Las empresas que utilizan inteligencia artificial para filtrar currículums y evaluar candidatos tienen que controlar cómo intervienen estos sistemas en sus procesos de selección. La Agencia Española de Protección de Datos (AEPD) ha advertido a una compañía que preparaba una herramienta capaz de analizar CV, asignar puntuaciones y priorizar candidaturas, unos resultados que podían influir directamente en el acceso a un puesto de trabajo o en las posibilidades de promoción dentro de la propia empresa.
La herramienta todavía no se había puesto en funcionamiento, aunque la compañía ya había informado a su plantilla de que tenía previsto implantarla. La actuación de la AEPD se produjo, por tanto, antes de que comenzara a utilizarse y sirve para marcar los límites que deben tener en cuenta otras empresas que quieran incorporar sistemas similares. Usar IA para ayudar a seleccionar trabajadores no está prohibido, pero la empresa debe comprobar antes de ponerla en marcha cómo utilizará los datos de los candidatos y qué riesgos puede tener para ellos.
La empresa debe explicar qué papel tiene la IA al evaluar al candidato
Entre las obligaciones señaladas por la Agencia está la necesidad de analizar los riesgos que el tratamiento de los datos puede generar para candidatos y trabajadores, además de adoptar las medidas técnicas y organizativas adecuadas. Cuando ese tratamiento pueda generar un alto riesgo para sus derechos y libertades, la empresa deberá realizar previamente una evaluación de impacto en protección de datos.
La advertencia publicada por la AEPD sobre el uso de inteligencia artificial para analizar currículums presta también atención a la información que reciben las personas evaluadas. Si el sistema analiza una candidatura y asigna una puntuación sobre su adecuación a un puesto, el candidato debe recibir información clara, accesible y comprensible sobre el tratamiento de sus datos personales y sobre la función que desempeña la herramienta dentro del proceso.
Estas garantías no se limitan a las personas que buscan entrar en una compañía, ya que el sistema analizado también podía utilizarse en procesos de movilidad interna. Una puntuación generada mediante IA podría influir de esta forma tanto en una contratación como en las posibilidades de un trabajador de acceder a otro puesto o promocionar dentro de la empresa.
La compañía comunicó a la AEPD que la decisión final quedaría en manos de una persona, pero la intervención humana tiene que ir más allá de aparecer al final del proceso. Quien adopte la decisión debe poder valorar de forma crítica la puntuación generada por la IA y tomar su propia decisión, sin asumir automáticamente el resultado que proporciona la herramienta.
Este punto está relacionado con las garantías recogidas en el Reglamento General de Protección de Datos frente a determinadas decisiones basadas únicamente en tratamientos automatizados que produzcan efectos jurídicos o afecten de forma significativa a una persona. En un proceso de selección, su aplicación dependerá de cómo funcione realmente el sistema y del grado de intervención que tenga la persona encargada de decidir.
La AEPD puede intervenir antes de que la IA empiece a utilizarse
La actuación de Protección de Datos muestra además que una empresa puede recibir una advertencia aunque todavía no haya comenzado a utilizar la herramienta. El RGPD permite a la Agencia actuar de manera preventiva cuando las operaciones de tratamiento previstas puedan incumplir la normativa, lo que permite a la compañía revisar el funcionamiento del sistema y adaptar el tratamiento de los datos antes de ponerlo en marcha.
Para las empresas que estén incorporando inteligencia artificial a sus departamentos de Recursos Humanos, esto implica que las garantías deben estudiarse antes de utilizar el algoritmo con candidatos o trabajadores. La protección de datos debe integrarse desde la configuración inicial del proyecto, teniendo en cuenta qué información analiza el sistema, cómo obtiene sus resultados y qué peso tendrán estos en la decisión que finalmente adopte la empresa.
El aviso de la AEPD coincide además con un cambio en las obligaciones laborales relacionadas con el uso de algoritmos. El Real Decreto 723/2026 entra en vigor el 5 de octubre de 2026 y obligará a las empresas a informar sobre determinados sistemas automatizados que intervengan en decisiones que afectan a sus trabajadores.
Entre las nuevas obligaciones que tendrán las empresas a partir de octubre está informar sobre la existencia de estos sistemas y sobre sus pautas, criterios y reglas de funcionamiento cuando se utilicen para tomar decisiones relacionadas con la jornada, la asignación de tareas, los salarios, la progresión profesional, el lugar de trabajo o la extinción del contrato.
La advertencia de la AEPD marca así el escenario para las compañías que quieran utilizar estas herramientas en sus procesos de selección. La IA puede analizar currículums y servir de apoyo para evaluar candidaturas, pero la empresa debe informar sobre su función, analizar los riesgos y garantizar una intervención humana efectiva, de manera que la puntuación obtenida no termine convirtiéndose por sí sola en la decisión sobre quién consigue el empleo o quién queda fuera del proceso.