La advertencia no es una sanción. La AEPD actuó al amparo del artículo 58.2.a) del RGPD, que permite emitir advertencias preventivas antes de que se produzca una infracción. La idea es que la empresa corrija el diseño antes de lanzarlo, no después de que alguien resulte perjudicado.

Qué debe tener un sistema así antes de activarse

La agencia identificó cuatro exigencias concretas.

Privacidad desde el diseño. Las garantías de protección de datos no son un añadido de última hora: tienen que estar integradas desde el momento en que se diseña el sistema, no cuando ya está funcionando.

Evaluación de impacto. Si el tratamiento supone un riesgo alto para los derechos de los candidatos, la empresa está obligada a realizar una Evaluación de Impacto en Protección de Datos (EIPD) antes de ponerlo en marcha.

Información clara y accesible. Las personas cuyos currículums se analicen deben saber que existe un proceso automatizado, cómo funciona y qué efectos puede tener sobre ellas.

Intervención humana real. Las decisiones finales no pueden ser el resultado automático del sistema. Tiene que haber una persona que revise y asuma la responsabilidad, no que simplemente valide lo que le diga la máquina.

Por qué esto afecta también a quien todavía no ha implantado nada

Lo que hace notable esta actuación es que la empresa no había cometido ninguna infracción: el sistema ni siquiera estaba activo. La AEPD intervino porque los planes ya mostraban riesgos suficientes para actuar de forma preventiva.

Si tu empresa está evaluando implantar IA en procesos de selección, scoring de clientes o cualquier otro uso que produzca efectos sobre personas, el RGPD se aplica desde la fase de diseño, no desde el momento en que el sistema empieza a funcionar.

Y cuando entren en vigor las obligaciones del AI Act para los sistemas de alto riesgo del Anexo III, aplazadas al 2 de diciembre de 2027 por el Reglamento Ómnibus (UE) 2026/1744, los sistemas de selección de personal tendrán obligaciones adicionales: documentación técnica, registro en la base de datos de la UE y supervisión humana documentada.

Prepararse ahora con el RGPD es prepararse también para lo que llega en 2027.

Fuente: Nota de prensa de la AEPD, 23 de septiembre de 2026.

La entrada La AEPD avisa a una empresa sobre el uso de IA para cribar currículums: qué exige el RGPD se publicó primero en Adaptación RGPD.