La AEPD exige una supervisión humana real en algoritmos de recursos humanos
La Agencia ejerce sus facultades preventivas sobre un sistema de selección y movilidad interna con IA
(Imagen: E&J)
La AEPD exige una supervisión humana real en algoritmos de recursos humanos
La Agencia ejerce sus facultades preventivas sobre un sistema de selección y movilidad interna con IA
(Imagen: E&J)
La Agencia Española de Protección de Datos (AEPD) se pronuncia sobre los sistemas algorítmicos en ámbito laboral y la transparencia y garantías de protección de datos, tras la entrada en vigor del Real Decreto 723/2026, de 9 de septiembre, que desarrolla el artículo 8.5 del Estatuto de los Trabajadores (ET) y transpone de manera parcial la Directiva (UE) 2019/1152.
El citado Real Decreto establece nuevas obligaciones en relación con sistemas automatizados de decisión, entre ellos, instaura el deber empresarial de comunicar por escrito a la plantilla las pautas y criterios de las herramientas automatizadas que incidan en sus condiciones de trabajo, confirmando que las nuevas obligaciones laborales de información individual y colectiva operan conjuntamente con las garantías estrictas del Reglamento General de Protección de Datos.
En la información publicada, —que es una advertencia—, la AEPD delimita las exigencias jurídicas y técnicas previas a la puesta en marcha de sistemas basados en inteligencia artificial dentro de los departamentos de recursos humanos. La decisión, adoptada al amparo del artículo 58.2.a del Reglamento General de Protección de Datos a través del expediente AI-00009-2026, la Agencia incide en que la intervención humana en procesos automatizados de valoración de perfiles laborales debe gozar de capacidad crítica efectiva y no limitarse a validar sin margen de actuación las puntuaciones generadas por una máquina.
(Imagen: E&J)
Suscríbete a nuestra
NEWSLETTER
Una advertencia con base en el principio de responsabilidad proactiva
Las actuaciones de la autoridad administrativa tuvieron su origen a comienzos de 2026, tras recibir información sobre la intención de una mercantil de implementar una herramienta de inteligencia artificial diseñada para cribar y evaluar currículums tanto en procesos de contratación externa como de movilidad interna. El mecanismo proyectado analizaba perfiles curriculares, calculaba una puntuación sobre la adecuación al puesto y ordenaba a los candidatos por orden de preferencia. Aunque la compañía comunicó a la representación legal de los trabajadores que la decisión final la adoptaría una persona física y que el algoritmo prescindía del análisis de atributos especialmente protegidos, la Agencia Española de Protección de Datos considera imprescindible recordar los deberes preventivos de la normativa comunitaria.
La resolución dictada (disponible en el botón ‘descargar resolución’) no sanciona una infracción ya consumada, sino que formula una advertencia formal con base en el principio de responsabilidad proactiva. La AEPD recuerda que cuando un tratamiento de datos presente una alta probabilidad de menoscabar derechos y libertades, resulta preceptivo realizar una previa evaluación de impacto de conformidad con el artículo 35 del RGPD.
Del mismo modo, la mercantil debe implementar medidas de protección desde el diseño y por defecto en la fase de configuración y pruebas del sistema, sin relegar estas salvaguardas a una fase posterior a la implantación.
(Imagen: E&J)
Los límites de la automatización y el alcance del artículo 22 del RGPD
Uno de los ejes fundamentales del criterio de la AEPD reside en la interpretación del artículo 22 del RGPD, que restringe la adopción de decisiones individuales basadas exclusivamente en tratamientos automatizados con efectos jurídicos o significativos. La Agencia subraya que la presencia formal de un operador humano no desactiva por sí sola este régimen protector si la persona carece de tiempo material, competencia, acceso al contexto probatorio o autoridad para disentir de la calificación algorítmica. En concordancia con la doctrina del Tribunal de Justicia de la Unión Europea (TJUE) fijada en resoluciones sobre elaboración de perfiles crediticios, si quien decide asume acríticamente la recomendación de la máquina, concurre materialmente una decisión automatizada.
Asimismo, el criterio administrativo recuerda que las inferencias, puntuaciones, clasificaciones y predicciones elaboradas respecto a un candidato o trabajador ostentan la condición indiscutible de datos personales. Esta naturaleza jurídica exige garantizar los principios de minimización y exactitud, auditando si existen variables sustitutivas o proxies que terminen introduciendo sesgos discriminatorios indirectos. Para que una auditoría sea válida frente a la autoridad, no basta una mención genérica en protocolos internos: debe acreditarse su periodicidad, la versión del modelo analizada, los datos probados, las tasas de error registradas y las medidas correctoras implementadas tras detectar desviaciones.
Coordinación entre deberes de información laboral y protección de datos
Además, la AEPD pone de relieve en la resolución la concurrencia de tres esferas obligacionales distintas pero complementarias ante la utilización de un mismo desarrollo algorítmico. En el ámbito laboral individual, el Real Decreto 723/2026 impone facilitar a cada persona trabajadora información por escrito, clara y trazable sobre las pautas, criterios y reglas de los sistemas automatizados que influyan en su salario, jornada, tareas, traslados o extinción. En las nuevas relaciones de trabajo, dicha entrega debe ser previa al inicio del servicio, mientras que para vínculos contractuales vigentes la información debe suministrarse en el plazo improrrogable de 30 días hábiles tras su solicitud.
En el plano laboral colectivo, subsiste la prerrogativa del comité de empresa y delegados sindicales prevista en el Estatuto de los Trabajadores para ser informados de los parámetros que rigen los algoritmos que impacten en el empleo. Por último, frente a los candidatos que participan en procesos de selección y no llegan a ser contratados, rigen con plenitud los derechos del RGPD sobre la lógica aplicada y las consecuencias del tratamiento.
La AEPD concluye que la transparencia no convalida de forma automática la legalidad de un sistema, sino que constituye el vehículo para exigir que la tecnología respete los derechos fundamentales de las personas.
