La inteligencia artificial tiene múltiples aplicaciones, por ejemplo, puede utilizarse para el cribado y la evaluación de candidaturas en procesos de selección de personal o de movilidad interna.
El Real Decreto 723/2026, de 9 de septiembre, por el que se transpone la Directiva (UE) 2019/1152 del Parlamento Europeo y del Consejo, de 20 de junio de 2019, relativa a unas condiciones laborales transparentes y previsibles en la Unión Europea –que entró en vigor el 5 de octubre de 2026–, impone en su artículo 3.2.k) la obligación de informar a cada trabajador sobre la «existencia de sistemas algorítmicos o automatizados de toma de decisiones. Lo anterior incluirá las pautas, criterios y reglas de funcionamiento de los citados sistemas cuando se empleen para la toma de decisiones relativas a la determinación, fijación, variación o modificación de condiciones de trabajo, tales como la duración y distribución de la jornada, la asignación de tareas, la determinación de los salarios, de la progresión profesional, del lugar de trabajo o de la extinción del contrato». Se aplica, con carácter general, a las relaciones laborales de duración superior a cuatro semanas.
Por su parte, el artículo 64.4.d) del Estatuto de los Trabajadores reconoce a la representación legal de los trabajadores el derecho a «ser informado por la empresa de los parámetros, reglas e instrucciones en los que se basan los algoritmos o sistemas de inteligencia artificial que afectan a la toma de decisiones que pueden incidir en las condiciones de trabajo, el acceso y mantenimiento del empleo, incluida la elaboración de perfiles». Los candidatos a un puesto de trabajo también tienen derecho a ser informados sobre la existencia de decisiones automatizadas relevantes, la lógica aplicada y sus consecuencias.
Esta obligación no desplaza la normativa de protección de datos. Así, cuando el sistema trate datos personales, la empresa debe cumplir simultáneamente las reglas de licitud, transparencia, minimización, exactitud, protección desde el diseño, gestión del riesgo y, en su caso, las relativas a decisiones automatizadas.
La información se facilitará antes de iniciar la relación laboral y, en las ya vigentes, cuando el trabajador lo solicite. En este último caso, la empresa dispondrá de un plazo de 30 días hábiles desde la recepción de la solicitud. Puede entregarse en papel o en formato electrónico, pero ha de ser accesible, almacenable e imprimible, y la empresa debe conservar prueba de su transmisión o recepción. Cualquier modificación relevante debe comunicarse lo antes posible y, como máximo, el día en que surta efecto.
Estas obligaciones coinciden con las previstas en el Reglamento de Inteligencia Artificial, que exige a quienes desplieguen sistemas de alto riesgo –incluidos los de empleo y gestión de trabajadores– informar previamente a los trabajadores y a sus representantes, de manera que puedan comprender su funcionamiento. No obstante, el Reglamento Ómnibus digital sobre IA (Reglamento 2026/1744) aplazó el cumplimiento de estas obligaciones hasta el 2 de diciembre de 2027.
Nota de la AEPD sobre sistemas algorítmicos en el ámbito laboral
El 7 de octubre de 2026, la AEPD publicó una nota sobre Sistemas algorítmicos en el ámbito laboral. Transparencia y garantías de protección de datos.
La nota analiza la situación en el ámbito laboral tras el Real Decreto 723/2026 y la advertencia AI-00009-2026 que examina una herramienta aún no implantada en España que analizaría currículums, asignaría puntuaciones y priorizaría candidaturas en procesos de selección y movilidad interna.
Sobre la existencia de una persona que toma la decisión final, la AEPD recuerda que su mera presencia formal no excluye la aplicación del artículo 22 del RGPD. La supervisión debe analizarse materialmente, es decir, quien revisa debe conocer las limitaciones del sistema, poder acceder a los factores relevantes, disponer de tiempo y autoridad para modificar el resultado y poder considerar información adicional. La nota recomienda registrar las discrepancias entre la persona revisora y la recomendación automatizada, y advierte de que su ausencia sistemática puede indicar una dependencia práctica de la puntuación. En este sentido, la sentencia SCHUFA del Tribunal de Justicia de la Unión Europea, de 7 de diciembre de 2023, C-634/21, confirmó que una puntuación automatizada puede constituir por sí misma una decisión automatizada cuando quien decide después se apoya en ella. Por otro lado, la sentencia Dun & Bradstreet Austria, de 27 de febrero de 2025, C-203/22, añadió que la información significativa debe explicar de forma concisa, transparente e inteligible el procedimiento y los principios efectivamente aplicados, de modo que la persona comprenda qué datos se utilizaron y cómo influyeron en el resultado. No exige entregar el código fuente, pero tampoco admite explicaciones genéricas o puramente técnicas.
Respecto a la afirmación de que la herramienta no utiliza atributos sensibles, la AEPD señala que hay que comprobar si otras variables permiten inferirlos o actúan como variables sustitutivas. También hay que vigilar los resultados que puedan generar discriminación. Si se tratan categorías especiales de datos, además, deben cumplirse las condiciones del artículo 9 del RGPD.
En cuanto a las auditorías verificables y el seguimiento, la AEPD señala que no acreditan por sí solas el cumplimiento de la norma. Para ser verificables, deberían constar su finalidad y alcance, la versión del sistema examinada, los datos y variables probados, las tasas de error, los impactos diferenciados, la efectividad de la supervisión humana, los incidentes y reclamaciones detectados, y las medidas correctoras adoptadas. También debe establecerse cuándo se repetirá la evaluación tras cambios del modelo, de los datos o de la finalidad.
La nota añade que el hecho de que la herramienta se desarrolle o evalúe centralmente en un grupo empresarial no libera de responsabilidad a la filial o entidad que decide usarla en España. Esta debe determinar y documentar su posición –responsable, corresponsable o usuaria de un servicio prestado por un encargado–, cómo se reparten las decisiones, qué garantías contractuales existen, dónde se localizan los datos, si hay transferencias internacionales y alcanzar sus propias conclusiones sobre la licitud, necesidad y proporcionalidad del tratamiento.
Actuaciones recomendadas por la AEPD
- Inventariar los sistemas que apoyan o adoptan decisiones sobre candidaturas, jornada, tareas, rendimiento, retribución, promoción, movilidad, lugar de trabajo o extinción, incluidos los servicios de terceros.
- Como resultado de dicho inventario, será posible realizar una descripción sistemática de las operaciones de tratamiento, con un detalle claro del ciclo de vida de los datos.
- Documentar, para cada tratamiento, la finalidad, los responsables, los datos de entrada y su origen, las inferencias generadas, las variables principales, las reglas de decisión, los destinatarios, la conservación, las transferencias y el papel efectivo de las personas revisoras.
- Determinar separadamente la base jurídica de cada operación de tratamiento, la eventual aplicación del artículo 22 del RGPD, el nivel de riesgo, la necesidad de una evaluación de impacto en protección de datos (EIPD) y la clasificación que proceda conforme al Reglamento de Inteligencia Artificial.
- Preparar información coordinada para la persona trabajadora, para las candidaturas y para la representación legal, sin confundir ni dar por cumplido un deber mediante otro.
- Validar que la explicación sea comprensible mediante ejemplos representativos y que permita conocer qué factores pueden influir favorable o desfavorablemente, sin revelar secretos empresariales más allá de lo necesario.
- Diseñar una supervisión humana demostrable: competencia, autoridad para modificar el resultado, tiempo suficiente, acceso a información pertinente, registro de discrepancias y ausencia de incentivos que conviertan la revisión en automática.
- Mantener evidencias de la entrega y actualización de la información, así como registros de pruebas, auditorías, cambios del modelo, incidencias, reclamaciones y medidas correctoras.
Régimen sancionador
El Real Decreto 723/2026 no ha reformado la LISOS, de forma que el incumplimiento del deber de información se sancionará, en principio, como infracción leve (artículo 6.4), con multas de 70 a 750 euros (artículo 40.1.a). No obstante, las infracciones de las reglas de transparencia del RGPD pueden conllevar sanciones mayores.
Conclusión
Saber que una decisión puede ser adoptada por un algoritmo y conocer sus consecuencias es un gran avance porque transforma una resolución opaca en una decisión comprensible y, por tanto, cuestionable: la persona afectada puede identificar posibles errores en sus datos, sesgos en los criterios o una aplicación injusta de las reglas y, así, ejercer derechos como pedir revisión humana o impugnar el resultado.
