Una empresa puede estudiar herramientas de IA para organizar candidaturas, pero no debería convertir una puntuación automática en una decisión incuestionable. La AEPD advirtió en septiembre de 2026 sobre un proyecto de análisis de currículums y recordó que la protección de datos debe integrarse desde el diseño. Antes de implantarlo, revisa finalidad, necesidad, sesgos y supervisión humana.
Índice
- ¿Qué ha advertido la AEPD sobre la selección con IA?
- ¿Qué tareas administrativas sí se pueden simplificar?
- ¿Por qué una puntuación de candidatos puede ser problemática?
- ¿Qué exige revisar el RGPD antes de implantar el sistema?
- ¿Cómo diseñar un piloto responsable en una pyme?
- Cómo lo hemos abordado en meiika
- Preguntas frecuentes
¿Qué ha advertido la AEPD sobre la selección con IA?
El 23 de septiembre de 2026, la Agencia Española de Protección de Datos informó de una advertencia dirigida a una empresa que evaluaba un sistema para analizar currículums y asignar puntuaciones. La nota reconoce que la IA puede contribuir a la eficiencia, pero insiste en incorporar las garantías de protección de datos desde el inicio.
El mensaje no es que cualquier automatización de recursos humanos esté prohibida. Tampoco es una autorización general para clasificar personas con cualquier modelo. El punto decisivo es qué información se trata, para qué, con qué impacto y quién decide.
Imagina una asesoría con varias vacantes administrativas. Recibe candidaturas por correo, descarga adjuntos, busca disponibilidad y coordina entrevistas. Hay trabajo organizativo que puede simplificarse sin delegar en una máquina la decisión sobre quién merece una oportunidad.
Ahora cambia el escenario: el sistema lee los currículums, asigna un número de «idoneidad» y descarta automáticamente a quienes quedan por debajo de un umbral que nadie sabe explicar. Ahí aparecen riesgos de discriminación, errores de interpretación y decisiones que afectan a personas concretas.
La diferencia entre ambos diseños no se resuelve con una etiqueta de «IA responsable». Se resuelve documentando el uso, limitando las funciones y estableciendo controles reales. Una herramienta que parece ahorrar tiempo puede generar más problemas si el equipo no puede corregir sus errores.
Fuente: AEPD, garantías para utilizar IA en el análisis de currículums, 23/09/2026. También consta en el índice oficial de notas de prensa. Consulta: 09/10/2026.
¿Qué tareas administrativas sí se pueden simplificar?
Conviene separar gestión de candidaturas de evaluación de personas. La primera contiene tareas repetitivas que no requieren necesariamente inferir rasgos personales. La segunda puede tener consecuencias importantes y exige una evaluación mucho más rigurosa.
En un proceso de selección pequeño pueden aparecer estas necesidades:
- Confirmar la recepción de una candidatura sin prometer una entrevista.
- Registrar la fecha y el puesto al que se presenta la persona.
- Evitar que se pierdan correos o documentos entre bandejas compartidas.
- Avisar al equipo de que falta revisar una solicitud.
- Proponer horarios de entrevista y registrar una confirmación.
- Aplicar el plazo de conservación que la empresa haya definido conforme a la normativa.
Estas funciones no están exentas de obligaciones: siguen tratando datos personales y requieren controles. Pero su finalidad es distinta de predecir la calidad de una persona mediante patrones estadísticos.
Por ejemplo, una automatización puede crear una tarea interna cuando llega una candidatura a una dirección designada. No necesita deducir la edad, el origen, la situación familiar ni otros atributos sensibles. Cuantos menos datos use para resolver el problema, más fácil será explicar y supervisar el flujo.
También puede detectar solicitudes sin respuesta o entrevistas duplicadas. Esa mejora se mide por el orden del proceso, no por promesas de contratación.
Hay que diseñar qué ocurre cuando el archivo no se abre, el correo contiene datos de otra persona o el candidato solicita ejercer un derecho. El proceso debe seguir siendo gestionable por humanos y no depender de que el modelo responda siempre correctamente.
¿Por qué una puntuación de candidatos puede ser problemática?
Una puntuación parece objetiva porque se expresa con un número. Sin embargo, el número depende de criterios, datos y decisiones de diseño. Si el sistema favorece determinadas palabras, trayectorias o formatos de currículum, puede penalizar candidaturas válidas sin que el equipo lo advierta.
Imagina una empresa que necesita una persona para atención al cliente en español y catalán. Un sistema entrenado con descripciones genéricas podría valorar más ciertas expresiones técnicas que la experiencia práctica de resolver incidencias. Ese ejemplo es hipotético, pero muestra por qué hay que contrastar el criterio con el trabajo real.
Otra dificultad es la calidad del dato. Un currículum puede omitir experiencias relevantes, contener abreviaturas o presentar información en un diseño que un extractor interprete mal. Si el resultado se usa para excluir, un error de lectura puede convertirse en una decisión injusta.
El Reglamento europeo de inteligencia artificial, Reglamento (UE) 2024/1689, incluye usos de IA en empleo y selección dentro de su marco de sistemas de alto riesgo, con matices y excepciones que deben examinarse según la función concreta. No todos los sistemas que intervienen en recursos humanos tienen automáticamente el mismo encaje jurídico.
El RGPD también se aplica. Aunque sea una herramienta interna, la empresa debe justificar finalidad, necesidad y garantías.
El objetivo no es conseguir que un algoritmo imite sin más las decisiones históricas de la organización. Si esas decisiones contienen sesgos, automatizarlas puede reproducirlos. La supervisión humana tiene que poder cuestionar el resultado, no limitarse a pulsar aceptar.
Fuente: Comisión Europea, anexo III del Reglamento de IA. Consulta: 09/10/2026.
¿Qué exige revisar el RGPD antes de implantar el sistema?
El RGPD exige una base jurídica adecuada para el tratamiento y principios como minimización, limitación de finalidad, exactitud y transparencia. La aplicación concreta depende del proceso y de la herramienta. No basta con añadir una casilla genérica a un formulario.
Antes de contratar, pregunta dónde se alojan los datos, qué proveedor accede a ellos, si se utilizan para entrenar modelos, durante cuánto tiempo se conservan y cómo se atienden solicitudes de acceso o supresión cuando correspondan. Las respuestas deben figurar en documentación contractual y técnica verificable.
Hay que estudiar si procede una evaluación de impacto relativa a la protección de datos conforme al artículo 35 del RGPD. También debe analizarse el artículo 22 cuando existan decisiones basadas únicamente en tratamientos automatizados con efectos jurídicos o significativamente similares. No toda recomendación automática activa sin más ese artículo, pero ignorarlo sería imprudente.
Una revisión humana nominal no basta si la persona no dispone de información, tiempo o autoridad para cambiar el resultado. Si una herramienta recomienda descartar a alguien, el responsable debería poder revisar el fundamento y corregir errores. Cuando eso no sea posible, quizá el sistema no sea adecuado para ese uso.
Si se trata de un proveedor externo, verifica el contrato de encargo de tratamiento cuando corresponda, las transferencias internacionales, las medidas de seguridad y los mecanismos de borrado. No envíes currículums reales a una herramienta de IA pública sin haber aclarado antes esas condiciones.
La información a candidatos debe ser comprensible y ajustada a las obligaciones aplicables.
Fuentes: RGPD, Reglamento (UE) 2016/679 y recursos de innovación de la AEPD. Consulta: 09/10/2026.
¿Cómo diseñar un piloto responsable en una pyme?
Empieza por un problema que puedas describir sin hablar de algoritmos: «las candidaturas llegan a tres correos y no sabemos quién ha contestado». Esa formulación permite estudiar una solución de organización antes de plantear clasificación automática.
Define después qué hará el sistema y qué queda expresamente fuera. Puede registrar la llegada de un correo, asignar una tarea y recordar una respuesta pendiente. No tiene por qué evaluar personalidad, inferir rasgos protegidos ni decidir a quién se entrevista.
Utiliza datos de prueba o ejemplos adecuadamente preparados para validar el circuito. Comprueba adjuntos corruptos, nombres duplicados, solicitudes retiradas y mensajes enviados por error. Diseña una forma de detener el flujo y corregir registros sin perder el historial necesario.
Acuerda quién es responsable de revisar las incidencias. Si el proveedor modifica su modelo o cambia las condiciones del servicio, la empresa debe saber cómo detectarlo y evaluar si afecta a sus garantías. Un piloto no termina cuando «funciona» una vez; termina cuando se entiende cómo falla.
Evita imponer infraestructura desproporcionada. A veces bastan un formulario claro y un calendario compartido. Automatiza solo lo que resuelve una necesidad real con riesgos controlables.
Antes de escalar, revisa el piloto con las personas responsables de selección y protección de datos. Documenta decisiones, límites, incidencias y criterios de aceptación. Si no puedes explicar el sistema de manera sencilla, todavía no está listo para intervenir en decisiones sensibles.
Cómo lo hemos abordado en meiika
En meiika planteamos los sistemas a medida y los agentes de autogestión partiendo de las tareas concretas y de sus límites. En un proceso de selección, el primer paso sería distinguir gestión administrativa de evaluación de candidaturas.
No presentamos herramientas propias de puntuación de personas, clientes de recursos humanos ni resultados de selección que no estén documentados. Si un proyecto requiere valorar candidatos con IA, su encaje legal, sus riesgos y las garantías aplicables deben revisarse con profesionales especializados antes de implantarlo.