Sí, puedes. Usar IA para seleccionar personal o filtrar currículums no está prohibido, pero el Reglamento (UE) 2024/1689 lo clasifica como alto riesgo (Anexo III, empleo), y eso te convierte en responsable del despliegue con las obligaciones del artículo 26, aplicables desde el 2 de diciembre de 2027 tras el Digital Omnibus. Ya hoy te aplican el RGPD (artículos 13, 14, 22 y 35), el artículo 64.4.d del Estatuto de los Trabajadores y, desde febrero de 2025, las prohibiciones del artículo 5, como el reconocimiento de emociones en entrevistas.
Por qué es alto riesgo y qué exigirá el artículo 26
El Anexo III del Reglamento incluye entre los sistemas de alto riesgo los que se usan para contratar o seleccionar personas: publicar ofertas dirigidas, filtrar o analizar candidaturas y evaluar candidatos. Da igual que sea un módulo de tu software de RRHH o un servicio externo: si lo usas para eso, tu empresa es responsable del despliegue.
El artículo 26, que el Reglamento (UE) 2026/1744 aplazó al 2 de diciembre de 2027 para el Anexo III, te pedirá usar el sistema según las instrucciones del proveedor, asignar la supervisión humana a personas competentes con autoridad para intervenir, usar datos de entrada pertinentes, vigilar el funcionamiento, conservar los registros del sistema al menos seis meses, informar a los representantes de los trabajadores y a los trabajadores afectados antes de ponerlo en marcha (26.7) e informar a las personas afectadas por sus decisiones (26.11). El artículo 86 añade el derecho a una explicación. Lo desarrolla la guía sobre IA en recursos humanos.
La evaluación de impacto en derechos fundamentales del artículo 27 no te afecta: solo obliga a organismos públicos, entidades que prestan servicios públicos y a banca y seguros.
Lo que ya te aplica hoy: el RGPD
Un currículum son datos personales, y filtrarlo con IA es un tratamiento. El artículo 22 del RGPD prohíbe que una persona quede sometida a una decisión basada únicamente en un tratamiento automatizado con efectos jurídicos o similares, y descartar una candidatura lo es. Salvo que encaje en una de sus excepciones, necesitas intervención humana significativa: alguien con criterio y capacidad real de cambiar el resultado revisa antes de descartar, no un clic de confirmación.
El artículo 35 exige una evaluación de impacto en protección de datos cuando el tratamiento supone alto riesgo, y la lista de la AEPD incluye la evaluación o perfilado de personas con nuevas tecnologías. Los artículos 13 y 14 obligan a informar al candidato, al recoger sus datos, de que se usa un sistema automatizado, con qué lógica y consecuencias. Si el proveedor trata los datos por tu cuenta, necesitas el contrato de encargado del artículo 28. La AEPD sanciona hoy, hasta 20 millones de euros o el 4 % de la facturación.
Lo que ya te aplica hoy: la normativa laboral
Desde el 12 de mayo de 2021, el artículo 64.4.d del Estatuto de los Trabajadores obliga a informar al comité de empresa o a los delegados de personal sobre los parámetros, reglas e instrucciones de los algoritmos que afectan al acceso y mantenimiento del empleo. Un filtro de currículums entra de lleno. Si tienes representación legal, debes entregar esa información, y la Inspección de Trabajo puede exigirla hoy.
El Real Decreto 723/2026, en vigor el 5 de octubre de 2026, añade la obligación de informar por escrito a cada trabajador de los sistemas algorítmicos usados para decisiones sobre horarios, tareas, retribución, promoción, lugar de trabajo o extinción. Se dirige a quienes ya son trabajadores, no a candidatos externos. Pero si tu herramienta de selección se usa también para promociones internas, sí queda dentro.
Lo que está prohibido desde 2025
El artículo 5 del Reglamento prohíbe desde el 2 de febrero de 2025 los sistemas que infieren emociones en el ámbito laboral, salvo por razones médicas o de seguridad. Una entrevista en vídeo analizada por IA para medir «entusiasmo», «sinceridad» o «estrés» del candidato entra en esa prohibición. También están prohibidos el scoring social y el scraping indiscriminado de imágenes faciales. Es la infracción más grave del Reglamento: hasta 35 millones de euros o el 7 % de la facturación (a las pymes se les aplica el importe menor, artículo 99.6). El detalle está en la guía sobre prácticas prohibidas del artículo 5.
Pregunta al proveedor qué hace exactamente el sistema. Si una herramienta de videoentrevista analiza expresión facial o voz y no puedes desactivarlo, o el proveedor no te lo confirma por escrito, no la uses.
El problema de los sesgos
Un modelo entrenado con contrataciones pasadas reproduce sus patrones, incluidos los que no quieres: puede penalizar huecos en el currículum (que a menudo coinciden con permisos de maternidad), ciertos nombres o centros de estudios. Aunque no vea el sexo o la edad, puede inferirlos. La discriminación en el acceso al empleo ya está prohibida por el Estatuto de los Trabajadores y la normativa de igualdad, y una decisión sesgada es responsabilidad tuya, no del proveedor. Define criterios objetivos del puesto antes de configurar la herramienta, revisa periódicamente quién pasa el filtro por grupos y guarda muestras de decisiones para poder explicarlas si alguien reclama.
Qué puedes hacer hoy y qué tienes que preparar para 2027
| Qué puedes hacer hoy | Qué tienes que preparar para el 2 de diciembre de 2027 |
|---|---|
| Ordenar, resumir o preclasificar candidaturas con IA, con revisión humana real antes de cualquier descarte (RGPD art. 22). | Documentar quién supervisa, con qué formación y con qué facultades para corregir o detener el sistema (art. 26). |
| Informar a los candidatos de que se usa IA, con qué lógica y consecuencias (RGPD arts. 13-14). | Informar a las personas afectadas y atender el derecho a explicación (arts. 26.11 y 86). |
| Hacer la EIPD (RGPD art. 35) y firmar el contrato de encargado con el proveedor (art. 28). | Conservar los registros del sistema al menos seis meses y vigilar su funcionamiento. |
| Entregar a la RLT la información del algoritmo (ET art. 64.4.d) y el anexo del RD 723/2026 si se usa con la plantilla. | Informar a representantes y trabajadores afectados antes de poner en marcha o cambiar el sistema (art. 26.7). |
| No usar reconocimiento de emociones en entrevistas ni scoring social (art. 5, ya en vigor). | Usar el sistema según las instrucciones del proveedor y con datos de entrada pertinentes. |
La columna izquierda es exigible hoy por la AEPD y la Inspección de Trabajo. El régimen sancionador español del Reglamento de IA depende del proyecto de Ley Orgánica de gobernanza de la IA, que a 15 de septiembre de 2026 sigue en el Congreso sin publicarse en el BOE.
Checklist
- Anota la herramienta en tu inventario de sistemas de IA: qué hace y qué datos trata.
- Pide al proveedor por escrito sus criterios, si analiza emociones o biometría, y las instrucciones de uso.
- Confirma que ningún descarte se produce sin revisión humana significativa.
- Actualiza la información al candidato en ofertas y formularios.
- Haz o revisa la EIPD y el contrato de encargado.
- Entrega la información del algoritmo a la representación legal de los trabajadores si la hay.
- Define criterios del puesto, revisa resultados por grupos y guarda muestras de decisiones.
- Forma a quien vaya a supervisar el sistema y deja constancia.
Si quieres saber en qué punto está tu empresa con esta y el resto de obligaciones, el diagnóstico gratuito de Gobernaia te lo dice en unos minutos.
Fuentes
- Reglamento (UE) 2024/1689 de Inteligencia Artificial, arts. 5, 26, 27, 86, 99 y Anexo III
- Reglamento (UE) 2026/1744 (Digital Omnibus de IA), que modifica el Reglamento (UE) 2024/1689
- AEPD: Adecuación al RGPD de tratamientos que incorporan IA
- Ministerio de Trabajo: Información algorítmica en el ámbito laboral (guía)
- Real Decreto 723/2026, de 9 de septiembre (BOE 15-09-2026)
- Proyecto de Ley Orgánica para el buen uso y la gobernanza de la IA (BOCG 12-06-2026)
- AESIA: recursos y guías
Última revisión: 15 de septiembre de 2026. Esta guía es informativa y no sustituye el asesoramiento jurídico.