Actualizada el 15 de octubre de 2026 con el nuevo calendario. Si leíste aquí que el alto riesgo en selección se aplicaba desde el 2 de agosto de 2026, esa fecha ya no está vigente.
Si usas inteligencia artificial para filtrar CV, puntuar candidatos o evaluar entrevistas en la Unión Europea, la Ley de IA (Reglamento (UE) 2024/1689) ya te afecta en tres puntos: hay prácticas prohibidas desde febrero de 2025, tienes el deber de promover la alfabetización en IA de tu equipo y, desde agosto de 2026, quien habla con una IA tiene que saberlo. Las obligaciones de alto riesgo, que son las que más trabajo dan en selección, se aplican desde el 2 de diciembre de 2027. Las aplazó el Reglamento (UE) 2026/1744, conocido como Ómnibus digital sobre IA y publicado en el Diario Oficial el 24 de julio de 2026.
Abajo tienes qué usos de la IA en selección son de alto riesgo, qué le toca a tu empresa y qué a tu proveedor, y qué conviene tener hecho antes de diciembre de 2027. No es asesoramiento jurídico: citamos los artículos para que puedas comprobarlos.
Calendario: qué se aplica hoy y qué llega después
| Desde | Qué | Dónde está |
|---|---|---|
| 2 de febrero de 2025 | Prácticas prohibidas, entre ellas inferir emociones en el lugar de trabajo | Artículo 5 |
| 2 de febrero de 2025, con texto nuevo desde el 27 de julio de 2026 | Alfabetización en IA: adoptar medidas para promoverla entre quienes usan los sistemas | Artículo 4 |
| 2 de agosto de 2026 | Transparencia: la persona tiene que saber que está interactuando con una IA, salvo que sea evidente | Artículo 50 |
| 2 de diciembre de 2027 | Requisitos y obligaciones de los sistemas de alto riesgo del anexo III, empleo incluido | Capítulo III, secciones 1 a 3 |
El aplazamiento solo mueve la última fila. Lo que ya estaba prohibido sigue prohibido, y el RGPD no ha cambiado: si hoy tomas decisiones sobre candidatos con IA, la protección de datos ya te obliga (lo vemos más abajo).
El propio Reglamento 2026/1744 explica el retraso en su considerando 40: faltaban normas técnicas, especificaciones comunes y orientaciones, y no todas las autoridades nacionales competentes estaban constituidas. Nadie puede asegurar hoy que todo eso esté listo en diciembre de 2027. La fecha que vale es la publicada en el Diario Oficial.
Qué usos de la IA en selección son de alto riesgo
El anexo III, punto 4, letra a), considera de alto riesgo los sistemas de IA destinados a la contratación o la selección de personas, «en particular para publicar anuncios de empleo específicos, analizar y filtrar las solicitudes de empleo y evaluar a los candidatos». La letra b) añade los que deciden sobre condiciones laborales, promociones, despidos, asignación de tareas según el comportamiento o los rasgos de cada persona, o supervisión y evaluación del rendimiento.
Hay una salida, en el artículo 6, apartado 3: un sistema del anexo III no es de alto riesgo si no influye de forma sustancial en la decisión y cumple alguna de las cuatro condiciones del apartado, como hacer solo una tarea de procedimiento limitada o una tarea preparatoria. Pero el mismo apartado la cierra para un caso: un sistema que elabora perfiles de personas siempre es de alto riesgo. En selección, ordenar o puntuar candidatos según su encaje con un puesto es elaborar perfiles, según la definición del RGPD a la que remite el artículo 3.52.
| Uso en un proceso de selección | Cómo encaja |
|---|---|
| Filtrar candidaturas de forma automática | Alto riesgo (anexo III, 4.a) |
| Puntuar u ordenar candidatos por encaje con el puesto | Alto riesgo. Elabora perfiles, así que la excepción del artículo 6.3 no aplica |
| Mostrar un anuncio de empleo solo a perfiles concretos | Alto riesgo: el anexo cita los «anuncios de empleo específicos» |
| Evaluar respuestas de una entrevista grabada | Alto riesgo |
| Deducir emociones por la voz o la cara del candidato | Prohibido desde el 2 de febrero de 2025 (artículo 5.1.f) |
| Chatbot que resuelve dudas de candidatos | Transparencia del artículo 50. Si además filtra o evalúa, alto riesgo |
| Redactar una oferta, programar entrevistas, resumir un CV para que lo lea una persona | Puede quedar fuera por el artículo 6.3 si no elabora perfiles ni influye en la decisión. Documenta por qué |
| Decidir promociones, asignar tareas según el comportamiento o los rasgos de cada persona, o medir el rendimiento de la plantilla | Alto riesgo (anexo III, 4.b) |
En los casos dudosos, la pregunta útil es si el sistema influye en quién avanza. Si una persona solo ve los candidatos que la herramienta ha dejado pasar, influye.
Proveedor o responsable del despliegue: quién hace qué
La Ley de IA reparte el trabajo entre quien fabrica el sistema (el proveedor) y quien lo usa en su organización (el responsable del despliegue). Una empresa que usa un software de selección con IA es responsable del despliegue. Una agencia que lo usa para los procesos de sus clientes, también.
El proveedor tiene que tener, desde el 2 de diciembre de 2027 para el anexo III: un sistema de gestión de calidad, documentación técnica, registros automáticos, supervisión humana prevista desde el diseño, evaluación de la conformidad y declaración UE de conformidad antes de comercializar el sistema (artículo 16).
Desde el 2 de diciembre de 2027, el responsable del despliegue tiene que (artículo 26):
- Usar el sistema según sus instrucciones de uso.
- Encargar la supervisión humana a personas con la competencia, la formación y la autoridad necesarias, que puedan rechazar lo que la herramienta recomiende.
- Asegurarse de que los datos de entrada que controla son pertinentes y suficientemente representativos para la finalidad del sistema.
- Vigilar cómo funciona, avisar al proveedor si ve un riesgo y suspender el uso cuando corresponda.
- Conservar los registros que genera el sistema, en la medida en que estén bajo su control, durante al menos seis meses.
- Informar a las personas sobre las que el sistema toma o ayuda a tomar decisiones, es decir, a los candidatos (artículo 26.11).
- Si lo usa con su propia plantilla, informar antes a los representantes de los trabajadores y a los trabajadores afectados (artículo 26.7).
Cuándo una empresa o agencia pasa a ser proveedor
El artículo 25 convierte en proveedor a quien pone su nombre o su marca en un sistema de alto riesgo, a quien lo modifica sustancialmente y a quien modifica la finalidad prevista de un sistema que no era de alto riesgo, incluida una IA de uso general, de forma que pasa a serlo (artículo 25.1.c). Pegar los CV de un proceso en un chatbot generalista y pedirle que los ordene puede encajar en ese último supuesto, con todas las obligaciones del proveedor detrás.
El RGPD ya te obliga hoy
El aplazamiento de la Ley de IA no toca el Reglamento General de Protección de Datos. Tres puntos aplican desde ya a cualquier uso de IA con candidatos:
- Decisiones automatizadas (artículo 22 del RGPD). Un candidato tiene derecho a no ser objeto de una decisión basada únicamente en un tratamiento automatizado que le afecte de forma significativa. Descartar candidaturas sin que ninguna persona las mire es justo eso.
- Evaluación de impacto (artículo 35 del RGPD). Evaluar de forma sistemática y exhaustiva a candidatos con tratamiento automatizado, cuando de ello dependen decisiones que les afectan de forma significativa, exige una evaluación de impacto antes de empezar.
- Información. El candidato tiene que saber qué datos tratas, con qué base jurídica y durante cuánto tiempo los conservas.
Lo explicamos con más detalle en nuestra guía del RGPD y la LOPDGDD en selección.
Qué hacer ahora y qué antes de diciembre de 2027
Ahora:
- Haz un inventario de dónde usas IA en selección: anuncios, cribado, puntuación, entrevistas, chatbot, comunicación con candidatos.
- Clasifica cada uso con la tabla de arriba: prohibido, alto riesgo, transparencia o fuera, y deja por escrito el motivo de los que consideras fuera.
- Retira cualquier función que deduzca emociones de los candidatos.
- Si un chatbot habla con candidatos, comprueba que dice que es una IA.
- Revisa qué descartes se hacen sin intervención humana real, con IA o con reglas automáticas. El artículo 22 del RGPD solo los permite en supuestos tasados (necesidad contractual, ley o consentimiento explícito) y con garantías, como el derecho a pedir que lo revise una persona.
- Forma a quien usa las herramientas: qué hace cada una, qué no hace y cuándo hay que contradecirla. Es la forma más directa de cumplir el artículo 4.
- Si usas un chatbot generalista para ordenar o evaluar candidatos, planifica dejar de hacerlo: desde diciembre de 2027 el artículo 25 puede convertirte en proveedor de un sistema de alto riesgo, y hoy ya te aplica el RGPD, incluido su artículo 22 si ninguna persona revisa el resultado.
Antes del 2 de diciembre de 2027:
- Pide a cada proveedor sus instrucciones de uso y, cuando la tenga, la declaración UE de conformidad.
- Nombra a las personas que supervisan cada sistema y dales autoridad para revocar sus recomendaciones.
- Activa y conserva los registros durante al menos seis meses.
- Prepara el aviso a candidatos del artículo 26.11.
- Define a quién se avisa y cómo se suspende el uso si el sistema falla.
Qué preguntarle a tu proveedor de software de selección
- ¿Qué funciones de tu producto consideras de alto riesgo según el anexo III y cuáles no, y con qué razonamiento?
- ¿Tendrás la evaluación de la conformidad y la declaración UE de conformidad antes del 2 de diciembre de 2027?
- ¿Qué registros genera el sistema, cuánto tiempo los guardas y cómo los exporto?
- ¿Cómo puede una persona de mi equipo ver por qué el sistema recomienda a un candidato y anular esa recomendación?
- ¿Con qué datos se entrenó el modelo y cómo has medido sus sesgos?
- ¿Dónde se procesan los datos de mis candidatos y se usan para entrenar modelos?
Si trabajas con Mainder, hazle las mismas preguntas a tu contacto. En nuestra plataforma la IA recomienda y una persona decide, y cada interacción con la IA queda registrada. Lo detallamos en la página de seguridad y cumplimiento.
Fuentes
- Reglamento (UE) 2024/1689, de Inteligencia Artificial: artículos 4, 5, 6, 16, 25, 26 y 50 y anexo III.
- Reglamento (UE) 2026/1744, Ómnibus digital sobre IA: nuevo artículo 4 y nuevas fechas del artículo 113.
- Reglamento (UE) 2016/679, RGPD: artículos 22 y 35.
