Selección y contratación de personas: qué exigen el RGPD y la Ley de IA en 2026
- Felipe Haase
- hace 20 horas
- 9 min de lectura
El Reglamento General de Protección de Datos y la Ley de IA cambian las reglas de la selección y contratación de personal en España en 2026. ¿Tu proceso está al día?
Un candidato al que descartaste hace tres meses te escribe pidiendo que borres su currículum.
Y de paso, que le expliques por qué no avanzó. ¿Sabrías qué responderle a nombre de tu empresa bajo este nuevo marco legal? En 2026, la selección y contratación de personas en España dejó de ser solo una cuestión de buen ojo para el talento: es también un terreno donde se cruzan dos normativas que conviene conocer antes de que te pillen desprevenido.
El RGPD (Reglamento General de Protección de Datos) regula qué antecedentes puedes pedirle a una persona que postula a un trabajo; la Ley de IA de la Unión Europea (Reglamento 2024/1689) regula cómo puedes usar herramientas de Inteligencia Artificial para evaluar y tomar decisiones.
La promesa de este artículo es simple: que termines de leerlo sabiendo qué puedes hacer, qué debes evitar y cómo elegir tus herramientas entendiendo con mayor claridad estas normativas.
Soy Felipe Haase y, como Head of Technology de Genomawork, puedo afirmar que la tecnología en Recursos Humanos marca la diferencia cuando está diseñada para que un humano siga teniendo la última palabra. Esa idea resume buena parte de lo que viene.
¿Por qué 2026 es el año en que el RGPD y la Ley de IA se cruzan en RRHH?
Durante años, la forma de mantener el cumplimiento en selección se resumía en pedir lo justo, guardarlo bien y tener los formularios en regla. Si bien el RGPD lleva tiempo dictando qué datos se pueden pedir y cómo guardarlos, el 2 de agosto de 2026 marca un punto de inflexión: la entrada en vigor de las obligaciones plenas para los sistemas de alto riesgo de la Ley de IA de la UE (Reglamento 2024/1689, también conocido como AI Act).
Te cuento los detalles:
Se acabó la “zona gris” para tus herramientas de selección
Hasta ahora, muchos algoritmos de cribado y chatbots de preselección vivían en una ambigüedad cómoda, pues nadie sabía muy bien bajo qué reglas jugaban. El AI Act disuelve esa duda y nombra a los sistemas de IA utilizados en reclutamiento, selección, promoción y evaluación del desempeño como de alto riesgo (Anexo III).
Según el artículo 6, apartado 3 de la Ley de IA, ninguna herramienta queda exenta de las obligaciones de alto riesgo si implica la elaboración de perfiles (tal como la define el artículo 4, apartado 4 del RGPD). Y, dado que casi cualquier software de selección busca predecir el ajuste o el desempeño de un candidato, estas herramientas caen automáticamente bajo la regulación más estricta.
La responsabilidad también es del “implementador”
Pensar que, si la IA falla, el problema lo tiene solo quien te la vendió, no es correcto. Si tu equipo usa una IA para tomar decisiones sobre personas, eres lo que la ley llama “implementador”, y tienes obligaciones propias que no puedes trasladar al proveedor tecnológico, tales como garantizar la supervisión humana criteriosa para entender el sistema, sus limitaciones y anular un resultado cuando se detecte un error o sesgo.
Recuerda que desde 2026, ninguna IA puede decidir sola a quién contratas o rechazas.
DATO:
Si bien, el proveedor del software debe realizar la auditoría técnica por diseño, la empresa usuaria es responsable de verificarla, exigirla por contrato y monitorear que la aplicación práctica de la IA en sus procesos no resulte en discriminación por género, edad o nacionalidad.
El candidato gana derechos
Aquí ambas leyes se dan la mano. El RGPD ya reconoce a cualquier persona el derecho a no quedar a merced de decisiones automatizadas (art. 22). La Ley de IA suma otra capa: el candidato debe saber de antemano que lo evalúa un sistema inteligente y poder pedir una explicación clara de qué pesó en su resultado.
¿Qué pasa si no cumples: sanciones del RGPD y la Ley de IA?
No hace falta ser una multinacional para que te sancionen. La Agencia Española de Protección de Datos (AEPD) ha multado conductas como: recabar más datos de los necesarios, no informar al candidato qué se hará con su información o exigir documentación desproporcionada para un trámite simple. Errores que cualquier departamento de selección podría cometer al no estar al tanto.
¿Y cuánto cuesta? Las multas administrativas por incumplimiento del RGPD pueden llegar hasta 20 millones de euros o el 4% de la facturación global anual, lo que sea mayor (por ejemplo, por el uso de servidores en terceros países sin garantías).
La Ley de IA, por su parte, sube la apuesta hasta 35 millones o el 7% para las prácticas prohibidas, como el reconocimiento de emociones, la categorización biométrica o el social scoring, y hasta 15 millones o el 3% para los sistemas de alto riesgo que incumplan sus obligaciones, como el cribado sin trazabilidad, sin supervisión humana o sin la documentación técnica requerida.
Y cuidado con esto porque las autoridades (como la AESIA* y la AEPD en España, o las autoridades de vigilancia de cada Estado miembro) podrán retirar del mercado cualquier herramienta que no cumpla con requisitos como los mencionados. Por lo tanto, conviene asegurarte de que la tecnología en la que apoyas tus procesos está en regla, para no encontrarte con que debes reemplazarla a mitad de camino.
*Agencia Española de Supervisión de la Inteligencia Artificial.
¿Qué información puedes recoger legalmente de candidatos según el RGPD (y cuáles no)?
Algunas empresas creen que, para tratar los datos de un candidato, basta con que este marque una casilla de “acepto”. Pero la ley lo ve distinto.
Cuando alguien postula a un trabajo puede temer quedar descartado solo por no marcar la casilla. Y un “sí”, dado por miedo a perder la oportunidad, no es un consentimiento libre.
Por eso, según la guía de la AEPD “La protección de datos en las relaciones laborales” (2021), el consentimiento no sirve como base legal en un proceso de selección.
¿Qué sirve entonces? El artículo 6.1.b del RGPD (aplicación de medidas precontractuales) explica que puedes tratar los datos personales de un candidato porque postula al trabajo y tú necesitas evaluarla. Esto sin pedirle permiso para algo que es parte natural de presentar una candidatura. De ahí el principio que debería gobernar cada formulario que diseñas: pide solo lo que el puesto exige. Ni un campo más.
Lícitos, restringidos y prohibidos
La AEPD, basándose en el RGPD y la LOPDGDD, ha trazado una línea muy clara sobre qué datos puedes solicitar y cuáles vulneran la privacidad del candidato. Esta tabla lo resume:
Sobre el currículum, la misma guía de la AEPD advierte que conservar un CV que no se actualiza entre 12 y 24 meses deja de ser proporcionado. Si quieres mantenerlo para futuras vacantes, necesitas un consentimiento aparte y explícito.
¿Qué exige la Ley de IA (AI Act) a las plataformas de evaluación?
¿Por qué el software de selección es “alto riesgo”?
El Anexo III del AI Act lo dice: los sistemas de IA utilizados en empleo, reclutamiento y selección de personas son sistemas de IA de alto riesgo. Tal como te comenté más arriba, esa clasificación abarca el cribado y la clasificación de currículums, las plataformas de evaluación que predicen el fit de un candidato y los algoritmos que dirigen ofertas a perfiles concretos del mercado laboral.
Solo una herramienta que realiza labores accesorias —ordenar documentos entrantes o señalar duplicados, sin evaluar a nadie— puede quedar fuera. Pero en cuanto realiza una tarea de perfilado o puntuación de candidatos, entra de lleno.
Lo que ya está prohibido (desde 2025)
Desde febrero de 2025, el artículo 5 del Reglamento europeo de Inteligencia Artificial prohíbe los sistemas de IA que infieren emociones en el entorno laboral. ¿Qué significa para ti? Que ninguna herramienta que analice el tono de voz o el rostro de un candidato para deducir si está “comprometido” o “nervioso” es legal. Por muy moderna que parezca.
El calendario para aplicar esta normativa (con el matiz Digital Omnibus)
Aquí conviene ser honesto porque circula información confusa. El grueso de las obligaciones para los sistemas de IA de alto riesgo del Anexo III estaba previsto para el 2 de agosto de 2026. Sin embargo, el paquete legislativo Digital Omnibus propuso aplazarlas hasta el 2 de diciembre de 2027 para dar tiempo a publicar las normas técnicas.
En cualquier caso, las prohibiciones del artículo 5 (mencionado arriba) ya están activas.
La responsabilidad es tuya: decisiones automatizadas y supervisión humana
Aunque contrates la mejor tecnología del mercado, la responsabilidad de tomar decisiones sobre los talentos no se externaliza. El artículo 22 del RGPD reconoce a todo candidato el derecho a no ser objeto de una decisión basada únicamente en tratamiento automatizado que le afecte de forma significativa. En selección, eso se traduce en que una máquina no puede descartar a alguien por sí sola.
La Ley de IA lo refuerza desde otro ángulo. Exige garantizar la supervisión humana efectiva sobre estos sistemas, es decir, una persona con competencia y criterio para revisar, matizar o revertir lo que el algoritmo sugiere.
Y hay un detalle que pocos conocen. El artículo 64.4.d del Estatuto de los Trabajadores —introducido por la Ley 12/2021, la llamada “Ley Rider”— obliga a informar a la representación de los trabajadores sobre los parámetros y reglas en que se basan los algoritmos que influyen en el acceso al empleo. Así que, si incorporas un software de selección automatizado, tu comité de empresa tiene derecho a saberlo.
La fórmula que concilia eficiencia y ley se conoce como human-in-the-loop: la IA acompaña, el humano decide. A esto se suma un deber técnico fácil de pasar por alto: la Ley de IA obliga a conservar los registros generados por estos sistemas durante al menos seis meses. Llevar esa gestión documental al día, sobre todo si trabajas con varias herramientas integradas en un mismo flujo, te protege el día que alguien pregunte.
¿Cómo elegir un proveedor de IA en selección que cumpla la ley?
La decisión pasa por mirar varias dimensiones, tales como que el sistema:
Tenga la documentación técnica del AI Act en regla.
Cuente con un lugar seguro donde se alojan los datos.
Haya pasado por auditorías de sesgo documentadas.
Dicho esto, define tus propios criterios de selección del software, por ejemplo:
¿Necesitas que cuide la experiencia del candidato durante las evaluaciones?
¿Es importante que se integre con un applicant tracking system?
¿Buscas que mantenga sus bases de datos dentro de la UE?
Tener claras esas prioridades te ahorra deslumbrarte con funcionalidades que no son prioritarias.
Las preguntas que debes hacerle a tu proveedor
¿Tu sistema está clasificado como de alto riesgo y dispones de su documentación técnica?
¿Me entregas un contrato de encargado del tratamiento conforme al artículo 28 del RGPD?
¿Cómo auditan los sesgos y cada cuánto?
¿Puedes explicar la lógica detrás de cada puntuación o ranking?
¿Qué respaldo científico tienen tus evaluaciones?
Genomawork: la última palabra siempre es humana
Si llegaste hasta aquí, quizá te preguntes cómo se ve una plataforma de selección de personas que respeta todo lo anterior. En el caso de Genomawork, su modelo parte de una premisa clara: la IA sugiere, nunca descarta sola.
Además, la plataforma nunca elige por el cliente sin que medie el criterio de una persona.
La minimización del sesgo ocurre antes de que la evaluación llegue a un solo candidato. Las evaluaciones cuentan con un fundamento científico y son adaptadas a una población para que entreguen valor. Así se busca que dos personas con la misma habilidad obtengan una medición justa, sin que su perfil demográfico incline la balanza.
En cuanto a los derechos del candidato, cualquier persona con cuenta puede ver qué datos personales suyos están almacenados, e incluso pueden modificarlos o pedir que se eliminen en cualquier momento.
Solo recuerda que, si bien el software de Genomawork cumple su parte, en cuanto descargas información de tus candidatos y los guardas en tus propios sistemas, tu empresa pasa a ser responsable de cuidarlos con el mismo rigor que exige el RGPD.[H2] ¡Prepárate para hacer cambios a la selección y contratación de personas!
Recapitulemos. En 2026, seleccionar talento en España significa moverse entre la Inteligencia Artificial y la protección de datos. La primera vigila cómo decides con ella y la segunda, cuida qué datos tratas.
Pero cumplir no es un trámite que ralentice tu selección, ya que te permitirá seleccionar de manera rápida y certera. Si quieres ver cómo una plataforma puede ayudarte a hacerlo sin renunciar a la agilidad, conversa con el equipo de Genomawork y descubre cómo evaluar talento con la ley de tu lado.
Preguntas frecuentes
Si uso la plataforma de Genomawork, ¿qué pasa con los datos de los candidatos después de un proceso de selección? ¿Quién los guarda y por cuánto tiempo?
Genomawork almacena la información durante el tiempo que cada empresa la necesite para sus procesos internos de auditoría. Los datos del candidato se conservan mientras su evaluación siga vigente —tiene una validez de un año— y, a partir de ahí, se mantienen mientras exista actividad en la cuenta.
¿De qué manera Genomawork ayuda a las empresas a cumplir con el RGPD?
Genomawork incorpora los protocolos que protegen los derechos de los candidatos sobre sus propios datos. Cualquier persona con una cuenta puede, en todo momento, consultar qué datos personales suyos están almacenados, modificarlos o eliminarlos.
¿Qué busca garantizar el reglamento europeo AI Act o Ley IA?
Busca que los sistemas de IA usados en la UE sean seguros, transparentes y respetuosos con los derechos fundamentales.
¿Qué exige el reglamento europeo AI Act a las empresas que usan plataformas de selección de personas? El AI Act clasifica como “alto riesgo” los sistemas de IA destinados a la selección y gestión de personas.
Si tu empresa cuenta con plataformas que usan algoritmos para este fin, asumes obligaciones propias: mantener supervisión humana sobre cualquier proceso donde un algoritmo intervenga en la selección y verificar que tu proveedor cumpla con lo que el reglamento exige. La responsabilidad, en otras palabras, no termina al contratar el software.
¿Cómo elegir un proveedor de IA en selección que cumpla con la ley?
Busca un proveedor que aplique las buenas prácticas que marca el AI Act. En concreto, que garantice la seguridad de la información; que registre y conserve un rastro auditable de las decisiones de sus modelos; que someta esos modelos de IA a auditorías; que sea transparente sobre los datos con que fueron entrenados; y que evite las tareas cien por cien automatizadas, dejando siempre espacio a la supervisión humana y a criterios que puedan explicarse.
Si una plataforma no sabe explicarte por qué puntuó a un candidato de cierta forma, esa opacidad ya es una señal de alerta.
