EXPEDIENTE 01
El sistema que descartaba candidatos
Diriges una empresa española de unos seiscientos empleados. Desde 2024, Recursos Humanos criba las candidaturas con una plataforma externa: puntúa cada currículum de 0 a 100 y ordena la lista. En 2025, con la renovación del contrato, el proveedor añadió un módulo de vídeo-entrevista. Ahorra tiempo. Nadie ha preguntado mucho más.
Es martes, 14 de julio de 2026. Llegas a tu mesa a las 09:12. Tres correos sin leer.
Esto no es un test y no hay nota. Hay decisiones. Cada una deja rastro en un expediente que leerás al final.
Simulación educativa sobre decisiones de gobernanza ante un sistema de IA cuestionado. Empresa, proveedor y personas son ficticios. Marco normativo: julio de 2026. No sustituye el análisis jurídico de un caso concreto.
Bandeja de entrada
En esta Agencia ha tenido entrada una reclamación presentada por D.ª C.M.R. en relación con el proceso de selección para un puesto de técnico de administración publicado por su entidad en marzo de 2026.
La reclamante manifiesta que su candidatura fue descartada sin llegar a la fase de entrevista mediante un sistema automatizado de evaluación de candidaturas, sin intervención humana en la decisión y sin que se le informara del uso de dicho sistema. Manifiesta asimismo que, habiéndose reincorporado al mercado laboral tras una excedencia de tres años, el sistema habría penalizado la interrupción de su trayectoria profesional.
En el marco de las actuaciones previas de investigación, se requiere a esa entidad para que, en el plazo de DIEZ DÍAS HÁBILES, remita a esta Agencia:
- Descripción del sistema utilizado para la evaluación y ordenación de candidaturas, con indicación del proveedor y de la fecha de inicio de su utilización.
- Indicación de si existe intervención humana en las decisiones de descarte y, en su caso, acreditación documental de la misma.
- Información facilitada a los candidatos sobre el uso del sistema.
- Cualquier análisis o evaluación realizados con carácter previo a su puesta en funcionamiento.
Transcurrido dicho plazo, esta Agencia continuará las actuaciones con la información que obre en su poder.
La Subdirección General de Inspección de Datos
A la atención de la Dirección:
Este comité ha recibido escrito de una candidata descartada en un reciente proceso de selección, en el que nos comunica haber presentado reclamación ante la Agencia Española de Protección de Datos. Por dicho escrito hemos tenido conocimiento de que la empresa utiliza desde 2024 un sistema automatizado para la evaluación y el descarte de candidaturas.
Al amparo del artículo 64.4.d) del Estatuto de los Trabajadores, solicitamos ser informados de los parámetros, reglas e instrucciones en los que se basan los algoritmos o sistemas de inteligencia artificial que afectan a la toma de decisiones que pueden incidir en las condiciones de trabajo, el acceso y el mantenimiento del empleo, incluida la elaboración de perfiles.
Solicitamos que dicha información se nos haga llegar por escrito antes de la reunión ordinaria del próximo 28 de julio. En caso contrario, este comité valorará las actuaciones que procedan en defensa de los derechos de las personas trabajadoras y de quienes aspiran a serlo.
Sin otro particular, reciban un saludo.
La Presidenta del Comité de Empresa
Buenos días,
acabo de ver la notificación de la Agencia. Te pongo en contexto antes de llamarte.
El escrito de la candidata nos llegó hace tres semanas. Pedía saber por qué quedó descartada y cómo funciona la herramienta. Le contestamos con lo que teníamos, que es lo que nos dio el proveedor en su día: el folleto comercial y el manual de usuario.
Al proveedor lo llamé entonces y he vuelto a llamarlo esta mañana. Dicen que la lógica del modelo es propiedad intelectual suya y que los criterios de puntuación no los dan. Que si queremos, nos preparan un resumen ejecutivo. Sigo esperándolo.
Que conste una cosa: aquí no se ha descartado a nadie sin mirar. Carlos revisaba los resultados antes de cerrar cada proceso. Siempre se ha hecho así.
Del módulo de vídeo mejor hablamos por teléfono.
Marta
D1 · La supervisión humana
Contexto.
Marta llama a las 09:41. Vuelve sobre lo mismo: aquí nadie quedaba descartado sin más, Carlos revisaba los resultados antes de cerrar cada proceso. Lo dice con la seguridad de quien lleva doce años en la casa. La respuesta a la Agencia hay que empezarla ya, y el punto 2 del requerimiento pide justo eso: si había intervención humana, y que se acredite con documentos.
Decisión.
¿Respondes con la palabra de Marta o con papeles?
D1 · La supervisión humana
Carlos tarda día y medio en volver. No trae actas de revisión; trae la configuración de la plataforma. El sistema descartaba de forma automática toda candidatura por debajo de 60 puntos. Lo que Carlos revisaba era la lista de los que quedaban por encima. A los descartados no los veía nadie. No hay registro de revisión porque no había revisión.
Es un mal hallazgo con una ventaja: lo sabes tú antes que la Agencia. La respuesta puede decir la verdad, con la corrección ya en marcha.
La letra pequeña. Una decisión con efectos significativos sobre una persona, tomada únicamente por medios automatizados, tiene nombre desde 2018: artículo 22 del RGPD. No se activa por usar IA. Se activa por este hecho: nadie miraba.
D1 · La supervisión humana
La respuesta sale en plazo: todas las decisiones de descarte contaban con supervisión humana previa. Lo firma la empresa. Lo firmas tú.
La Agencia contesta semanas después. No discute la afirmación: pide los registros que la acreditan. Alguien abre entonces la configuración de la plataforma y encuentra lo que había: descarte automático por debajo de 60 puntos, sin que nadie viera a los descartados. Carlos revisaba la lista de los que pasaban. No hay registros que enviar, y la afirmación ya está hecha, por escrito, ante la autoridad que ahora lee tu rectificación.
La letra pequeña. El hecho es el mismo de cualquier versión de esta historia: decisión únicamente automatizada con efectos significativos, artículo 22 del RGPD. La diferencia la has añadido tú: una manifestación ante la autoridad que la evidencia no sostiene.
D2 · El módulo de vídeo
Contexto.
Marta llama otra vez a mediodía, esta vez por lo del vídeo. Desde 2025 la primera entrevista se hace grabada: el candidato responde a cámara y la plataforma añade a su ficha una puntuación que el panel llama «engagement». Marta lo resume sin adornos: nadie en la empresa sabe de dónde sale ese número. Se ha pedido el detalle al proveedor por escrito; contestará «en unos días».
Hay cuarenta procesos de selección abiertos usando ese módulo.
Decisión.
D2 · El módulo de vídeo
La orden sale esa misma tarde: vídeo-entrevistas en pausa; los procesos siguen con el cribado de CV y entrevistas presenciales. Dos responsables de selección protestan. Uno pierde a un candidato por los plazos.
La carta del proveedor llega el viernes.
D2 · El módulo de vídeo
Los cuarenta procesos siguen. Durante tres días el módulo puntúa a más candidatos: nadie sabe todavía qué mide, pero los rankings se siguen usando.
La carta del proveedor llega el viernes.
Departamento de Cumplimiento y Relación con Clientes
Estimados señores:
Acusamos recibo de su solicitud de fecha 14 de julio relativa a la lógica de evaluación y los criterios de puntuación de nuestra plataforma de selección.
Como saben, nuestro modelo de evaluación constituye el núcleo de nuestra propiedad intelectual e incorpora secretos empresariales protegidos. La divulgación de su lógica interna, de sus variables o de sus ponderaciones comprometería nuestra posición competitiva y la integridad del propio sistema frente a intentos de manipulación por parte de los candidatos. Por este motivo, y conforme a la práctica general del sector, no facilitamos dicha información.
No obstante, en el marco de nuestro compromiso de transparencia con nuestros clientes, podemos poner a su disposición un resumen ejecutivo de las categorías generales de evaluación, previa firma del correspondiente acuerdo de confidencialidad.
Les recordamos que nuestro sistema cumple con la normativa vigente aplicable y ha sido desarrollado conforme a los más altos estándares del sector. Nuestra compañía dispone de certificación ISO 27001 y somete sus procesos a auditorías internas periódicas de calidad.
En relación con la evolución reciente del marco regulatorio europeo, les confirmamos que nuestro equipo jurídico la sigue de cerca y que nuestra hoja de ruta de producto contempla las adaptaciones que resulten exigibles en cada momento.
A efectos informativos, les trasladamos la descripción funcional de los módulos contratados. El módulo de cribado curricular genera un índice de adecuación puesto-candidato (0-100) a partir del análisis semántico del currículum y de su contraste con el histórico de contrataciones de perfiles análogos. El módulo de análisis de vídeo-entrevista complementa dicho índice con una métrica de engagement obtenida mediante análisis multimodal de la señal de vídeo y audio, que procesa la expresión facial del candidato, sus microexpresiones y la prosodia y tono de su voz para estimar niveles de atención, interés y confianza durante la entrevista. Ambos índices se integran en el ranking final conforme a ponderaciones configurables por el cliente.
Quedamos a su disposición para ampliar esta información en una sesión con nuestro equipo de Customer Success.
Atentamente,
El Director de Cuenta
Departamento de Cumplimiento y Relación con Clientes
D2 · El módulo de vídeo
La primera lectura no encuentra nada: propiedad intelectual, resumen ejecutivo, certificaciones, normativa vigente. La segunda se detiene en el penúltimo párrafo, el que parece de relleno: el módulo procesa la expresión facial y el tono de voz del candidato para estimar su disposición en la entrevista. Lleva desde 2025 leyendo caras. Cuando lo confirmas, el módulo ya está parado.
La letra pequeña. Las obligaciones de alto riesgo del Reglamento de IA están aplazadas a diciembre de 2027. Las prohibiciones no. Inferir emociones de una persona a partir de sus datos biométricos (cara, voz) en el ámbito laboral es práctica prohibida desde el 2 de febrero de 2025: artículo 5.1.f. Las directrices de la Comisión, de ese mismo febrero, extienden el ámbito laboral a los procesos de selección; no son vinculantes y la última palabra es del TJUE, pero son la interpretación disponible. Aquí no hay nada aplazado.
D2 · El módulo de vídeo
La primera lectura no encuentra nada. La segunda se detiene en el penúltimo párrafo: expresión facial, tono de voz. El número que nadie sabía interpretar era eso. El módulo se para ese mismo viernes, tarde.
La letra pequeña. La prohibición era la misma el martes que el viernes: inferir emociones a partir de datos biométricos en el ámbito laboral, artículo 5.1.f del Reglamento de IA, en vigor desde el 2 de febrero de 2025, sin aplazamiento. Las directrices de la Comisión la extienden a los procesos de selección; no son vinculantes y la última palabra es del TJUE. Lo que cambió en esos tres días fue tu posición: hubo indicios, no se comprobaron, y el sistema siguió corriendo.
D3 · El comité de empresa
Contexto.
El 28 de julio se acerca y con él la reunión del comité. Lo que hay para entregar cabe en una carpeta fina: el folleto comercial y el manual de usuario, más la descripción funcional que llegó con la carta del proveedor. Los parámetros, las variables, los pesos: propiedad intelectual, dice el proveedor. Asesoría jurídica apunta que el secreto comercial es un argumento defendible. Marta prefiere no ir a esa reunión con las manos vacías.
Decisión.
D3 · El comité de empresa
La reunión del 28 es corta y áspera. El comité hojea la carpeta y pregunta lo evidente: cómo puntúa el sistema a las personas. La respuesta honesta es la que queda en acta: la empresa no lo sabe, el proveedor no lo da, y lo entregado es todo lo que existe. Nadie sale contento. Pero el acta recoge dos cosas: que la empresa informó, y que la empresa tampoco conoce la lógica del sistema con el que descarta gente.
La letra pequeña. El derecho del comité a conocer los parámetros, reglas e instrucciones de los algoritmos que afectan al acceso al empleo está en el Estatuto de los Trabajadores desde 2021: artículo 64.4.d. Se cumple entregando lo que hay, aunque lo que haya sea poco. Entregar poco no incumple. Deja escrito, eso sí, cuánto ignora la empresa sobre su propio sistema.
D3 · El comité de empresa
La negativa sale por escrito, con el argumento del secreto comercial bien redactado. La respuesta del comité tarda cuarenta y ocho horas y ya no la firma solo la presidenta: viene con el membrete de la federación del sindicato. Anuncian que trasladarán la negativa a la Inspección de Trabajo y que informarán a la plantilla. En los pasillos, la herramienta de selección ya tiene mote.
La letra pequeña. El secreto comercial puede modular cuánto detalle se entrega. Lo que difícilmente hace es anular el derecho de información del artículo 64.4.d del Estatuto de los Trabajadores, vigente desde 2021, que no contempla esa excepción de forma expresa. La negativa completa es una posición débil de defender. Y era evitable: entregar lo que había no incumplía nada.
D3 · El comité de empresa
El comité acepta la reunión de septiembre sin retirar la petición. El 29 de julio registran un segundo escrito: mismo contenido, con copia a la dirección del grupo y a la asesoría jurídica de la federación. No has incumplido todavía. Has convertido una petición en un expediente que crece solo, y la fecha ahora la eligen ellos.
La letra pequeña. El derecho de información del artículo 64.4.d del Estatuto de los Trabajadores existe desde 2021 y no caduca por respuesta aplazada. La dilación no incumple todavía. Cede la iniciativa.
D4 · El contrato
Contexto.
La respuesta a la Agencia vence también el 28. El punto 1 pide una descripción del sistema con documentación que no aparece en ningún cajón: nadie la pidió al contratar. Alguien pregunta en la reunión qué dice el contrato. Y alguien más propone lo contrario: trasladárselo todo al proveedor y que conteste él a la Agencia, que para eso el sistema es suyo.
Decisión.
D4 · El contrato
El contrato tiene catorce páginas y se lee en una hora. Hay disponibilidad del servicio, penalizaciones por caída, un anexo estándar de protección de datos y precios por volumen. No hay cláusula de auditoría ni obligación de entregar documentación técnica. El acceso a la lógica de evaluación no aparece por ninguna parte, ni siquiera para el caso de un requerimiento de autoridad. En 2024 se compró selección más barata. Nadie compró la capacidad de explicarla.
La letra pequeña. Aquí no entra ninguna norma nueva. Entra un descubrimiento: lo que la autoridad te exige no puedes obtenerlo del proveedor, porque nunca se pactó. La carencia se firmó en 2024.
D4 · El contrato
El proveedor acepta con una amabilidad que debería inquietar: ellos preparan la respuesta. Lo que envían, con copia a ti, es una versión con otro membrete de la carta que ya conoces: certificaciones, estándares del sector, cumplimiento de la normativa vigente aplicable. La Agencia lo devuelve con una precisión de una línea: el requerimiento se dirigió a su entidad, no a su proveedor. El plazo, mientras tanto, siguió corriendo.
La letra pequeña. Ante la normativa de protección de datos, el responsable del tratamiento eres tú; el proveedor es encargado. La responsabilidad no se delega. Y el relato tampoco: la primera versión que la autoridad leyó de tu caso la escribió otro.
D5 · La evaluación previa
Contexto.
Punto 4 del requerimiento: qué análisis se hizo, antes de poner el sistema en marcha, sobre su efecto en los candidatos. El proyecto de 2024 lo llevaron Compras y RRHH. El proveedor, atento, ofrece adjuntar su propia «evaluación de impacto» del producto: cuarenta páginas con tablas de riesgo en tres colores.
Decisión.
D5 · La evaluación previa
La búsqueda dura una tarde y encuentra una sola cosa: el business case de la contratación. Horas de selección ahorradas por proceso, retorno de la inversión en catorce meses, dos diapositivas de riesgos centradas en la migración de datos. Del efecto del sistema sobre las personas que se presentan a un puesto, ni una línea. En 2024 se midió lo que el sistema ahorraba. A quién descartaba y por qué, no.
La respuesta a la Agencia dice la verdad: no consta evaluación previa.
La letra pequeña. El RGPD exige desde 2018 una evaluación de impacto (artículo 35) cuando se evalúan de forma sistemática y extensa aspectos personales por medios automatizados con efectos significativos. Cribar y ordenar candidaturas encaja. No haberla hecho incumple por sí solo, sin necesidad de que el Reglamento de IA diga nada.
D5 · La evaluación previa
El documento del proveedor luce: metodología con nombre propio, matrices de riesgo, un apartado de ética con foto de manos sobre un portátil. Se adjunta y sale en plazo.
La Agencia contesta semanas después con una observación seca: esa evaluación analiza el producto del proveedor en abstracto. No analiza tu uso: ni tu umbral de corte en 60 puntos ni tus candidatos reales. La pregunta era qué evaluaste tú antes de usarlo sobre personas. La respuesta, ahora visible, es que nada.
La letra pequeña. La evaluación de impacto del artículo 35 del RGPD corresponde al responsable del tratamiento y debe cubrir el uso concreto: contexto, datos, configuración. La del proveedor evalúa su producto, no tu despliegue. Adjuntarla aparenta cumplimiento y documenta, de paso, que el propio no existe.
D6 · El sesgo
Contexto.
Queda la alegación de fondo de la reclamación: que el sistema penaliza los currículums con interrupciones de carrera. La candidata volvía de una excedencia de tres años por cuidado de un hijo. Los datos para comprobarlo existen: dos años y medio de puntuaciones y descartes guardados en la plataforma. Nadie los ha mirado nunca con esa pregunta. En la reunión alguien lo dice en voz alta: si lo analizamos y sale mal, ese informe existirá para siempre.
Decisión.
D6 · El sesgo
El cruce cabe en una hoja de cálculo y se hace en dos días. La señal aparece: los currículums con huecos largos se descartan bastante más, y el efecto se concentra en mujeres de mediana edad. Encaja con una frase que la carta del proveedor soltaba sin darle importancia: el modelo aprende del histórico de contrataciones. El sistema aprendió lo que la empresa hacía antes y lo aplicó sin cansarse.
Es un mal dato. Es tuyo. Llegaste antes que nadie, y da para actuar: revisar el umbral y repescar descartes.
La letra pequeña. Tratar datos con lealtad y exactitud es un principio del RGPD (artículo 5), y la no discriminación no necesita norma nueva. A partir de diciembre de 2027 se sumará, ya como obligación expresa de quien despliega, el control de que los datos de entrada sean pertinentes y representativos (artículo 26.4 del Reglamento de IA). Para entonces tú ya sabrás lo que dicen los tuyos.
D6 · El sesgo
Esperas. En septiembre la Agencia amplía actuaciones y pide exactamente eso: tasas de descarte desagregadas por sexo y edad. El análisis se hace igual, en los mismos dos días, sobre los mismos datos. La señal es la misma que habrías encontrado en julio. La diferencia es la fecha del informe y quién lo pidió: queda constancia de que la alegación llevaba semanas sobre tu mesa cuando la autoridad tuvo que venir a buscar el dato.
La letra pequeña. Lealtad y exactitud (artículo 5 del RGPD) no esperan a que la autoridad pregunte. Con la alegación delante, no mirar fue una decisión. Y ahora está documentada.
Epílogo · Enero de 2028
Ha pasado año y medio. El sistema siguió funcionando, con el módulo de vídeo fuera y más papeles que antes. Lo de la Agencia sigue su curso, como siguen estas cosas: despacio y por escrito.
El lunes 10 de enero de 2028, otro correo del proveedor.
Estimado cliente:
Le informamos de que el próximo 31 de marzo de 2028 finalizará el ciclo de vida de la versión de la plataforma que su organización tiene contratada, que dejará de recibir soporte, mantenimiento y actualizaciones y será retirada del servicio.
Desde este mes de enero está disponible la nueva generación de la plataforma, que incorpora un motor de evaluación de nueva arquitectura, con la lógica de puntuación rediseñada y mejoras sustanciales en la precisión y la velocidad del cribado. La nueva versión ha sido desarrollada conforme al marco regulatorio europeo aplicable a los sistemas de inteligencia artificial y cuenta con la documentación correspondiente.
Adjuntamos la propuesta de contrato y las condiciones económicas actualizadas. Con el fin de asegurar la continuidad del servicio, le recomendamos formalizar la migración antes del 28 de febrero.
Su Director de Cuenta queda a su disposición para acompañarle en el proceso.
Atentamente,
Departamento Comercial y de Relación con Clientes
Epílogo · Enero de 2028
Contexto de la decisión.
No hay opción de seguir como estás: la versión antigua muere el 31 de marzo y Selección necesita la herramienta. El contrato está sobre la mesa y hay prisa, dos procesos esperan a la migración.
«La documentación correspondiente», dice el correo. Nadie la ha visto.
Decisión (única).
Epílogo · Enero de 2028
El contrato vuelve firmado en dos días y la migración se cierra en un fin de semana. En febrero, el primer proceso con la versión nueva puntúa y ordena a trescientas personas con una lógica que nadie en la empresa ha visto. Como en 2024. Solo ha cambiado el calendario.
La letra pequeña. Firmaste un sistema de alto riesgo ya exigible sin verificar nada de lo que ahora se puede exigir: ni lo del proveedor ni lo tuyo.
Desde el 2 de diciembre de 2027, un sistema de cribado de candidaturas es alto riesgo exigible: Anexo III del Reglamento de IA. El régimen transitorio del artículo 111.2 protege a los sistemas puestos en servicio antes de esa fecha mientras no cambien de forma significativa. Aquí no protege nada: la versión antigua fue retirada, y la nueva, puesta en el mercado en 2028 con la lógica sustancialmente modificada, es un sistema nuevo.
Las obligaciones del proveedor siguen siendo del proveedor. Solo pasarían a la empresa si le pusiera su marca, cambiara su finalidad o lo modificara sustancialmente (artículo 25). No es el caso. Lo exigible a la empresa es el artículo 26, el del responsable del despliegue: usar el sistema conforme a sus instrucciones, encomendar la supervisión humana a personas con competencia y autoridad reales, controlar que los datos de entrada sean pertinentes y representativos, vigilar el funcionamiento y comunicar los incidentes, conservar los registros, informar a los trabajadores y a sus representantes antes de la puesta en servicio, e informar a las personas afectadas por sus decisiones.
Siete obligaciones. En 2026 no eran exigibles. Poder cumplirlas hoy se construyó, o no, entonces.
Epílogo · Enero de 2028
La respuesta tarda nueve días y, por primera vez en esta historia, no es una negativa. Llega la declaración UE de conformidad, el marcado CE, las instrucciones de uso y la información prevista para quien despliega el sistema. Las instrucciones ocupan sesenta páginas. Por primera vez, alguien de tu casa lee antes de firmar qué hace el sistema, qué no hace y qué te toca vigilar a ti. Firmas después de leer. Parece poco. En 2024 no lo hizo nadie.
La letra pequeña. Comprobaste los deberes del proveedor: declaración UE de conformidad, marcado CE, instrucciones de uso y la información del artículo 13 del Reglamento de IA. Eso acredita que él cumplió lo suyo. Lo tuyo empieza justo después.
Desde el 2 de diciembre de 2027, un sistema de cribado de candidaturas es alto riesgo exigible: Anexo III del Reglamento de IA. El régimen transitorio del artículo 111.2 protege a los sistemas puestos en servicio antes de esa fecha mientras no cambien de forma significativa. Aquí no protege nada: la versión antigua fue retirada, y la nueva, puesta en el mercado en 2028 con la lógica sustancialmente modificada, es un sistema nuevo.
Las obligaciones del proveedor siguen siendo del proveedor. Solo pasarían a la empresa si le pusiera su marca, cambiara su finalidad o lo modificara sustancialmente (artículo 25). No es el caso. Lo exigible a la empresa es el artículo 26, el del responsable del despliegue: usar el sistema conforme a sus instrucciones, encomendar la supervisión humana a personas con competencia y autoridad reales, controlar que los datos de entrada sean pertinentes y representativos, vigilar el funcionamiento y comunicar los incidentes, conservar los registros, informar a los trabajadores y a sus representantes antes de la puesta en servicio, e informar a las personas afectadas por sus decisiones.
Siete obligaciones. En 2026 no eran exigibles. Poder cumplirlas hoy se construyó, o no, entonces.
Epílogo · Enero de 2028
La negociación dura tres semanas y el precio sube. A cambio, el contrato dice lo que el de 2024 nunca dijo: derecho de auditoría, acceso a la documentación técnica y obligación de asistencia ante cualquier requerimiento de una autoridad. El Director de Cuenta firma con menos entusiasmo que en 2024. Es buena señal.
La letra pequeña. El contrato es ahora la herramienta que en 2026 no existía. La carencia estructural que este caso dejó a la vista queda corregida: la próxima vez que una autoridad pida papeles, habrá derecho a obtenerlos.
Desde el 2 de diciembre de 2027, un sistema de cribado de candidaturas es alto riesgo exigible: Anexo III del Reglamento de IA. El régimen transitorio del artículo 111.2 protege a los sistemas puestos en servicio antes de esa fecha mientras no cambien de forma significativa. Aquí no protege nada: la versión antigua fue retirada, y la nueva, puesta en el mercado en 2028 con la lógica sustancialmente modificada, es un sistema nuevo.
Las obligaciones del proveedor siguen siendo del proveedor. Solo pasarían a la empresa si le pusiera su marca, cambiara su finalidad o lo modificara sustancialmente (artículo 25). No es el caso. Lo exigible a la empresa es el artículo 26, el del responsable del despliegue: usar el sistema conforme a sus instrucciones, encomendar la supervisión humana a personas con competencia y autoridad reales, controlar que los datos de entrada sean pertinentes y representativos, vigilar el funcionamiento y comunicar los incidentes, conservar los registros, informar a los trabajadores y a sus representantes antes de la puesta en servicio, e informar a las personas afectadas por sus decisiones.
Siete obligaciones. En 2026 no eran exigibles. Poder cumplirlas hoy se construyó, o no, entonces.
Epílogo · Enero de 2028
La versión nueva llega a una organización que es la suma de lo que decidió en 2026. Quien pidió la prueba, paró el módulo, informó al comité, leyó el contrato, buscó la evaluación y midió el sesgo tiene por dónde empezar. Quien no, tiene una caja negra recién contratada y dos años menos.
EXPEDIENTE INTERNO · Sistema de cribado de candidaturas
Periodo: julio de 2026 – enero de 2028
Esto es lo que queda por escrito.
Bloque 1 · Evidencias que pudiste aportar
Lo que la organización pudo poner encima de la mesa cuando se lo pidieron.
Bloque 2 · Documentos que no existían
Lo que se buscó y no apareció, porque nunca se hizo.
Bloque 3 · Decisiones que agravaron la exposición
Lo que no venía con el sistema y se añadió decidiendo.
Bloque 4 · Riesgos que siguen abiertos
Lo que no se cierra archivando este expediente.
Bloque 5 · Qué empezar hoy
Esto ya no va del caso. Va de tu organización.
- Inventaría qué sistemas puntúan o descartan personas en tu organización. Incluye los que llegaron dentro de otro servicio y nadie llama IA.
- De cada uno, responde con documentos: quién revisa sus decisiones y dónde queda registrado. Si la respuesta es «alguien lo mira», no tienes respuesta.
- Pregunta por escrito qué miden exactamente. Si analizan cara o voz para inferir estados de la persona, no es un pendiente de 2027: está prohibido desde febrero de 2025.
- Lee el contrato antes de necesitarlo: auditoría, documentación técnica, asistencia ante requerimientos. Lo que no esté, renegócialo ahora.
- La evaluación de impacto, propia y de tu uso concreto. La del proveedor habla de su producto, no de tu despliegue.
- Mide las tasas de descarte antes de que las pida alguien. El dato ya existe; la única variable es quién lo lee primero.
- Al comité, la información del 64.4.d entregada sin esperar el escrito. Llega mejor cuando no viene pedida.
Nota al expediente
La prohibición de inferir emociones (artículo 5.1.f del Reglamento de IA) exige datos biométricos: cara, voz, gestos, postura. Analizar solo el texto transcrito de unas respuestas con análisis de sentimiento no entra en ella, aunque siga siendo tratamiento de datos personales. En este caso el módulo procesaba cara y voz; por eso entra. La extensión del ámbito laboral a los procesos de selección viene de las directrices de la Comisión, que no son vinculantes: la última palabra la tendrá el TJUE.
El aplazamiento de las obligaciones de alto riesgo a diciembre de 2027 procede del Digital Omnibus, adoptado por el Parlamento Europeo el 16 de junio de 2026 y por el Consejo el 29 de junio de 2026, y pendiente de publicación en el Diario Oficial de la UE cuando se escribió este caso. Las prohibiciones del artículo 5, incluida la del 5.1.f, no se aplazaron: rigen desde febrero de 2025.
El requerimiento del 14 de julio no creó ninguno de estos problemas. Puso fecha al día en que dejaron de poder ignorarse.
El Reglamento de IA todavía no exige todo. Tu organización ya debería poder explicarlo todo.
Simulación educativa. Empresa, proveedor y personas son ficticios. No sustituye el análisis jurídico de un caso concreto.
Este caso es ficticio. Los sistemas que puntúan personas en tu organización, no.
Y cuando sepas qué tienes, sabrás qué te exige cada cosa.
IA Gobernable publica análisis de gobernanza de IA para organizaciones que ya la usan.