La Agencia Española de Protección de Datos advierte de los peligros de automatizar el análisis de currículos sin garantías suficientes. Las empresas deberán proteger la privacidad, explicar cómo evalúan a los candidatos y mantener una supervisión humana efectiva.
Por Redacción | El Vértice
Fecha de publicación: 9 de octubre de 2026
La inteligencia artificial está entrando en los departamentos de recursos humanos, donde puede analizar cientos de currículos en pocos segundos y ordenar candidaturas según criterios definidos por una empresa. Pero esa rapidez plantea una cuestión decisiva: ¿quién responde cuando un algoritmo descarta injustamente a una persona que busca trabajo?
La Agencia Española de Protección de Datos (AEPD) ha lanzado una advertencia preventiva a una compañía que pretendía implantar una herramienta de inteligencia artificial para analizar currículos, puntuar perfiles y establecer prioridades tanto en procesos de contratación externa como en movimientos internos de personal.
Según la información publicada por Digital Inside, la empresa todavía no había puesto el sistema en producción, aunque ya había comunicado a su plantilla su próxima implantación. La AEPD decidió intervenir antes de que la herramienta comenzara a utilizarse, con el objetivo de recordar las obligaciones legales que acompañan a este tipo de tecnología.
El mensaje del regulador es claro: incorporar inteligencia artificial a la selección de personal no elimina las responsabilidades de la empresa. La protección de datos debe contemplarse desde el diseño del proyecto y la supervisión humana debe ser real, no una formalidad para justificar decisiones tomadas automáticamente.
La inteligencia artificial ya influye en quién accede a un empleo
Las herramientas de selección automatizada permiten procesar grandes cantidades de información en poco tiempo. Pueden identificar competencias, comparar la experiencia profesional con los requisitos de una oferta y ayudar a los departamentos de recursos humanos a organizar candidaturas.
Sin embargo, cuando el sistema asigna puntuaciones o establece un orden de preferencia, sus resultados pueden influir directamente en las posibilidades de una persona de acceder a una entrevista o conseguir un puesto de trabajo.
El problema aparece cuando los criterios utilizados no son transparentes, los datos de partida contienen errores o el algoritmo reproduce patrones discriminatorios. Un candidato podría quedar relegado sin conocer qué elemento de su currículo ha provocado esa clasificación.
Además, una puntuación aparentemente objetiva no garantiza que la evaluación sea justa. La herramienta puede estar condicionada por los datos con los que se ha desarrollado, las variables que utiliza o los criterios elegidos por la empresa.
Por eso, la AEPD insiste en que las organizaciones deben evaluar los riesgos antes de poner en marcha estas soluciones y establecer garantías adecuadas para las personas cuyos datos se procesan.
La privacidad debe protegerse desde el diseño
Uno de los principios fundamentales que recuerda la Agencia es la protección de datos desde el diseño y por defecto. Esto significa que las garantías de privacidad deben incorporarse desde las primeras fases del proyecto tecnológico, en lugar de añadirse cuando el sistema ya está funcionando.
El principio está recogido en el artículo 25 del Reglamento General de Protección de Datos (RGPD). En la práctica, obliga a analizar qué información necesita realmente el sistema, quién tendrá acceso a ella, cuánto tiempo se conservará y qué medidas evitarán usos indebidos.
En un proceso de selección, el tratamiento puede incluir datos personales, experiencia laboral, formación, historial profesional y otra información aportada por los candidatos. La empresa debe determinar qué datos son pertinentes para la finalidad prevista y evitar recopilar o utilizar información innecesaria.
La protección debe abarcar también los proveedores externos. Si una compañía contrata una plataforma de inteligencia artificial, no puede dar por hecho que la responsabilidad desaparece porque el software haya sido desarrollado por un tercero.
Antes de implantarlo, debe conocer sus funciones, revisar las condiciones del servicio, definir las responsabilidades de cada parte y comprobar que el tratamiento de datos cumple la normativa aplicable.
Cuándo es obligatoria una evaluación de impacto
La AEPD recuerda que las empresas deben valorar los riesgos que el tratamiento de datos puede generar para los derechos y libertades de los candidatos.
Cuando el tratamiento pueda entrañar un alto riesgo para los derechos de las personas, el artículo 35 del RGPD exige realizar una evaluación de impacto relativa a la protección de datos, conocida como EIPD.
Este análisis preventivo permite identificar posibles problemas antes de que se materialicen. Entre las cuestiones que una empresa debería examinar figuran:
- Los datos utilizados: qué información personal procesa el sistema y si resulta necesaria para evaluar la candidatura.
- Los criterios de puntuación: qué factores influyen en la clasificación y si pueden producir resultados injustificados.
- Los posibles sesgos: si determinados grupos pueden quedar perjudicados por los datos o las reglas utilizadas.
- La seguridad: cómo se protege la información frente a accesos no autorizados, pérdidas o usos incompatibles con la finalidad original.
- Las garantías para los candidatos: qué mecanismos permiten solicitar información, corregir errores o cuestionar una evaluación.
La evaluación de impacto no es un simple trámite documental. Debe servir para detectar riesgos concretos y definir medidas que los reduzcan. Si persiste un riesgo alto que no puede mitigarse suficientemente, el RGPD contempla la consulta previa a la autoridad de protección de datos en los supuestos previstos por la normativa.
Los candidatos deben saber cómo se utiliza la IA
La transparencia es otro de los pilares de la advertencia. Las personas que participan en un proceso de selección deben recibir información comprensible sobre el tratamiento de sus datos personales.
No basta con indicar de manera genérica que una empresa utiliza tecnología avanzada. La información facilitada debe permitir entender qué datos se recogen, con qué finalidad se procesan y qué papel desempeña el sistema automatizado en la evaluación.
Cuando corresponda, también deberán explicarse los aspectos relevantes de la lógica utilizada y las consecuencias previstas del tratamiento, conforme a las obligaciones de información del RGPD.
Esta transparencia resulta especialmente importante si el sistema filtra candidaturas antes de que un profesional de recursos humanos las revise. Si una persona queda excluida en una fase inicial, debe poder conocer las condiciones aplicables al tratamiento de sus datos y ejercer los derechos que le reconoce la legislación.
La empresa también debe evitar que la información sobre el uso de la herramienta quede escondida en textos extensos o formulaciones técnicas difíciles de comprender.
La decisión final no puede ser una firma automática
Uno de los aspectos más importantes de la advertencia afecta a la supervisión humana. La empresa señalada alegó que la decisión definitiva sobre las contrataciones seguiría correspondiendo a un profesional.
Sin embargo, la presencia de una persona al final del proceso no garantiza por sí sola una supervisión efectiva. Si el responsable se limita a aceptar la puntuación de la máquina sin examinarla críticamente, la intervención humana puede convertirse en una mera formalidad.
Una supervisión real exige que el profesional tenga capacidad y tiempo para revisar los resultados, detectar errores, valorar las circunstancias particulares de cada candidatura y apartarse de la recomendación automatizada cuando existan motivos para hacerlo.
También debe disponer de información suficiente para comprender las limitaciones de la herramienta y cuestionar sus conclusiones. No tendría sentido exigir una revisión independiente si el responsable desconoce cómo interpretar los resultados o carece de autoridad para modificarlos.
La tecnología puede ayudar a ordenar la información y reducir tareas repetitivas. Pero la empresa sigue siendo responsable de organizar el procedimiento de selección de acuerdo con la legislación aplicable.
Qué dice el Reglamento General de Protección de Datos
El artículo 22 del Reglamento (UE) 2016/679, conocido como RGPD, reconoce el derecho de las personas a no ser objeto de determinadas decisiones basadas únicamente en un tratamiento automatizado, incluida la elaboración de perfiles, cuando produzcan efectos jurídicos o les afecten significativamente de modo similar.
El reglamento contempla excepciones bajo condiciones específicas y establece garantías para determinados supuestos, como la posibilidad de obtener intervención humana, expresar el propio punto de vista e impugnar la decisión cuando resulte aplicable.
Esto no significa que cualquier uso de inteligencia artificial en recursos humanos esté prohibido. La clave está en cómo se utiliza, qué efectos tiene sobre las personas y si se cumplen las obligaciones y garantías exigidas por la normativa.
Una herramienta que ayuda a organizar currículos no plantea necesariamente la misma situación que otra que descarta candidatos de manera automática o determina quién puede avanzar en un proceso de contratación.
La empresa debe evaluar el funcionamiento concreto de la solución, su impacto y las condiciones legales aplicables, en lugar de confiar únicamente en las promesas comerciales del proveedor.
El Reglamento europeo de IA considera de alto riesgo determinados sistemas de selección
La protección de datos no es la única norma relevante. El Reglamento europeo de Inteligencia Artificial (Reglamento UE 2024/1689) incluye en su anexo III determinados sistemas destinados a la contratación y selección de personas físicas entre los usos considerados de alto riesgo.
La categoría incluye, en particular, herramientas empleadas para publicar anuncios de empleo dirigidos, analizar y filtrar solicitudes o evaluar candidatos. También contempla sistemas utilizados para determinadas decisiones sobre las condiciones laborales, la promoción, la rescisión de relaciones contractuales o la evaluación de trabajadores.
La clasificación responde a que estos sistemas pueden influir de manera importante en las oportunidades profesionales, los medios de vida y los derechos fundamentales de las personas. También existe el riesgo de perpetuar patrones discriminatorios si los sistemas se diseñan o utilizan de forma inadecuada.
La clasificación jurídica concreta depende de la finalidad y las características del sistema, así como de las disposiciones aplicables. El reglamento contempla determinados supuestos y condiciones para valorar si un sistema incluido en el anexo III debe considerarse de alto riesgo.
Por ello, las empresas que estén estudiando adquirir herramientas de selección automatizada deben comprobar qué obligaciones les corresponden como responsables del despliegue y coordinar el cumplimiento del Reglamento de IA con las exigencias de protección de datos.
Qué deben hacer las empresas antes de implantar estas herramientas
La advertencia de la AEPD ofrece una referencia práctica para las compañías que quieren incorporar inteligencia artificial a sus procesos de selección. Antes de activar una plataforma de este tipo, conviene comprobar al menos cinco aspectos:
- Definir la finalidad. Establecer qué tareas realizará la herramienta y evitar que se utilice para objetivos distintos de los previstos.
- Revisar los datos. Comprobar que la información procesada es pertinente, adecuada y limitada a lo necesario.
- Evaluar los riesgos. Determinar si procede una evaluación de impacto y documentar las medidas para prevenir errores, sesgos y accesos indebidos.
- Informar a los candidatos. Explicar de manera clara el uso de la tecnología y facilitar el ejercicio de los derechos correspondientes.
- Garantizar una revisión humana real. Asegurar que el profesional responsable puede examinar, cuestionar y modificar las recomendaciones del sistema.
También resulta aconsejable formar al personal de recursos humanos, documentar las decisiones relevantes y revisar periódicamente el comportamiento de la herramienta para detectar problemas que no fueran evidentes durante las pruebas iniciales.
La responsabilidad no termina con la compra del software. Un sistema que funciona correctamente en un entorno de prueba puede producir resultados distintos cuando se utiliza con candidaturas reales, por lo que el seguimiento debe mantenerse durante su uso.
La advertencia no equivale a una multa
Conviene distinguir entre una actuación preventiva y una sanción. Según la información publicada por Digital Inside, la AEPD advirtió a una empresa antes de que el sistema entrara en producción y utilizó el caso para recordar las obligaciones aplicables a este tipo de proyectos.
La información consultada no identifica a la compañía afectada. Tampoco presenta esta actuación como una multa firme. Por tanto, no debe describirse como una sanción económica ni como una declaración de que la empresa haya cometido una infracción acreditada.
La intervención anticipada sí pone de relieve que las obligaciones de protección de datos deben abordarse antes del despliegue, especialmente cuando una herramienta puede influir en decisiones relevantes para el futuro laboral de las personas.
La cuestión de fondo no es si las empresas deben renunciar a la innovación, sino cómo pueden utilizarla sin convertir la selección de personal en un procedimiento opaco e imposible de cuestionar.
La eficiencia no puede sustituir a las garantías
La inteligencia artificial puede ahorrar tiempo en los departamentos de recursos humanos y ayudar a gestionar grandes volúmenes de candidaturas. Pero su utilidad depende también de la calidad de los datos, la transparencia de los criterios y la capacidad de las personas para revisar los resultados.
La advertencia de la AEPD recuerda que la automatización no debe diluir la responsabilidad empresarial. Un algoritmo puede recomendar, clasificar o detectar patrones, pero las garantías legales y los derechos de los candidatos siguen siendo esenciales.
La cuestión que deberán resolver las empresas es cómo aprovechar las ventajas de la inteligencia artificial sin permitir que una puntuación opaca determine, de forma injustificada, las oportunidades de una persona para acceder a un empleo.
Chollones
Chollones
Chollones