La AEPD advierte a una empresa que evalúa implantar IA para analizar currículums: transparencia, evaluación de impacto e intervención humana efectiva

La Agencia Española de Protección de Datos (AEPD) ha remitido una advertencia a una empresa en relación con la posible implantación de una herramienta de inteligencia artificial destinada al cribado y evaluación de candidaturas en procesos de selección de personal y movilidad interna. La nota de la Agencia, de 23 de septiembre de 2026, explica que el sistema se utilizaría para analizar currículums, asignar puntuaciones y, en su caso, priorizar candidaturas, y que podría influir de forma directa en decisiones relativas al acceso al empleo y a la promoción profesional. La herramienta no se habría puesto todavía en funcionamiento, aunque la empresa ya había informado a su personal sobre su próxima implementación.

Qué es una advertencia de la AEPD

La Agencia recuerda la naturaleza jurídica de la medida: la advertencia prevista en el artículo 58.2.a) del Reglamento General de Protección de Datos (RGPD) es una medida preventiva que puede adoptar la autoridad de control cuando considera que unas operaciones de tratamiento previstas pueden infringir el Reglamento. Su adopción no supone la declaración de que la entidad destinataria haya cometido una infracción. El RGPD atribuye a la Agencia la facultad de advertir preventivamente a un responsable o encargado cuando las operaciones de tratamiento previstas pudieran infringir lo dispuesto en el RGPD, de forma que el responsable pueda extraer de ella los criterios apropiados y, en su caso, adaptar a la normativa los tratamientos de datos que tiene previsto realizar.

Protección de datos desde el diseño y por defecto

El mensaje central de la AEPD es que la incorporación de herramientas de IA a los procesos de selección y gestión de personas puede contribuir a mejorar su eficiencia y calidad, pero que para aprovecharlas con garantías la protección de datos debe integrarse desde la configuración inicial del proyecto, compatibilizando la innovación con la protección efectiva de los derechos y libertades de las personas. Este enfoque se concreta, entre otros aspectos, en la protección de datos desde el diseño y por defecto: integrar los principios y garantías de protección de datos desde las fases iniciales de la concepción de un proyecto tecnológico permite identificar y adoptar las medidas adecuadas a sus características y riesgos.

En este sentido, la Agencia señala que la empresa deberá adoptar las medidas técnicas y organizativas apropiadas y evaluar los riesgos que el tratamiento pueda comportar para las personas candidatas y trabajadoras. Y añade una exigencia concreta: si el tratamiento pudiera entrañar un alto riesgo para sus derechos y libertades, deberá realizarse previamente la correspondiente evaluación de impacto en protección de datos.

Transparencia e intervención humana efectiva

La AEPD destaca la importancia de la transparencia cuando una herramienta evalúa candidaturas y proporciona una puntuación sobre su adecuación a un puesto: las personas candidatas y trabajadoras deben recibir información clara, accesible y comprensible sobre el tratamiento de sus datos personales y sobre la función que desempeña la herramienta en el proceso de evaluación.

Sobre la intervención humana, la empresa manifestó que la decisión final correspondería a una persona. La Agencia matiza qué exige esa afirmación: para que la intervención humana sea efectiva, quien adopte la decisión debe poder valorar críticamente la información o puntuación proporcionada por el sistema y tomar su propia decisión, sin limitarse a asumir automáticamente el resultado generado por la herramienta de IA. Una supervisión meramente formal no satisface la garantía.

La nota recuerda, además, que el RGPD establece el derecho de las personas a no ser objeto de decisiones basadas únicamente en un tratamiento automatizado cuando puedan producir efectos jurídicos o afectarles de una forma significativa, y precisa que en este caso su posible aplicación dependerá de cómo funcione realmente la herramienta y del grado de intervención humana en la decisión.

Un sistema que puede influir en el acceso al empleo

La descripción que hace la Agencia del sistema proyectado ilustra por qué este tipo de herramientas concentran la atención supervisora: un sistema destinado a analizar currículums, asignar puntuaciones y priorizar candidaturas no es un simple filtro administrativo, sino una herramienta que «podría influir de forma directa en decisiones relativas al acceso al empleo y a la promoción profesional». Esa potencialidad justifica que las garantías se diseñen antes de la puesta en marcha, no después: la propia nota subraya que la herramienta no se habría puesto todavía en funcionamiento, lo que sitúa la intervención de la Agencia en el momento en que las medidas correctoras son todavía posibles.

El caso tiene además un componente interno: la empresa había informado a su personal sobre la próxima implementación del sistema, lo que muestra que el ámbito de aplicación previsto incluye también la movilidad interna y la promoción profesional de quienes ya forman parte de la plantilla, no solo los procesos de selección externos.

Por qué importa a los departamentos de RRHH y a sus asesores

La advertencia traza el perímetro de lo que la autoridad de control espera antes de activar un sistema de cribado algorítmico: análisis de riesgos previo, evaluación de impacto si concurre alto riesgo, información clara a candidatos y trabajadores, y mecanismos que garanticen que la decisión humana es real y no un reflejo automático de la puntuación del sistema. Para los despachos que asesoran a empresas en procesos de digitalización de recursos humanos, el documento ofrece una lista de comprobación aplicable a cualquier herramienta de IA en selección —y una muestra de que la Agencia está utilizando la advertencia preventiva como instrumento de intervención temprana, antes de que el tratamiento comience.

Las garantías, una por una

Ordenadas, las garantías que la Agencia reclama para este tipo de herramientas forman un esquema aplicable a cualquier proyecto de IA en recursos humanos:

• Evaluación de riesgos previa: adopción de medidas técnicas y organizativas apropiadas y valoración de los riesgos para candidatas y trabajadoras.
• Evaluación de impacto: obligatoria antes de la puesta en marcha si el tratamiento puede entrañar alto riesgo.
• Transparencia reforzada: información clara, accesible y comprensible sobre el tratamiento y sobre la función de la herramienta en la evaluación.
• Intervención humana efectiva: la persona que decide debe poder valorar críticamente el resultado y tomar su propia decisión.
• Derecho frente a decisiones exclusivamente automatizadas: el RGPD reconoce el derecho a no ser objeto de decisiones basadas únicamente en tratamientos automatizados cuando produzcan efectos jurídicos o afecten significativamente.

La advertencia como instrumento de supervisión temprana

El caso muestra el uso práctico de una herramienta poco visible del RGPD: la intervención preventiva de la autoridad de control antes de que el tratamiento comience. Frente al expediente sancionador, que actúa sobre infracciones ya cometidas, la advertencia permite a la Agencia fijar criterio cuando el proyecto está todavía en fase de evaluación, de modo que el responsable pueda «extraer de ella los criterios apropiados y, en su caso, adaptar a la normativa los tratamientos de datos que tiene previsto realizar». Para las organizaciones, la lectura es directa: consultar y documentar las garantías en la fase de diseño no es solo buena práctica, sino la forma de evitar que la primera reacción de la autoridad llegue cuando el sistema ya está funcionando.

Preguntas frecuentes

¿Ha sancionado la AEPD a la empresa?

No. Le ha remitido una advertencia, una medida preventiva del artículo 58.2.a) del RGPD que no supone declarar que la entidad haya cometido una infracción.

¿Qué exige la Agencia sobre la intervención humana?

Que sea efectiva: quien decida debe poder valorar críticamente la puntuación del sistema y tomar su propia decisión, sin asumir automáticamente el resultado.

¿Cuándo hace falta una evaluación de impacto?

Cuando el tratamiento pueda entrañar un alto riesgo para los derechos y libertades de las personas candidatas y trabajadoras, deberá realizarse previamente la evaluación de impacto en protección de datos.

Enlaces relacionados

• El decálogo de la AEPD para asistentes y agentes de IA
• La política de la AEPD sobre IA generativa en despachos
• Reglamento de IA y ómnibus digital: el calendario para despachos
• Convenio marco del Consejo de Europa sobre IA

Fuentes

• AEPD, «La Agencia recuerda las garantías para utilizar IA en el análisis de currículums» (23 de septiembre de 2026): https://www.aepd.es/prensa-y-comunicacion/notas-de-prensa/agencia-recuerda-garantias-para-utilizar-ia-en-analisis-curriculums