La incorporación de algoritmos y herramientas de inteligencia artificial en los departamentos de recursos humanos está transformando la forma en que las empresas seleccionan personal, distribuyen tareas, evalúan el rendimiento y toman decisiones sobre la promoción profesional. Sin embargo, la automatización de estos procesos también plantea importantes retos en materia de transparencia, protección de datos y garantías de las personas trabajadoras.
La Agencia Española de Protección de Datos (AEPD) aborda estas cuestiones en su nota «Sistemas algorítmicos en el ámbito laboral. Transparencia y garantías de protección de datos«, publicada el 7 de octubre de 2026. El documento analiza las obligaciones derivadas del Real Decreto 723/2026 y la advertencia AI-00009-2026, relacionada con el uso previsto de una herramienta de inteligencia artificial para evaluar candidaturas y priorizar perfiles profesionales.
El mensaje principal es claro: informar sobre el uso de algoritmos no basta para garantizar su legalidad. Las organizaciones también deben justificar el tratamiento de los datos, evaluar los riesgos, proporcionar información comprensible y asegurar que las decisiones que afectan a las personas cuentan con las garantías exigidas por la normativa.
1. Transparencia algorítmica: una nueva obligación en las relaciones laborales
El Real Decreto 723/2026, de 9 de septiembre, desarrolla el artículo 8.5 del Estatuto de los Trabajadores y transpone parcialmente la Directiva (UE) 2019/1152. Según la nota de la AEPD, esta norma entró en vigor el 5 de octubre de 2026 y refuerza las obligaciones de información sobre las condiciones de trabajo.
En concreto, el artículo 3.2.k establece la obligación de informar por escrito a cada persona trabajadora de la existencia de sistemas algorítmicos o automatizados de toma de decisiones. Cuando estas herramientas intervienen en decisiones sobre las condiciones laborales, la información debe incluir también sus pautas, criterios y reglas de funcionamiento.
Esta obligación adquiere especial relevancia cuando los sistemas automatizados influyen en aspectos como:
- La selección y contratación de personal.
- La asignación de tareas, los horarios y la organización del trabajo.
- La evaluación del rendimiento y la productividad.
- La retribución, la promoción y la movilidad interna.
- La continuidad de la relación laboral o su extinción.
La información debe facilitarse antes del inicio de las nuevas relaciones laborales, en un soporte accesible y que permita conservarla. Además, la empresa debe poder acreditar que la ha entregado o que la persona trabajadora la ha recibido. Si se producen cambios relevantes en el sistema, la información deberá actualizarse en los términos previstos por la norma.
Para las relaciones laborales ya existentes, la nota señala que, cuando la información no esté ya en poder de la persona trabajadora, esta puede solicitarla desde la entrada en vigor de la norma. En ese caso, la empresa dispone de 30 días hábiles desde la recepción de la solicitud.
2. El RGPD sigue siendo aplicable al uso de algoritmos
La obligación de informar sobre los sistemas algorítmicos no sustituye las exigencias del Reglamento General de Protección de Datos (RGPD) ni de la Ley Orgánica 3/2018, de Protección de Datos Personales y garantía de los derechos digitales (LOPDGDD).
Cuando estas herramientas tratan datos personales, la empresa debe identificar una base jurídica válida, definir una finalidad legítima y aplicar los principios de minimización, exactitud, transparencia y limitación de la conservación. También debe establecer medidas de seguridad adecuadas y demostrar que ha adoptado las decisiones necesarias para proteger los derechos de las personas afectadas.
Un aspecto que puede pasar desapercibido es que los datos personales no se limitan a la información que una persona introduce en una plataforma. Las puntuaciones, clasificaciones, perfiles, predicciones e inferencias generadas por un algoritmo también pueden constituir datos personales cuando se refieren a una persona identificada o identificable.
Por ejemplo, una herramienta que asigna una puntuación de idoneidad a una candidatura puede generar información que influya en su acceso al empleo, aunque el resultado no se traduzca automáticamente en una contratación o un rechazo. Por ello, la empresa debe examinar tanto los datos utilizados como los resultados producidos y la influencia real que estos tienen en las decisiones posteriores.
3. La advertencia de la AEPD sobre la inteligencia artificial en selección de personal
La nota analiza la advertencia AI-00009-2026 de la AEPD, relativa a una herramienta de inteligencia artificial cuya implantación se había previsto para analizar currículums, asignar puntuaciones y priorizar candidaturas en procesos de selección y movilidad interna.
La organización implicada había indicado que la decisión definitiva correspondería a una persona, que el sistema no analizaría atributos sensibles y que se realizarían auditorías periódicas. Sin embargo, estos compromisos no bastan por sí solos para acreditar el cumplimiento de la normativa.
La advertencia tiene carácter preventivo: no declara una infracción consumada ni impone una sanción. Su relevancia radica en que recuerda la necesidad de evaluar y gestionar los riesgos antes de poner en marcha un sistema de estas características.
La AEPD destaca varias cuestiones que las organizaciones deben analizar:
- Evaluación de riesgos: identificar los posibles efectos sobre las candidaturas y las personas trabajadoras, incluida la posibilidad de resultados discriminatorios.
- Evaluación de impacto: determinar si el tratamiento puede entrañar un alto riesgo para los derechos y libertades de las personas y, cuando corresponda, realizar una Evaluación de Impacto en Protección de Datos (EIPD) antes de iniciar el tratamiento.
- Protección de datos desde el diseño: incorporar medidas de privacidad y minimización desde la selección y configuración de la herramienta, y no únicamente después de su implantación.
- Seguridad: adoptar medidas técnicas y organizativas proporcionales a los riesgos identificados.
- Transparencia: explicar de forma clara y comprensible qué información se utiliza, cómo influye en el resultado y qué consecuencias puede tener.
4. La supervisión humana debe ser real y efectiva
Uno de los aspectos más relevantes de la nota es la diferencia entre contar formalmente con una persona supervisora y garantizar una intervención humana efectiva. Que una persona confirme o revise el resultado de un algoritmo no significa necesariamente que exista un control suficiente.
Para que la supervisión sea efectiva, la persona responsable de revisar las decisiones debe comprender las limitaciones de la herramienta, disponer de información relevante y contar con tiempo, conocimientos y autoridad para modificar el resultado. También debe poder valorar otros elementos que el sistema no haya tenido en cuenta.
Si las personas revisoras aceptan sistemáticamente las puntuaciones automatizadas sin cuestionarlas, puede existir una dependencia práctica del sistema. La empresa debería analizar estas situaciones y comprobar si la revisión humana está funcionando como una garantía real o si se limita a validar decisiones predeterminadas por la tecnología.
Esta cuestión resulta especialmente importante cuando una puntuación automatizada condiciona de manera determinante la decisión final. El artículo 22 del RGPD establece garantías específicas para las decisiones basadas únicamente en tratamientos automatizados que produzcan efectos jurídicos sobre una persona o le afecten significativamente de modo similar. No todo uso de algoritmos queda automáticamente incluido en este régimen, por lo que es necesario examinar las circunstancias concretas de cada tratamiento.
Cuando resulte aplicable el artículo 22, deberán cumplirse sus condiciones y garantías, incluida la posibilidad de obtener intervención humana, expresar el punto de vista propio e impugnar la decisión, en los términos previstos por la normativa.
5. Cómo puede prepararse una empresa para cumplir con estas obligaciones
La utilización de inteligencia artificial en recursos humanos requiere una revisión coordinada de los procesos laborales, la protección de datos y la gobernanza tecnológica. No es suficiente con solicitar al proveedor una declaración genérica de cumplimiento ni con incorporar una cláusula informativa a la documentación de contratación.
La primera medida consiste en elaborar un inventario de las herramientas que intervienen en las decisiones sobre candidaturas, rendimiento, jornada, tareas, retribución, promoción o continuidad laboral. El inventario debe incluir tanto los sistemas adquiridos directamente como los servicios de terceros utilizados por la organización.
A partir de ahí, conviene documentar el funcionamiento de cada tratamiento: qué datos utiliza, de dónde proceden, qué inferencias genera, qué criterios influyen en el resultado, quién recibe la información, durante cuánto tiempo se conserva y qué papel desempeña la supervisión humana.
También es necesario comprobar la base jurídica aplicable, valorar la necesidad de una EIPD y analizar si las características del sistema exigen revisar otras obligaciones normativas, incluido el Reglamento europeo de Inteligencia Artificial. La evaluación debe realizarse de acuerdo con la finalidad, el contexto y los riesgos reales de cada herramienta.
La transparencia debe adaptarse a sus destinatarios. La información dirigida a las personas trabajadoras, las candidaturas y la representación legal no tiene por qué ser idéntica, ya que responde a obligaciones y derechos diferentes. Las explicaciones deben permitir comprender los principales factores que influyen en una decisión sin limitarse a descripciones técnicas genéricas.
Por último, las empresas deberían conservar evidencias de las comunicaciones realizadas, las evaluaciones efectuadas, las pruebas de funcionamiento, las auditorías y las medidas correctoras adoptadas. Estas evidencias permiten demostrar que el cumplimiento no se ha abordado como una actuación puntual, sino como un proceso continuo de control y mejora.
Protección de datos: cómo abordar el cumplimiento de forma preventiva
La implantación de herramientas algorítmicas en el entorno laboral exige integrar la protección de datos desde las primeras fases del proyecto. Una revisión preventiva ayuda a detectar riesgos antes de que afecten a las personas, identificar las obligaciones aplicables y establecer procedimientos adecuados de información, supervisión y documentación.
En FORLOPD ayudamos a las organizaciones a revisar sus tratamientos de datos personales, evaluar los riesgos y adaptar sus procedimientos a las exigencias del RGPD y la LOPDGDD.
Consulta nuestro servicio de protección de datos y revisa las obligaciones de tu empresa.
6. Una gestión responsable de la inteligencia artificial en el trabajo
La transparencia algorítmica no debe entenderse únicamente como una obligación documental. Es una condición necesaria para que las personas conozcan cómo intervienen los sistemas automatizados en decisiones que pueden afectar a su trayectoria profesional y para que las organizaciones puedan justificar el uso de estas herramientas.
La nota de la AEPD pone de manifiesto que la información laboral, el cumplimiento del RGPD y la supervisión efectiva deben abordarse de manera coordinada. Comunicar la existencia de un algoritmo no legitima por sí solo el tratamiento, del mismo modo que la intervención formal de una persona no garantiza que exista una revisión independiente.
Las empresas que utilizan o prevén utilizar inteligencia artificial en sus procesos de recursos humanos deberían revisar sus herramientas, documentar los tratamientos, evaluar los riesgos y establecer mecanismos verificables de control. Una gestión preventiva permite reducir la exposición jurídica y reforzar la confianza de las personas trabajadoras y candidatas.
Si tu organización necesita revisar sus obligaciones de protección de datos o valorar los riesgos asociados al uso de sistemas automatizados, contacta con nosotros para estudiar las necesidades de tu empresa.
