La Agencia Española de Protección de Datos ha emitido una advertencia sobre la implementación de herramientas de inteligencia artificial en los procesos de selección de personal. Este aviso subraya la necesidad de cumplir con las garantías legales establecidas para el tratamiento de datos personales, especialmente en lo que respecta a la evaluación de currículums y la puntuación de candidaturas, que pueden influir en el acceso al empleo y en la promoción profesional.

La IA en los procesos de selección exige garantías

La AEPD ha notificado a una empresa que está considerando la adopción de un sistema de IA para analizar currículums y asignar puntuaciones a los candidatos en procesos de selección y movilidad interna. Esta comunicación, realizada el 23 de septiembre de 2026, tiene un carácter preventivo y busca asegurar que el tratamiento de datos personales se ajuste a las exigencias del Reglamento General de Protección de Datos (RGPD).

El sistema propuesto permitiría evaluar la idoneidad de los candidatos para ciertos puestos y, en su caso, establecer prioridades entre ellos. Aunque la herramienta aún no ha sido implementada, la empresa ya ha informado a su personal sobre su futura utilización.

La AEPD reconoce que estas tecnologías pueden contribuir a mejorar la eficiencia y la calidad de los procesos de selección. Sin embargo, enfatiza que su uso debe incorporar las garantías de protección de datos desde las etapas iniciales del proyecto, particularmente cuando los resultados pueden impactar decisiones significativas en la vida profesional de los individuos.

Protección de datos desde el diseño

Un aspecto fundamental de la advertencia es la obligación de integrar la protección de datos desde el diseño y por defecto. Este principio exige que se consideren las garantías jurídicas desde la concepción del sistema, en lugar de añadirlas únicamente una vez que la herramienta está desarrollada o en funcionamiento.

Por lo tanto, la empresa deberá implementar medidas técnicas y organizativas adecuadas a las características del tratamiento y evaluar los riesgos que el análisis automatizado de candidaturas puede generar para los trabajadores y aspirantes.

Además, si el tratamiento implica un alto riesgo para los derechos y libertades de las personas, será necesario llevar a cabo una evaluación de impacto en protección de datos antes de iniciar el tratamiento. Este análisis permite identificar los riesgos relevantes y establecer las medidas necesarias para mitigarlos.

Transparencia y supervisión humana efectiva

La AEPD también destaca la importancia de la transparencia. Los candidatos y trabajadores deben recibir información clara, accesible y comprensible sobre el tratamiento de sus datos personales y sobre el papel que desempeña la inteligencia artificial en la evaluación de sus perfiles.

La intervención humana es otra garantía esencial. La empresa ha indicado que la decisión final recaerá en una persona. Sin embargo, la AEPD aclara que esta participación debe ser efectiva: la persona que toma la decisión debe poder examinar críticamente la puntuación y la información generadas por el sistema, evaluar su relevancia y decidir de manera autónoma.

Por lo tanto, la supervisión no debe limitarse a confirmar automáticamente el resultado de la herramienta. La intervención humana debe permitir una evaluación real de cada candidatura y evitar que la puntuación algorítmica se convierta en el factor determinante de la decisión.

El RGPD limita las decisiones automatizadas

El artículo 22 del RGPD establece el derecho de las personas a no ser objeto de decisiones basadas únicamente en un tratamiento automatizado, incluida la elaboración de perfiles, cuando estas decisiones produzcan efectos jurídicos sobre ellas o las afecten de manera significativa.

La aplicación de esta garantía al sistema propuesto dependerá de su funcionamiento concreto y del grado de intervención humana. No es suficiente que una persona figure formalmente como responsable de la decisión; es necesario analizar si realmente ejerce una supervisión o si se limita a aceptar el resultado generado por la inteligencia artificial.

El régimen contempla excepciones en ciertos casos, sujetos a las condiciones y garantías establecidas en el propio Reglamento. Por lo tanto, la evaluación jurídica deberá considerar las características efectivas del tratamiento y sus consecuencias para las personas afectadas.

Una advertencia preventiva, no una sanción

La actuación de la AEPD se basa en el artículo 58.2.a) del RGPD, que otorga a las autoridades de control la facultad de advertir a un responsable o encargado cuando las operaciones de tratamiento previstas puedan infringir el Reglamento.

Esta medida no implica que la empresa haya cometido una infracción. Su objetivo es preventivo, permitiendo señalar los riesgos jurídicos asociados a la implementación de la herramienta de IA en los procesos de selección.