa ni como una resolución sancionadora.
¿Una persona debe revisar siempre la puntuación?
Debe analizarse el papel del sistema. Si existe una decisión exclusivamente automatizada con efectos relevantes, el artículo 22 RGPD exige garantías específicas. La revisión humana debe ser sustantiva, no formal.
¿La selección con IA requiere siempre una EIPD?
No existe una respuesta automática para todo sistema. Debe evaluarse si el tratamiento probablemente genera un alto riesgo atendiendo al perfilado, escala, datos, fuentes, personas afectadas y consecuencias.
Fuentes oficiales
- AEPD, garantías para utilizar IA en el análisis de currículums, 23 de septiembre de 2026.
- AEPD, Adecuación al RGPD de tratamientos que incorporan inteligencia artificial.
- Reglamento (UE) 2024/1689 de inteligencia artificial.
- Reglamento (UE) 2016/679.
Fuentes consultadas el 25 de septiembre de 2026. Este artículo separa los hechos publicados por la AEPD del análisis jurídico general y no sustituye una evaluación del sistema concreto.
Valora tu caso con Álvaro Ruipérez Candón
Cuéntanos qué tratamiento, proveedor o sistema digital necesitas revisar y te indicaremos el siguiente paso.