IA en selección de personal: qué exige Europa y cómo implementarla sin riesgos

Julio de 2026 dejó dos documentos que conviene leer juntos. Uno lo firma la Comisión Europea y explica cómo va a tratar el regulador a los sistemas de inteligencia artificial que seleccionan personas. El otro es una investigación técnica independiente que muestra qué está fallando ya en las plataformas comerciales que hacen exactamente eso.

Leídos por separado, cada uno es interesante. Leídos juntos, dibujan una conclusión bastante incómoda para cualquier empresa que esté cribando currículos con un algoritmo: la herramienta que promete objetividad puede estar introduciendo, sin que nadie lo note, un margen de arbitrariedad difícil de justificar ante un candidato, ante la Agencia Española de Protección de Datos o ante un juzgado de lo social.

Como abogados especialistas en derecho digital y protección de datos, en Easy Telecom Law Firm acompañamos a proveedores tecnológicos y a departamentos de recursos humanos en esta transición. A continuación resumimos lo esencial y cerramos con un checklist práctico para implementar IA en selección de personal con seguridad jurídica.

Lo que dice la Comisión Europea: la IA en el empleo, bajo vigilancia

El 22 de julio de 2026 la Comisión publicó su Comunicación sobre el Pilar Europeo de Derechos Sociales, COM(2026) 650 final [1]. Es el documento con el que revisa la aplicación del Pilar Social y fija prioridades de aquí a 2030. Su apartado 3.2 se dedica íntegramente a la inteligencia artificial y el futuro del trabajo, y contiene afirmaciones que conviene subrayar.

Perfilado y emparejamiento laboral: alto riesgo

La Comisión afirma con claridad que las herramientas de perfilado y emparejamiento laboral basadas en IA serán frecuentemente consideradas sistemas de alto riesgo conforme al Anexo III, puntos 4 y 5, del Reglamento de IA [1].

Esto no es una novedad normativa —el Anexo III ya estaba escrito—, pero sí es un cambio de tono. Hasta ahora existía cierto margen para discutir si una herramienta concreta de cribado encajaba en la categoría. Con la posición expresa de la Comisión sobre la mesa, esa discusión se ha vuelto mucho menos cómoda de sostener.

Las consecuencias se reparten en dos direcciones:

• Los proveedores quedan sujetos a obligaciones estrictas dirigidas a que el sistema no genere riesgos para los derechos fundamentales, sea preciso, carezca de sesgo y admita una supervisión adecuada.
• Los desplegadores —es decir, la empresa que contrata y usa la herramienta— asumen obligaciones propias de supervisión humana, seguimiento del funcionamiento y conservación de registros.

Dicho de otro modo: comprar la herramienta a un tercero no traslada el problema al tercero.

Dos líneas rojas que la Comunicación recuerda expresamente

La Comisión aprovecha para recordar dos prácticas prohibidas por el artículo 5 del Reglamento de IA y directamente relevantes en el ámbito laboral [1]:

• Los sistemas que infieren emociones en el lugar de trabajo (artículo 5.1.f).
• La categorización biométrica de personas por características como la afiliación sindical (artículo 5.1.g).

Merece la pena mirar con lupa cualquier funcionalidad de “análisis de tono”, “lectura de actitud” o “evaluación de engagement” en entrevistas en vídeo. La frontera está más cerca de lo que parece.

El sesgo, tratado como riesgo estructural

La Comunicación advierte de que el uso de IA en el mercado laboral conlleva riesgo de sesgo algorítmico, incluidos los sesgos incorporados en los datos de entrenamiento, que pueden reforzar desigualdades y discriminación [1]. No lo plantea como un fallo puntual a corregir, sino como una característica estructural que exige diseño, prueba y vigilancia continuada.

También hay lectura positiva

Conviene no quedarse solo con la parte defensiva. La misma Comunicación reconoce que las herramientas de perfilado y emparejamiento pueden ayudar a los servicios públicos de empleo a ofrecer apoyo más específico, mejorar el emparejamiento y anticipar riesgos de desempleo [1]. Para un proveedor tecnológico bien preparado, eso es un argumento comercial y una puerta de entrada al cliente público.

El contexto de mercado que aporta la Comisión refuerza esa lectura: cerca del 20 % de las empresas de la UE usaba alguna forma de IA generativa en 2025; el 61 % de los trabajadores europeos cree que necesitará nuevas competencias para 2029 y solo el 15 % ha recibido formación [1]. La demanda existe y está institucionalmente reconocida.

Lo que ocurre en la práctica: la investigación de Privacy International

El 9 de julio de 2026, la organización Privacy International publicó los resultados de una investigación realizada entre enero y febrero de 2026 sobre dos plataformas comerciales de reclutamiento con IA: un sistema de seguimiento de candidaturas con enriquecimiento de perfiles a partir de redes sociales y una plataforma de cribado de currículos con entrevistas en vídeo automatizadas [2].

Los hallazgos son un buen recordatorio de que la distancia entre el folleto comercial y el comportamiento real del sistema puede ser considerable.

La misma entrada no produce la misma salida

Currículos idénticos presentados a vacantes idénticas obtuvieron puntuaciones distintas: entre 5,5 y 7,23 sobre 10 en una plataforma, y 55 % frente a 78 % en la otra [2]. En algunos casos, esa diferencia era exactamente la que separaba pasar a entrevista de ser rechazado.

Para un jurista, esto tiene un nombre: falta de reproducibilidad. Y hace prácticamente imposible explicar una decisión.

Los currículos escritos por IA puntúan mejor que los escritos por personas

Ambas plataformas valoraron más favorablemente los currículos redactados con herramientas generativas que los escritos por personas, incluso cuando aquellos conservaban texto de relleno sin completar en el apartado de formación [2]. La explicación probable es un emparejamiento basado en palabras clave, no en méritos.

La paradoja es evidente: el sistema que se vende para filtrar ruido puede estar premiando precisamente al candidato que mejor domina la optimización por palabras clave.

Ninguna explicabilidad y una valoración por defecto

Ninguna de las plataformas explicaba cómo se convierte la información cualitativa de un currículo en una puntuación numérica, ni publicaba las ponderaciones aplicadas [2]. Además, el diseño de la interfaz incentivaba confiar en la puntuación automática antes que en el propio currículo y, en el momento de las pruebas, el reclutador no podía modificarla. Una de las plataformas informó después de que su versión actual ya lo permite; la otra no respondió [2].

Aquí está el punto crítico desde el RGPD: si el resultado algorítmico opera como valoración por defecto y el reclutador se limita a refrendarlo, lo que hay no es un apoyo a la decisión, sino una decisión basada únicamente en tratamiento automatizado en el sentido del artículo 22 del RGPD, con todas las consecuencias que ello implica.

Filtros rígidos y modelos que cambian a mitad de proceso

La investigación documentó umbrales de cribado aplicados de forma incoherente y preguntas eliminatorias que descartaron a un candidato por declarar lenguajes de programación equivalentes pero distintos a los esperados, cuando un evaluador humano probablemente lo habría considerado incluso sobrecualificado [2].

Y un detalle que rara vez aparece en los pliegos: una de las plataformas publica una versión nueva aproximadamente cada mes, con cambios en el modelo y en la lógica de puntuación [2]. Candidatos del mismo proceso pueden así ser evaluados con criterios distintos según el día en que se inscribieron. Difícil de defender ante una reclamación por trato desigual.

El calendario real: qué es exigible hoy y qué llega en 2027

Aquí conviene ser preciso, porque circulan dos lecturas erróneas: ni se ha aplazado todo, ni se ha desactivado el Reglamento de IA.

El Reglamento (UE) 2026/1744 “Ómnibus digital sobre IA”, está en vigor desde el 27 de julio de 2026 [3]. Lo que hace es reajustar el calendario:

El Ómnibus no aplaza el Reglamento de IA: aplaza el capítulo III, secciones 1, 2 y 3, relativo al alto riesgo, hasta el 2 de diciembre de 2027 para el anexo III y el 2 de agosto de 2028 para el anexo I [3]. Lo que afecta al uso cotidiano de la IA en una empresa —prácticas prohibidas, alfabetización del artículo 4 y transparencia del artículo 50— sigue plenamente vigente [4].

Tampoco cambia el contenido de los artículos 9 a 15 ni el régimen sancionador. Solo la fecha en que empiezan a exigirse.

Traducción práctica: hay unos dieciséis meses de margen para preparar el cumplimiento del alto riesgo. No son dieciséis meses de vacaciones. La documentación técnica, el sistema de gestión de riesgos, la trazabilidad de la puntuación y los protocolos de prueba de sesgo no se improvisan en el último trimestre, y muchas de esas piezas hay que construirlas dentro del producto, no encima de él.

Y hay una parte que no espera a 2027: el RGPD ya es aplicable. El artículo 22, el deber de información, el derecho de acceso y la evaluación de impacto son exigibles hoy a cualquiera que esté cribando candidatos con un algoritmo.

Checklist: cómo implementar IA en selección de personal

Este es el guion que utilizamos en nuestros proyectos de adecuación. Sirve tanto para el proveedor que desarrolla la herramienta como para la empresa que la despliega en sus procesos de selección.

1. Clasificación y gobernanza

• Determinar y documentar por escrito el rol de la organización: proveedor, desplegador o ambos.
• Analizar y documentar la clasificación del sistema conforme al Anexo III, puntos 4 y 5. Si la conclusión es “no es alto riesgo”, el razonamiento debe estar escrito y ser defendible.
• Verificar que ninguna funcionalidad —actual o prevista en el roadmap— se aproxima a las prácticas prohibidas del artículo 5: inferencia de emociones y categorización biométrica.
• Asignar un responsable interno del sistema de IA, con nombre y apellidos.
• Implantar un sistema de gestión de riesgos y de calidad proporcionado al tamaño de la organización. Existe formato de documentación técnica simplificado para pymes.

2. Datos y sesgo

• Documentar el origen, la composición y las limitaciones de los datos de entrenamiento y validación.
• Establecer un protocolo periódico de pruebas de sesgo: comportamiento del algoritmo frente a edad, procedencia, género, interrupciones de carrera e idioma del perfil.
• Conservar los resultados de esas pruebas. Un protocolo sin evidencia archivada no acredita nada.
• Definir un umbral de desviación aceptable y qué se hace cuando se supera.
• Revisar si la herramienta enriquece perfiles con datos de redes sociales y, en su caso, si existe base jurídica para ello. Es uno de los puntos más frágiles del mercado.

3. Reproducibilidad y versionado

•  Misma entrada, misma puntuación. Si el sistema no es determinista, hay que saber por qué y acotar la dispersión.
• Registrar la versión exacta del modelo que evaluó a cada candidato.
• Congelar la versión mientras el proceso de selección permanezca abierto. Nadie debería ser evaluado con criterios distintos por haberse inscrito un martes en lugar de un jueves.
• Conservar registros (logs) de la actividad del sistema durante el plazo que corresponda.

4. Explicabilidad

• Poder acreditar cómo se calcula la puntuación y con qué ponderación. Sin esto no se puede atender un derecho de acceso ni explicar la decisión a un candidato.
• Comprobar que las explicaciones que genera la herramienta son coherentes con la puntuación que la acompaña.
• Preparar una plantilla de respuesta para solicitudes de acceso y para candidatos que impugnen su resultado.

5. Supervisión humana efectiva

• El reclutador debe poder modificar la puntuación y motivar su decisión.
• El resultado algorítmico no debe presentarse como valoración por defecto en la interfaz. Esto es diseño de producto, no una cláusula contractual.
• Documentar quién revisa, cuándo y con qué criterio. Un “revisado” sin rastro no es supervisión.
• Formar a quien supervisa: debe conocer las limitaciones de la herramienta y tener autoridad real para apartarse de ella.
• Vigilar el sesgo de anclaje en los módulos comparativos de candidaturas: ver una puntuación antes que el currículo condiciona el juicio.

6. Protección de datos

• Realizar la evaluación de impacto (EIPD) antes de poner el sistema en producción.
• Definir la base jurídica del tratamiento y actualizar el registro de actividades.
• Informar a los candidatos, de forma clara y accesible, de que interviene un sistema automatizado y de la lógica aplicada.
• Establecer y publicar el canal para impugnar un resultado y obtener intervención humana.
• Fijar plazos de conservación de currículos, grabaciones de entrevistas y transcripciones.

7. Proveedores y contratos

• Exigir al proveedor documentación técnica, instrucciones de uso y evidencia de las pruebas de sesgo. No basta con la ficha comercial.
• Regular contractualmente la política de actualización del modelo: preaviso, versionado y efectos sobre procesos abiertos.
• Revisar las cláusulas de traslado de responsabilidad. Que el contrato diga que el empleador responde de sus decisiones de contratación no desplaza las obligaciones propias del proveedor conforme al Reglamento de IA.
• Acordar cómo se coopera ante un ejercicio de derechos o una inspección.

8. Personas y formación

• Cumplir el deber de alfabetización en IA del artículo 4, ya exigible, para el personal que usa la herramienta.
• Informar y, cuando proceda, consultar a la representación de los trabajadores.
• Documentar la formación impartida.

Un algoritmo que premia la optimización por palabras clave reproduce exactamente el ruido que la plataforma promete eliminar. Poder acreditar lo contrario —con reproducibilidad, con pruebas de sesgo archivadas, con explicabilidad real— no es solo cumplimiento normativo. Es una ventaja competitiva que hoy muy pocos proveedores del mercado pueden ofrecer.

¿Vas a implantar IA en tus procesos de selección? Te ayudamos

En Easy Telecom Law Firm prestamos servicios de adecuación al Reglamento de Inteligencia Artificial y a la normativa de protección de datos: análisis y documentación de la clasificación del sistema, sistema de gestión de riesgos y de calidad, documentación técnica en formato simplificado para pymes, evaluación de impacto, diseño de los mecanismos de supervisión humana y trazabilidad de la puntuación, protocolo de pruebas de sesgo y revisión de las condiciones de uso frente a clientes reclutadores.

Si quieres profundizar en el marco general, puedes leer nuestro artículo sobre el Reglamento Europeo de IA y cómo afecta a las empresas, o consultar nuestros servicios de cumplimiento normativo y derechos digitales y TI.

Diciembre de 2027 parece lejos. Los sistemas que se están diseñando ahora ya estarán en producción entonces. Contacta con nosotros para una consulta inicial y planteemos el alcance y el calendario que necesita tu organización.

Referencias

[1] Comisión Europea. (2026, 22 de julio). Comunicación de la Comisión al Parlamento Europeo, al Consejo, al Comité Económico y Social Europeo y al Comité de las Regiones sobre el Pilar Europeo de Derechos Sociales. COM(2026) 650 final.

[2] Privacy International. (2026, 9 de julio). Humanless Resources? Uncovering AI recruitment software. https:// privacyinternational.org/long-read/5798/humanless-resources-uncovering-ai-recruitment-software

[3] Reglamento (UE) 2026/1744 del Parlamento Europeo y del Consejo, de 8 de julio de 2026 (Ómnibus digital sobre IA). DOUE, 24 de julio de 2026; en vigor desde el 27 de julio de 2026.

[4] Reglamento (UE) 2024/1689 del Parlamento Europeo y del Consejo, de 13 de junio de 2024, por el que se establecen normas armonizadas en materia de inteligencia artificial (Reglamento de Inteligencia Artificial).

[5] Reglamento (UE) 2016/679, General de Protección de Datos, artículos 22 y 35.