La advertencia de la AEPD
La Agencia Española de Protección de Datos ha realizado una advertencia a una empresa que estaba evaluando la implantación de una herramienta de inteligencia artificial destinada a analizar currículums y asignar puntuaciones a los candidatos.
La actuación pone de relieve que la incorporación de inteligencia artificial a los procesos de selección no puede abordarse únicamente desde una perspectiva tecnológica o de eficiencia empresarial. Cuando estos sistemas utilizan datos personales, deben respetarse también las exigencias derivadas de la normativa de protección de datos.
La utilización de inteligencia artificial en recursos humanos debe incorporar las garantías de protección de datos desde el diseño del sistema y durante todo su ciclo de utilización.
IA y selección de personal
Las herramientas basadas en inteligencia artificial permiten procesar grandes cantidades de información, clasificar candidaturas, identificar perfiles profesionales y establecer criterios de valoración de manera automatizada.
Sin embargo, esta capacidad de análisis puede tener consecuencias relevantes para los derechos de las personas cuando las puntuaciones, clasificaciones o recomendaciones obtenidas mediante algoritmos influyen en las posibilidades de acceder a un puesto de trabajo.
Por ello, las empresas que pretendan utilizar este tipo de herramientas deben analizar previamente qué datos se emplean, con qué finalidad, cómo funciona el sistema y qué consecuencias puede producir sobre los candidatos.
Protección de datos desde el diseño
Uno de los elementos fundamentales es la aplicación del principio de protección de datos desde el diseño y por defecto.
Esto implica que las garantías de privacidad no deben incorporarse después de implantar el sistema, sino que deben formar parte del propio proceso de selección y configuración de la herramienta tecnológica.
Antes de implantar sistemas de IA aplicados a recursos humanos resulta especialmente relevante revisar cuestiones como:
- La finalidad concreta para la que se utilizarán los datos personales.
- La base jurídica que legitima el tratamiento.
- La cantidad y tipología de datos utilizados por el sistema.
- La transparencia de la información facilitada a los candidatos.
- La existencia de decisiones automatizadas o sistemas de puntuación.
- La intervención humana en las decisiones relevantes.
- Los posibles riesgos de discriminación o generación de resultados incorrectos.
- La seguridad y confidencialidad de la información tratada.
Responsabilidad de las empresas
La contratación de una herramienta tecnológica desarrollada por un tercero no elimina las obligaciones de la empresa que decide utilizarla.
Las organizaciones deben conocer suficientemente el funcionamiento del sistema que incorporan a sus procesos internos y evaluar las consecuencias jurídicas derivadas de su utilización.
En determinados supuestos será necesario analizar también la conveniencia o exigencia de realizar una evaluación de impacto relativa a la protección de datos, especialmente cuando el tratamiento pueda generar riesgos elevados para los derechos y libertades de las personas.
IA, RGPD y AI Act
La utilización de inteligencia artificial en el ámbito laboral se sitúa en la intersección de diferentes marcos regulatorios.
Además del Reglamento General de Protección de Datos, las empresas deben tener en cuenta las obligaciones derivadas del Reglamento Europeo de Inteligencia Artificial cuando los sistemas utilizados entren dentro de su ámbito de aplicación.
Esto obliga a analizar conjuntamente cuestiones relacionadas con protección de datos, gobernanza de la inteligencia artificial, gestión de riesgos, documentación, transparencia y supervisión humana.
Una cuestión de cumplimiento preventivo
La actuación de la AEPD refuerza la necesidad de que las empresas analicen jurídicamente los sistemas de inteligencia artificial antes de incorporarlos a procesos que puedan afectar a trabajadores, candidatos, clientes o usuarios.
La implantación preventiva de controles permite reducir riesgos regulatorios, evitar tratamientos inadecuados de datos personales y documentar el cumplimiento de las obligaciones aplicables.