Imagen generada con IA.
El 23 de septiembre, la Agencia Española de Protección de Datos (AEPD) hizo pública una advertencia preventiva dirigida a una empresa que planea usar una herramienta de inteligencia artificial para analizar currículums, puntuar candidaturas y priorizarlas en sus procesos de selección. La compañía aseguraba que la decisión final siempre la tomaría una persona. La AEPD respondió con un matiz que cambia por completo el debate: que exista una persona al final del proceso no significa, automáticamente, que la decisión sea realmente humana. Para cualquier empresa que use o esté valorando usar IA en selección de personal —y para las asesorías que las acompañan— este expediente marca el estándar que hay que empezar a cumplir ya, sin esperar a 2027.
La advertencia preventiva de la AEPD (expediente AI-00009-2026) antes de implantar la herramienta
Lo primero que llama la atención del expediente AI-00009-2026 es el momento en que se produce: la herramienta todavía no se había puesto en funcionamiento. La empresa había comunicado a su personal que pensaba implantarla próximamente en procesos de selección y movilidad interna, y fue en ese momento —antes de empezar a tratar datos con ella— cuando la AEPD intervino.
No se trata de una sanción por una infracción ya cometida, sino del ejercicio de una facultad preventiva que el artículo 58.2.a) del RGPD concede a la Agencia: advertir a un responsable o encargado del tratamiento cuando las operaciones que tiene previsto realizar puedan vulnerar el Reglamento, de modo que pueda corregir el rumbo antes de que el daño se produzca. La AEPD recordó a la empresa tres obligaciones concretas: integrar la protección de datos desde el diseño, evaluar los riesgos del tratamiento (y hacer una evaluación de impacto si procede conforme al artículo 35) y garantizar la transparencia frente a las personas candidatas y trabajadoras sobre cómo funciona la herramienta y qué papel juega en la decisión final.
¿Cuándo una decisión «humana» no es realmente humana? El límite del artículo 22 RGPD
El punto más interesante del caso aparece al conectar con el artículo 22 del RGPD, que reconoce el derecho de cualquier persona a no ser objeto de una decisión basada únicamente en un tratamiento automatizado cuando esa decisión le afecte jurídicamente o de forma significativa. La empresa aseguraba cumplir este requisito porque, decía, la decisión final de descartar o avanzar una candidatura la tomaba siempre una persona.
La AEPD matizó algo decisivo: para que esa intervención cuente realmente como humana a efectos del artículo 22, quien decide debe poder valorar críticamente la puntuación que ofrece el sistema y adoptar su propia decisión, sin quedar determinado de hecho por el resultado automatizado. Dicho de otro modo: que un reclutador abra un currículum y pulse «confirmar» sobre la recomendación de la IA no demuestra, por sí solo, que haya ejercido un juicio propio. Si no comprueba el currículum original, no entiende por qué el sistema asignó esa puntuación, no conoce sus limitaciones o no tiene tiempo real para cuestionar el resultado, la decisión seguirá siendo, materialmente, automatizada aunque formalmente la firme una persona. Es la misma idea que ya avanzaban las directrices del antiguo Grupo de Trabajo del Artículo 29 (WP251), hoy asumidas por el Comité Europeo de Protección de Datos: la participación humana debe ser significativa, no un gesto simbólico.
Qué exigirá el Reglamento de IA (art. 14) a partir de 2027 sobre supervisión humana
Mientras el RGPD ya exige hoy que esa intervención humana sea efectiva, el Reglamento europeo de Inteligencia Artificial añadirá, para los sistemas de IA de alto riesgo —entre los que su anexo III incluye expresamente los destinados a analizar y filtrar candidaturas de empleo—, un marco específico de supervisión humana en su artículo 14. Esta norma obliga a diseñar los sistemas para que puedan ser supervisados eficazmente por personas físicas, con medidas proporcionales al riesgo, a la autonomía del sistema y al contexto de uso.
El artículo 14 concreta además qué debe poder hacer realmente quien supervisa: comprender las capacidades y limitaciones del sistema, vigilar su funcionamiento, interpretar correctamente sus resultados, ser consciente del llamado automation bias (la tendencia a confiar de forma automática o excesiva en lo que dice la máquina) y, sobre todo, poder decidir no usar el sistema en un caso concreto o descartar, invalidar o revertir sus resultados. El artículo 26.2 añade una exigencia organizativa: esa supervisión debe encomendarse a personas con la competencia, la formación y la autoridad necesarias para ejercerla de verdad. Eso sí, conviene tener presente el calendario: tras la última modificación del Reglamento, estas obligaciones específicas para sistemas de alto riesgo del anexo III no serán exigibles hasta el 2 de diciembre de 2027. Lo que hace relevante el aviso de la AEPD es que el problema de fondo —la efectividad real de la supervisión humana— ya es exigible hoy bajo el RGPD, antes de que llegue el régimen específico del Reglamento de IA.
Automation bias: por qué revisar miles de currículums al día no es supervisión real
Aquí aparece la pregunta que de verdad importa en la práctica: ¿cuántas decisiones puede supervisar razonablemente una sola persona? Ni el RGPD ni el Reglamento de IA fijan un número máximo. Y probablemente no podrían hacerlo con sentido: treinta expedientes complejos pueden exigir más tiempo de análisis que varios cientos de comprobaciones sencillas.
Pero que no exista una cifra universal no significa que la carga de trabajo sea irrelevante. El Supervisor Europeo de Protección de Datos ha analizado precisamente esta dimensión: distingue entre una supervisión meramente formal y una supervisión efectiva, capaz de producir un impacto real sobre el resultado, y señala el tiempo disponible y la carga cognitiva del supervisor como factores decisivos. Si una herramienta de IA puede analizar miles de candidaturas en una jornada y solo una persona figura como responsable de revisarlas todas, es razonable dudar de que esa persona pueda ejercer realmente su capacidad de corrección en cada caso. Cuando la velocidad de la máquina supera ampliamente la capacidad humana de revisión disponible, la supervisión tiende a degradarse en una sucesión de confirmaciones automáticas de lo que ya ha decidido el algoritmo, que es exactamente el escenario que el artículo 22 del RGPD quiere evitar.
Cómo diseñar un proceso de selección con IA que resista una inspección de la AEPD
El expediente deja pautas muy concretas para cualquier empresa —también pymes y clínicas que empiecen a usar herramientas de cribado automatizado en sus procesos de contratación—:
- No implantar la herramienta sin análisis previo. Antes de poner en marcha un sistema de IA en selección, hay que evaluar los riesgos y, si procede, realizar una EIPD/DPIA.
- Dimensionar la carga de trabajo del supervisor humano. Si una persona debe revisar un volumen de candidaturas que, en la práctica, no le permite analizar cada caso con atención, la supervisión no será efectiva por mucho que esté prevista sobre el papel.
- Diseñar la interfaz para favorecer el criterio propio, no la confirmación automática. Mostrar al reclutador el currículum completo y los elementos relevantes, no solo una puntuación y una recomendación de descarte.
- Formar a quien supervisa sobre cómo funciona el sistema, sus límites, y sobre el riesgo de confiar en exceso en sus resultados.
- Informar con transparencia a candidatos y trabajadores sobre el uso de la herramienta, su función exacta en el proceso y su derecho a que la decisión final no esté determinada únicamente por el algoritmo.
- Dar autoridad real para apartarse de la recomendación, y no solo la posibilidad teórica de hacerlo.
Checklist: DPIA, transparencia y evidencias de supervisión efectiva
Antes de poner en marcha —o de seguir usando— un sistema de IA en procesos de selección de personal, conviene poder responder con solvencia a estas preguntas:
- ¿Se ha evaluado el riesgo del tratamiento y, si corresponde, realizado una EIPD conforme al artículo 35 del RGPD?
- ¿Reciben los candidatos información clara y comprensible sobre el uso de la IA y el papel que juega en la decisión?
- ¿Tiene quien supervisa acceso al currículum original y a la información necesaria para formar un criterio propio, más allá de la puntuación del sistema?
- ¿El volumen de candidaturas asignado a cada supervisor es razonable para una revisión real, no meramente formal?
- ¿Existe evidencia documentable de que la supervisión ha tenido impacto efectivo (modificaciones, descartes revertidos, casos escalados), y no solo registros de que «se abrió el expediente»?
- ¿Tiene la persona supervisora autoridad, formación y tiempo reconocidos formalmente para apartarse de la recomendación del sistema?
El propio expediente de la AEPD lo resume bien: la aplicación del artículo 22 del RGPD a estos sistemas dependerá de «el funcionamiento efectivo del proceso de decisión», no de que exista, sobre el papel, una persona firmando al final. Cuanto antes se audite ese funcionamiento efectivo, menos probable será recibir una advertencia —o algo peor— de la Agencia.
¿Tu empresa está valorando usar IA en selección de personal?
En Dataibérica ayudamos a empresas a evaluar los riesgos de protección de datos antes de implantar herramientas de IA en procesos de selección y gestión de personas, y a diseñar mecanismos de supervisión humana que resistan una inspección de la AEPD. Contacta con nosotros y lo revisamos juntos.
