Currículums e inteligencia artificial: garantías legales

La AEPD recuerda que el uso de sistemas automatizados para puntuar candidaturas debe respetar los derechos de las personas y contar con mecanismos adecuados de transparencia, evaluación de riesgos y supervisión humana.

Las puntuaciones algorítmicas pueden influir en el empleo

La Agencia Española de Protección de Datos (AEPD) ha advertido a una empresa que prevé utilizar inteligencia artificial para analizar currículums y asignar puntuaciones a las personas candidatas en procesos de selección y movilidad interna. La herramienta también podría utilizarse para priorizar perfiles, con posibles consecuencias para el acceso a puestos de trabajo y la promoción profesional.

La advertencia, fechada el 23 de septiembre de 2026, se ha emitido antes de que el sistema entre en funcionamiento. Aunque la empresa había informado a su personal sobre la próxima implantación, la herramienta todavía no se habría puesto en marcha.

La intervención de la Agencia pone el foco en una cuestión esencial: la utilización de inteligencia artificial para evaluar perfiles profesionales no queda al margen de las normas de protección de datos. Aunque estas tecnologías pueden agilizar la selección de personal, su diseño y utilización deben respetar los derechos y libertades de las personas afectadas.

Qué debe garantizar la empresa antes de implantar la IA

La AEPD recuerda que la protección de datos debe integrarse desde el inicio del proyecto. Este requisito responde al principio de protección de datos desde el diseño y por defecto, que obliga a considerar las garantías jurídicas al configurar el sistema y determinar cómo se tratará la información personal.

La empresa deberá adoptar medidas técnicas y organizativas adecuadas y evaluar los riesgos que el tratamiento pueda generar para las personas candidatas y trabajadoras. Si el tratamiento pudiera entrañar un alto riesgo para sus derechos y libertades, deberá realizar previamente una evaluación de impacto en protección de datos.

La evaluación debe servir para identificar los riesgos derivados del tratamiento y determinar qué medidas resultan necesarias antes de utilizar la herramienta. En este contexto, resulta especialmente relevante analizar la influencia que las puntuaciones pueden ejercer sobre la valoración de las candidaturas.

El derecho a conocer el papel de la inteligencia artificial

Las personas candidatas y trabajadoras deben recibir información clara, accesible y comprensible sobre el tratamiento de sus datos personales. La AEPD destaca que esta información también debe explicar la función que desempeña la herramienta en el proceso de evaluación.

La transparencia permite que las personas conozcan el papel de la tecnología en un procedimiento que puede afectar a sus oportunidades profesionales. No se trata únicamente de informar de la existencia de un sistema informático, sino de ofrecer información adecuada sobre su intervención en el tratamiento de los datos.

Esta garantía cobra importancia cuando la herramienta genera puntuaciones que pueden influir en la priorización de candidaturas. La utilización de esos resultados debe enmarcarse en un proceso que respete las obligaciones de protección de datos aplicables.

La decisión final no puede ser una mera formalidad

La empresa ha indicado que la decisión definitiva correspondería a una persona. La Agencia advierte que esta intervención debe ser efectiva: quien decide tiene que poder valorar críticamente la puntuación generada por la inteligencia artificial y adoptar una decisión propia.

Por tanto, no basta con que una persona confirme formalmente el resultado del sistema. La supervisión debe permitir examinar la información disponible y evitar que la puntuación algorítmica se acepte de forma automática.

El artículo 22 del Reglamento General de Protección de Datos reconoce el derecho a no ser objeto de decisiones basadas únicamente en tratamientos automatizados cuando puedan producir efectos jurídicos o afectar significativamente a la persona de manera similar. Su aplicación al sistema proyectado dependerá de cómo funcione realmente y del grado de intervención humana, así como de las excepciones y garantías previstas en el Reglamento.

La AEPD actúa antes de una posible infracción

La Agencia fundamenta su advertencia en el artículo 58.2.a) del RGPD, que permite a las autoridades de control formular advertencias cuando determinadas operaciones de tratamiento previstas puedan infringir la normativa.

Esta actuación no constituye una sanción ni implica que la empresa haya cometido una infracción. Su finalidad es preventiva y permite señalar los requisitos que deben tenerse en cuenta para adaptar el tratamiento a la legislación vigente.