¿Qué es el cumplimiento en contratación con IA?
El cumplimiento en contratación con IA se refiere al conjunto de obligaciones legales que los empleadores deben cumplir cuando utilizan inteligencia artificial, algoritmos o herramientas automatizadas en cualquier etapa del proceso de selección. Esto incluye software de cribado de currículums, entrevistas basadas en chatbots, modelos de puntuación y cualquier herramienta que filtre o clasifique a los candidatos sin intervención humana directa.
A partir de 2026, tres marcos regulatorios definen el cumplimiento en contratación para la mayoría de los empleadores en el Reino Unido y la UE: el Reglamento General de Protección de Datos (RGPD), la Ley de IA de la UE y la legislación sobre el derecho al trabajo. En conjunto, crean obligaciones específicas sobre cómo se recopilan los datos de los candidatos, cómo se toman las decisiones automatizadas y quién tiene permiso para trabajar.
El cumplimiento no es un simple ejercicio de marcar casillas. Las multas son significativas (hasta el 6 % de la facturación global en virtud de la Ley de IA de la UE) y la actividad de supervisión está aumentando. En 2023, la Agencia Española de Protección de Datos (AEPD) sancionó a varias empresas por el uso indebido de datos personales en procesos de selección automatizados, confirmando que las autoridades de control aplican un escrutinio riguroso a los sistemas algorítmicos que procesan datos personales.
Por qué 2026 es el punto de inflexión
Las obligaciones de la Ley de IA de la UE para los sistemas de IA de alto riesgo, que incluyen explícitamente la IA en el ámbito laboral, se aplicaron en agosto de 2026 para la mayoría de las organizaciones. Este no es un requisito futuro. Si está utilizando IA para cribar, clasificar o preseleccionar candidatos hoy y opera en la UE, el reloj ya ha comenzado a correr.
Simultáneamente, el control de la AEPD sobre la toma de decisiones algorítmicas en la contratación se intensifica, y la concienciación de los candidatos sobre sus derechos RGPD crece. Construir un proceso conforme ahora le protege de multas, reclamaciones de candidatos y daños reputacionales.
La Ley de IA de la UE y la IA en la contratación
La Ley de IA de la UE crea un sistema de clasificación de riesgos en cuatro niveles para la IA. La IA en la contratación se sitúa en el nivel más regulado: alto riesgo. El Anexo III de la Ley incluye explícitamente la IA utilizada para la selección y contratación de personal, incluyendo el cribado de currículums, la clasificación de candidatos y la evaluación de entrevistas, como aplicaciones de alto riesgo.
La fecha en que las obligaciones de IA de alto riesgo se aplicaron a los sistemas de IA de empleo. Si su herramienta de cribado procesa candidatos en la UE, los requisitos obligatorios se aplican ahora.
Lo que significa la clasificación de alto riesgo en la práctica
Los empleadores y proveedores de tecnología de RR. HH. que despliegan IA de alto riesgo en la selección de personal deben cumplir con un exigente conjunto de obligaciones. No son directrices opcionales, son requisitos legales con consecuencias.
En primer lugar, debe completarse una evaluación de conformidad antes de desplegar el sistema de IA. Esto implica documentar el propósito del sistema, los datos con los que fue entrenado, sus limitaciones conocidas y las medidas adoptadas para mitigar sesgos y errores. Para los empleadores que adquieren herramientas de terceros, deben solicitar esta documentación a su proveedor.
Requisito de supervisión humana
Cada sistema de IA de alto riesgo debe estar diseñado para permitir la revisión y anulación por parte de un ser humano. En el contexto de la contratación, esto significa que ningún candidato debe ser rechazado o avanzado a la siguiente etapa basándose únicamente en una decisión de IA sin que una persona tenga la capacidad real de revisar y revertir esa decisión.
Esto no se cumple con un proceso de validación automática donde una persona aprueba las salidas de la IA sin comprometerse genuinamente con los materiales del candidato. La supervisión debe ser sustantiva. El ser humano debe tener acceso al razonamiento de la IA y a los datos subyacentes del candidato, y debe ser capaz de llegar a una conclusión diferente.
Transparencia hacia los candidatos
Los candidatos deben ser informados de que se utiliza IA en su evaluación. Esta divulgación debe aparecer antes de que comience la interacción con la IA, en la oferta de trabajo, el flujo de solicitud o un aviso dedicado. La divulgación debe explicar qué tipo de IA se utiliza, qué evalúa y cómo se utiliza su resultado en la decisión de selección.
RGPD y datos de candidatos
El RGPD se aplica a todo empleador que trate datos personales de candidatos residentes en la UE o el Reino Unido, independientemente de dónde tenga su sede el empleador. La selección de personal es una de las áreas de mayor riesgo en cuanto al cumplimiento del RGPD porque implica grandes volúmenes de datos personales sensibles de personas que no tienen ninguna relación previa con el empleador.
Base jurídica para el tratamiento
El tratamiento de datos de candidatos durante una selección activa suele basarse en intereses legítimos (Artículo 6(1)(f)) o en la ejecución de un contrato (Artículo 6(1)(b), en pasos precontractuales). El consentimiento raramente es la base adecuada para la selección de personal: debe ser libremente otorgado, lo cual se ve comprometido por el desequilibrio de poder entre el empleador y el solicitante de empleo.
Los datos de categoría especial, incluidos salud, discapacidad, origen étnico y creencias religiosas, requieren una base jurídica adicional en virtud del Artículo 9, generalmente consentimiento explícito o necesidad por obligaciones de derecho laboral. Si sus preguntas de selección o herramientas psicométricas recogen inadvertidamente datos de categoría especial, necesita documentar esta base adicional.
Minimización de datos y limitación de la finalidad
Solo puede recopilar datos de candidatos que sean necesarios para la decisión de selección. Este principio afecta a varias prácticas habituales: solicitar la fecha de nacimiento cuando la edad no es un requisito genuino, pedir una fotografía antes de la entrevista o recopilar información extensiva de redes sociales sin un vínculo claro con el puesto. Las herramientas de cribado basadas en palabras clave también pueden introducir sesgos no intencionales cuando recopilan datos sustitutivos que se correlacionan con características protegidas.
La limitación de la finalidad significa que los datos recopilados para un puesto no pueden reutilizarse libremente para otro sin una nueva base jurídica. Si desea conservar a los candidatos rechazados para futuras oportunidades, esto requiere consentimiento explícito y debe respetar la retirada de ese consentimiento sin demora.
Plazos de conservación
No existe un plazo de conservación único establecido por el RGPD para los datos de candidatos. Sin embargo, el principio de limitación del plazo de conservación exige eliminar los datos cuando ya no sean necesarios. En la práctica, la mayoría de las organizaciones establecen un período de conservación de seis meses desde el fin del proceso de selección. Algunas lo amplían a 12 meses para dar cabida a posibles reclamaciones por discriminación.
Independientemente del plazo que elija, documéntelo en su aviso de privacidad y aplíquelo. Un plazo de conservación que declara pero no aplica es peor que no tener ninguno declarado. Demuestra a los reguladores que sabía lo que debía hacer y eligió no hacerlo.
Decisiones automatizadas y Artículo 22 del RGPD
El Artículo 22 del RGPD otorga a las personas el derecho a no ser objeto de una decisión basada únicamente en el tratamiento automatizado que produzca efectos jurídicos o igualmente significativos. En un contexto de contratación, una decisión de rechazo o preselección tomada íntegramente por un algoritmo sin participación humana significativa activa este derecho.
Qué activa el Artículo 22
La prueba clave es si la decisión se basa únicamente en el tratamiento automatizado y produce un efecto significativo. El rechazo de una solicitud de empleo es un efecto significativo. Ser clasificado por debajo del umbral de entrevista por un algoritmo y, por tanto, nunca ser revisado por un ser humano, también es un efecto significativo, aunque el empleador caracterice el proceso como asistido por IA en lugar de decidido por IA.
Fundamentalmente, el Artículo 22 se aplica incluso cuando el empleador cree que hay una persona involucrada, si esa revisión humana es superficial o nominal. La AEPD ha aclarado que una persona que simplemente acepta los resultados de la IA sin comprometerse genuinamente con la información subyacente no constituye participación humana significativa.
Salvaguardias requeridas
Cuando se utiliza la toma de decisiones automatizada lícitamente, ya sea con el consentimiento del candidato o como necesario para la celebración de un contrato, deben existir tres salvaguardias. En primer lugar, los candidatos deben ser informados de que se está produciendo la toma de decisiones automatizada y recibir información significativa sobre la lógica empleada. En segundo lugar, los candidatos deben poder solicitar la revisión humana de cualquier decisión automatizada. En tercer lugar, los candidatos deben poder impugnar la decisión y expresar su opinión.
En la práctica, esto significa construir un mecanismo orientado al candidato: un aviso claro en el flujo de solicitud, un canal de contacto para solicitudes de revisión y un proceso interno para gestionar esas solicitudes con una evaluación humana genuina.
Cómo gestiona esto Zyverno
Lina, nuestra asistente de cribado con IA, está diseñada con la supervisión humana en su núcleo. Cada recomendación de IA es revisada por un reclutador antes de que cualquier candidato avance o sea rechazado. Los candidatos son informados sobre el uso de IA antes de que comience su proceso de cribado.
Verificaciones del permiso de trabajo
La legislación sobre permisos de trabajo exige que los empleadores verifiquen que todos los empleados tienen autorización para trabajar en España antes de que comience el empleo. El artículo 53 de la Ley Orgánica 4/2000, reformada por la LO 2/2009, establece que contratar a trabajadores extracomunitarios sin la correspondiente autorización constituye una infracción muy grave, con multas de hasta 100.000 euros por empresa, independientemente del número de trabajadores irregulares.
Verificación de identidad digital
Los ciudadanos de la UE, el EEE y Suiza disfrutan de libre circulación en España y tienen derecho a trabajar sin necesidad de autorización previa. Los nacionales de terceros países deben contar con una autorización de residencia y trabajo válida antes de iniciar el empleo. Los empleadores deben conservar una copia de la documentación acreditativa durante el período de empleo y dos años adicionales, disponible para su inspección por parte de la Inspección de Trabajo.
La verificación documental es obligatoria antes del inicio de la relación laboral. A diferencia de otros sistemas, en España no existe actualmente un servicio gubernamental de verificación digital equivalente al del Reino Unido. Los empleadores comprueban la documentación en papel o formato digital emitido por las autoridades competentes (NIE, tarjeta de residencia, autorización de trabajo). La contratación a través de empresas de trabajo temporal acreditadas no exime al empleador final de su responsabilidad de verificar la autorización de trabajo.
Normas sobre datos biométricos
Algunos proveedores de verificación de identidad digital utilizan comparación facial biométrica, comparando una selfie en vivo con la fotografía de un documento oficial. Los datos biométricos son datos de categoría especial en virtud del RGPD, lo que requiere una base jurídica explícita. Para los procesos de verificación del permiso de trabajo, esto generalmente se fundamenta en la necesidad del derecho laboral conforme al Artículo 9(2)(b) del RGPD.
Si está recopilando datos biométricos como parte del proceso de contratación, debe revelarlo en su aviso de privacidad. Los candidatos deben comprender qué datos biométricos se recopilan, cómo se utilizan y cuánto tiempo se conservan. Las plantillas biométricas deben eliminarse tan pronto como se complete la verificación, salvo que exista una obligación legal de conservación más prolongada.
Ciudadanos de la UE/EEE en España
Los ciudadanos de la UE, el EEE y Suiza establecidos en España tienen derecho de libre circulación y trabajo. Pueden acreditar su identidad con su documento nacional de identidad o pasaporte vigente; no es necesario ningún permiso de trabajo adicional. Solicitar documentación adicional o distinta de la exigida a los ciudadanos españoles puede constituir discriminación directa por razón de nacionalidad.
Construyendo un proceso de cribado con IA conforme
Un proceso conforme no significa un proceso más lento. El RGPD y la Ley de IA de la UE definen obligaciones, no diseños de flujo de trabajo. Con las bases adecuadas, puede ejecutar un proceso de cribado rápido y de gran volumen que cumpla todos los requisitos. Estos son los seis pasos para construirlo.
Documente sus herramientas de IA
Elabore un inventario de cada herramienta de IA o algorítmica utilizada en su proceso de selección. Para cada herramienta, documente su propósito, el proveedor, cómo procesa los datos de los candidatos, si produce decisiones o clasificaciones y qué documentación proporciona el proveedor en virtud de la Ley de IA de la UE.
Establezca su base jurídica
Para cada etapa en la que procese datos de candidatos, documente la base jurídica. Los intereses legítimos son habituales para el cribado inicial. El consentimiento puede ser necesario para conservar datos más allá del período de selección activa. Los datos de categoría especial requieren una base adicional del Artículo 9.
Actualice su aviso de privacidad
Su aviso de privacidad orientado a candidatos debe revelar qué datos recopila, su base jurídica, cuánto tiempo los conserva, si se utiliza la toma de decisiones automatizada y qué lógica está implicada, y cómo los candidatos pueden ejercer sus derechos, incluidos el acceso, la supresión, la corrección y la objeción.
Incorpore la revisión humana
Diseñe su proceso de manera que un ser humano revise genuinamente las salidas de la IA antes de que se tome una decisión con efectos significativos. Esto significa que el ser humano debe ver los materiales subyacentes del candidato, tener explicado el razonamiento de la IA y tener la capacidad práctica de anular la salida de la IA.
Cree un proceso de gestión de los derechos de los candidatos
Establezca un proceso documentado para gestionar las solicitudes de revisión del Artículo 22, las Solicitudes de Acceso del Titular (SAT) y las solicitudes de supresión. Los plazos de respuesta del RGPD son estrictos: un mes para las SAT, ampliable a tres en casos complejos. Los candidatos en selección activa frecuentemente presentan SAT, por lo que necesita un proceso preparado.
Establezca calendarios de conservación y eliminación
Configure su ATS o sistema de RR. HH. para señalar o eliminar automáticamente los datos de candidatos al alcanzar su período de conservación definido. Los procesos de eliminación manual fallan de forma consistente. La automatización es la única manera fiable de aplicar la conservación a escala.
Ir más lejos
Un proceso conforme y un proceso de contratación de calidad no están en conflicto. Lea nuestra guía sobre cómo mejorar la calidad de la contratación para conocer pasos prácticos que funcionan junto con su marco de cumplimiento.
Lista de verificación de auditoría de cumplimiento
Inventario de herramientas de IA documentado
Cada herramienta de IA/algorítmica en el proceso de selección listada con proveedor, propósito y clasificación en virtud de la Ley de IA de la UE.
Base jurídica documentada por etapa
Base jurídica registrada para cada actividad de tratamiento: cribado, entrevista, verificación de referencias, oferta y conservación.
Aviso de privacidad actualizado
El aviso de privacidad para candidatos revela el uso de IA, la base jurídica, los períodos de conservación y los derechos de los candidatos, incluido el Artículo 22.
Revisión humana implementada
Ningún candidato rechazado o preseleccionado basándose únicamente en resultados automatizados. El revisor humano tiene acceso al razonamiento de la IA y puede anularlo.
Proceso de derechos de candidatos operativo
Proceso documentado para SAT, solicitudes de revisión del Artículo 22 y solicitudes de supresión con un responsable asignado y plazos conformes al RGPD.
Calendario de conservación aplicado automáticamente
Eliminación o señalización forzada por el sistema al período de conservación definido. No depende de acciones manuales.
Sanciones y supervisión
Tanto el RGPD como la Ley de IA de la UE conllevan sanciones financieras sustanciales. Comprender la estructura de sanciones calibra el análisis de negocio: el coste de un programa de cumplimiento es una fracción del coste de una acción de supervisión material.
Sanciones del RGPD
La supervisión del RGPD opera en un sistema de dos niveles. Las infracciones menos graves, como registros inadecuados y avisos de privacidad ausentes, conllevan multas de hasta 10 millones de euros o el 2 % de la facturación anual global, la cifra que sea mayor. Las infracciones más graves, incluido el tratamiento sin base jurídica, la vulneración de los derechos de los interesados y la seguridad inadecuada, conllevan multas de hasta 20 millones de euros o el 4 % de la facturación anual global.
Sanciones de la Ley de IA de la UE
La Ley de IA de la UE aplica sanciones separadas. El uso de aplicaciones de IA prohibidas conlleva multas de hasta 35 millones de euros o el 7 % de la facturación anual global. Las infracciones relacionadas con los sistemas de IA de alto riesgo, incluido el incumplimiento de los requisitos de transparencia, supervisión humana o documentación, conllevan multas de hasta 15 millones de euros o el 3 % de la facturación anual.
Para una empresa con 50 millones de euros de ingresos anuales, una multa del 4 % del RGPD es de 2 millones de euros. Una multa del 3 % de la Ley de IA de la UE es de 1,5 millones de euros. Estos no son máximos teóricos. Son la estructura de sanciones real que los reguladores aplican cuando encuentran un incumplimiento material.
Errores de cumplimiento habituales
Tratar el cumplimiento del proveedor de IA como su propio cumplimiento
Que un proveedor sea conforme al RGPD en su propio tratamiento de datos no hace que su uso de su herramienta sea conforme. Usted es el responsable del tratamiento. Usted es responsable de establecer su base jurídica, proporcionar el aviso de privacidad y garantizar que los datos no se conserven más tiempo del necesario.
Confiar en el consentimiento como base jurídica para el cribado
El consentimiento debe ser libremente otorgado. Los candidatos que necesitan un trabajo y quieren ser considerados para él no están en posición de rechazar libremente el consentimiento. Las directrices de la AEPD sobre datos de empleo dejan claro que el consentimiento raramente es la base jurídica adecuada para el tratamiento en la selección de personal.
Revisión humana nominal que no satisface el Artículo 22
Construir un paso de revisión donde una persona hace clic en aprobar en cada recomendación de IA sin comprometerse con los datos subyacentes no satisface el requisito de supervisión humana. Si la revisión humana no es genuina, sigue tomando decisiones basadas únicamente en el tratamiento automatizado.
No actualizar el aviso de privacidad cuando cambian las herramientas de IA
Introducir una nueva herramienta de cribado de IA, o cambiar la que utiliza, activa la obligación de actualizar su aviso de privacidad para candidatos. Los candidatos tienen derecho a saber, en el momento de la solicitud, qué tratamiento automatizado se aplicará a sus datos.
Sin proceso para los fallos en las verificaciones del derecho al trabajo
Los empleadores a veces realizan verificaciones del derecho al trabajo pero no tienen un proceso documentado sobre qué hacer cuando una verificación falla o devuelve un resultado poco claro. Sin un proceso documentado, los responsables individuales toman decisiones inconsistentes, algunas de las cuales pueden constituir discriminación ilegal.
Preguntas frecuentes
Lo siguiente en la serie
ATS con cribado de IA: Guía para compradores
Cómo evaluar plataformas ATS con cribado de IA nativo frente a herramientas adicionales, y qué buscar cuando el cumplimiento es un requisito.
Volver a todas las guías