IA en reclutamiento y GDPR

Estamos entrando en una era en la que la inteligencia artificial está revolucionando los departamentos de RR. HH. Las herramientas basadas en grandes modelos de lenguaje (LLM), como ChatGPT o los sistemas ATS avanzados respaldados por algoritmos de IA, permiten seleccionar solicitudes, redactar ofertas de trabajo o analizar perfiles de candidatos de forma instantánea. Sin embargo, esta revolución conlleva un enorme riesgo legal. **Subir los CV de los candidatos a modelos de IA públicos sin las medidas de seguridad adecuadas es el camino directo hacia multas gigantescas por infringir el RGPD.**

En este artículo analizaremos en detalle la relación entre la **IA en el reclutamiento y el RGPD**, señalaremos los errores más comunes cometidos por los reclutadores y presentaremos métodos prácticos y seguros para implementar tecnologías modernas en los procesos de RR. HH. sin exponer a la empresa a responsabilidades legales.

1. La nueva realidad de RR. HH.: ¿cómo ayuda la inteligencia artificial a reclutar?

Los departamentos de selección de personal de todo el mundo se enfrentan a un aluvión de solicitudes para puestos populares. Revisar manualmente cientos de documentos consume un tiempo valioso de los reclutadores. No es de extrañar que la **automatización del reclutamiento** se haya convertido en una de las tendencias tecnológicas más importantes. Los algoritmos actuales pueden realizar tareas que hace unos años requerían horas de trabajo humano:

• Screening automático de CV: evaluación rápida de las solicitudes enviadas según palabras clave, tecnologías y experiencia.
• Generación de preguntas de entrevista: creación de conjuntos dedicados de preguntas técnicas y de comportamiento basadas en los requisitos de la oferta.
• Análisis de coincidencia (matching): determinación matemática del grado de ajuste del perfil del candidato a las especificaciones del puesto.
• Redacción de contenidos atractivos: preparación rápida de anuncios de empleo, correos de invitación a entrevistas o retroalimentación (feedback).

A pesar de las enormes ventajas en productividad, todo reclutador que utilice estas facilidades debe recordar que **los datos personales contenidos en los documentos de solicitud están sujetos a una estricta protección legal**. Este derecho está regulado principalmente por el Reglamento General de Protección de Datos (RGPD) de la UE, y pronto también por el próximo EU AI Act (Ley de Inteligencia Artificial), que clasifica los sistemas de reclutamiento basados en IA como sistemas de **alto riesgo**.

2. Principios básicos del RGPD frente a los algoritmos de inteligencia artificial

Para entender por qué el enfoque tradicional de usar herramientas de IA gratuitas en RR. HH. es peligroso, debemos recordar los principios clave de la **protección de datos personales**. El RGPD no prohíbe la tecnología, sino que impone marcos en los que debemos movernos. Así es como los principios básicos del reglamento se aplican a los algoritmos de IA:

Principio de minimización de datos (Art. 5, apdo. 1, letra c del RGPD)

El responsable del tratamiento (es decir, la empresa contratante o agencia) solo puede procesar los datos que sean necesarios para el fin específico (el reclutamiento). Mientras tanto, los CV de los candidatos a menudo contienen información excesiva: por ejemplo, intereses, dirección exacta, e incluso a veces estado civil o fotografía. Subir el contenido completo del documento a bases de datos externas de modelos de lenguaje viola este principio, ya que transmitimos datos que van más allá del alcance mínimo necesario.

Principio de integridad y confidencialidad (Art. 5, apdo. 1, letra f del RGPD)

Los datos personales deben procesarse de manera que se garantice una seguridad adecuada, incluida la protección contra el tratamiento no autorizado o ilegal y contra la pérdida o destrucción accidental. Al utilizar versiones gratuitas y de consumo de herramientas de IA, enviamos datos a los servidores de proveedores (a menudo ubicados fuera del Espacio Económico Europeo, por ejemplo, en EE. UU.), sobre los cuales no tenemos control técnico ni legal alguno.

Decisiones automatizadas y elaboración de perfiles (Art. 22 del RGPD)

Este es uno de los artículos más importantes del RGPD en el contexto del reclutamiento. De acuerdo con el Art. 22, **el candidato tiene derecho a no ser objeto de una decisión basada únicamente en el tratamiento automatizado, incluida la elaboración de perfiles**, que produzca efectos jurídicos en él o le afecte de modo similar significativamente.

Si un sistema ATS basado en IA rechaza automáticamente a un candidato (el llamado "auto-rejection") sin la participación física de un reclutador (humano) que verifique esa decisión, se produce una violación clara de la ley. Para que tal proceso sea legal, el candidato debe ser informado, expresar su consentimiento explícito y tener garantizada la posibilidad de apelar la decisión de la máquina ante una persona real del departamento de RR. HH. (el mecanismo denominado human-in-the-loop).

3. El error fatal: Subir CV a ChatGPT gratuito y otros modelos públicos

Analicemos el escenario más común en el trabajo de un reclutador. Estás seleccionando a un programador Java y recibes 50 solicitudes. Para ahorrar tiempo, abres la versión gratuita de ChatGPT, pegas el contenido del CV recibido y escribes el prompt: "Evalúa si este candidato se ajusta a los requisitos de este anuncio y escribe sus puntos fuertes".

Desde el punto de vista de la eficiencia, un gran movimiento. Desde el punto de vista legal, **acabas de cometer un delito grave**. ¿Por qué?

¿Qué hay en un CV que lo convierte en un dato sensible?

El CV es un conjunto de datos personales directos e indirectos. Además del nombre, apellidos, dirección de correo electrónico y número de teléfono, contiene el historial detallado de empleo, educación e información sobre la ubicación. A veces, los candidatos incluyen información sobre discapacidad (por ejemplo, para obtener beneficios) o pertenencia a organizaciones, lo que se clasifica como **datos de categorías especiales** (Art. 9 del RGPD), cuyo tratamiento requiere un rigor legal aún mayor.

4. ¿Qué sanciones existen por el tratamiento ilegal de CV mediante IA?

Las consecuencias legales y financieras para las empresas que ignoran las directrices de protección de datos son muy graves. Las sanciones administrativas impuestas por las autoridades de control (como la AEPD en España) pueden ascender a:

• Hasta **20 000 000 EUR** o el **4 % del volumen de negocio total anual global** de la empresa del ejercicio financiero anterior (la cantidad que sea mayor).
• Pérdida de reputación y confianza en el mercado laboral: la filtración de datos de candidatos o la noticia de una sanción desincentiva eficazmente a los especialistas, especialmente en el sector IT, para postularse a una empresa determinada.
• Reclamaciones civiles de los candidatos: un candidato cuyos datos hayan sido procesados ilegalmente puede exigir una indemnización a la empresa por vía judicial por la vulneración de sus derechos personales.

Acción del reclutador	Estatus legal (RGPD)	Riesgo / Consecuencia
Pegar el CV completo de un candidato en ChatGPT gratuito para su análisis.	ILEGAL	Uso de datos para entrenar el modelo, falta de DPA, transferencia de datos a EE. UU. sin salvaguardas, riesgo de fuga.
Uso de un sistema ATS certificado con módulo de IA integrado y contrato DPA firmado.	LEGAL	Bajo riesgo, siempre que el sistema no tome decisiones autónomas de rechazo (sin perfiles automatizados).
Envío de un perfil de candidato anonimizado (sin datos personales) a la IA para evaluar competencias.	LEGAL	No hay tratamiento de datos personales. La IA evalúa solo habilidades técnicas "puras". Método totalmente seguro.
Rechazo automático de solicitudes por un algoritmo de IA sin verificación del reclutador.	ILEGAL (con excepciones)	Violación del Art. 22 del RGPD (decisiones automatizadas). El candidato puede denunciar el proceso ante la autoridad.

5. Reclutamiento seguro con IA: ¿cómo implementar inteligencia artificial conforme al RGPD?

¿Significa esto que tienes que renunciar a herramientas modernas y volver a la revisión manual tradicional de archivos? ¡Absolutamente no! En Commoditech llevamos años ayudando a las empresas a implementar sistemas tecnológicos avanzados, incluidos sistemas CRM y ATS de código abierto y soluciones dedicadas. La clave es cumplir con los procedimientos y elegir las herramientas adecuadas.

Aquí tienes una lista de verificación para RR. HH. sobre cómo utilizar la IA en el reclutamiento de forma segura:

6. Escenarios reales: estudio de casos (Case Studies)

Para ilustrar mejor el problema, presentamos dos escenarios que muestran la diferencia entre un enfoque imprudente y uno profesional de la tecnología en el reclutamiento.

Escenario A: Fuga de datos y control de la autoridad (Cómo NO hacerlo)

Una reclutadora en una empresa de fabricación recibió la orden de cubrir rápidamente el puesto de Director Financiero. Para comparar con precisión los perfiles de 5 candidatos, pegó sus CV completos en una ventana de chat gratuita. Un mes después, uno de los candidatos escribió su nombre en un buscador y descubrió que el chatbot gratuito citaba fragmentos de su historial de empleo junto con detalles únicos de proyectos de negocio en las respuestas generadas para otros usuarios. El candidato presentó una queja ante la autoridad. La empresa no tenía un contrato DPA con el proveedor ni el consentimiento del candidato para la elaboración de perfiles. Se impuso una fuerte multa financiera y se ordenó detener el reclutamiento.

Escenario B: Screening seguro basado en API (Cómo hacerlo)

Una agencia de reclutamiento que colabora con Commoditech implementó un sistema de screening seguro. Cuando el CV llega al sistema ATS, un script elimina automáticamente los datos de contacto e identificación del archivo, reemplazándolos por un token único (por ejemplo, Kandydat_ID_8842). El texto anonimizado se envía a través de una conexión API dedicada (con un contrato DPA Enterprise firmado) a un modelo de lenguaje que evalúa únicamente el ajuste técnico a los requisitos del proyecto. El resultado vuelve al sistema y el reclutador ve la puntuación asignada al perfil anonimizado. Solo después de la decisión del reclutador de pasar a la siguiente etapa, los datos del candidato se vinculan nuevamente a su identidad en una base de datos local y segura. El proceso cumple al 100% con el RGPD.

7. El papel de la tecnología de código abierto en la seguridad de datos de RR. HH.

Una de las formas más efectivas de tener control total sobre los datos en el reclutamiento es utilizar sistemas de **código abierto** alojados en servidores físicos propios dentro del EEE. En Commoditech solemos recomendar esta solución a nuestros clientes.

Al implementar un sistema de reclutamiento dedicado en tu propia infraestructura (ej. basado en un CRM/ATS open-source), ganas la certeza de que ningún dato personal abandonará tu zona de seguridad sin tu conocimiento. Además, los modelos de lenguaje modernos y locales (Llama, Mistral) pueden ejecutarse directamente en tu servidor (denominado on-premise o nube privada), lo que elimina por completo el problema de la transferencia de datos a terceros y garantiza el 100% de cumplimiento con las normas del RGPD.

Si tu agencia o departamento de RR. HH. busca soluciones tecnológicas probadas y seguras, te animamos a conocer nuestros servicios de selección de programadores IT, leasing de empleados IT (contracting) y nuestro propio buscador seguro de candidatos IT.

Resumen: innovación sí, pero con cabeza

La inteligencia artificial en el reclutamiento es una herramienta poderosa que permite adelantarse a la competencia en la lucha por el talento. Sin embargo, la búsqueda de la eficiencia no puede hacerse a costa de la privacidad de los candidatos. Los departamentos de RR. HH. deben colaborar estrechamente con los departamentos de IT y los Delegados de Protección de Datos para desarrollar procedimientos de uso de IA.

Recuerda: las herramientas de consumo gratuitas están destinadas al entretenimiento o al trabajo con datos públicos. Trabajar con datos personales, CV e historial de empleo de los candidatos requiere herramientas profesionales, contratos DPA firmados y la supervisión humana absoluta sobre cada decisión de reclutamiento.