Actualidad · Protección de datos · Inteligencia artificial
La Agencia Española de Protección de Datos (AEPD) ha emitido una advertencia a una empresa que estudiaba utilizar inteligencia artificial para analizar currículums y valorar candidaturas. Esta actuación recuerda que las nuevas tecnologías pueden ayudar a seleccionar personal, pero también deben respetar las garantías establecidas en el Reglamento General de Protección de Datos (RGPD).
La inteligencia artificial está cada vez más presente en la actividad de las empresas. Se utiliza para organizar información, automatizar tareas, elaborar documentos e incluso apoyar procesos de contratación de trabajadores.
Sin embargo, cuando estas herramientas utilizan datos personales, conviene conocer las obligaciones que pueden resultar aplicables. No todas las herramientas funcionan de la misma manera ni presentan los mismos riesgos.
La idea principal: el RGPD no prohíbe utilizar inteligencia artificial para seleccionar personal, pero exige aplicar garantías adecuadas a las características y riesgos de cada tratamiento.
¿Qué ha ocurrido? La advertencia de la AEPD
El 23 de septiembre de 2026, la Agencia Española de Protección de Datos publicó una actuación relativa a una empresa que valoraba implantar una herramienta de inteligencia artificial en sus procesos de selección de personal y movilidad interna.
Según la información examinada por la Agencia, el sistema permitiría analizar currículums, asignar puntuaciones a los candidatos y priorizar candidaturas según su adecuación a los requisitos de cada puesto.
Estas valoraciones podrían influir en decisiones relacionadas con el acceso al empleo o la promoción profesional.
La herramienta todavía no se había implantado en España. La empresa había comunicado su futura utilización e indicaba que la decisión final correspondería a una persona.
Importante: la actuación de la AEPD fue una advertencia de carácter preventivo, no una sanción económica ni una declaración de que la empresa hubiera cometido una infracción.
La finalidad de este tipo de actuaciones es advertir sobre posibles riesgos y permitir que las empresas revisen las garantías antes de poner en funcionamiento determinados tratamientos de datos personales.
¿Está prohibido utilizar inteligencia artificial para seleccionar trabajadores?
No. Utilizar inteligencia artificial en recursos humanos no está prohibido de forma general.
Estas herramientas pueden ayudar a organizar candidaturas, analizar información y mejorar la eficiencia de determinados procesos de selección.
No obstante, la empresa debe comprobar qué datos utiliza, para qué los necesita, cómo funciona el sistema y qué efectos puede tener sobre las personas candidatas.
No es lo mismo emplear una herramienta para ordenar documentos que utilizar un sistema que puntúa a las personas y participa de manera significativa en decisiones de contratación.
5 aspectos que deberían revisar las empresas antes de utilizar IA en recursos humanos
1 Informar adecuadamente a los candidatos
Las personas que participan en un proceso de selección deben recibir información clara y comprensible sobre el tratamiento de sus datos personales.
Cuando se utiliza una herramienta de inteligencia artificial, conviene explicar su función dentro del proceso de evaluación con el alcance que resulte exigible en cada situación.
Una política de privacidad genérica que no refleje la forma en que realmente se utilizan los datos puede resultar insuficiente.
2 Analizar los riesgos antes de implantar la herramienta
Antes de utilizar un sistema de inteligencia artificial es recomendable analizar los posibles riesgos para los derechos de los candidatos y trabajadores.
Por ejemplo, deben valorarse la exactitud de los resultados, los criterios de puntuación, los posibles sesgos y la cantidad de información personal utilizada.
Cuando el tratamiento pueda suponer un alto riesgo para los derechos y libertades de las personas, el artículo 35 del RGPD exige realizar previamente una evaluación de impacto relativa a la protección de datos.
3 Garantizar una intervención humana efectiva
Uno de los aspectos relevantes de la advertencia es la intervención de personas en las decisiones.
Imaginemos que una empresa utiliza un programa que analiza cincuenta currículums y asigna una puntuación a cada candidato.
Si la empresa se limita a aceptar automáticamente el resultado, pueden surgir problemas relacionados con las decisiones basadas únicamente en tratamientos automatizados.
La intervención humana debe ser efectiva y permitir valorar críticamente las puntuaciones, revisar la información y adoptar una decisión propia.
El artículo 22 del RGPD contempla garantías específicas para determinadas decisiones exclusivamente automatizadas que producen efectos jurídicos o afectan significativamente a las personas.
4 Revisar qué datos se introducen en la herramienta
Un currículum puede incluir nombres, teléfonos, direcciones de correo electrónico, experiencia profesional, formación y otros datos personales.
Antes de introducir estos documentos en una plataforma de inteligencia artificial conviene comprobar las condiciones del proveedor.
- Qué datos personales recibe la herramienta.
- Para qué se utiliza la información.
- Quién puede acceder a los datos.
- Dónde se almacenan y durante cuánto tiempo.
- Si existen transferencias internacionales.
- Si es necesario formalizar un contrato de encargo del tratamiento.
No debe darse por hecho que cualquier plataforma de inteligencia artificial puede utilizarse para introducir información personal de candidatos.
5 Actualizar la documentación de protección de datos
La incorporación de nuevas herramientas puede modificar la manera en que una empresa trata los datos personales.
Por ello, puede resultar necesario revisar el Registro de Actividades de Tratamiento, las cláusulas informativas, las medidas de seguridad y los acuerdos con proveedores.
La documentación de protección de datos debe reflejar la actividad real de la empresa y mantenerse actualizada cuando se produzcan cambios relevantes.
Un ejemplo práctico para una pequeña empresa
Una pyme que utiliza IA para clasificar currículums
Imaginemos una empresa que recibe treinta candidaturas para cubrir un puesto administrativo.
Para ahorrar tiempo, decide utilizar una herramienta de inteligencia artificial que ordena los currículums según la experiencia profesional y otros criterios.
Antes de comenzar debería preguntarse:
- ¿Qué información de los candidatos va a recibir el sistema?
- ¿Es necesario introducir todos los datos del currículum?
- ¿Se ha informado adecuadamente a los candidatos?
- ¿Qué hace el proveedor con la información?
- ¿Quién revisará las valoraciones realizadas por la IA?
- ¿Se han analizado los posibles riesgos del tratamiento?
Resolver estas cuestiones antes de implantar la herramienta permite identificar los aspectos que deben revisarse y las medidas que podrían resultar necesarias.
¿Afecta esta advertencia a las pequeñas empresas y autónomos?
Aunque la actuación de la AEPD se refiere a un caso concreto, sus enseñanzas también pueden resultar útiles para pequeñas empresas y autónomos.
La normativa de protección de datos también se aplica a organizaciones con pocos trabajadores cuando tratan datos personales.
Las obligaciones concretas dependerán de las características del tratamiento, la tecnología utilizada y sus riesgos.
Por ejemplo, utilizar inteligencia artificial para mejorar la redacción de una oferta de empleo no implica necesariamente los mismos riesgos que utilizarla para puntuar y descartar candidaturas.
Por eso, cada situación debe analizarse individualmente.
La importancia de revisar la protección de datos antes de incorporar nuevas tecnologías
La advertencia publicada por la AEPD recuerda que la innovación tecnológica debe ir acompañada de una revisión adecuada de sus implicaciones en materia de privacidad.
La inteligencia artificial puede ofrecer ventajas en la gestión empresarial, pero utilizarla de manera responsable también exige conocer cómo se tratan los datos personales.
Informar correctamente, analizar riesgos, establecer medidas de seguridad y garantizar una intervención humana efectiva son aspectos especialmente relevantes cuando estas herramientas participan en decisiones relacionadas con el empleo.
Para las pequeñas empresas, el objetivo no debería ser renunciar a la tecnología, sino aprovechar sus ventajas aplicando las garantías correspondientes.
¿Cómo puede ayudar JBC Privacidad?
En JBC Privacidad ayudamos a pymes, autónomos, asociaciones y entidades a revisar sus tratamientos de datos personales y adaptar su documentación a las características reales de su actividad.
Si tu empresa utiliza herramientas de inteligencia artificial o está pensando incorporarlas a sus procesos de selección, conviene revisar previamente qué información se utilizará y qué obligaciones pueden resultar aplicables.
Nuestro objetivo es ofrecer un acompañamiento claro, práctico y personalizado, sin recurrir a documentación genérica que no refleje el funcionamiento de cada entidad.
También puedes conocer nuestros servicios de protección de datos y las soluciones específicas de protección de datos para pymes y autónomos .
¿Tu empresa utiliza inteligencia artificial o necesita revisar su protección de datos?
En JBC Privacidad te ayudamos a identificar los aspectos que conviene revisar y la documentación que puede necesitar tu actividad. Solicita una primera valoración orientativa, sin coste y sin compromiso.
Solicitar primera valoración →Fuentes oficiales
Agencia Española de Protección de Datos (AEPD). La Agencia recuerda las garantías para utilizar IA en el análisis de currículums. Noticia publicada el 23 de septiembre de 2026.
Consultar la noticia oficial de la AEPD
AEPD. Advertencia AI-00009-2026. Consultar el documento oficial (PDF)
Artículo informativo elaborado por JBC Privacidad. Su contenido no sustituye el análisis jurídico de cada situación concreta.