IA en RRHH: por qué la selección de personal entra en «alto riesgo»
El Anexo III del reglamento europeo clasifica como alto riesgo cribar currículums, evaluar el desempeño y asignar tareas por rasgos personales. Cómo cruza con el Art. 22 del RGPD, la Ley Rider y dónde queda el registro de jornada.
El Anexo III del Reglamento europeo de IA clasifica como alto riesgo casi todo lo que RRHH hace con inteligencia artificial: cribar currículums, evaluar el desempeño, asignar tareas por rasgos personales y decidir sobre promociones o despidos. La fecha de aplicación es el 2 de diciembre de 2027, pero varias obligaciones ya están vigentes hoy.
De las ocho categorías de alto riesgo que enumera el Anexo III, hay una que afecta a cualquier empresa con plantilla: empleo, gestión de trabajadores y acceso al autoempleo. Y es más amplia de lo que la mayoría de los departamentos de RRHH imagina.
¿Qué actividades de RRHH entran en el Anexo III?
El reglamento considera de alto riesgo los sistemas de IA destinados a:
- Contratación y selección: publicación dirigida de ofertas, análisis y filtrado de candidaturas, evaluación de aspirantes.
- Decisiones sobre condiciones laborales: promoción, extinción de la relación, asignación de tareas en función de comportamientos o rasgos personales.
- Seguimiento y evaluación del rendimiento y del comportamiento de las personas trabajadoras.
Traducido a herramientas concretas: un ATS que puntúa currículums, un modelo que predice qué empleado va a irse, un sistema que reparte turnos según una métrica de «productividad», un panel que evalúa el desempeño a partir de datos de actividad.
¿Qué exige el reglamento a un sistema de alto riesgo?
No es un sello. Es un sistema de gestión completo:
- Sistema de gestión de riesgos documentado y vivo durante todo el ciclo de vida.
- Gobernanza de datos: conjuntos de entrenamiento, validación y prueba pertinentes, representativos y con examen de posibles sesgos.
- Documentación técnica y registro automático de eventos que permitan trazar el funcionamiento del sistema.
- Transparencia hacia el responsable del despliegue, con instrucciones de uso.
- Supervisión humana efectiva: una persona con capacidad real de entender, cuestionar y anular la salida del sistema.
- Precisión, robustez y ciberseguridad adecuadas.
- Para el empleador que despliega: informar a los representantes de los trabajadores y a las personas afectadas antes de la puesta en marcha.
Ese último punto es el que suele pillar por sorpresa. No basta con comprar una herramienta certificada: el despliegue genera obligaciones propias del empleador.
El cruce con la normativa laboral española
Aquí está la parte que más se pasa por alto. El reglamento europeo no sustituye a lo que ya existe en España: se suma.
Artículo 22 del RGPD
Toda persona tiene derecho a no ser objeto de una decisión basada únicamente en tratamiento automatizado que produzca efectos jurídicos o le afecte significativamente. Un despido o una no contratación decidida por un algoritmo, sin intervención humana real, es ilícita hoy, sin esperar a 2027.
Información algorítmica (Ley 12/2021, «Ley Rider»)
El comité de empresa tiene derecho a ser informado de los parámetros, reglas e instrucciones en los que se basan los algoritmos o sistemas de IA que afectan a la toma de decisiones que puedan incidir en las condiciones de trabajo, el acceso al empleo o su mantenimiento, incluida la elaboración de perfiles. Es exigible desde 2021 y su incumplimiento es sancionable por la Inspección de Trabajo.
Artículo 20.3 del Estatuto de los Trabajadores
El empresario puede adoptar medidas de vigilancia y control, pero guardando la consideración debida a la dignidad del trabajador. La jurisprudencia constitucional exige juicio de idoneidad, necesidad y proporcionalidad para cualquier medida de control. Es la misma vara de medir que aplica la AEPD cuando rechaza la huella dactilar para fichar habiendo métodos menos invasivos.
Prohibición de inferencia emocional
El artículo 5 del reglamento prohíbe —ya, desde febrero de 2025— los sistemas que infieran emociones de una persona en el lugar de trabajo, salvo por motivos médicos o de seguridad. Análisis de sentimiento en correos internos, medición de «engagement» por cámara, detección de estrés por tono de voz: fuera. Los plazos completos están en qué te obliga el reglamento de IA el 2 de agosto de 2026.
¿Dónde queda el registro de jornada?
Conviene distinguir con precisión, porque la confusión genera miedo innecesario.
| Función | ¿Es IA? | Régimen |
|---|---|---|
| Registrar entrada, salida y pausas | No | Art. 34.9 ET |
| Calcular horas y saldos | No | Art. 34.9 ET |
| Cribar currículums con un modelo | Sí | Alto riesgo (Anexo III) |
| Predecir absentismo o rotación | Sí | Alto riesgo (Anexo III) |
| Puntuar empleados por puntualidad | Sí | Alto riesgo + art. 22 RGPD |
| Inferir emociones de la plantilla | Sí | Prohibido (art. 5) |
Registrar un hecho no es evaluar a una persona. Anotar que alguien entró a las 8:03 y salió a las 17:14 es un dato objetivo, exigido desde 2019 y reforzado por el nuevo Real Decreto de registro horario digital. No hay modelo, no hay inferencia, no hay decisión automatizada.
El alto riesgo aparece cuando se añade una capa de interpretación. Un motor que puntúa a los empleados por puntualidad, que predice absentismo o que sugiere a quién no renovar a partir de los datos de fichaje: eso sí entra en el Anexo III, con todo lo que implica.
La consecuencia práctica para quien esté eligiendo herramientas ahora: cuanto más limpia sea la capa de registro, más fácil es construir sobre ella sin heredar problemas de cumplimiento. Un registro íntegro, trazable e inalterable —lo contrario de un Excel editable— es la base probatoria que necesitas tanto ante la Inspección como para demostrar que una decisión sobre una persona se tomó con criterio humano y sobre datos fiables.
Qué hacer en los próximos meses
- Inventaria toda la IA que toca a personas, incluidas funciones embebidas en el software de RRHH que quizá se activaron en una actualización.
- Marca cuáles caen en el Anexo III. Si puntúa, ordena, filtra o predice sobre personas, asume que sí.
- Verifica que hay supervisión humana real: no una casilla de «revisado», sino una persona con criterio, tiempo y autoridad para desviarse de la recomendación.
- Cumple ya la información al comité. Esta obligación no espera a 2027.
- Exige documentación a tus proveedores y llévalo al contrato.
- Separa el registro del juicio. Mantén los datos de fichaje como hechos y documenta expresamente cualquier proceso que los use para valorar a alguien.
Si además usas mensajería interna o avisos automáticos, revisa que no erosionen el derecho a la desconexión digital: la automatización sin criterio horario es una de las formas más habituales de invadirlo.
Datos de jornada que aguantan una auditoría
Control Horario Legal registra entradas, salidas y pausas con hash encadenado e inmutable, conservación de cuatro años conforme al Art. 34.9 del Estatuto de los Trabajadores y trazabilidad completa de cualquier modificación. No perfila, no puntúa y no toma decisiones automatizadas sobre personas.
Pruébalo gratis 30 días →Preguntas frecuentes
¿La IA en recursos humanos es de alto riesgo?
Sí. El Anexo III del Reglamento (UE) 2024/1689 clasifica como alto riesgo los sistemas de IA destinados a contratación y selección, a decisiones sobre promoción o extinción de la relación laboral, a la asignación de tareas en función de comportamientos o rasgos personales, y al seguimiento y evaluación del rendimiento de las personas trabajadoras.
¿Cuándo entran en vigor las obligaciones de IA en RRHH?
El Digital Omnibus traslada las obligaciones de alto riesgo del Anexo III del 2 de agosto de 2026 al 2 de diciembre de 2027, a falta de su publicación definitiva en el Diario Oficial de la Unión Europea. Otras obligaciones, como la prohibición de inferir emociones en el trabajo, ya son aplicables desde febrero de 2025.
¿Puede un algoritmo decidir un despido?
No, si no hay intervención humana real. El artículo 22 del RGPD reconoce el derecho a no ser objeto de una decisión basada únicamente en tratamiento automatizado que produzca efectos jurídicos o afecte significativamente a la persona. Un despido decidido por un algoritmo sin supervisión humana efectiva es ilícito hoy, sin esperar a 2027.
¿Hay que informar al comité de empresa sobre los algoritmos?
Sí. Desde la Ley 12/2021, el comité de empresa tiene derecho a ser informado de los parámetros, reglas e instrucciones en los que se basan los algoritmos o sistemas de inteligencia artificial que afectan a la toma de decisiones que puedan incidir en las condiciones de trabajo, el acceso al empleo o su mantenimiento, incluida la elaboración de perfiles.
¿El control horario cuenta como IA de alto riesgo?
No por sí mismo. Registrar entradas y salidas es la anotación de un hecho objetivo exigida por el artículo 34.9 del Estatuto de los Trabajadores, sin modelo ni inferencia. El alto riesgo aparece cuando se añade una capa que interpreta esos datos para puntuar, predecir o decidir sobre personas.
Última actualización: 20 de julio de 2026. Este artículo tiene fines informativos y no constituye asesoramiento legal.