Cómo cumplir la Ley de IA en el área de recursos humanos

La Ley de IA en recursos humanos es de las más exigentes del Reglamento: seleccionar candidatos, evaluar el rendimiento o repartir tareas por rasgos personales son usos de alto riesgo, y varias prácticas laborales están directamente prohibidas. Pero no toda herramienta de RRHH lo es: lo que decide es para qué se usa cada sistema, como recuerda la guía oficial de la Comisión Europea. Aquí tienes diez pasos para cumplirla, del inventario del ciclo del empleado al protocolo de incidentes, con las prácticas que prohíbe la normativa europea sobre inteligencia artificial como filtro previo a cualquier clasificación.

Plan de acción para adaptar el departamento de recursos humanos a la Ley de IA

Los diez pasos recorren el ciclo completo del empleado: localizar toda la IA del departamento, descartar lo prohibido, separar la que solo tramita de la que decide sobre personas, y dejar cada obligación con su responsable, su prueba y su protocolo de incidentes. La metodología general está en la guía sobre cómo cumplir el Reglamento de Inteligencia Artificial.

Paso 1. Localiza toda la IA del departamento en cuatro capas

Busca en cuatro capas: la IA contratada por RRHH, la embebida en el ATS (software de selección), el HRIS (sistema de gestión de personal), el LMS (plataforma de formación) y el control horario, la que usan en tu nombre las consultoras de selección y la gestoría laboral, y la que el equipo emplea por su cuenta en cuentas personales para resumir currículums o redactar evaluaciones. Y lo que siempre se escapa: si la función de IA llegó en una actualización del proveedor, también cuenta como sistema en uso.

Paso 2. Abre una ficha por cada sistema

Cada sistema localizado entra en una ficha de ocho campos; los tres últimos se completan en los pasos siguientes:

• Herramienta, proveedor, modelo y versión.
• Finalidad y descripción del caso de uso.
• Departamento, propietario y responsable de aprobación.
• Datos recibidos, consultados o generados.
• Usuarios y personas afectadas, y si influye en una decisión sobre alguna de ellas.
• Contratos, integraciones y accesos autorizados (se completa en el paso 6).
• Papel de la empresa, riesgo y obligaciones aplicables (se completa en los pasos 5 y 6).
• Controles, evidencias y fecha de revisión (se completa en los pasos 7 y 9).

Rellenar esa ficha sistema a sistema es el grueso del inventario: en este vídeo tienes el recorrido completo, desde que aparece una herramienta hasta que queda registrada con su evaluación y su responsable.

Paso 3. Recorre las seis fases del ciclo del empleado

Ve fase por fase con la ficha delante: cada instrucción dice dónde mirar y qué anotar.

Reclutamiento y selección

• Abre el panel del ATS. Si no tienes ATS, el equivalente es el buzón de empleo y la hoja de cálculo donde ordenas candidaturas. Anota: funciones activas (matching, puntuación, ranking, descarte por criterios, respuestas automáticas), versión y captura fechada.
• Descarga el informe de roles y permisos del ATS. Anota: quién puede lanzar el cribado y quién ve las puntuaciones.
• Repasa contratos y facturas del último año. Anota: videoentrevista (HireVue, Talkpush), sourcing (LinkedIn Recruiter, SeekOut) y tests contratados aparte, con proveedor y finalidad.
• Escribe a consultoras y headhunters. Anota: qué herramientas con IA usan en tus procesos y en qué fase intervienen.
• Pregunta al equipo de selección. Anota: los asistentes que usan por su cuenta para resumir currículums o redactar ofertas, y qué datos de candidatos introducen.
• Saca cinco descartes recientes. Anota: el ranking que produjo el sistema, el motivo del descarte y en cuántos se siguió su propuesta.

Onboarding

• Abre el flujo de alta del HRIS. Anota los pasos que se ejecutan solos, textos o correos generados y quién los revisa antes de enviarlos.
• Prueba el asistente de acogida del portal del empleado, Slack o Teams. Anota la documentación interna que tiene cargada, proveedor del modelo (figura en la lista de subencargados del contrato) y si se presenta como IA.
• Reúne las piezas de bienvenida generadas con avatar o voz sintética (Synthesia, HeyGen). Anota: vídeos publicados, si avisan de que el contenido es generado y quién los aprueba.

Administración de personal

• Entra en el software de control horario. Anota las funciones que detectan olvidos o anomalías, qué proponen y si la corrección exige confirmación de la persona.
• Escribe a tu asesoría o gestoría. Anota qué funciones con IA usa su programa (A3Nom, Sage, Meta4) sobre tus nóminas y dónde se procesan los datos.
• Abre la pantalla de integraciones del HRIS. Anota qué campos se sincronizan y hacia dónde, contrastado con tu registro de actividades de tratamiento; incluye las conexiones del registro horario y la nómina con asistentes externos.
• Revisa el asistente de trámites. Anota a qué datos accede (nómina, contrato, saldos) y si conserva las conversaciones.

Evaluación y desarrollo

• Entra en la plataforma de desempeño (Lattice, Culture Amp, 15Five, módulos de Workday y SAP SuccessFactors). Si no tienes plataforma, el equivalente son las plantillas de evaluación de tu suite ofimática y sus funciones de resumen. Anota qué calcula sola (puntuación, ranking, propuesta de promoción) y con qué información, pedida por escrito al proveedor.
• Descarga una evaluación real. Anota la puntuación, la explicación que la acompaña y si se entiende sin ayuda del proveedor.
• Revisa el LMS (Docebo, Cornerstone, LinkedIn Learning, Moodle). Anota: si sus evaluaciones se vuelcan al expediente o a la promoción, y quién las consulta.
• Comprueba people analytics (Visier, Crunchr). Anota si trabaja con datos agregados o identificables y a partir de cuántas personas muestra un resultado.
• Pregunta a los managers. Anota qué asistentes usan para redactar evaluaciones y con qué frecuencia cambian la puntuación propuesta.

Compensación y beneficios

• Identifica quién genera las propuestas de subida y bonus (módulo de compensación del HRIS, Payscale, Mercer). Anota: qué información tiene en cuenta y quién las aprueba.
• Revisa el análisis de equidad retributiva. Anota si trabaja por bandas y grupos o baja a personas concretas, y qué informes alimenta del registro retributivo.
• Comprueba los datos de mercado que sostienen las bandas. Anota: fuente, fecha y ámbito (sector, país, tamaño).
• Abre la plataforma de retribución flexible (Cobee, Pluxee). Anota qué personaliza con IA y con qué datos de consumo del empleado.
• Compara las últimas propuestas con lo aprobado. Anota en cuántas coincidió la decisión con la propuesta del sistema.

Relaciones laborales y clima

• Abre la herramienta de encuestas (Workday Peakon, Culture Amp, Qualtrics). Si trabajas con formularios de la suite ofimática, el equivalente es comprobar si las respuestas llegan identificadas. Anota: umbral de anonimato y quién puede desglosarlo.
• Revisa el análisis de comentarios abiertos. Anota si clasifica el tono y si alguien puede llegar al comentario de una persona identificable.
• Consulta el informe de permisos. Anota si existe un indicador de riesgo de fuga por empleado y qué perfiles pueden verlo.
• Lista los copilotos de comunicación (Microsoft 365, Google Workspace, Slack, Teams). Anota: si graban o resumen reuniones, incluidas las sindicales, y dónde se guardan.

La brecha de adopción por tamaño es enorme: según el análisis de la Fundación Cotec sobre los datos del INE, la IA llega al 58,2% de las grandes empresas y al 13,4% de las microempresas, 44,9 puntos de diferencia.

Paso 4. Descarta los usos prohibidos de IA en recursos humanos

Antes de clasificar nada, pasa cada ficha por el veto: las prohibiciones del artículo 5 se aplican desde el 2 de febrero de 2025 y pueden costar hasta 35 millones de euros o, si el infractor es una empresa, el 7% de su volumen de negocio mundial del ejercicio anterior, según el artículo 99. La Comisión publicó unas directrices sobre prácticas prohibidas y la AESIA mantiene un resumen en español. Cinco afectan de lleno a RRHH:

• Inferir emociones en el trabajo. Deducir emociones o intenciones de un empleado a partir de datos biométricos, salvo por motivos médicos o de seguridad. Ejemplo: un panel que estima el ánimo del equipo por sus rasgos faciales o su voz. No es una encuesta de clima declarada. Control interno: bloquea esos módulos y pide al proveedor una descripción técnica escrita.
• Analizar microexpresiones en la videoentrevista. Interpretar gestos, expresiones o voz para deducir emociones o intenciones del candidato cae en la misma prohibición. Otras valoraciones de “honestidad” o personalidad quizá no, pero pueden ser de alto riesgo o discriminatorias. No es transcribir y evaluar el contenido de las respuestas. Control interno: exige por escrito que el sistema no infiere emociones a partir de datos biométricos.
• Categorizar por datos biométricos. Clasificar a empleados o candidatos por sus datos biométricos para deducir raza, ideología, afiliación sindical, religión, vida sexual u orientación sexual. Se prohíbe esa deducción, no los datos que la persona declara voluntariamente, sujetos al RGPD. Control interno: el DPO valida cualquier tratamiento biométrico antes de contratarlo.
• Puntuar socialmente a las personas. Clasificarlas por su conducta social o sus características cuando eso provoque un trato perjudicial en un contexto distinto de aquel en que se obtuvieron los datos, o desproporcionado. Comprobar referencias profesionales no lo es; rastrear la vida privada para decidir sobre alguien puede serlo. Control interno: define y documenta qué fuentes pueden usarse en decisiones laborales.
• Extraer imágenes faciales de forma no selectiva. Crear o ampliar bases de reconocimiento facial con imágenes sacadas de internet o de cámaras de videovigilancia. El directorio interno con fotos no entra aquí, aunque se evalúa aparte según su finalidad y el RGPD. Control interno: prohíbe el scraping facial y audita el uso de cámaras e imágenes.

Si un sistema encaja en alguna de estas prácticas, no se clasifica: se desactiva y se documenta la retirada con fecha y responsable.

Paso 5. Clasifica el riesgo de cada sistema

Superado el veto, pasa las fichas por el artículo 6 del Reglamento con tres preguntas:

• ¿Para qué está previsto el sistema? La finalidad manda sobre la etiqueta comercial.
• ¿Qué papel tiene en la decisión? Si solo tramita, calcula o agrega, no entra en el Anexo III, la lista de usos de alto riesgo del Reglamento; si selecciona, evalúa, reparte tareas por rasgos o conductas o apoya una decisión laboral, analízalo como posible alto riesgo.
• ¿A quién afecta el resultado? Un candidato o un trabajador concreto sube el nivel; un dato por equipos, no.

Alto riesgo: seleccionar, evaluar y organizar el trabajo de personas

El Anexo III, punto 4, cubre las dos caras del ciclo laboral: la entrada en la empresa y lo que ocurre dentro.

• Qué entra: por el supuesto 4.a, publicar anuncios dirigidos, filtrar solicitudes y evaluar candidatos. Por el 4.b, decidir sobre promociones y despidos, asignar tareas según conductas o rasgos personales, supervisar y evaluar el rendimiento y cualquier decisión sobre las condiciones de trabajo, la retribución incluida: ahí caen la puntuación de desempeño, la propuesta individual de subida o bonus y el indicador de fuga que llega a tener consecuencias. Que la evaluación automática venga de serie en la suite no la saca de aquí.
• Dónde está el riesgo: estos sistemas deciden quién entra en la empresa y quién sube, cobra más o se queda fuera. No depende del tamaño de la plantilla, sino de si existe la función: en una empresa de ocho personas sin ATS puede no haber nada que clasificar, y en cuanto el portal de empleo ordena candidaturas por puntuación aparece el mismo riesgo que en una gran corporación. Y la misma herramienta tiene dos usos muy distintos: medir el clima por equipos es analítica de negocio; señalar a una persona con riesgo de fuga y actuar sobre ella es evaluar a un trabajador.
• Qué verificar antes de confirmar: el artículo 6.3 deja fuera del alto riesgo algunos sistemas del Anexo III que no plantean un riesgo importante, pero nunca los que elaboran perfiles de personas. No toda puntuación es un perfil: documenta finalidad, datos y lógica, y pide al proveedor su evaluación por escrito si sostiene que queda fuera.
• Cuándo es exigible: el 2 de diciembre de 2027, según el calendario de la Comisión tras el Ómnibus de IA. Esperar sale caro: el RGPD ya limita las decisiones basadas solo en tratamientos automatizados y el artículo 64 del Estatuto de los Trabajadores ya da a la representación legal de los trabajadores (RLT) derecho a conocer los parámetros de los algoritmos que afectan a decisiones laborales.

Riesgo limitado: asistentes internos y contenido generado

Es el nivel de los sistemas que hablan con personas o generan piezas que pueden parecer reales:

• Qué entra: el asistente de acogida, el bot de trámites, el bot del candidato y los vídeos de bienvenida con avatar o voz sintética.
• Dónde está el riesgo: aquí no se decide sobre nadie, pero sí se habla con personas que creen estar tratando con la empresa. Un asistente que responde sobre nómina o permisos sin identificarse deja a quien pregunta sin saber a qué atenerse, y un vídeo con el avatar de un directivo puede pasar por real.
• Qué verificar antes de confirmar: que el aviso de IA aparece en el primer contacto y no se ha desactivado, y que el asistente da paso a una persona cuando hace falta. Etiquetar cada oferta o comunicado interno no es obligatorio: la obligación cubre los deepfakes y, en ciertos casos, el texto publicado sobre asuntos de interés general que nadie revisa, como resume la ficha de transparencia de la Comisión.
• Cuándo es exigible: desde el 2 de agosto de 2026, según el artículo 50; la guía de transparencia de la Comisión detalla cómo debe presentarse cada aviso.

Riesgo mínimo: administración de personal y analítica agregada

Es el nivel de la gestión que no evalúa a nadie:

• Qué entra: nómina, gestión documental, control de ausencias, registro horario, brechas retributivas por bandas, encuestas agregadas y formación adaptativa sin efectos en la carrera. No son de alto riesgo por llevar IA, pero siguen sujetos a protección de datos, transparencia y alfabetización.
• Dónde está el riesgo: no está en el cálculo, sino en el salto. Usar fichajes o nóminas para decidir sobre alguien, o repartir turnos según conductas o rasgos personales, cambia el nivel de la noche a la mañana, y el LMS lo cruza el día en que sus notas empiezan a pesar en una promoción.
• Qué verificar antes de confirmar: los disparadores de reclasificación, porque el módulo de ausencias que hoy cuenta días puede incorporar mañana un índice de absentismo previsto por empleado, y esa finalidad nueva obliga a revisarlo entero.
• Cuándo es exigible: no hay fecha nueva que esperar: el RGPD y el Estatuto de los Trabajadores ya se aplican, y la alfabetización en IA es exigible desde el 2 de febrero de 2025.

Paso 6. Exige la documentación a tus proveedores

Monta un dossier por proveedor, empezando por los sistemas que la ficha marcó como decisorios. La guía de la Comisión citada al inicio separa qué toca al proveedor y qué a la empresa que lo usa:

• ATS y videoentrevista. Pide: la Declaración de Conformidad UE si el sistema es de alto riesgo, las instrucciones de uso, sus limitaciones y precisión, las medidas de supervisión previstas y los controles frente a sesgos. Si sostiene que queda fuera del alto riesgo por el artículo 6.3, pide su evaluación documentada.
• Plataforma de desempeño y módulo de compensación. Pide: qué información tiene en cuenta, sus limitaciones y cómo funciona, lo justo para interpretar el resultado y explicárselo a la persona afectada. No siempre habrá un porcentaje por variable, pero sí una lógica que se pueda contar.
• HRIS, LMS y herramienta de encuestas. Pide: qué funciones con IA trae tu versión, cuáles se activan solas en las actualizaciones y con cuánta antelación avisan de los cambios.
• Todos, incluidas las consultoras de selección y la gestoría. Firma el contrato de encargado del tratamiento y comprueba dónde se procesan los datos y qué subencargados intervienen. Añade dos cláusulas que no impone la Ley de IA pero evitan sorpresas: aviso previo de cambios del modelo y prohibición de entrenar sistemas de terceros con datos de candidatos y plantilla.

Si contratas en condiciones estándar, sin margen para negociar cláusulas, tu expediente son la documentación pública de cada proveedor y sus respuestas por escrito a estas peticiones. Y si no te dan lo suficiente para entender los límites del sistema y supervisarlo, no lo despliegues: sin eso no puedes cumplir tu parte.

Un aviso: según el artículo 25, si comercializas con tu marca un sistema de alto riesgo de un tercero, lo modificas sustancialmente o cambias su finalidad, pasas a asumir obligaciones de proveedor. Personalizarlo de forma ordinaria no produce ese efecto; documenta los cambios y consulta con legal antes de una integración profunda.

Paso 7. Asigna una regla de supervisión por sistema

En los sistemas de alto riesgo, el artículo 26 exige usarlos según las instrucciones, vigilar cómo funcionan y encomendar la supervisión a personas con formación y autoridad para intervenir. Una regla por sistema decisorio:

• Descartes de selección: quien supervisa debe entender el ranking y poder apartarse de él; como control reforzado, ningún candidato queda fuera sin firma de un técnico. Audita las reglas del cribado para que una brecha en el currículum o la disponibilidad horaria no descarten en automático a madres recientes o a personas con discapacidad: el riesgo ya tiene su caso de referencia, con la demanda admitida como acción colectiva contra el sistema de recomendación de candidatos de Workday por presunta discriminación a mayores de 40 años.
• Evaluaciones de desempeño: el manager valida la puntuación con acceso a los datos que la sustentan y puede cambiarla dejando constancia del motivo. Prueba: registro de evaluaciones firmadas.
• Propuestas retributivas: ninguna subida, bonus o congelación se comunica sin revisión previa de RRHH y compensación.
• Cuadrantes y turnos: comprueba que el reparto no penalice reducciones de jornada ni permisos de conciliación.
• Indicador de riesgo de fuga: no puede motivar por sí solo una decisión sobre promoción, formación o continuidad.
• Información al candidato: si un sistema de alto riesgo participa en la decisión, dile que está sujeto a su uso, para qué sirve y cómo ejercer sus derechos, con la explicación del artículo 86 cuando proceda. Si la videoentrevista evalúa respuestas automáticamente, ofrece alternativa para dificultades de habla, discapacidad o neurodivergencia.
• Asistentes identificados: el bot de empleo, el de acogida y el de trámites se presentan como IA y dan paso directo a una persona.

En un departamento sin roles dedicados, la supervisión recae en quien lleva RRHH: lo que no puede faltar es que esté designado por escrito y sepa cuándo parar el sistema. Aprobar en bloque lo que propone la IA no es supervisión.

Paso 8. Forma a tu equipo: la alfabetización en IA del artículo 4

Organiza sesiones cortas por perfil: esta obligación ya está en vigor. El artículo 4 obliga a que quien usa estos sistemas sepa lo que hace, con formación ajustada al puesto y a quién afecta el sistema; no exige un nivel concreto por persona ni un certificado, como aclara la página de la Comisión sobre alfabetización en IA. Contenido por perfil:

• Equipo de selección: qué tiene en cuenta el ranking, cómo detectar que un buen candidato cayó por un mal procesado del currículum y qué datos no se pegan en asistentes externos.
• Managers y compensación: leer con criterio una puntuación de desempeño o una propuesta salarial, y saber cuándo apartarse de ella.
• Administración de personal: límites del control horario y de la monitorización, y qué se le puede pedir al asistente de trámites.
• People analytics y clima: cuándo un dato deja de ser agregado y qué no puede hacerse con el indicador de fuga.

En un departamento pequeño estos perfiles recaen en una o dos personas: una sesión conjunta que cubra los cuatro bloques cumple igual. Anota de cada sesión el contenido, la fecha, los asistentes y los sistemas cubiertos: no lo exige literalmente el artículo 4, pero es lo que te permitirá demostrar que cumpliste. Tienes ejemplos en el repositorio de prácticas de la Comisión y en la guía de formación en inteligencia artificial para trabajadores.

Paso 9. Mantén el expediente vivo y revísalo

• Expediente vivo: fichas con su clasificación fechada, dossier de cada proveedor, descartes y evaluaciones firmados, propuestas retributivas revisadas, comunicaciones a la representación legal y formación registrada. Sin cribado ni medición del desempeño no hay sistemas de alto riesgo en el departamento, y el expediente queda en fichas, dossieres y formación.
• Registros del sistema: conserva al menos seis meses los que generan automáticamente los sistemas de alto riesgo bajo tu control, salvo que otra norma marque otro plazo (artículo 26.6).
• Evaluación de impacto: decide caso por caso si hace falta una EIPD (evaluación de impacto en protección de datos) del artículo 35 del RGPD. Será lo habitual en cribado, desempeño y propuestas retributivas, donde hay evaluación sistemática automatizada con efectos jurídicos o similares.
• Política de privacidad de empleados con una sección sobre sistemas algorítmicos: cuáles operan, qué miden y qué derechos tiene la plantilla. Añade qué herramientas están aprobadas y por dónde se declara una nueva sin sanción.
• Control de sesgos: revisa los resultados por sexo, edad, discapacidad y otros factores pertinentes, con indicadores y umbrales fijados de antemano, y suspende el sistema si apuntan a un riesgo inaceptable. Si el análisis usa categorías especiales de datos, necesita base jurídica propia.
• Cuándo revisar: por calendario y, además, ante herramienta nueva, cambio de versión del proveedor, selección masiva a la vista, incidente o reclamación.

Paso 10. Si algo sale mal: retirada, aviso y notificación

El orden del incidente importa tanto como el incidente:

• Contén: suspende el sistema o paraliza el proceso afectado, revisa las decisiones que produjo y documenta la actuación con fecha y responsable.
• Comunica al proveedor según lo pactado en el contrato, adjuntando el registro del incidente: el artículo 26.5 sitúa ese aviso en primer lugar y, después, según el caso, al importador o distribuidor.
• Notifica a la autoridad solo cuando toca: ante riesgo o incidente grave en un sistema de alto riesgo. Un error puntual del asistente de trámites o un descarte mal explicado no activan por sí solos esa comunicación. En España ese papel corresponderá a la AESIA, designada como organismo central en el proyecto de ley de gobernanza de la IA, aún en tramitación.

Conclusión

La Ley de IA en recursos humanos aprieta donde el departamento decide sobre personas: quién entra en la empresa, quién sube y quién cobra más. Si no hay cribado automático ni medición del desempeño, el trabajo se queda en inventariar, identificar a los asistentes y registrar la formación; en cuanto aparece la primera puntuación sobre un candidato o un empleado, el centro de gravedad se desplaza al régimen de alto riesgo. La prioridad no es más papeleo: es una supervisión humana de verdad, con personas que entienden el sistema, pueden apartarse de su resultado y tienen autoridad para pararlo. El inventario, el filtro de prohibidos, la clasificación razonada y el dossier de cada proveedor son lo que sostiene esa supervisión ante una inspección, una autoridad de control o un juzgado de lo social.