La AEPD exige garantías para evaluar candidatos con IA
La Agencia Española de Protección de Datos advierte sobre el uso de inteligencia artificial para puntuar currículums y recuerda que las empresas deben evaluar los riesgos, informar a las personas afectadas y garantizar que la supervisión humana sea efectiva.
Una advertencia sobre la IA aplicada al empleo
La Agencia Española de Protección de Datos (AEPD) ha advertido a una empresa que estudia implantar una herramienta de inteligencia artificial para analizar currículums y evaluar candidaturas en procesos de selección de personal y movilidad interna. La actuación, fechada el 23 de septiembre de 2026, pone de relieve las obligaciones que deben observar las organizaciones cuando utilizan tecnologías capaces de influir en decisiones profesionales.
La herramienta permitiría asignar puntuaciones a los perfiles analizados y, en su caso, establecer prioridades entre las candidaturas. Aunque el sistema todavía no se habría puesto en funcionamiento, la empresa ya había informado a su personal sobre su próxima implantación.
La Agencia no cuestiona de forma general el uso de inteligencia artificial en los recursos humanos. Reconoce que estas herramientas pueden mejorar la eficiencia y la calidad de los procesos de selección, pero recuerda que su incorporación debe respetar las garantías previstas en la normativa de protección de datos.
La prevención debe comenzar con el diseño
La AEPD subraya que la protección de datos debe integrarse desde las primeras fases del proyecto. El principio de protección de datos desde el diseño y por defecto exige considerar las garantías necesarias al configurar la herramienta y determinar cómo se utilizarán los datos personales.
En consecuencia, la empresa deberá adoptar medidas técnicas y organizativas apropiadas y evaluar los riesgos que el tratamiento puede generar para las personas candidatas y trabajadoras. Cuando exista la posibilidad de que el tratamiento entrañe un alto riesgo para sus derechos y libertades, deberá realizarse previamente una evaluación de impacto en protección de datos.
Este análisis permite identificar los riesgos asociados al sistema y determinar las medidas necesarias para reducirlos antes de su puesta en funcionamiento. La necesidad de realizarlo dependerá de las características concretas del tratamiento y del nivel de riesgo que presente.
Transparencia sobre los criterios de evaluación
Otro de los aspectos centrales de la advertencia es la información que debe proporcionarse a las personas afectadas. La Agencia recuerda que las candidatas y los trabajadores deben recibir información clara, accesible y comprensible sobre el tratamiento de sus datos y sobre la función que desempeña la inteligencia artificial en el proceso de evaluación.
Esta exigencia resulta especialmente relevante cuando las puntuaciones generadas por una herramienta pueden influir en las oportunidades de acceso a un puesto de trabajo o de promoción profesional.
La transparencia constituye, por tanto, una garantía necesaria para que las personas conozcan la intervención de la tecnología en un procedimiento que puede afectar a su trayectoria laboral.
La supervisión humana no puede ser meramente formal
La empresa ha indicado que la decisión final correspondería a una persona. Sin embargo, la AEPD recuerda que esta intervención debe ser efectiva y permitir una valoración crítica de la información proporcionada por el sistema.
Quien adopte la decisión debe poder examinar la puntuación generada por la herramienta, valorar su pertinencia y decidir de manera autónoma. La mera confirmación automática del resultado no satisface el criterio de intervención humana señalado por la Agencia.
Esta cuestión se relaciona con el artículo 22 del Reglamento General de Protección de Datos (RGPD), que reconoce el derecho a no ser objeto de determinadas decisiones basadas únicamente en tratamientos automatizados cuando produzcan efectos jurídicos o afecten significativamente a las personas de forma similar.
La aplicación de este precepto dependerá del funcionamiento real de la herramienta y del grado de intervención humana. El Reglamento contempla excepciones sujetas a condiciones específicas, por lo que será necesario analizar las circunstancias del tratamiento.
El alcance jurídico de la advertencia
La actuación se fundamenta en el artículo 58.2.a) del RGPD, que faculta a las autoridades de control para advertir a los responsables o encargados cuando las operaciones de tratamiento previstas puedan infringir el Reglamento.
La advertencia no supone que la empresa haya cometido una infracción ni constituye una sanción. Su finalidad es preventiva y busca que la organización pueda adaptar el tratamiento proyectado a las exigencias legales antes de poner en funcionamiento la herramienta.
La intervención de la AEPD recuerda que la digitalización de los procesos de selección debe acompañarse de garantías efectivas. La evaluación de riesgos, la transparencia y la supervisión humana son elementos esenciales para compatibilizar la utilización de inteligencia artificial con la protección de los derechos de las personas candidatas y trabajadoras.
