Qué sistemas de RRHH quedan cubiertos
El Anexo III, punto 4 del AI Act clasifica como alto riesgo dos categorías de sistemas de IA usados en el ámbito laboral, tanto si los desarrolla la propia empresa como si los compra a un proveedor:
- 4(a) — Contratación y selección: sistemas destinados a publicar anuncios de empleo dirigidos, analizar o filtrar solicitudes de empleo, y evaluar a las personas candidatas.
- 4(b) — Gestión de la relación laboral: sistemas destinados a tomar decisiones sobre las condiciones laborales, la promoción o la extinción de la relación laboral, a asignar tareas en función del comportamiento o de rasgos y características personales, o a supervisar y evaluar el rendimiento y el comportamiento de las personas en ese contexto.
En la práctica esto cubre un ATS (applicant tracking system) que puntúa currículums, un software que analiza vídeo-entrevistas, una herramienta de people analytics que mide desempeño, o cualquier sistema que ayude a decidir a quién promocionar o a quién despedir.
El artículo 6(3) prevé una excepción para sistemas que solo realizan una tarea de procedimiento estrecha y no influyen materialmente en la decisión. Pero esa excepción no aplica si el sistema hace profiling de personas físicas, y el cribado de CVs, el scoring de candidaturas o la evaluación de desempeño casi siempre implican perfilar a la persona. En la práctica, la mayoría de estos sistemas de RRHH siguen siendo de alto riesgo aunque parezcan "solo un filtro" o "solo una puntuación orientativa".
Qué obligaciones exige, y a quién
Ser de alto riesgo no significa lo mismo para el proveedor del software que para la empresa que lo usa —el "responsable del despliegue" o deployer, en el lenguaje del Reglamento—. Esto es lo que corresponde a cada uno:
| Obligación | A quién corresponde y qué implica |
|---|---|
| Documentación técnica (Anexo IV, Art. 11) | Es responsabilidad del proveedor del software, no de la empresa que lo usa. |
| Registro en la base de datos UE (Art. 71) | También corresponde al proveedor; un empleador privado normal no tiene que registrar el uso del sistema. |
| Supervisión humana (Art. 14) | Corresponde al empresario: debe asignarla a personal con competencia, formación y autoridad suficientes para detectar el sesgo de automatización y para interpretar o revertir las salidas del sistema. |
| Uso conforme a instrucciones y datos representativos (Art. 26) | El empresario debe usar el sistema según las instrucciones del proveedor y asegurar que los datos de entrada son relevantes y suficientemente representativos. |
| Monitorización e incidentes graves (Art. 26) | El empresario debe vigilar el funcionamiento del sistema e informar al proveedor y a la autoridad de vigilancia del mercado ante cualquier incidente grave. |
| Conservación de logs (Art. 26) | El empresario debe conservar, cuando estén bajo su control, los registros generados automáticamente por el sistema durante al menos 6 meses. |
| Información previa a la plantilla (Art. 26.7) | El empresario debe informar a los representantes de los trabajadores y a las personas afectadas antes de poner en servicio el sistema. |
| Información a personas afectadas por una decisión (Art. 26) | El empresario debe informar a la persona candidata o empleada cuando el sistema participe en una decisión individual que le afecte. |
Una precisión adicional: el artículo 27 obliga a hacer una evaluación de impacto en derechos fundamentales antes de usar el sistema, pero solo para organismos de derecho público, entidades que prestan servicios públicos y algunos supuestos concretos de crédito y seguros. Un empleador privado "normal" que usa un ATS no está obligado por defecto a esa evaluación, aunque hacerla igualmente es una buena práctica.
Calendario: ¿desde cuándo hay que cumplir esto?
Las obligaciones de alto riesgo del Anexo III —incluidas las de RRHH— eran exigibles desde el 2 de agosto de 2026, pero el "Digital Omnibus", en vigor desde el 27 de julio de 2026, aplazó esa fecha al 2 de diciembre de 2027. El aplazamiento da más margen, pero no debería usarse como excusa para no empezar: inventariar los sistemas, confirmar si perfilan y preparar la comunicación a la plantilla es un trabajo que lleva meses, no días, y conviene tenerlo resuelto mucho antes de la fecha límite.
La obligación de informar a la plantilla
Antes de poner en servicio o usar un sistema de IA de alto riesgo en el lugar de trabajo, el artículo 26(7) obliga al empresario, como responsable del despliegue, a informar a los representantes de los trabajadores y a los trabajadores que vayan a estar sujetos a ese sistema de que se va a usar sobre ellos, siguiendo los cauces de información laboral ya previstos en la normativa nacional y de la UE —en España, esto conecta directamente con los mecanismos de información y consulta del Estatuto de los Trabajadores.
Es una obligación previa al despliegue, no posterior. Implantar primero el sistema y explicarlo después no cumple el artículo 26(7): la información tiene que llegar a la representación legal de los trabajadores y a las personas afectadas antes de que el sistema entre en funcionamiento.
Esto se suma —no sustituye— a las obligaciones del RGPD sobre decisiones automatizadas (artículo 22): son requisitos complementarios y acumulativos, y el AI Act no exime de cumplir el RGPD ni al revés.
Cómo prepararte: 4 pasos
Paso 1 — Inventariar qué sistemas de RRHH usáis
Lista todo lo que interviene en selección, evaluación de desempeño, promoción o despido: el ATS, el software de videoentrevistas, la herramienta de people analytics, incluso funciones de IA integradas en el HRIS que nadie recuerda haber activado.
Paso 2 — Confirmar si perfilan (y por tanto son alto riesgo)
Para cada sistema del inventario, pregúntate si puntúa, prioriza, predice o clasifica a personas según su comportamiento, rendimiento o características. Si la respuesta es sí, la excepción del artículo 6(3) no aplica y el sistema es de alto riesgo bajo el Anexo III.
Paso 3 — Preparar la comunicación a la plantilla
Diseña, con la representación legal de los trabajadores, el contenido y el canal para informar sobre cada sistema antes de ponerlo en marcha —qué hace, sobre qué datos y qué decisiones afecta— tal como exige el artículo 26(7).
Paso 4 — Asignar supervisión humana cualificada
Designa a la persona o equipo responsable de vigilar el sistema, con formación suficiente para detectar el sesgo de automatización y autoridad real para revertir una salida del sistema, tal como exige el artículo 14.
Preguntas frecuentes
¿Un ATS que filtra CVs con IA es automáticamente "alto riesgo"?
Sí. El Anexo III, punto 4(a) del AI Act cubre explícitamente los sistemas que analizan o filtran solicitudes de empleo y evalúan candidatos, y la excepción del artículo 6(3) no aplica porque estos sistemas suelen perfilar a las personas candidatas.
¿Hay que avisar a la plantilla antes de implantar un software de evaluación de desempeño con IA?
Sí. El artículo 26(7) obliga al empresario a informar a los representantes de los trabajadores y a los trabajadores afectados antes de poner en servicio o usar el sistema, no después.
¿Quién hace la documentación técnica, nosotros o el proveedor del software?
La documentación técnica del Anexo IV (artículo 11) es obligación del proveedor del sistema, no del empresario. El empresario, como responsable del despliegue, tiene otras obligaciones distintas recogidas en el artículo 26, como la supervisión humana y la información a la plantilla.
¿Esto sustituye la obligación de informar bajo el RGPD sobre decisiones automatizadas?
No. Son obligaciones distintas y acumulativas: el artículo 22 del RGPD sobre decisiones automatizadas sigue aplicando igual, y el AI Act añade las suyas propias (artículos 26.7 y 26.11) sin sustituirlo.