IA en recursos humanos: qué debe cumplir su pyme antes de cribar un CV

IA en recursos humanos: qué debe cumplir su pyme antes de cribar un solo CV

El 23 de septiembre de 2026, la Agencia Española de Protección de Datos hizo pública una advertencia a una empresa que estudiaba implantar una herramienta de IA para cribar y puntuar currículos. La herramienta ni siquiera estaba en marcha. La AEPD no sancionó: recordó, por escrito y antes del despliegue, qué garantías exige el RGPD cuando un algoritmo ordena candidatos.

Ese es el estado real de la cuestión para una pyme española. No hace falta esperar al alto riesgo del Reglamento de IA, aplazado a diciembre de 2027, para tener obligaciones. Una parte importante ya está en vigor: el RGPD, el Estatuto de los Trabajadores y el artículo 4 del propio Reglamento. Este artículo lo ordena con un caso práctico y una checklist.

Qué hace ya la IA en el departamento de RR. HH. de una pyme

En las empresas de 20 a 250 personas que visitamos, la IA ha entrado en recursos humanos por tres puertas distintas, con riesgos muy distintos.

Uso	Ejemplo típico	Nivel según el Reglamento de IA	Qué norma manda hoy
Redactar ofertas de empleo, descripciones de puesto, correos a candidatos	ChatGPT, Copilot, Gemini, Claude	Riesgo mínimo	Art. 4 (alfabetización), RGPD si se pegan datos personales
Transcribir y resumir entrevistas	Grabadora con IA, asistente de reuniones	Riesgo mínimo, pero con datos personales sensibles	RGPD y LOPDGDD (información, base jurídica, conservación)
Cribar, filtrar o puntuar candidaturas	ATS con «matching» o scoring de CV, portales de empleo con ranking automático	Alto riesgo (Anexo III, punto 4)	RGPD art. 22, EIPD, art. 64.4 d) ET; alto riesgo del Reglamento desde el 2 de diciembre de 2027
Evaluar el desempeño, asignar tareas o turnos, decidir promociones o despidos	Software de gestión de personal con recomendaciones automáticas	Alto riesgo (Anexo III, punto 4)	RGPD art. 22, art. 64.4 d) ET, art. 20 bis ET; alto riesgo desde el 2 de diciembre de 2027
Detectar emociones en entrevistas o en el puesto	Análisis de voz o de expresión facial	Prohibido (art. 5)	Prohibido desde el 2 de febrero de 2025, salvo motivos médicos o de seguridad

La primera fila es la de la mayoría de las pymes. Las dos filas centrales son las que requieren método. La última no se negocia. Esta clasificación es la que recoge el registro de sistemas de IA del Kit de Cumplimiento AI Act para pymes: cada herramienta de RR. HH. inscrita con su nivel de riesgo, sus datos y su fecha de revisión.

Lo que dice el Reglamento de IA sobre el empleo

El Reglamento (UE) 2024/1689 clasifica en su Anexo III, punto 4, como sistemas de alto riesgo los destinados a la contratación y la selección de personas (publicación de anuncios dirigidos, análisis y filtrado de candidaturas, evaluación de candidatos) y los que toman o apoyan decisiones sobre las condiciones de trabajo, la promoción, el despido, la asignación de tareas o el seguimiento y la evaluación del rendimiento.

Las fechas, ya definitivas

El ómnibus digital sobre IA se publicó en el Diario Oficial de la Unión Europea el 24 de julio de 2026 como Reglamento (UE) 2026/1744 y está en vigor desde el 27 de julio. Las fechas que afectan a RR. HH. quedan así:

2 de febrero de 2025: prácticas prohibidas (art. 5) y alfabetización en IA (art. 4). Ya se aplican.
2 de agosto de 2026: transparencia (art. 50). Si usa un chatbot para responder a candidatos, deben saber que hablan con una IA.
2 de diciembre de 2027: obligaciones de alto riesgo para los sistemas del Anexo III, incluidos todos los de empleo.

El ómnibus también suavizó el artículo 4: ya no se exige «garantizar» un nivel de alfabetización, sino «adoptar medidas» para promoverla. Para su pyme, en la práctica, cambia poco: sigue necesitando una formación fechada y una prueba de que se impartió. Lo detallamos en nuestro artículo sobre el artículo 4 del AI Act.

Lo que le exigirá como responsable del despliegue (art. 26)

Si su pyme usa una herramienta de alto riesgo que ha comprado a un proveedor, usted es «responsable del despliegue». A partir del 2 de diciembre de 2027, deberá:

Usar el sistema conforme a las instrucciones del proveedor.
Encargar la supervisión humana a personas con la competencia, la formación y la autoridad necesarias.
Asegurarse de que los datos de entrada son pertinentes y representativos.
Conservar los registros de actividad generados por el sistema al menos seis meses.
Informar a las personas trabajadoras y a sus representantes antes de poner el sistema en servicio.
Informar a las personas afectadas de que se les aplica un sistema de IA de alto riesgo.
Realizar una evaluación de impacto en protección de datos cuando proceda, con la información que le facilite el proveedor.

Fíjese en el punto 5. En España no tiene que esperar a 2027 para cumplirlo: el Estatuto de los Trabajadores ya lo exige.

Lo que ya está en vigor en España, hoy

El RGPD y la LOPDGDD: la AEPD ya vigila

La advertencia de septiembre de 2026 (procedimiento AI-00009-2026) resume lo que la AEPD espera de cualquier empresa que criba candidaturas con IA:

Protección de datos desde el diseño: las garantías se definen antes de contratar la herramienta, no después.
Evaluación de impacto (EIPD) previa cuando el tratamiento puede suponer un alto riesgo. Puntuar candidatos con un algoritmo entra casi siempre en esa categoría.
Artículo 22 del RGPD: nadie puede ser objeto de una decisión basada únicamente en un tratamiento automatizado con efectos significativos. Descartar a un candidato por una puntuación sin revisión real es exactamente eso.
Intervención humana efectiva: quien decide debe valorar críticamente la puntuación. Un «clic de validación» no es intervención humana.
Información clara a candidatos y trabajadores sobre el papel de la herramienta.

A esto se suma lo habitual en cualquier tratamiento: base jurídica, cláusula informativa en la oferta y en el formulario de candidatura, contrato de encargado del tratamiento con el proveedor del ATS, plazo de conservación de las candidaturas descartadas e inscripción en el registro de actividades de tratamiento.

El artículo 64.4 d) del Estatuto de los Trabajadores

Desde 2021, el comité de empresa y los delegados de personal tienen derecho a ser informados «de los parámetros, reglas e instrucciones en los que se basan los algoritmos o sistemas de inteligencia artificial que afectan a la toma de decisiones que pueden incidir en las condiciones de trabajo, el acceso y mantenimiento del empleo, incluida la elaboración de perfiles».

Tres consecuencias prácticas:

Afecta a toda empresa con representación legal: delegados de personal a partir de 6 personas en plantilla (si así lo deciden), comité de empresa a partir de 50.
Cubre la selección de personal («acceso al empleo»), no solo la gestión de quien ya trabaja en la empresa.
Se informa antes de desplegar. Informar después es un conflicto anunciado.

La Guía práctica sobre obligaciones empresariales de información sobre el uso de algoritmos en el ámbito laboral, publicada por el Ministerio de Trabajo en 2022, detalla qué entregar: finalidad del sistema, variables que utiliza, su peso, lógica de funcionamiento, si hay intervención humana y qué decisiones apoya. Documente la comunicación con fecha, contenido y destinatarios.

Sin representación legal, esta obligación concreta no existe. Pero las personas candidatas y trabajadoras siguen teniendo derecho a la información del RGPD, y la política de uso de IA se difunde igualmente con constancia de recepción.

La ley española de IA: el proyecto ha decaído

El Proyecto de Ley Orgánica para el buen uso y la gobernanza de la inteligencia artificial, aprobado por el Consejo de Ministros el 26 de mayo de 2026, no ha llegado a aprobarse. Con la disolución de las Cortes (Real Decreto 806/2026, publicado en el BOE el 6 de octubre) y la convocatoria de elecciones generales para el 29 de noviembre de 2026, el proyecto ha decaído. Tendrá que presentarse de nuevo en la próxima legislatura.

Esto no cambia nada en sus obligaciones. El Reglamento de IA es de aplicación directa; la AESIA y la AEPD ya ejercen sus competencias; el RGPD y el Estatuto de los Trabajadores no dependen de esa ley. Cuando una futura ley entre en vigor, precisará el régimen sancionador nacional. Mientras tanto, se aplican los límites del Reglamento: hasta 35 millones de euros o el 7 % del volumen de negocio mundial por las prácticas prohibidas y hasta 15 millones o el 3 % por el resto, con el importe menor para las pymes.

Caso práctico: una empresa de logística de 80 personas implanta un ATS con puntuación de CV

Ejemplo ilustrativo, construido a partir de situaciones habituales en nuestras auditorías. Una empresa de transporte y almacenaje de Zaragoza, con comité de empresa, recibe 400 candidaturas al mes para puestos de mozo de almacén y conductor. RR. HH. quiere un ATS que ordene las candidaturas automáticamente.

Lo que hizo mal al principio. Contrató la herramienta, la configuró con los criterios «de siempre» y empezó a descartar automáticamente a quien quedaba por debajo de 60 puntos. Nadie informó al comité. La cláusula informativa de la web decía «sus datos se tratarán para gestionar su candidatura» y nada más.

Lo que tuvo que corregir, en este orden:

Clasificar el sistema: cribado y puntuación de candidaturas, alto riesgo (Anexo III, punto 4). Inscrito en el registro de sistemas de IA con nivel de riesgo, proveedor, datos tratados y responsable interno.
Hacer la EIPD antes de seguir usándolo. Resultado: dos variables (código postal y años de carné) producían un efecto indirecto por edad y origen. Se eliminaron.
Suprimir el descarte automático. La herramienta ordena; una persona de RR. HH. revisa cada candidatura descartada por debajo del umbral y deja constancia del motivo.
Reescribir la cláusula informativa: existe una herramienta de IA, qué hace, qué variables usa, que la decisión final es humana, cómo ejercer los derechos del artículo 22.
Informar al comité de empresa con el documento de la Guía práctica del Ministerio de Trabajo: finalidad, variables, pesos, lógica, intervención humana. Acta de la reunión firmada.
Firmar el contrato de encargado con el proveedor y pedir la documentación técnica que necesitará en 2027 (instrucciones de uso, medidas de supervisión humana, registros).
Formar a las tres personas de RR. HH. que usan el sistema: 45 minutos sobre el Reglamento, el RGPD, los sesgos y el procedimiento de revisión. Certificado por persona: es la prueba del artículo 4.

Tiempo total: tres semanas. Coste principal: horas internas. El beneficio operativo del ATS se mantuvo; el riesgo de una reclamación ante la AEPD o de un conflicto con el comité bajó de forma drástica.

Si solo usa ChatGPT para redactar ofertas y resumir entrevistas

No está en alto riesgo. Pero tiene dos puntos de atención que vemos en casi todas las pymes.

Las transcripciones de entrevistas son datos personales, y a menudo incluyen información sensible que el candidato comenta espontáneamente (salud, situación familiar, afiliación). No las pegue en una herramienta gratuita sin contrato. Use una cuenta corporativa con contrato de encargado, anonimice antes de resumir y fije un plazo de borrado.

Las ofertas redactadas con IA pueden incluir sesgos de lenguaje (edad, género) que luego se convierten en reclamaciones. Revisión humana obligatoria antes de publicar, con una lista corta de términos a evitar.

Ambas reglas caben en una página de las normas de uso de la IA generativa. Nuestro artículo sobre la política de uso de IA en la empresa explica cómo redactarlas y difundirlas.

Checklist: 10 puntos antes de activar una IA en RR. HH.

¿Qué hace exactamente la herramienta: ordena, puntúa, descarta o decide?
¿Está clasificada en su registro de sistemas de IA con su nivel de riesgo?
¿Hay EIPD hecha y fechada antes del despliegue?
¿Qué variables usa y cuáles pueden producir un efecto indirecto por edad, género, origen o discapacidad?
¿Existe una revisión humana real y documentada de cada decisión negativa?
¿La cláusula informativa a candidatos y trabajadores menciona la herramienta y el derecho del artículo 22?
¿Ha informado por escrito al comité de empresa o a los delegados de personal, antes de activarla?
¿Tiene contrato de encargado del tratamiento con el proveedor y su documentación técnica?
¿Las personas que la usan han recibido formación fechada y con certificado?
¿Hay una fecha de revisión fijada (como mínimo anual y antes del 2 de diciembre de 2027)?

Si responde «no» a tres o más, no active la herramienta todavía. La checklist gratuita AI Act para pymes le ayuda a situar el resto de sus usos de IA en tres minutos. El Kit de Cumplimiento AI Act para pymes incluye el registro de sistemas de IA con la clasificación por nivel de riesgo, la política corporativa con la sección de información a la representación legal, las normas de uso y el módulo de formación con certificado. Y si prefiere que alguien revise con usted sus herramientas de RR. HH. antes de decidir, la Auditoría Estratégica de IA lo hace en una sesión de dos horas con informe escrito.

Preguntas frecuentes

¿Usar un ATS que ordena los CV por palabras clave es alto riesgo?

Si el sistema utiliza IA para analizar, filtrar o evaluar candidaturas, sí, entra en el Anexo III, punto 4. Un filtro puramente determinista (por ejemplo, «carné C obligatorio») no es un sistema de IA en el sentido del Reglamento, pero sigue sujeto al RGPD. En caso de duda, pida al proveedor que le indique por escrito si su producto es un sistema de IA y cómo lo clasifica.

¿Tengo que informar al comité si la herramienta la usa una empresa de selección externa?

Si la decisión de contratar la toma su empresa a partir de un resultado algorítmico, la información a la representación legal le corresponde a usted. Pida al proveedor o a la consultora la documentación necesaria (variables, lógica, intervención humana) y entréguela al comité antes de usar sus resultados.

Mi pyme tiene 12 personas y no hay delegado de personal. ¿Qué me afecta?

La obligación del artículo 64.4 d) ET no existe sin representación legal. Le siguen afectando el RGPD (información, artículo 22, EIPD), el artículo 4 del Reglamento de IA y, desde el 2 de diciembre de 2027, las obligaciones de alto riesgo si criba o evalúa con IA.

¿El aplazamiento del alto riesgo a 2027 significa que puedo esperar?

No. Lo aplazado son las obligaciones específicas del Reglamento para el alto riesgo. El RGPD, el Estatuto de los Trabajadores, las prohibiciones del artículo 5 y la alfabetización del artículo 4 ya se aplican, y la AEPD ya ha emitido advertencias en 2026 sobre el cribado de CV con IA.

¿Puedo usar IA para analizar el tono de voz o la expresión facial en una entrevista?

No. La inferencia de emociones en el ámbito laboral es una práctica prohibida desde el 2 de febrero de 2025, salvo por motivos médicos o de seguridad. Es el nivel de sanción más alto del Reglamento.

Para seguir leyendo

Este artículo se ofrece con carácter general, a fecha de 13 de octubre de 2026, y no constituye asesoramiento jurídico. El caso práctico es ilustrativo. El proyecto de ley orgánica española se menciona como decaído tras la disolución de las Cortes; cuando una futura ley entre en vigor, revise esta información. Adapte el contenido a su situación, a su convenio colectivo y a su plantilla y, si es necesario, hágalo validar por un profesional.