IA en selección de personal: qué exige la AEPD y qué perfil
IA en selección de personal: qué exige la AEPD, qué perfil necesitan las empresas y cómo formarte
La AEPD publicó el 7 de octubre de 2026 una nota sobre sistemas algorítmicos en el trabajo, a raíz de su advertencia AI-00009-2026 a una empresa que quería usar IA en selección de personal para cribar y puntuar candidaturas. No hay sanción, pero sí ocho actuaciones previas, una evaluación de impacto y una supervisión humana demostrable. Alguien tiene que hacer ese trabajo en la empresa.
Qué dice la AEPD sobre la IA en selección de personal
El documento se titula «Sistemas algorítmicos en el ámbito laboral. Transparencia y garantías de protección de datos» y analiza la advertencia AI-00009-2026, adoptada al amparo del artículo 58.2.a del RGPD. El origen: una empresa planeaba implantar en España una herramienta de IA que puntuaría currículums y priorizaría candidaturas, y había asegurado a la representación legal que una persona tomaría la decisión final y que el algoritmo no analizaba atributos protegidos.
La AEPD no lo da por bueno. Pide una evaluación de impacto (EIPD) «antes del tratamiento cuando sea probable un alto riesgo», protección desde el diseño y una supervisión humana real: quien revisa debe conocer las limitaciones del sistema y tener tiempo y autoridad para cambiar el resultado.
«La presencia formal de una persona no excluye el artículo 22».AEPD, nota de 7 de octubre de 2026, página 4 · Transparencia e intervención humana
Y da un indicio práctico: «Una ausencia sistemática de discrepancias puede ser un indicio de dependencia práctica de la puntuación» (página 6). Si nadie se aparta nunca de la máquina, la decisión es, de hecho, automatizada.
La advertencia es preventiva: no declara infracción ni impone multa. Pero fija cómo va a mirar la AEPD estos sistemas y llega dos días después de la entrada en vigor del Real Decreto 723/2026 (5 de octubre de 2026). Ya explicamos qué perfil de RRHH pide el Real Decreto 723/2026; esta nota concreta la parte de protección de datos.
Ocho actuaciones antes de implantar el sistema
La nota cierra con ocho actuaciones previas a implantar cualquier sistema que apoye o tome decisiones sobre personal, incluidos los de terceros (páginas 6 y 7). Resumidas:
- Inventariar los sistemas, también los de proveedores o del grupo.
- Describir las operaciones de tratamiento y el ciclo de vida de los datos.
- Documentar por cada tratamiento finalidad, datos, inferencias, reglas, destinatarios, conservación y el papel real de quien revisa.
- Determinar la base jurídica, si aplica el artículo 22 del RGPD, el nivel de riesgo, la necesidad de EIPD y la clasificación según el Reglamento de IA.
- Preparar información coordinada para plantilla, candidaturas y representación legal.
- Comprobar que la explicación es comprensible, con ejemplos y factores que pesan a favor y en contra.
- Diseñar una supervisión humana demostrable.
- Conservar evidencias de entrega, pruebas, auditorías, cambios, incidencias, reclamaciones y medidas correctoras.
Léela como lo que es: una descripción de puesto. Fijar bases jurídicas, decidir si hace falta una EIPD y guardar evidencias de auditoría no son tareas de un reclutador ni de un desarrollador: son protección de datos aplicada a recursos humanos.
Tres planos de transparencia
Tres destinatarios, y cumplir con uno no exime de los otros: una comunicación al comité de empresa no sustituye la información individual ni la del RGPD (página 5).
| Plano | A quién | Norma | Qué hay que entregar |
|---|---|---|---|
| Individual | Cada persona trabajadora | Real Decreto 723/2026 (arts. 3.2.k, 6 y 7) | Por escrito, la existencia del sistema y, si decide sobre condiciones de trabajo, sus criterios y reglas. Antes de empezar en nuevas contrataciones; en 30 días hábiles si lo pide alguien con contrato vigente. |
| Colectivo | Representación legal | Art. 64.4.d del Estatuto de los Trabajadores | Parámetros, reglas e instrucciones que afectan a condiciones de trabajo, acceso o mantenimiento del empleo y elaboración de perfiles. |
| Protección de datos | Candidaturas y plantilla | Arts. 12 a 15 y, si procede, 22 del RGPD | Finalidades, base jurídica, datos, destinatarios, conservación y derechos; si hay decisiones automatizadas, información significativa sobre la lógica y sus consecuencias. |
Qué perfil necesitan las empresas
Junta las tres piezas (el Real Decreto 723/2026, la nota de la AEPD y la clasificación que exige el Reglamento de IA) y sale un perfil que pocas empresas tienen: alguien que entiende de selección y, a la vez, sabe hacer una EIPD, documentar una auditoría y explicar un algoritmo a un comité de empresa.
El hueco se mide. Según el Barómetro de Talento Digital 2026 del Observatorio del Talento Digital (24 de septiembre de 2026), solo el 29,5 % de las empresas dispone de un marco de IA formalizado y comunicado, y el 79,2 % reconoce una preparación desigual o insuficiente de sus profesionales para trabajar con IA.
Tres puestos lo asumen:
- Delegado de protección de datos (DPD). Asesora sobre la EIPD, supervisa el cumplimiento y es el contacto con la Agencia. Si tu empresa ya tiene DPD, este expediente le corresponde; si no, es el primer perfil que esta herramienta pone sobre la mesa.
- Responsable de cumplimiento con foco en datos y algoritmos. Lleva el inventario, las bases jurídicas, los contratos con proveedores (usar una herramienta del grupo «no libera de responsabilidad a la entidad que decida utilizarla en España») y las evidencias.
- HR business partner o responsable de selección con competencias en protección de datos. Diseña la supervisión humana, registra las discrepancias y prepara la información para plantilla y representación legal.
Cómo formarte
Tres programas de Aulaformación Business School cubren este perfil, todos online y con título propio universitario de la Universidad Europea Miguel de Cervantes (UEMC).
| Programa | Para quién | Horas | ECTS | Precio |
|---|---|---|---|---|
| Experto Universitario en Protección de Datos: Delegado de Protección de Datos | Quien quiere asumir la función de DPD o llevar la protección de datos en RRHH. Contenido alineado con el esquema de certificación de competencias de la AEPD; prácticas opcionales de hasta 250 horas. | 500 | 20 | 1.000 € |
| Máster en Dirección de Recursos Humanos 4.0 y nuevas tendencias en la gestión del talento | Quien dirige o va a dirigir personas: 31 módulos, analítica de RRHH y cumplimiento normativo, en 9 a 12 meses. | 1.500 | 60 | 2.850 € |
| Curso Universitario Técnico en Ciberseguridad y Protección de Datos | Quien necesita la base de protección de datos y seguridad: de 5 semanas a 3 meses. | 250 | 10 | 495 € |
Si tu objetivo es firmar la EIPD y hablar con la AEPD, el Experto en DPD es el camino corto: 20 ECTS en un mínimo de tres meses. Si quieres dirigir el área, el máster de RRHH 4.0 te da los 60 ECTS y el recorrido completo. El curso de ciberseguridad es la puerta de entrada si aún no tienes base (precio becado de 350 € para desempleados).
Preguntas frecuentes sobre la IA en selección de personal y la AEPD
¿La AEPD ha prohibido usar inteligencia artificial para seleccionar personal?
No. La advertencia AI-00009-2026 es preventiva: no declara infracción ni impone sanción. Fija condiciones: evaluación de impacto, supervisión humana real, auditorías documentadas y transparencia.
¿Qué es la advertencia AI-00009-2026?
Una actuación preventiva de la AEPD (artículo 58.2.a del RGPD) sobre una herramienta de IA para puntuar currículums y priorizar candidaturas, analizada en su nota del 7 de octubre de 2026.
¿Qué plazo tiene la empresa para informar a la plantilla?
Con el Real Decreto 723/2026 (en vigor desde el 5 de octubre de 2026), las nuevas contrataciones la reciben por escrito antes de empezar; quien ya tiene contrato puede pedirla y la empresa dispone de 30 días hábiles para responder.
¿Necesito un delegado de protección de datos para usar IA en selección?
La nota no entra en esa cuestión: se centra en la evaluación de impacto, la supervisión humana y la transparencia. Lo que deja claro es que alguien debe hacer ese trabajo con criterio jurídico y técnico; si tu empresa ya tiene DPD, le corresponde a él.
¿Qué diferencia hay entre el Experto en DPD y el máster de RRHH 4.0?
El Experto en DPD tiene 500 horas y 20 ECTS y se centra en la función de delegado. El Máster en Dirección de RRHH 4.0 tiene 1.500 horas y 60 ECTS y cubre toda la dirección de personas. Los dos son títulos propios universitarios de la UEMC.
Si la nota de la AEPD describe el trabajo que te van a pedir, fórmate para hacerlo con criterio. Solicita información.
Ver el Experto Universitario en Delegado de Protección de DatosVer toda la oferta académicaÚltima actualización: 14 de octubre de 2026. Fuente: AEPD, «Sistemas algorítmicos en el ámbito laboral. Transparencia y garantías de protección de datos» (7 de octubre de 2026); datos de adopción de IA del Barómetro de Talento Digital 2026 vía Equipos&Talento (24 de septiembre de 2026). Las cifras de empleo y adopción de IA son orientativas y proceden de la fuente citada; el artículo no incluye datos salariales. Los programas son títulos propios universitarios; precio, horas y ECTS leídos en sus fichas el 14 de octubre de 2026.