Hay dos reglamentos europeos que se cruzan en una sola decisión empresarial: el RGPD (2018) y el AI Act (2024). Y la zona donde más se solapan es Recursos Humanos. Cualquier sistema de IA que filtre CVs, asigne puntuaciones a candidatos, monitorice productividad de empleados o gestione promociones automáticamente está sujeto a obligaciones de ambos cuerpos normativos. Y las multas por incumplir cualquiera de los dos son sustanciales.
En RAXAR hemos desarrollado un sistema de cribado de candidaturas pensado para empresas que reciben más currículos de los que pueden revisar a mano. Todavía no lo hemos puesto en servicio con ningún cliente: antes queremos cerrar su evaluación de impacto y una revisión jurídica independiente. Lo que hemos aprendido preparándolo es lo que compartimos aquí.
El Art. 22 del RGPD: la base que muchos olvidan
El artículo 22 del RGPD reconoce el derecho a no ser objeto de una decisión basada únicamente en el tratamiento automatizado, incluida la elaboración de perfiles, que produzca efectos jurídicos en la persona o le afecte significativamente de modo similar; la AEPD lo interpreta como una prohibición general. Excepciones: que la decisión sea necesaria para celebrar o ejecutar un contrato, que la autorice una ley con garantías adecuadas, o que se base en el consentimiento explícito del interesado.
En la práctica, un sistema de cribado solo puede descartar candidatos de forma totalmente automática en supuestos acotados: la AEPD admite, por ejemplo, una primera criba automática en procesos con muchos candidatos para excluir a quien no cumple un requisito esencial, como la titulación exigida, y aun así exige un cauce para que la persona pida intervención humana, exprese su punto de vista e impugne la decisión. Fuera de esos supuestos, hace falta intervención humana significativa. La intervención no puede ser un sello automático: debe ser una persona con capacidad real de revertir la decisión, formada para entender el sistema y empoderada para cambiar el resultado. Si el reclutador "valida" 200 rechazos al día sin mirarlos, no hay intervención humana real.
La Agencia Española de Protección de Datos (AEPD) trata las decisiones automatizadas en la selección y en la evaluación del rendimiento en su guía La protección de datos en las relaciones laborales (actualizada en diciembre de 2025), y ya ha actuado en el ámbito laboral: en 2023 dirigió un apercibimiento a Glovo por no informar a sus repartidores de que su sistema de puntuación tomaba decisiones automatizadas. Las sanciones del RGPD por vulnerar los derechos del interesado pueden alcanzar 20 millones de euros o el 4 % del volumen de negocio total anual global, la cuantía que sea mayor.
El AI Act: RRHH, en la lista de alto riesgo
Los sistemas de IA destinados a la selección de personal (publicar anuncios dirigidos, analizar y filtrar solicitudes, evaluar candidatos) y a decisiones sobre promoción, despido, asignación de tareas en función del comportamiento o de rasgos personales, o supervisión y evaluación del rendimiento figuran en el Anexo III del AI Act como de "alto riesgo". Solo escapan de esa categoría en supuestos tasados (art. 6.3), que no se aplican cuando el sistema elabora perfiles de personas. Esto activa un conjunto extenso de obligaciones —la mayoría para quien desarrolla el sistema (arts. 9 a 15) y otras para la empresa que lo utiliza (art. 26)— que serán aplicables desde el 2 de diciembre de 2027: el Reglamento (UE) 2026/1744 aplazó la fecha original del 2 de agosto de 2026.
Sistema de gestión de riesgos: documentación de los riesgos previsibles del sistema, medidas de mitigación, y plan de monitoreo continuo. Es un documento vivo, no un PDF que se firma una vez.
Gobernanza de datos: los datos con los que se entrena, valida y prueba el sistema deben ser pertinentes, suficientemente representativos y, en la mayor medida posible, sin errores y completos; y hay que examinarlos para detectar posibles sesgos y adoptar medidas para prevenirlos y mitigarlos. En RRHH esto es especialmente delicado: si entrenas con datos históricos de tu empresa, replicarás los sesgos históricos de tu empresa.
Documentación técnica completa: arquitectura del sistema, métricas de precisión, casos de uso previstos, casos de uso prohibidos. Debe estar disponible si AESIA u otra autoridad lo solicita.
Transparencia hacia el candidato: el RGPD ya obliga desde 2018 a informarle de para qué se tratan sus datos y, si hay decisiones únicamente automatizadas, de su existencia y de la lógica aplicada; y el AI Act obligará a la empresa, desde el 2 de diciembre de 2027, a informarle de que está expuesto a un sistema de IA de alto riesgo. Si la decisión es únicamente automatizada al amparo de un contrato o de su consentimiento, además, tiene derecho a pedir intervención humana, a expresar su punto de vista y a impugnarla.
Supervisión humana efectiva: procedimientos para que personas reales puedan entender, supervisar y, en su caso, revertir las decisiones del sistema. No es un botón "rechazar todo": es un proceso documentado.
Cinco errores que conviene evitar
Estos son cinco errores que conviene evitar al implantar IA en RRHH.
Error 1 — "Es solo un filtro automático": decir que el sistema "no toma decisiones, solo ordena candidatos por idoneidad" no lo saca del artículo 22. Si el reclutador solo revisa los 20 primeros de una lista de 200, los 180 restantes han sido descartados de facto por la IA. Eso es decisión automatizada, sin importar el nombre que le pongas.
Error 2 — Entrenar con perfil de "buen empleado": usar como dataset de entrenamiento las características de tus empleados actuales contratados con éxito. Resultado: si tu empresa históricamente ha contratado a perfiles homogéneos (mismo género, mismo origen, mismas universidades), tu IA aprenderá ese patrón y lo replicará. Estás automatizando tu sesgo histórico.
Error 3 — Falta de cláusula informativa al candidato: el formulario de candidatura no explica cómo se tratan sus datos ni, si hay decisiones automatizadas, que existen y qué lógica aplican. No informar de la existencia de decisiones automatizadas es precisamente lo que la AEPD reprochó a Glovo en 2023, en su caso respecto de sus repartidores.
Error 4 — No hay registro de decisiones: no hay log de qué CVs ha procesado el sistema, qué puntuación ha asignado, qué decisión ha tomado el reclutador después. Sin ese log, no puedes responder a una solicitud de acceso del candidato (Art. 15 RGPD), ni demostrar a AESIA que tu sistema funciona como dices.
Error 5 — Métricas de sesgo ausentes: nadie en el equipo mide si el sistema favorece o perjudica sistemáticamente a un grupo. Sin esa medición, no puedes detectar el sesgo y, por tanto, tampoco mitigarlo. El AI Act obligará a quien desarrolla un sistema de alto riesgo, desde el 2 de diciembre de 2027, a examinar los datos en busca de posibles sesgos, a adoptar medidas para detectarlos, prevenirlos y mitigarlos, y a probar el sistema con métricas definidas de antemano; no fija umbrales numéricos de equidad.
El enfoque mínimo viable que recomendamos
Implementar IA en RRHH bien hecho es perfectamente posible y aporta valor real. La clave está en construir desde el principio con los controles correctos. Lo mínimo recomendable: cláusula informativa en el formulario, registro de cada decisión, seguimiento del sesgo del sistema, proceso documentado de revisión humana y una evaluación de impacto en protección de datos que haga el responsable del tratamiento —con el asesoramiento del delegado de protección de datos, si lo tiene— y que se revise cuando cambie el riesgo.
Suena denso. Lo es. Pero todo eso es construible desde el diseño. La regulación no es un obstáculo si la integras desde el inicio. Lo es solo si intentas añadirla después de tener el sistema en producción.