Qué sistemas de RRHH considera de alto riesgo el AI Act

El Anexo III, punto 4, incluye cuatro categorías concretas:

• Sistemas de selección y filtrado de candidatos: cualquier herramienta que utilice IA para procesar currículos, hacer ranking de candidatos, preseleccionar o puntuar en un proceso de selección
• Toma de decisiones sobre contratación, ascenso o rescisión: sistemas que asistan o automaticen decisiones sobre inicio, continuación o fin de una relación laboral
• Asignación de tareas y monitorización del rendimiento: herramientas que usen IA para distribuir trabajo o evaluar el desempeño de forma automatizada
• Acceso a recursos de formación y desarrollo profesional: sistemas que decidan o condicionen el acceso de empleados a oportunidades de aprendizaje

La definición es amplia. Cubre prácticamente todos los ATS (Applicant Tracking Systems) que usan componentes de IA para algo más que gestionar el flujo documental.

Obligaciones para proveedores de ATS

Las empresas que desarrollan y comercializan sistemas de selección de personal con IA son proveedoras de alto riesgo. Sus obligaciones son completas: documentación técnica conforme al Anexo IV, evaluación de conformidad, registro en la base de datos europea, y sistema de gestión de calidad.

Deben además facilitar a sus clientes (los desplegadores) toda la información necesaria para que estos puedan cumplir con sus propias obligaciones. Eso incluye la documentación sobre el funcionamiento del sistema, sus limitaciones conocidas, los mecanismos de supervisión humana previstos, y los registros de rendimiento y pruebas.

Obligaciones para las empresas que usan el sistema

Los desplegadores —las empresas que usan el sistema para sus propios procesos— tienen obligaciones más limitadas pero no triviales:

• Verificar que el proveedor ha cumplido con sus obligaciones antes de poner en servicio el sistema
• Designar personas supervisoras con comprensión suficiente del sistema y autoridad para anular sus decisiones
• Implementar los mecanismos de supervisión humana que el proveedor ha especificado
• Mantener registros de uso del sistema durante un mínimo de seis meses
• Informar a los candidatos o empleados afectados de que están siendo evaluados por un sistema de IA

El RGPD también aplica

La mayoría de los sistemas de selección de personal tratan datos personales, lo que activa también las obligaciones del RGPD. Cuando el tratamiento incluye decisiones automatizadas que producen efectos significativos sobre las personas, el artículo 22 del RGPD exige que el interesado pueda solicitar intervención humana, expresar su punto de vista e impugnar la decisión.

Un sistema de preselección de currículos totalmente automatizado necesita un mecanismo para que el candidato rechazado pueda solicitar revisión humana de su solicitud. No basta con señalar que existe una etapa humana posterior en el proceso si esa etapa no tiene acceso real a la decisión del sistema.

Los riesgos de sesgo y la exigencia de mitigación

Uno de los motivos por los que los sistemas de RRHH recibieron la clasificación de alto riesgo es la evidencia acumulada sobre sesgos. Sistemas entrenados sobre datos históricos de contratación reproducen con frecuencia los patrones de la plantilla existente. Si la empresa ha contratado históricamente más hombres para puestos directivos, el sistema tiende a puntuar mejor los perfiles masculinos para esos puestos.

El AI Act no resuelve el problema, pero exige que los proveedores lo documenten, lo evalúen y lo mitiguen activamente. Los desplegadores, por su parte, deben solicitar esa información al proveedor antes de desplegar el sistema y verificar que las medidas de mitigación son adecuadas para su contexto específico.

¿Tu empresa usa herramientas de IA en selección de personal? En Adapta RGPD revisamos tu cumplimiento con el AI Act y el RGPD dentro de nuestra consultoría de adaptación al AI Act, con clasificación de riesgo y las 193 medidas AESIA desde 199€/año.

La entrada IA en selección de personal: por qué el AI Act obliga a empresas y proveedores de ATS a cumplir como sistemas de alto riesgo se publicó primero en Adaptación RGPD.