La semana pasada hablé con el director de RRHH de una empresa de cuarenta empleados. Me contó que usaban un ATS para gestionar candidaturas, que el equipo revisaba todos los CVs personalmente y que la decisión final siempre la tomaba una persona. Con eso, me dijo, el AI Act y el RGPD en selección de personal no les afectaban.
Le pregunté si sabían cómo puntuaba el sistema a los candidatos antes de que el equipo los viera.
Silencio.
Ahí está el problema que tiene la mayoría de las empresas que usan tecnología de selección en 2026.
Lo que hace tu ATS antes de que lo vea ningún humano
Los sistemas de seguimiento de candidatos modernos no son simples carpetas digitales. Ordenan perfiles por afinidad al puesto, filtran por palabras clave, generan puntuaciones automáticas y en muchos casos descartan candidaturas antes de que ningún reclutador haya abierto un solo CV. Todo eso ocurre en los primeros segundos después de que alguien envía su solicitud.
Que después un humano tome la decisión final no cambia lo que ha pasado antes. El Reglamento UE 2024/1689, conocido como AI Act, clasifica cualquier software de reclutamiento que use IA para filtrar o evaluar candidatos como sistema de Alto Riesgo. No es una categoría menor. Es la más exigente del reglamento después de los sistemas directamente prohibidos.
Y el RGPD aplica desde el primer momento en que alguien envía su nombre y su currículum.
Qué obliga la ley que la mayoría no tiene hecho
El artículo 22 del RGPD lleva años diciendo que las personas tienen derecho a no ser objeto de decisiones basadas exclusivamente en tratamientos automatizados que les afecten significativamente. Ser descartado de un proceso de selección sin que ningún humano haya revisado tu candidatura encaja perfectamente en ese supuesto.
Eso significa que los candidatos tienen derecho a saber que existe un sistema automatizado en el proceso, a conocer la lógica que aplica, y a poder pedir que una persona revise su caso. Si tu empresa no tiene eso documentado ni informado en ningún sitio, está incumpliendo el RGPD. Con independencia de que “la decisión final la tome una persona.”
Con el AI Act encima, las obligaciones se suman. Para los sistemas de Alto Riesgo aplicados a selección de personal hay que documentar el sistema antes de desplegarlo, hacer una evaluación de conformidad, garantizar supervisión humana activa y registrar los logs del sistema para poder demostrar que no discrimina. Las obligaciones específicas para RRHH tienen un periodo de adaptación hasta diciembre de 2027, pero las obligaciones del RGPD son exigibles ahora mismo.
El caso que ya ocurrió en España
La AEPD sancionó a una empresa de selección de personal con 320.000 euros por sesgo en el cribado automático de CVs. El sistema descartaba candidatos según patrones que resultaron discriminatorios, los afectados no habían sido informados de que existía ese sistema, y la empresa no podía demostrar que había supervisión humana real sobre las decisiones del algoritmo.
No era una empresa grande. No tenía un sistema especialmente sofisticado. Tenía un ATS con filtros automáticos y no había hecho los deberes.
Lo que convierte ese caso en relevante para cualquier empresa que use tecnología de selección no es el importe de la multa. Es que el expediente empezó con una denuncia de un candidato que preguntó por qué había sido descartado y no recibió respuesta adecuada.
Cómo saber si tu proceso de selección tiene riesgo ahora mismo
Hay cuatro preguntas que lo aclaran bastante rápido. ¿Tu ATS puntúa o filtra candidatos de forma automática antes de que los vea un reclutador? ¿Los candidatos están informados en el proceso de que existe ese sistema? ¿Tienes documentado cómo funciona y qué criterios aplica? ¿Tienen los candidatos forma de solicitar revisión humana si son descartados?
Si la respuesta a alguna de esas preguntas es no, o no lo sé, tienes un hueco de cumplimiento que conviene cerrar antes de que alguien lo señale.
No hace falta tirar el ATS ni cambiar cómo trabaja el equipo. Lo que hace falta es documentar correctamente el sistema, añadir la información adecuada en el proceso de candidatura y tener claro quién supervisa qué y cómo.
En Adapta RGPD revisamos el flujo completo de selección de tu empresa, identificamos qué sistemas tienen implicaciones bajo el AI Act y el RGPD, y te ayudamos a poner en regla la documentación sin complicar el trabajo del equipo de RRHH. Puedes empezar con una auditoría de protección de datos o, si prefieres ir directo, con un presupuesto personalizado. Sin compromisos y sin necesidad de tener nada claro de antemano.
El director de RRHH del que te hablaba al principio me escribió al día siguiente. Quería que revisáramos el ATS que tenían. No porque hubieran recibido ninguna denuncia. Sino porque cuando le hice la pregunta sobre la puntuación automática, se dio cuenta de que no sabía la respuesta. Y eso, en sí mismo, ya era suficiente motivo.
