Uso de IA para cribar currículums: la AEPD "recuerda" las líneas rojas que las empresas no pueden saltarse
Usar la IA para cribar CVs, en procesos de selección o para evaluar el desempeño es cada vez más habitual en las empresas. Ahora bien, hay unas líneas rojas (laborales y de protección de datos) que las empresas no pueden saltarse.
En la parte de protección de datos, la Agencia Española de Protección de Datos (AEPD), en un comunicado emitido hoy, 23 de septiembre de 2026, ha "recordado" cuáles son esas "líneas rojas", así como la importancia de cumplir principios como el de supervisión humana y el de transparencia.
Advertencia de la AEPD a una empresa; uso de IA para cribar CVs
Según se explica en el comunicado, la AEPD ha remitido una advertencia a una empresa en relación con la posible implantación de una herramienta de inteligencia artificial destinada al cribado y evaluación de candidaturas en procesos de selección de personal y movilidad interna.
El sistema se utilizaría para analizar CVs, asignar puntuaciones y, en su caso, priorizar candidaturas y podría influir de forma directa en decisiones relativas al acceso al empleo y a la promoción profesional.
En el caso concreto planteado, la herramienta no se habría puesto todavía en funcionamiento, aunque la empresa había informado a su personal sobre su próxima implementación.
Aunque la AEPD reconoce que la incorporación de herramientas de IA a los procesos de selección y gestión de personas puede contribuir a mejorar su eficiencia y calidad, esto no exime en ningún caso de cumplir con todas las garantías en materia de protección de datos.
"Recuerda" la entidad que la protección de datos debe integrarse desde la configuración inicial del proyecto, compatibilizando la innovación con la protección efectiva de los derechos y libertades de las personas.
Este enfoque se concreta, entre otros aspectos, en la protección de datos desde el diseño y por defecto. Integrar los principios y garantías de protección de datos desde las fases iniciales de la concepción de un proyecto tecnológico permite identificar y adoptar las medidas adecuadas a sus características y riesgos.
Reglas del uso de la IA en selección de personal o evaluaciones del desempeño
La AEPD señala que:
- La empresa deberá adoptar las medidas técnicas y organizativas apropiadas y evaluar los riesgos que el tratamiento pueda comportar para las personas candidatas y trabajadoras.
- Si el tratamiento pudiera entrañar un alto riesgo para sus derechos y libertades, deberá realizarse previamente la correspondiente evaluación de impacto en protección de datos.
- El principio de transparencia cuando una herramienta evalúa candidaturas y proporciona una puntuación sobre su adecuación a un puesto.
En este sentido, las personas candidatas en un proceso de selección y los trabajadores/as deben recibir información clara, accesible y comprensible sobre el tratamiento de sus datos personales y sobre la función que desempeña la herramienta en el proceso de evaluación. - Principio de supervisión humana. Respecto a la intervención humana en estos procesos, en el caso concreto planteado, la empresa ha manifestado que la decisión final correspondería a una persona.
La AEPD recuerda que, para que esa intervención humana sea efectiva, quien adopte la decisión debe poder valorar críticamente la información o puntuación proporcionada por el sistema y tomar su propia decisión, sin limitarse a asumir automáticamente el resultado generado por la herramienta de IA.
Por otro lado, el RGPD establece el derecho de las personas a no ser objeto de decisiones basadas únicamente en un tratamiento automatizado cuando puedan producir efectos jurídicos o afectarles de una forma significativa. En este caso, su posible aplicación dependerá de cómo funcione realmente la herramienta y el grado de intervención humana en la decisión.
El RGPD atribuye a la Agencia la facultad de advertir preventivamente a un responsable o encargado cuando las operaciones de tratamiento previstas pudieran infringir lo dispuesto en el RGPD, de forma que el responsable pueda extraer de ella los criterios apropiados y, en su caso, adaptar a la normativa los tratamientos de datos que tiene previsto realizar.
Recordatorio de la parte laboral
Al margen de la parte de protección de datos, en el plano laboral recordamos desde Sincro dos obligaciones esenciales:
- El deber de información del art.64.4.d del Estatuto de los Trabajadores (deber de información al comité de empresa / representantes de los trabajadores). De hecho, ya tenemos pronunciamientos (sentencias) sobre su incumplimiento.
- Muy importante a futuro el alcance que va a tener la nueva obligación de información en los contratos laborales sobre el uso de algoritmos a partir del 5 de octubre (entrada en vigor del RD 723/2026.
El RD 723/2026 establece la obligación expresa de informar sobre la existencia de sistemas algorítmicos o automatizados de toma de decisiones.
Esto incluirá las pautas, criterios y reglas de funcionamiento de los citados sistemas cuando se empleen para la toma de decisiones relativas a la determinación, la fijación, variación o modificación de condiciones de trabajo, tales como la duración y distribución de la jornada, la asignación de tareas, la determinación de los salarios, de la progresión profesional, del lugar de trabajo o de la extinción del contrato.
