Qué exige el AI Act cuando una empresa usa IA en procesos de selección

El Anexo III del Reglamento (UE) 2024/1689 enumera los ámbitos donde un sistema de IA se considera de alto riesgo. El punto 4 cubre el empleo, la gestión de los trabajadores y el acceso al autoempleo. Incluye los sistemas destinados a contratar o seleccionar personas, en particular para publicar anuncios de empleo específicos, analizar y filtrar solicitudes y evaluar a candidatos. También los destinados a tomar decisiones sobre condiciones laborales, promoción o rescisión, a asignar tareas según comportamientos o rasgos personales, y a supervisar y evaluar el rendimiento.

La norma no prohíbe estos usos: les aplica requisitos más estrictos. Lo que importa es la finalidad a la que está destinado el sistema. El artículo 6.3 prevé excepciones limitadas para sistemas del Anexo III que no planteen un riesgo importante, como una tarea de procedimiento limitada, pero no caben cuando el sistema elabora perfiles de personas físicas. La Comisión publicó en mayo de 2026 un borrador de directrices de clasificación; las definitivas siguen pendientes, así que un caso dudoso merece revisión específica.

No todo uso de IA por parte de RRHH convierte a la empresa en responsable del despliegue de un sistema de alto riesgo. Como orientación práctica, no como regla legal: cuanto más influye el sistema en qué candidatura avanza, más probable es que entre en el Anexo III. Redactar con un asistente una oferta que después revisa una persona está en el otro extremo.

• Usos que, en principio, entran en alto riesgo: ATS con cribado automático por puntuación, scoring de adecuación al puesto, evaluación automatizada de pruebas técnicas con consecuencias en la decisión y recomendadores de promoción interna basados en el histórico de rendimiento.
• Usos que, en principio, no lo hacen: redactar una oferta con un asistente generativo, resumir una nota de entrevista, traducir comunicaciones a un candidato o preparar preguntas de entrevista que revisa el reclutador.
• Casos que conviene analizar y documentar: copilotos integrados en el ATS que sugieren al reclutador, búsqueda de candidatos con ranking asistido por IA y análisis de vídeo o voz en entrevistas.
• Si un asistente de uso general se emplea para filtrar o puntuar candidaturas, cambia su finalidad. El artículo 25.1 c) prevé que quien modifica así un sistema pueda pasar a ser considerado proveedor de un sistema de alto riesgo. Conviene revisarlo antes de hacerlo.

El AI Act distingue entre el proveedor, que desarrolla el sistema o lo introduce en el mercado con su nombre, y el responsable del despliegue (deployer), que lo usa bajo su autoridad. Si tu empresa compra un ATS con IA, normalmente será responsable del despliegue. Sus obligaciones son distintas de las del proveedor, pero existen. La tabla resume el texto del reglamento; cómo se aplica a un sistema concreto debe revisarse caso por caso.

El artículo 86 reconoce además a las personas afectadas por determinadas decisiones basadas en estos sistemas el derecho a obtener una explicación. Conviene confirmar con tu asesoría cuándo resulta exigible en tu caso. La evaluación de impacto en derechos fundamentales del artículo 27 se dirige a organismos públicos, entidades privadas que prestan servicios públicos y determinados usos de crédito y seguros, por lo que no alcanza en general a una selección de personal privada. No debe confundirse con la evaluación de impacto del RGPD.

El AI Act se aplica de forma escalonada y el Ómnibus digital sobre IA (Reglamento (UE) 2026/1744) modificó su calendario en julio de 2026. Estas son las fechas que más afectan a RRHH. El calendario completo está en nuestro checklist del AI Act para empresas.

1. 2 de febrero de 2025

   se aplican las prácticas prohibidas (artículo 5), incluida la inferencia de emociones en el trabajo, y la alfabetización en IA (artículo 4).

2. 2 de agosto de 2026

   aplicación general del reglamento, incluida la transparencia del artículo 50. Afecta a RRHH si, por ejemplo, un sistema interactúa directamente con candidatos.

3. 2 de diciembre de 2027

   se aplican las obligaciones del capítulo III, secciones 1 a 3, a los sistemas de alto riesgo del Anexo III, incluidos los de selección y evaluación de personal.

El AI Act no sustituye al RGPD: el propio reglamento mantiene su aplicación a los datos personales (artículo 2.7). Una selección con IA implica tratar datos de candidatos, y esa parte ya está regulada hoy, con independencia del calendario de alto riesgo.

Conviene revisar con tu DPO, como mínimo, la base jurídica del tratamiento, la información a los candidatos, sus derechos, el contrato con el proveedor y la necesidad de una evaluación de impacto. El artículo 26.9 del AI Act prevé usar la información del proveedor para esa evaluación. El artículo 22 del RGPD regula las decisiones basadas únicamente en tratamiento automatizado con efectos jurídicos o similares. Un cribado que descarta candidaturas sin revisión humana real merece un análisis específico.

Si tu empresa ya usa IA en algún punto del proceso de selección, este es el orden que recomendamos. Es nuestra propuesta de trabajo, no un procedimiento del reglamento. No hace falta tenerlo todo a la vez, pero sí empezar por lo que ya se aplica.

• Comprobar las prácticas prohibidas: confirmar con el proveedor que ninguna herramienta infiere emociones de candidatos o empleados.
• Inventariar los sistemas: qué herramientas tiene RRHH, cuáles usan IA, qué hacen exactamente, qué decisiones automatizan y cuáles solo sugieren.
• Clasificar el riesgo: analizar si cada sistema entra en el Anexo III y documentar el criterio.
• Cubrir el artículo 4: adoptar medidas de alfabetización para quien opera el sistema, según su perfil y el contexto de uso. Recomendamos conservar un registro interno. El reglamento no exige un certificado.
• Pedir información al proveedor: documentación técnica disponible, instrucciones de uso, situación de conformidad y plan para 2027.
• Revisar la parte laboral y de datos: información a la representación legal de los trabajadores, RGPD y evaluación de impacto si procede.
• Preparar la información a candidatos: un aviso claro, una explicación de la función de la IA y una vía para contactar con una persona. Es buena práctica desde ahora y parte de ello será obligación en alto riesgo.
• Definir la supervisión humana: quién revisa qué, en qué momentos y con qué criterio para apartarse de la recomendación.
• Revisar contratos con el proveedor del ATS: reparto de responsabilidades, soporte y conservación de registros.

El patrón común es asumir que, si la herramienta es de un proveedor reconocido, todo queda cubierto. El responsable del despliegue tiene obligaciones propias.

• Suponer que el ATS comercial ya está conforme y no pedir información.
• Dar por cubierto el artículo 4 con un correo. Según la Comisión, limitarse a remitir a las instrucciones de uso suele resultar insuficiente.
• Tratar la supervisión humana como un trámite («siempre revisa un reclutador») sin definir qué revisa, con qué criterio y cuándo se aparta de la recomendación.
• No informar a los candidatos del uso de IA, asumiendo que una política general de privacidad ya lo cubre todo.
• Olvidar a la representación legal de los trabajadores.
• Dejar para 2027 las medidas de alfabetización, aplicables desde febrero de 2025.

La pregunta de quién lleva esto internamente no tiene respuesta única. Una opción habitual es apoyarse en el DPO para la privacidad y la trazabilidad, en legal o cumplimiento para contratos y aspectos laborales, y en un perfil técnico para entender el sistema. En empresas más pequeñas, una asesoría externa puede ayudar a ordenar el mapa completo.

Una buena señal de que conviene empezar es la inversa: si nadie puede responder hoy a «¿qué sistemas de IA usamos en RRHH, qué hacen y quién los supervisa?», ese es el primer trabajo.

En DatIACode combinamos consultoría técnica y formación en el mismo equipo. Es un encaje útil para RRHH, porque entender el sistema y preparar a quien lo usa son trabajos que se tocan. Nuestro acompañamiento no sustituye al asesoramiento jurídico: ayuda a llegar mejor preparado a esa conversación.

Lo trabajamos con el servicio de cumplimiento del AI Act:

• Revisión inicial de los sistemas de IA en uso en RRHH y apoyo en su clasificación.
• Plan de trabajo priorizado por fechas (artículo 4 ya aplicable; alto riesgo del Anexo III, 2 de diciembre de 2027), responsables y entregables.
• Medidas de alfabetización adaptadas al personal afectado, con nuestro curso de alfabetización en IA. El certificado de DatIACode acredita la formación realizada, no el cumplimiento legal.
• Diseño de la información a candidatos y de la supervisión humana.
• Apoyo técnico en la revisión de contratos y documentación de proveedores de ATS.