IA en selección de personal: currículums, alto riesgo y controles

Respuesta directa: seis preguntas antes de usar IA en recursos humanos

No clasifiques la herramienta por su marca ni por la etiqueta comercial del proveedor. Describe primero la tarea exacta, el dato que recibe, la salida que produce y la decisión en la que interviene. Si la respuesta afecta al acceso al empleo o a las condiciones de una persona, detén la implantación ordinaria y revisa el caso de forma específica.

• ¿La IA redacta o coordina, o analiza, filtra, puntúa o recomienda?
• ¿Su salida cambia quién ve una oferta, quién avanza o qué decisión toma la empresa?
• ¿Utiliza currículums, entrevistas, pruebas, voz, imagen, conducta o datos de rendimiento?
• ¿El proveedor documenta la finalidad prevista, la clasificación y las instrucciones de uso?
• ¿La persona revisora puede entender, corregir y detener el resultado antes de actuar?
• ¿Se han revisado protección de datos, información a las personas y evidencias necesarias?

La advertencia de la AEPD sobre cribado de currículums: qué demuestra

La AEPD publicó el 23 de septiembre de 2026 una advertencia preventiva relativa a una herramienta prevista para analizar currículums, puntuar el encaje y priorizar candidaturas. No es una sanción ni declara ilegal toda IA de selección: la propia resolución explica que el RGPD no impide estas tecnologías, pero exige garantías ajustadas a sus características y riesgos.

La Agencia destaca cuatro comprobaciones antes de la puesta en funcionamiento: protección de datos desde el diseño y por defecto, evaluación de los riesgos —y evaluación de impacto cuando pueda existir alto riesgo—, información clara a candidatos y trabajadores, y análisis del artículo 22 del RGPD según el funcionamiento real del proceso.

Decir que la decisión final es humana no basta por sí solo. La intervención debe ser efectiva: la persona revisora ha de valorar críticamente la puntuación, poder apartarse de ella y decidir sin quedar determinada de hecho por el resultado automatizado.

Fuente oficial: AEPD · advertencia AI-00009-2026, publicada el 23 de septiembre de 2026

Qué usos de empleo aparecen en el anexo III

El anexo III del Reglamento de IA incluye los sistemas destinados a reclutar o seleccionar personas, especialmente cuando colocan anuncios de empleo dirigidos, analizan y filtran solicitudes o evalúan candidatos. También incluye usos que influyen en condiciones laborales, promoción o terminación de la relación, asignan tareas basándose en conducta o rasgos personales, o monitorizan y evalúan rendimiento y comportamiento.

La categoría describe finalidades concretas. Una aplicación de IA de propósito general no queda clasificada igual en todas sus funciones: importa para qué se configura y cómo se integra en el proceso de la empresa.

Fuente oficial: AI Act Service Desk · anexo III, empleo y selección

Cuatro ejemplos para separar apoyo, influencia y prohibición

La excepción de tarea estrecha no es un atajo

El artículo 6 prevé que ciertos sistemas incluidos en áreas del anexo III no sean de alto riesgo si no plantean un riesgo significativo ni influyen materialmente en la decisión, por ejemplo porque realizan una tarea procedimental estrecha, mejoran una actividad humana ya terminada o preparan una evaluación. Si el sistema perfila personas, esa exclusión no opera.

La empresa compradora no debería convertir esta excepción en una autoetiqueta. Conviene pedir al proveedor la finalidad prevista, su evaluación documentada cuando sostenga que el sistema no es de alto riesgo, las instrucciones y los límites. Después hay que comprobar que la configuración y el uso real de la empresa no amplían esa finalidad.

Fuente oficial: AI Act Service Desk · artículo 6 y reglas de clasificación

Qué revisar antes de probar la herramienta con candidatos reales

• Finalidad y proceso: dibujar cada paso desde la oferta hasta la decisión final.
• Proveedor: documentación, versión, instrucciones, clasificación, cambios y canal de incidencias.
• Datos: origen, exactitud, categorías tratadas, conservación, transferencias y acceso.
• Criterios: variables utilizadas, exclusiones, ponderaciones y señales que puedan actuar como sustitutos discriminatorios.
• Supervisión: responsable competente, información disponible, tiempo, autoridad y regla de parada.
• Prueba: conjunto controlado, casos límite, falsos positivos, falsos negativos y comparación con el proceso previo.
• Personas: información aplicable a candidatos, trabajadores y representación laboral.
• Impacto: decidir antes del tratamiento si los riesgos exigen una evaluación de impacto en protección de datos.
• Evidencia: decisión de uso, configuración, formación, registros, incidencias y revisión periódica.

La revisión humana debe poder cambiar el resultado

Pedir a una persona que pulse «aprobar» después de recibir una puntuación no demuestra una supervisión efectiva. El revisor necesita comprender la finalidad y los límites, acceder a la información relevante, detectar dependencia automática y poder ignorar, corregir o detener la salida.

Para sistemas de alto riesgo, el artículo 26 asigna al usuario empresarial obligaciones específicas como seguir las instrucciones, designar supervisión competente, controlar el funcionamiento y conservar determinados registros cuando estén bajo su control. También contempla información a trabajadores y representantes antes de usar un sistema de alto riesgo en el lugar de trabajo.

Fuente oficial: AI Act Service Desk · artículo 26, obligaciones de los responsables del despliegue

Protección de datos: el AI Act no sustituye al RGPD

Los currículums, evaluaciones, grabaciones y datos de rendimiento son datos personales. La empresa debe determinar finalidad, base jurídica, minimización, plazo, destinatarios y medidas de seguridad, además de valorar si procede una evaluación de impacto. No debe alimentar una herramienta con datos reales solo porque el proveedor ofrezca una prueba gratuita.

Si la decisión se basa únicamente en un tratamiento automatizado y produce efectos jurídicos o afecta significativamente de forma similar, el artículo 22 del RGPD exige un análisis específico. Introducir una firma humana simbólica no evita ese examen: hay que documentar qué información revisa la persona, qué autoridad tiene y ejemplos en los que corrigió o descartó la puntuación.

Fuente oficial: EUR-Lex · Reglamento General de Protección de Datos, artículos 22 y 35

Tres casos empresariales y la decisión prudente

Señales para detener la compra o el piloto

• El proveedor no explica la finalidad prevista ni entrega instrucciones utilizables.
• La herramienta promete medir personalidad, honestidad, emoción o potencial sin aclarar método y límites.
• No puede saberse qué versión o configuración produjo una recomendación.
• El equipo no puede corregir el resultado o desconoce cómo desactivar la automatización.
• La prueba exige currículums, vídeos o evaluaciones reales antes de revisar el tratamiento de datos.
• La empresa pretende justificar la decisión únicamente con la puntuación del sistema.

Qué puede resolver IA Segura 72 y qué queda fuera

Mapa 72 puede localizar herramientas y casos de uso, describir la finalidad, ordenar datos y responsables y separar los usos ordinarios de los que requieren una revisión especializada. Control 72 puede implantar reglas, permisos, formación, revisión humana y evidencias para usos ordinarios dentro de su alcance confirmado.

Los planes estándar no incluyen una evaluación de conformidad, una evaluación de impacto completa, asesoramiento laboral o jurídico, auditoría algorítmica, certificación ni la implantación de un sistema de alto riesgo. Si aparece uno de esos supuestos, se delimita la cuestión y se propone el especialista necesario antes de continuar.