IA en el trabajo: informar sobre los algoritmos no basta para cumplir la normativa de protección de datos
La Agencia Española de Protección de Datos (AEPD) advierte de que las empresas deben evaluar los riesgos, garantizar la transparencia y asegurar una supervisión humana efectiva antes de implantar sistemas de inteligencia artificial (IA) que intervengan en decisiones laborales.
La utilización de algoritmos e IA en la gestión de personal exige algo más que informar de su existencia y funcionamiento. Las empresas deben poder demostrar que el tratamiento de datos personales es lícito, necesario y proporcionado, que se han evaluado sus riesgos y que existe una supervisión humana real cuando resulte exigible.
Así se desprende del documento de la AEPD, Sistemas algorítmicos en el ámbito laboral. Transparencia y garantías de protección de datos, de 7 de octubre de 2026, que analiza las obligaciones derivadas del Real Decreto 723/2026 y las relaciona con la advertencia AI-00009-2026 de la propia Agencia.
La intervención humana no puede ser meramente formal
La advertencia de la AEPD tiene su origen en la posible implantación de una herramienta de IA destinada a analizar currículums, puntuar candidaturas y establecer prioridades en procesos de selección y movilidad interna.
La empresa había comunicado que las decisiones finales corresponderían a una persona, que no se analizarían atributos sensibles y que el sistema sería sometido a auditorías periódicas.
Sin embargo, estas garantías declaradas no bastan por sí solas para acreditar el cumplimiento del Reglamento General de Protección de Datos (RGPD).
La AEPD recuerda la necesidad de evaluar previamente los riesgos del tratamiento, determinar si procede realizar una evaluación de impacto en protección de datos (EIPD), incorporar medidas de protección desde el diseño y garantizar una información clara y comprensible para las personas afectadas.
Especial importancia adquiere la supervisión humana. La mera intervención formal de una persona no excluye necesariamente la aplicación del artículo 22 del RGPD, relativo a las decisiones individuales automatizadas. Para que esa intervención sea efectiva, quien revise las recomendaciones del sistema debe disponer de información suficiente, capacidad crítica y autoridad real para modificar o rechazar sus resultados.
Por tanto, una decisión aparentemente humana puede seguir siendo, en la práctica, una decisión automatizada cuando la persona responsable se limita a confirmar sistemáticamente las recomendaciones del algoritmo.
Informar sobre los algoritmos no legitima automáticamente su utilización
El documento pone de relieve que las obligaciones laborales de transparencia algorítmica y las exigencias de protección de datos son complementarias, pero tienen contenidos y finalidades diferentes.
La información individual prevista en el Real Decreto 723/2026 (arts. 3.2. k), 6 y 7), el derecho de información de la representación legal de las personas trabajadoras reconocido en el artículo 64.4.d) del Estatuto de los Trabajadores y las obligaciones derivadas del RGPD (arts. 12 a 14, 15 y 22) deben cumplirse de manera diferenciada cuando resulten aplicables.
En consecuencia, comunicar a las personas trabajadoras que se utilizan algoritmos para determinar sus condiciones laborales no convierte automáticamente en lícito el tratamiento de datos personales que realizan esos sistemas.
La responsabilidad empresarial no desaparece cuando la herramienta es externa
El hecho de que un sistema de IA haya sido desarrollado por otra entidad del grupo empresarial o contratado a un proveedor tecnológico no exime a la empresa que decide utilizarlo de determinar y cumplir las obligaciones que le correspondan en materia de protección de datos.
Deberá comprobar, entre otras cuestiones, la licitud y proporcionalidad del tratamiento, las responsabilidades de los intervinientes, las garantías contractuales y las medidas de protección efectivamente implantadas.
Por tanto, la contratación de una herramienta tecnológica no permite trasladar automáticamente al proveedor toda la responsabilidad por su utilización en el ámbito laboral.
La protección alcanza también a los datos generados por los algoritmos y a las personas candidatas
Las garantías del RGPD no se limitan a los datos personales que se introducen en los sistemas. Las puntuaciones, clasificaciones, perfiles, predicciones e inferencias vinculadas a una persona identificada o identificable también pueden constituir datos personales.
Además, la exclusión de atributos sensibles no elimina necesariamente el riesgo de discriminación cuando otras variables permiten inferirlos indirectamente o actúan como indicadores sustitutivos.
Estas garantías resultan aplicables también a quienes participan en procesos de selección, aunque finalmente no lleguen a establecer una relación laboral.
De este modo, deben diferenciarse los derechos de información propios de las personas trabajadoras de los que corresponden a cualquier persona candidata cuyos datos sean tratados mediante estas herramientas.
¿Qué deben revisar las empresas antes de implantar estos sistemas?
El documento de la AEPD identifica varias actuaciones relevantes para garantizar el cumplimiento normativo:
- Identificar y documentar los sistemas algorítmicos que intervienen en decisiones sobre candidaturas, jornada, tareas, rendimiento, retribución, promoción, movilidad, lugar de trabajo o extinción, incluidos servicios de terceros.
- Evaluar los riesgos para los derechos de las personas afectadas y determinar si resulta necesaria una EIPD.
- Garantizar una información comprensible, que permita conocer los factores relevantes que influyen en las decisiones automatizadas.
- Establecer una supervisión humana efectiva, con capacidad real para revisar y modificar los resultados.
- Verificar las garantías de los proveedores tecnológicos y delimitar las responsabilidades de las entidades que intervienen en el tratamiento.
- Conservar evidencias del cumplimiento, incluidas las evaluaciones, auditorías, incidencias, modificaciones del sistema y medidas correctoras.
La advertencia AI-00009-2026 tiene carácter preventivo: no declara una infracción consumada ni impone una sanción. Su relevancia reside en recordar las garantías que deben examinarse antes de poner en funcionamiento estas herramientas.
En definitiva, la transparencia es necesaria, pero no suficiente. Las empresas que incorporen IA a la gestión de personal deben garantizar que su utilización respeta los derechos de las personas afectadas y poder demostrarlo conforme al principio de responsabilidad proactiva del RGPD.