Cribar currículums con IA: qué exige la ley y desde cuándo

Usar IA para filtrar, puntuar u ordenar candidaturas entra en el Anexo III del Reglamento de IA, y por tanto es alto riesgo. La exigencia plena de ese régimen se ha aplazado al 2 de diciembre de 2027 con el paquete Ómnibus. Pero eso no te deja las manos libres hoy: el RGPD y la normativa laboral española sobre algoritmos ya te obligan, y son las que te van a pedir cuentas antes.

Por qué el cribado de candidaturas es alto riesgo

El Anexo III del Reglamento (UE) 2024/1689 enumera los usos de alto riesgo. Uno es el empleo: sistemas destinados a la contratación o selección de personas, en particular para publicar ofertas dirigidas, analizar y filtrar solicitudes y evaluar a los candidatos.

No hace falta que la herramienta sea sofisticada ni que decida por su cuenta. Basta con que se use para analizar y filtrar solicitudes. Por eso es el caso de alto riesgo más común en una pyme: casi cualquier empresa que haya publicado una oferta ha pasado por un ATS con alguna función de puntuación, ordenación o "matching".

El razonamiento es sencillo: quien queda fuera casi nunca sabe por qué, y un error sistemático no afecta a un candidato sino a miles.

La fecha es el 2 de diciembre de 2027, y qué significa exactamente

El paquete Ómnibus digital —Reglamento (UE) 2026/1744, en vigor desde el 27 de julio de 2026— retrasó la aplicación del régimen de alto riesgo del Anexo III al 2 de diciembre de 2027. Antes estaba previsto para agosto de 2026.

Lo que se aplaza es el paquete propio del alto riesgo: gestión de riesgos, gobernanza de datos, documentación técnica, registro de eventos, supervisión humana estructurada, registro en la base de datos de la UE y las obligaciones del responsable del despliegue del artículo 26, entre ellas informar a la representación de los trabajadores antes de poner el sistema en servicio.

Lo que no se aplaza es todo lo demás. Y "todo lo demás" es bastante:

• El RGPD, que aplica desde 2018 y no ha cambiado.
• El artículo 64.4 d) del Estatuto de los Trabajadores: la representación legal de la plantilla tiene derecho a ser informada de los parámetros, reglas e instrucciones en los que se basan los algoritmos o sistemas de IA que afectan a la toma de decisiones sobre condiciones de trabajo, acceso y mantenimiento del empleo, incluida la elaboración de perfiles. Vigente desde 2021.
• La obligación de formación del artículo 4 del Reglamento de IA, vigente desde el 2 de febrero de 2025 y sin umbral de tamaño de empresa. Lo desarrollamos en este artículo sobre el artículo 4.
• La prohibición del artículo 5 de inferir emociones en el ámbito laboral. Si tu herramienta analiza el tono de voz o la cara del candidato en una entrevista en vídeo para deducir su estado emocional, eso no está aplazado: está prohibido desde el 2 de febrero de 2025.

Diciembre de 2027 no es una moratoria. Es la fecha en que se suma una capa encima de obligaciones que ya tienes.

Los tres escenarios que casi todo el mundo confunde

El Reglamento tiene una válvula en el artículo 6.3: un sistema listado en el Anexo III no se considera de alto riesgo si no plantea un riesgo significativo, por ejemplo porque realiza una tarea de procedimiento limitada o una tarea preparatoria de una evaluación. Con una excepción tajante: si el sistema elabora perfiles de personas físicas, es alto riesgo siempre. Sin discusión.

Qué tienes que documentar

Da igual el escenario: el papel es el mismo y es corto. Si un candidato reclama o la AEPD pregunta, esto es lo que se mira.

• Qué herramienta usas, versión, proveedor y desde cuándo.
• Qué hace exactamente: si filtra, si puntúa, si ordena, si descarta.
• Qué criterios entran en la puntuación y con qué peso, en la medida en que el proveedor te lo dé.
• Quién revisa, en qué momento y con qué capacidad real de cambiar el resultado. Con nombres.
• La base jurídica del tratamiento y la información que se entrega al candidato antes de que envíe la candidatura.
• Plazo de conservación de las candidaturas descartadas.
• El contrato de encargado de tratamiento con el proveedor, y dónde se alojan los datos.
• La evaluación de impacto de protección de datos, si hay perfilado o evaluación sistemática. Con puntuación de candidatos, cuenta con que te toca.
• Registro de decisiones: cuántas candidaturas entraron, cuántas se descartaron por criterio automático y cuántas revisó una persona.

Ese último punto es el que casi nadie tiene y el que más pesa. Es la única prueba de que la supervisión humana existe.

El sesgo: por qué "mi proveedor dice que no discrimina" no te defiende

La declaración del proveedor no te exonera. Eres responsable del tratamiento frente al candidato y responsable del despliegue frente al Reglamento. El proveedor responde de su producto; tú, de cómo lo usas, con qué datos y sobre qué población.

Además, el sesgo no vive solo en el modelo. Vive en tus datos históricos. Si afinas un sistema con tus contrataciones de los últimos diez años y en esos diez años contrataste mayoritariamente a un perfil, el sistema aprende que ese perfil es el bueno. El modelo hace su trabajo. El problema es el espejo.

Lo que sí sirve es preguntar por escrito y guardar la respuesta. Pide esto por correo y no aceptes un enlace a una página de marketing:

• ¿Con qué datos se entrenó el modelo y de qué población proceden?
• ¿Habéis hecho pruebas de disparidad de resultados por sexo, edad y origen? Enviadme los resultados, no la conclusión.
• ¿Qué variables entran en la puntuación? ¿Alguna es una aproximación indirecta de edad, sexo, origen o discapacidad (año de titulación, foto, nombre, código postal, permiso de trabajo, interrupciones en el currículum)?
• ¿Puedo desactivar variables concretas?
• ¿Me entregáis el registro de qué puntuó el sistema y qué decidió la persona, exportable?
• ¿Asumís contractualmente el papel de proveedor de un sistema de alto riesgo del Anexo III a partir del 2 de diciembre de 2027 y me entregaréis la documentación e instrucciones de uso del artículo 13?

Esa última pregunta separa a los proveedores serios del resto, y la respuesta suele tardar. Si no contestan, ya tienes información.

Lo que NO te aplica

• No tienes que certificarte en nada. Ni ISO 42001 ni ningún sello. Lo explicamos en nuestra postura sobre la ISO 42001.
• No eres proveedor. Si compras una herramienta y la usas tal cual, eres responsable del despliegue. Las obligaciones pesadas de documentación técnica y marcado CE son del que la fabrica y la pone en el mercado. Salvo que le pongas tu marca o la modifiques de forma sustancial, en cuyo caso pasas a ser proveedor.
• La evaluación de impacto en derechos fundamentales del artículo 27 es para organismos públicos y para algunas entidades privadas concretas, como banca y seguros. Una clínica o una agencia de veinte personas no la necesita por este motivo. La evaluación de impacto de protección de datos del RGPD es otra cosa, y esa sí puede tocarte.
• Si no tienes representación legal de los trabajadores, no hay a quién informar bajo el artículo 64 del Estatuto. En empresas de menos de seis personas normalmente no la hay. Documenta igualmente los criterios: si mañana se constituyen delegados de personal, te los van a pedir.
• Leer un currículum suelto con ChatGPT no te convierte sin más en usuario de un sistema de alto riesgo, pero sí es un tratamiento de datos de terceros en una herramienta que probablemente no tengas contratada como encargado. Ese problema es distinto y más inmediato: lo tratamos en shadow AI en pymes.

Qué hacer esta semana si ya estás usando una de estas herramientas

1. Lunes: entra en la configuración de tu ATS. Busca las palabras "score", "ranking", "matching", "knockout question" o "descarte automático". Anota qué está activado. Muchas empresas descubren aquí que tienen encendido un descarte automático que nadie configuró a conciencia.
2. Martes: apaga el descarte automático si lo tienes. Pasar del escenario 3 al 2 se hace con un interruptor y te quita de encima el artículo 22 del RGPD. Es la medida con mejor relación entre esfuerzo y riesgo evitado.
3. Miércoles: revisa el texto que ve el candidato. Tiene que decir en lenguaje claro que se usan herramientas automatizadas, para qué, y a quién dirigirse para pedir revisión humana. Dos párrafos en el formulario de candidatura.
4. Jueves: manda el correo al proveedor con las seis preguntas de arriba. Guarda la respuesta en la misma carpeta que el resto.
5. Viernes: si pegas currículums en un chat de IA, quítales los datos identificativos antes. Un CV lleva nombre, DNI, teléfono, dirección y a veces fecha de nacimiento. Puedes seudonimizar el documento en tu propio navegador con Anónimo IA, sin que el archivo salga del equipo, y trabajar sobre la versión con etiquetas.

Con eso cubres lo exigible hoy y llegas a diciembre de 2027 con la mitad del trabajo hecho. Si prefieres no hacerlo por tu cuenta, nuestra auditoría de uso de IA incluye inventario, clasificación de cada uso y política interna en tres días. Y si aún no has situado tu empresa en el calendario, empieza por las obligaciones de una pyme en 2026.