La IA en la selección de personal exige garantías de protección de datos
La AEPD alerta sobre la IA en los currículums
La Agencia Española de Protección de Datos recuerda que las empresas deben garantizar la transparencia, evaluar los riesgos y mantener una intervención humana efectiva cuando utilizan inteligencia artificial para valorar candidaturas laborales.
La inteligencia artificial llega a la selección de personal
La utilización de inteligencia artificial en los procesos de selección de personal deberá respetar las garantías establecidas por la normativa de protección de datos. Así lo recuerda la Agencia Española de Protección de Datos (AEPD) en una advertencia dirigida a una empresa que estudia implantar una herramienta para analizar currículums, asignar puntuaciones y priorizar candidaturas.
La comunicación, publicada el 23 de septiembre de 2026, se refiere a un sistema previsto para procesos de contratación y movilidad interna. Aunque la herramienta todavía no se habría puesto en funcionamiento, la empresa ya había informado a su personal sobre su próxima implantación.
La actuación de la Agencia no cuestiona por sí misma la utilización de estas tecnologías. Reconoce que pueden contribuir a mejorar la eficiencia y la calidad de los procesos de selección, pero insiste en que su desarrollo y aplicación deben respetar los derechos de las personas afectadas.
Evaluar los riesgos antes de implantar el sistema
Una de las principales advertencias se refiere a la necesidad de integrar la protección de datos desde las primeras fases del proyecto. Las empresas deben adoptar medidas técnicas y organizativas adecuadas y valorar las consecuencias que el tratamiento puede tener para las personas candidatas y trabajadoras.
Esta obligación responde al principio de protección de datos desde el diseño y por defecto. Su finalidad es que los riesgos se identifiquen antes de que el sistema comience a utilizarse y que las garantías se incorporen a su configuración.
Además, cuando el tratamiento pueda entrañar un alto riesgo para los derechos y libertades de las personas, será necesario realizar previamente una evaluación de impacto en protección de datos. Esta evaluación permite estudiar los riesgos del proyecto y establecer medidas para reducirlos.
Las personas deben conocer cómo se evalúan sus perfiles
La transparencia constituye otro de los aspectos destacados por la AEPD. Las personas candidatas y trabajadoras deben recibir información clara, accesible y comprensible sobre el uso de sus datos personales y sobre la intervención de la inteligencia artificial en la evaluación.
Esta exigencia cobra especial importancia cuando el sistema asigna puntuaciones que pueden influir en la posibilidad de acceder a un puesto de trabajo o conseguir una promoción profesional.
La Agencia también pone el foco en la supervisión humana. La empresa ha indicado que la decisión definitiva correspondería a una persona, pero esta circunstancia no garantiza por sí sola el cumplimiento de las exigencias legales.
La persona responsable debe poder valorar críticamente la información generada por la herramienta y tomar una decisión propia. Si se limita a aceptar automáticamente la puntuación del sistema, la intervención humana podría no ser efectiva.
El derecho a no depender exclusivamente de decisiones automatizadas
El artículo 22 del Reglamento General de Protección de Datos reconoce el derecho a no ser objeto de determinadas decisiones basadas únicamente en tratamientos automatizados cuando producen efectos jurídicos o afectan significativamente a las personas de manera similar.
En el caso analizado, la aplicación de esta garantía dependerá del funcionamiento real de la herramienta y del papel que desempeñe la persona encargada de decidir. El Reglamento contempla excepciones bajo determinadas condiciones, por lo que será necesario examinar las características concretas del tratamiento.
La cuestión no reside únicamente en si se utiliza inteligencia artificial, sino en cómo se emplea, qué influencia tiene sobre la decisión y qué garantías existen para las personas afectadas.
Una advertencia antes de que empiece el tratamiento
La AEPD ha fundamentado su actuación en el artículo 58.2.a) del RGPD, que permite advertir preventivamente a los responsables o encargados cuando los tratamientos previstos puedan vulnerar el Reglamento.
La advertencia no significa que la empresa haya cometido una infracción. Se trata de una actuación preventiva dirigida a facilitar que el proyecto se adapte a la normativa antes de su puesta en marcha.
El mensaje de la Agencia es claro: las empresas pueden aprovechar las posibilidades de la inteligencia artificial en la gestión de recursos humanos, pero deben hacerlo con garantías. Evaluar los riesgos, informar a las personas afectadas y asegurar una intervención humana real son elementos esenciales para que la tecnología no sustituya, sin controles suficientes, la valoración de las candidaturas.