AEPD | 16 de septiembre de 2026 — Advertencia preventiva por el uso de inteligencia artificial en el cribado de candidaturas
Identificación de la resolución
Agencia Española de Protección de Datos. Advertencia AI/00009/2026, expediente EXP202600427. Fecha de firma: 16 de septiembre de 2026; publicada el 23 de septiembre de 2026. Presidente: Lorenzo Cotino Hueso. Dictada al amparo del artículo 58.2.a) del RGPD.
Objeto del procedimiento
El 6 de enero de 2026 la AEPD recibió un escrito que informaba de que una empresa, cuya identidad aparece anonimizada en la resolución, iba a implantar una herramienta de inteligencia artificial para cribar y evaluar candidaturas en procesos de selección de personal y de movilidad interna. El sistema analiza currículums, les asigna una puntuación y prioriza a los candidatos, por lo que puede influir directamente en el acceso al empleo y en la promoción profesional.
El 1 de diciembre de 2025 la empresa había comunicado la implantación a la representación legal de los trabajadores, en el marco del artículo 64.4 del Estatuto de los Trabajadores. La presentó como una herramienta de apoyo en la que la decisión final corresponde siempre a una persona.
El 16 de enero de 2026 la Presidencia acordó iniciar actuaciones de investigación conforme a los artículos 57.1 y 58.1 del RGPD y 67 de la LOPDGDD. De ellas resultó lo siguiente:
- la herramienta la desarrolla de forma centralizada el grupo empresarial al que pertenece la empresa y aún no se ha implantado en España;
- según la empresa, su finalidad es mejorar la eficiencia, la consistencia y la objetividad de la evaluación inicial;
- la empresa afirma que el sistema excluye atributos sensibles y se audita periódicamente;
- la empresa se comprometió a adoptar las medidas que procedan antes de ponerla en funcionamiento, una vez reciba el análisis del grupo.
Doctrina establecida
La AEPD justifica la advertencia por su carácter cautelar o preventivo. Parte del objetivo del RGPD de garantizar un nivel elevado de protección (STJUE de 7 de marzo de 2024, C-604/22, apartado 53, con cita de la STJUE de 4 de mayo de 2023, C-60/22). De ahí deduce que los poderes correctivos deben interpretarse de forma amplia, apoyándose por analogía en la STJUE de 26 de septiembre de 2024, C-768/21, apartado 37. Invoca también el apartado 188 de las Conclusiones del Abogado General Dean Spielmann de 23 de septiembre de 2025 (asunto C-474/24), que vincula el artículo 58.2.a) a un enfoque «cautelar».
De ese planteamiento extrae dos consecuencias:
- el término «puedan» del precepto no exige constatar que el tratamiento infringe el RGPD; basta la posibilidad de que lo haga;
- la advertencia puede dictarse aunque la información disponible sea incompleta, porque su finalidad no es sancionar, sino llamar la atención del responsable para que adapte el tratamiento conforme a su responsabilidad proactiva.
En cuanto al fondo, la Agencia recuerda que el RGPD no impide usar inteligencia artificial en la selección de personal, pero exige garantías adecuadas a sus riesgos, integradas en el diseño, la evaluación, la selección, la configuración y la implantación de la herramienta. Cuando el tratamiento pueda entrañar un alto riesgo, debe realizarse una evaluación de impacto antes de iniciarlo (artículos 25 y 35 del RGPD). En materia de transparencia, candidatos y trabajadores deben recibir información clara sobre la función que cumple la herramienta en la evaluación (artículos 12 a 14). Si hay decisiones automatizadas, se añade la información específica de los artículos 13.2.f) y 14.2.g).
Sobre el artículo 22 del RGPD, la AEPD considera relevante que la decisión final sea humana, pero exige que esa intervención sea efectiva. Quien decide debe poder valorar críticamente la puntuación del sistema y no quedar determinado de hecho por el resultado automatizado. Si el artículo 22 se aplica o no dependerá del funcionamiento real del proceso de decisión.
La advertencia ordena a la empresa:
- cumplir las obligaciones de los artículos 24 y 25 del RGPD;
- evaluar los riesgos del tratamiento para candidatos y trabajadores y, si hay alto riesgo, realizar la evaluación de impacto antes de iniciarlo;
- garantizar la transparencia frente a los afectados;
- valorar si se aplica el artículo 22 según el grado real de intervención humana.
La AEPD avisa de que, si no adopta estas medidas, podrán iniciarse actuaciones de investigación o correctivas, incluidas las sancionadoras.
Fundamentos jurídicos relevantes
Normativa: artículos 12 a 14, 13.2.f), 14.2.g), 22, 24, 25, 35, 55.1, 57.1, 58.1 y 58.2.a) del RGPD; artículos 47 y 67 de la LOPDGDD; artículo 64.4 del Estatuto de los Trabajadores. Jurisprudencia: SSTJUE de 4 de mayo de 2023 (C-60/22), 7 de marzo de 2024 (C-604/22) y 26 de septiembre de 2024 (C-768/21). Conclusiones del Abogado General Spielmann de 23 de septiembre de 2025 (C-474/24).
La resolución aplica el poder de advertencia a un tratamiento que todavía no se ha iniciado, antes de que la herramienta esté implantada. Interpreta ese poder de forma amplia: no requiere certeza de infracción y admite información incompleta. Sobre el artículo 22 del RGPD, se alinea con la idea de que la intervención humana solo excluye el régimen de las decisiones automatizadas cuando es real y no meramente formal. El criterio tiene relevancia práctica para cualquier empleador público o privado que valore incorporar sistemas de puntuación de candidaturas.
Referencias
- Texto completo: AEPD — AI/00009/2026 (PDF)
- Normativa aplicada: RGPD (arts. 12-14, 13.2.f, 14.2.g, 22, 24, 25, 35, 55.1, 57.1, 58.1, 58.2.a); LOPDGDD (arts. 47 y 67); art. 64.4 ET