El uso de inteligencia artificial en la gestión de personas agiliza tareas operativas, pero expone a la empresa a un marco regulatorio estricto donde cualquier tratamiento indebido de datos laborales bajo el RGPD y la LOPDGDD acarrea sanciones de hasta 20 millones de euros o el 4% de la facturación global anual.
Según el Estudio de Reclutamiento 2026 de Bizneo HR, el 36% de las empresas utiliza funcionalidades de IA integradas en sus procesos de RR. HH.
Garantizar la seguridad jurídica exige auditar las herramientas antes de su implantación, delimitando la base legal de cada tratamiento, informando a la representación legal de los trabajadores y asegurando que un profesional humano supervise cualquier decisión que afecte al empleo.
Por qué el RGPD y la LOPDGDD aplican a cualquier IA en Recursos Humanos
Cualquier información vinculada a un candidato o empleado (currículum, registro horario, resultado de evaluación o notas de entrevista) constituye un dato de carácter personal. Al tratarse de personas físicas identificadas o identificables, introducir o procesar estos datos mediante algoritmos entra directamente en el ámbito de aplicación del RGPD y de la LOPDGDD.
La normativa vincula a la empresa tanto si el sistema cuenta con la aprobación de IT como si un empleado utiliza herramientas abiertas por cuenta propia. En ambos casos, la organización mantiene la condición de responsable del tratamiento (artículo 4 del RGPD), ya que es la entidad que determina los fines y medios de la gestión laboral.
La aplicación de la ley no depende de trámites previos ante la Agencia Española de Protección de Datos (AEPD). Sus principios de licitud, limitación de la finalidad y minimización operan desde el primer instante en que una IA recopila, entrena o analiza información sobre una persona trabajadora.
Cuál es la base jurídica adecuada para tratar datos laborales con IA
El artículo 6 del RGPD exige fundamentar cualquier tratamiento con inteligencia artificial en una base jurídica válida y previa a su despliegue. En el entorno de Recursos Humanos, una elección errónea invalida la licitud del algoritmo y expone a la compañía a sanciones de la AEPD.
El interés legítimo y el juicio de ponderación empresarial
El interés legítimo del empleador (artículo 6.1.f del RGPD) permite amparar tratamientos de datos con inteligencia artificial orientados a la optimización operativa, como la detección de anomalías en el registro horario o la preselección de candidaturas mediante filtros técnicos objetivos.
Para que el interés legítimo resulte admisible ante la Agencia Española de Protección de Datos (AEPD), la empresa debe formalizar un juicio de ponderación previo que acredite la idoneidad del algoritmo, la inexistencia de métodos menos intrusivos y la proporcionalidad entre la ventaja empresarial y los derechos de las personas trabajadoras.
La aplicación de algoritmos destinados al perfilado conductual o a la monitorización continuada del empleado anula el interés legítimo como base jurídica, ya que el derecho fundamental a la protección de datos y a la intimidad laboral prevalece sobre la conveniencia organizativa de la compañía.
La ejecución del contrato laboral y sus límites en analítica predictiva
La ejecución del contrato de trabajo (artículo 6.1.b del RGPD) ampara exclusivamente los tratamientos algorítmicos indispensables para cumplir los términos pactados en la relación laboral, como el cálculo automatizado de nóminas, el cómputo del registro horario o la asignación de turnos ordinarios.
La Agencia Española de Protección de Datos (AEPD) interpreta de manera restrictiva la necesidad contractual en el entorno de Recursos Humanos, impidiendo que las empresas justifiquen en el contrato laboral cualquier sistema de IA que realice inferencias, estimaciones o perfilados de la plantilla.
Transparencia algorítmica y derechos de información del Comité de Empresa
Los artículos 13 y 14 del RGPD obligan a la empresa a informar con claridad a candidatos y empleados cuando un sistema de inteligencia artificial interviene en su evaluación, detallando los fines del tratamiento y los criterios generales aplicados en el análisis de sus datos personales.
En el marco laboral español, el artículo 64.4.d del Estatuto de los Trabajadores reconoce el derecho del comité de empresa a ser informado sobre los parámetros, reglas e instrucciones que rigen los algoritmos o sistemas de IA que inciden en las condiciones de trabajo, el acceso y el mantenimiento del empleo.
Omitir este deber de información habilita a la representación laboral a promover demandas de conflicto colectivo ante los juzgados de lo social para paralizar el uso del software, además de exponer a la empresa a sanciones graves por parte de la Inspección de Trabajo y Seguridad Social.
Decisiones automatizadas y la EIPD obligatoria
En la gestión de personas, la frontera entre la automatización unilateral y el uso legítimo de la inteligencia artificial exige salvaguardas operativas concretas y una evaluación técnica previa del impacto sobre los derechos de la plantilla.
Filtrado asistido frente a descarte algorítmico unilateral
El artículo 22 del RGPD permite el uso de inteligencia artificial para organizar, puntuar o clasificar perfiles curriculares según los requisitos objetivos fijados para una vacante. Este matching de candidatos actúa como un soporte técnico de recomendación que ordena las candidaturas para facilitar la revisión del departamento de selección.
El descarte algorítmico unilateral se produce cuando el sistema rechaza y excluye a un candidato del proceso sin ninguna intervención humana intermedia. Esta práctica vulnera la normativa europea al generar un efecto jurídico directo sobre la persona física basado de forma exclusiva en un tratamiento automatizado.
Para operar dentro de la legalidad laboral, las herramientas de IA en selección deben limitarse a tareas de ordenación y soporte, asegurando que la decisión final de mantener o descartar a un postulante dependa siempre del criterio de un evaluador humano.
Requisitos de la AEPD para una supervisión humana efectiva
La Agencia Española de Protección de Datos exige que la intervención humana en decisiones algorítmicas sea real y cualificada, invalidando la mera confirmación formal o rutinaria de los resultados generados por el software de selección o desempeño.
El supervisor humano del sistema de IA debe poseer la competencia técnica necesaria para interpretar las métricas del modelo, así como la potestad operativa real para modificar o revocar la recomendación emitida por el algoritmo.
La empresa debe garantizar canales formales para que las personas trabajadoras o aspirantes puedan impugnar cualquier resolución apoyada en algoritmos, solicitar una revisión humana directa y conocer los criterios determinantes que guiaron la evaluación de su perfil.
Cuándo es obligatorio realizar una Evaluación de Impacto (EIPD)
El artículo 35 del RGPD y las directrices de la Agencia Española de Protección de Datos obligan a formalizar una Evaluación de Impacto en la Protección de Datos (EIPD) antes de aplicar tecnologías que entrañen un alto riesgo para los derechos y libertades de las personas.
En los departamentos de Recursos Humanos, la lista oficial de la AEPD determina que el uso de sistemas de inteligencia artificial para elaborar perfiles sistemáticos de la plantilla, monitorizar el rendimiento o cribar candidaturas masivas exige de forma preceptiva una EIPD previa.
La Evaluación de Impacto debe completarse antes de poner en producción el software, analizando la necesidad del tratamiento, evaluando posibles sesgos algorítmicos y documentando las medidas de mitigación para evitar sanciones de hasta 20 millones de euros.
Homologación de proveedores SaaS y control del «Shadow AI»
El uso no autorizado de herramientas externas de inteligencia artificial por parte de la plantilla, conocido como Shadow AI, multiplica el riesgo de sanciones. Introducir currículums o evaluaciones en aplicaciones públicas expone información corporativa confidencial y vulnera el principio de integridad y confidencialidad exigido por el RGPD.
Para neutralizar los riesgos del Shadow AI, la homologación técnica de proveedores SaaS exige verificar que el software opere en entornos corporativos cerrados. Es imprescindible exigir por contrato que el proveedor tecnológico no reutilice los datos laborales de la compañía para entrenar sus propios modelos algorítmicos.
La norma ISO/IEC 42001 constituye el primer estándar internacional auditable para la gestión de inteligencia artificial. Esta certificación acredita que una organización dispone de un marco estructurado para inventariar algoritmos, evaluar riesgos éticos y garantizar la supervisión humana continua en todos sus desarrollos tecnológicos.
Bizneo HR unifica las certificaciones ISO 42001, ISO 27001 e ISO 9001. Esta triple acreditación garantiza a la dirección de Recursos Humanos que sus módulos con IA cumplen los estándares más exigentes de ciberseguridad, calidad y gobernanza algorítmica responsable.
RGPD frente al Reglamento Europeo de IA (AI Act): dos marcos superpuestos
El Reglamento Europeo de Inteligencia Artificial (AI Act) complementa al RGPD e impone nuevas obligaciones al software laboral. Al catalogar los algoritmos de gestión de personal como sistemas de alto riesgo, la normativa exige controles técnicos y operativos estrictos antes de su implantación corporativa.
Por qué los sistemas de selección y RR. HH. son considerados de alto riesgo
El Anexo III del Reglamento de Inteligencia Artificial califica formalmente como de alto riesgo los sistemas tecnológicos utilizados en el empleo. Esta categoría comprende herramientas orientadas al filtrado de candidaturas, la criba de currículums, la evaluación del desempeño y la adopción de medidas disciplinarias o de asignación de tareas.
La catalogación como alto riesgo obliga a las empresas y proveedores a implantar sistemas continuos de gestión del riesgo algorítmico. Es indispensable documentar la calidad de los datos de entrenamiento, prevenir sesgos discriminatorios y garantizar que todo el ciclo operativo cuente con medidas verificables de supervisión humana.
El deber de alfabetización en IA del equipo de Recursos Humanos
El artículo 4 del Reglamento de Inteligencia Artificial obliga a las empresas a garantizar la alfabetización técnica de la plantilla que utiliza algoritmos. Los profesionales de Recursos Humanos deben contar con la capacitación necesaria para comprender el funcionamiento, los alcances y los riesgos operativos del software de IA.
La formación interna debe enseñar a los gestores de talento a interpretar métricas, detectar sesgos discriminatorios y evaluar los datos que procesa cada herramienta. Esta instrucción técnica evita decisiones automatizadas ciegas y asegura que la supervisión humana exigida por la ley resulte plenamente informada y real.
Comparativa de sanciones máximas: RGPD frente a AI Act
El marco sancionador europeo articula dos normativas complementarias y acumulativas para el uso de software en la empresa. Mientras el RGPD penaliza el tratamiento indebido de datos, el AI Act castiga las deficiencias de gobernanza algorítmica, fijando su exigibilidad plena para sistemas de alto riesgo en Recursos Humanos en diciembre de 2027.
| Criterio | RGPD (Reglamento UE 2016/679) | AI Act (Reglamento UE 2024/1689) |
| Sanción máxima por prácticas prohibidas | Hasta 20 M€ o el 4% de la facturación anual global. | Hasta 35 M€ o el 7% de la facturación anual global. |
| Sanción por sistemas de alto riesgo (RR. HH.) | Hasta 20 M€ o el 4% de la facturación anual global. | Hasta 15 M€ o el 3% de la facturación anual global. |
| Sanción por información falsa u omisión a la autoridad | Hasta 10 M€ o el 2% de la facturación anual global. | Hasta 7,5 M€ o el 1,5% de la facturación anual global. |
| Plena aplicación en Recursos Humanos | En vigor y exigible de forma obligatoria. | 2 de diciembre de 2027 para sistemas de alto riesgo laboral y selección. |
| Autoridad de supervisión en España | Agencia Española de Protección de Datos (AEPD). | Agencia Española de Supervisión de la Inteligencia Artificial (AESIA) e Inspección de Trabajo. |
Herramientas para el cumplimiento que reducen el riesgo legal
Recurrir a herramientas gratuitas de inteligencia artificial supone una infracción flagrante del RGPD. Estas aplicaciones abiertas carecen de acuerdos de encargo de tratamiento (DPA), exponen información confidencial de la plantilla y reutilizan habitualmente los datos introducidos para reentrenar sus propios modelos algorítmicos sin control ni garantías legales.
Las suscripciones de pago y la adopción de arquitecturas con sistemas MCP (Model Context Protocol) mejoran el aislamiento técnico. Sin embargo, gestionarlas como soluciones aisladas complica la trazabilidad que impone el AI Act y fragmenta la privacidad corporativa entre proveedores y entornos dispares.
Frente a la dispersión de herramientas inconexas para reclutamiento, fichajes o evaluación, un software integral de RR. HH. con IA nativa unifica las salvaguardas normativas. Centralizar los procesos garantiza una gobernanza homogénea de los datos, agiliza las auditorías de cumplimiento y reduce al mínimo el riesgo de sanciones laborales.
Bizneo HR incorpora IA nativa en selección, evaluación del desempeño, control horario, gestión de gastos y analítica de rotación. Cada módulo opera con los datos del propio sistema corporativo, generando análisis contextualizados y un modelo predictivo de rotación con un mínimo del 80% de fiabilidad según métricas internas.
La plataforma cuenta con la certificación ISO 42001, estándar internacional que valida su sistema de gestión de inteligencia artificial. Esta homologación garantiza un desarrollo y uso responsables de los modelos algorítmicos, blindando el cumplimiento legal y la protección de datos en la gestión del talento.
