La Agencia Española de Protección de Datos (AEPD) ha advertido a una empresa en relación con la posible implantación de una herramienta de inteligencia artificial (IA) para cribar y evaluar candidaturas en procesos de selección de personal y movilidad interna.
El sistema se utilizaría para analizar currículums, asignar puntuaciones y, en su caso, priorizar candidaturas, pudiendo influir de forma directa en decisiones relativas al acceso al empleo y a la promoción profesional. Aunque la herramienta no había entrado aun en funcionamiento, la compañía sí que había informado a la plantilla de que se implementaría próximamente, tal y como explica la agencia en un comunicado.
Sobre esto, la AEPD señala que la incorporación de herramientas de IA a los procesos de selección y gestión de personas puede contribuir a mejorar su eficiencia y calidad. Ahora bien, la protección de datos debe integrarse desde la configuración inicial del proyecto, “compatibilizando la innovación con la protección efectiva de los derechos y libertades de las personas”.
Debe cumplir con la protección de datos
El enfoque anterior, según la agencia, se concreta entre otros aspectos en la protección de datos “desde el diseño y por defecto”. Integrar los principios y garantías de protección de datos desde las fases iniciales de la concepción de un proyecto tecnológico permite identificar y adoptar las medidas adecuadas a sus características y riesgos.
En este sentido, señala que la empresa deberá adoptar las medidas técnicas y organizativas apropiadas y evaluar los riesgos que el tratamiento pueda comportar para las personas candidatas y trabajadoras. Si el tratamiento pudiera entrañar un alto riesgo para sus derechos y libertades, se debe realizar previamente la correspondiente evaluación de impacto en protección de datos.
La AEPD también destaca la importancia de la transparencia cuando una herramienta evalúa candidaturas y proporciona una puntuación sobre su adecuación a un puesto. En concreto, explica que los candidatos y trabajadores deben recibir “información clara, accesible y comprensible” sobre el tratamiento de sus datos personales y sobre la función que desempeña la herramienta en el proceso de evaluación.
Cumplimiento del RGPD en tratamiento automatizado
En este caso, la empresa ha manifestado que, a pesar de este sistema, la decisión final correspondería a una persona. En relación a esto, la AEPD indica que, para que esa intervención humana sea efectiva, la persona que tome la decisión debe poder valorar “críticamente” la información o puntuación proporcionada por el sistema y tomar su propia decisión, sin limitarse a asumir automáticamente el resultado generado por la herramienta de IA.
En este contexto, recuerdan que el Reglamento General de Protección de Datos (RGDP) establece el derecho de las personas a no ser objeto de decisiones basadas únicamente en un tratamiento automatizado cuando puedan producir efectos jurídicos o afectarles de una forma significativa (concretamente, en su artículo 22). En este caso, su posible aplicación dependerá de cómo funcione realmente la herramienta y el grado de intervención humana en la decisión.
En último lugar, la agencia informa que el RGPD les permite emitir advertencias preventivas a los responsables o encargados antes de realizar tratamientos que puedan infringir la ley. Este mecanismo permite extraer de las mismas los criterios apropiados y, si es necesario, adaptar a la normativa los tratamientos de datos que tiene previsto realizar.
Obligación de informar del uso de algoritmos en el contrato
Cabe recordar que el próximo 5 de octubre entra en vigor el Real Decreto 723/2026 con el que se transpone parcialmente la Directiva (UE) 2019/1152 sobre condiciones laborales transparentes y previsibles en la Unión Europea. Así, las empresas estarán obligadas a informar por escrito de unos elementos mínimos en los contratos.
Uno de estos aspectos es la existencia de sistemas automatizados de decisión que influyan o determinen las condiciones de trabajo, salarios, asignación de tareas, jornadas o promociones. Esto es, los algortimos. En caso de los trabajadores que hubieran empezado antes de la entrada en vigor de este RD, pueden solicitar la información a la empresa y, tras recibir la solicitud, esta tiene un plazo máximo de 30 días hábiles para facilitarla por escrito.
