La AEPD exige garantías al usar IA para analizar currículums

La Agencia Española de Protección de Datos (AEPD), en una advertencia (referencia EXP202600427), recuerda las garantías que deben observarse antes de implantar una herramienta de inteligencia artificial destinada al cribado y evaluación de candidaturas en procesos de selección de personal y movilidad interna.

El sistema proyectado analizaría currículums, asignaría puntuaciones según la adecuación al puesto y permitiría priorizar candidaturas. Aunque todavía no se había implantado en España, la empresa ya había comunicado a su personal su próxima utilización y que la decisión final correspondería a una persona.

La advertencia tiene carácter preventivo. La AEPD actúa al amparo del artículo 58.2.a) del RGPD, que permite advertir al responsable o encargado cuando unas operaciones de tratamiento previstas puedan infringir el Reglamento. La medida no declara que se haya cometido una infracción, sino que permite anticipar riesgos y adaptar el proyecto antes de su puesta en funcionamiento.

Protección de datos desde el diseño

La Agencia subraya que el RGPD no impide utilizar inteligencia artificial en la selección y gestión de personas. Estas herramientas pueden mejorar la eficiencia, consistencia y calidad de la evaluación, pero deben incorporar las garantías de protección de datos desde las fases iniciales de diseño, evaluación, selección, configuración e implantación.

Conforme a los artículos 24 y 25 del RGPD, la empresa deberá adoptar medidas técnicas y organizativas apropiadas para garantizar y demostrar que el tratamiento cumple la normativa. La protección de datos desde el diseño no se limita a aplicar medidas de seguridad, sino que exige integrar de forma efectiva los principios y garantías del RGPD en todo el tratamiento.

Evaluación de riesgos e impacto

La entidad deberá analizar los riesgos que el tratamiento pueda generar para los derechos y libertades de las personas candidatas y trabajadoras durante todo el ciclo de vida de la herramienta.

Cuando, por su naturaleza, alcance, contexto o fines, el tratamiento pueda entrañar un alto riesgo, será necesario realizar antes de su inicio una evaluación de impacto relativa a la protección de datos, de acuerdo con el artículo 35 del RGPD. Este precepto contempla expresamente la evaluación sistemática basada en tratamientos automatizados cuando sustente decisiones con efectos jurídicos o que afecten significativamente a las personas. 

La documentación complementaria sobre selección de personal también destaca la responsa respecto de los datos incluidos en los currículums y la necesidad de informar sobre la finalidad, legitimación, conservación, destinatarios y derechos de las personas candidatas.

Transparencia frente a candidatos y trabajadores

La AEPD considera especialmente relevante el principio de transparencia cuando la herramienta evalúa candidaturas y genera una puntuación sobre su adecuación al puesto. Las personas afectadas deberán recibir información clara, accesible y comprensible sobre el tratamiento de sus datos, sus finalidades y la función concreta que desempeña el sistema en la evaluación.

Si concurren los requisitos propios de una decisión automatizada, también deberán facilitarse las informaciones específicas previstas en los artículos 13.2.f) y 14.2.los datos del currículum no deben emplearse para finalidades incompatibles ni conservarse indefinidamente sin una base jurídica válida y la debida información.

La intervención humana debe ser efectiva

La empresa había indicado que la decisión final de cribado o descarte correspondería a una persona. La Agencia precisa que esta intervención solo será efectiva si quien decide puede valorar críticamente la puntuación proporcionada por el sistema y adoptar una resolución propia, sin asumir automáticamente el resultado generado por la IA.

El artículo 22 del RGPD reconoce el derecho a no ser objeto de una decisión basada únicamente en un tratamiento automatizado, incluida la elaboración de perfiles, cuando produzca efectos jurídicos o afecte significativamente de modo similar. Su aplicación dependerá del funcionamiento real de la herramienta y del grado efectivo de intervención humana. 

Impacto práctico para las empresas

Antes de utilizar IA para puntuar o priorizar currículums, las empresas deberán documentar el funcionamiento del sistema, evaluar sus riesgos, incorporar garantías desde el diseño, informar adecuadamente a las personas afectadas y asegurar una supervisión humana real.

La AEPD advierte de que la falta de adopción de las medidas necesarias podría dar lugar a actuaciones de investigación o correctivas, incluidas las sancionadoras. No obstante, la advertencia analizada es preventiva y no implica que la entidad destinataria haya cometido una infracción.

Fuente. Noticia AEPD. 23/09/2026.