GDPR y EU AI Act: guía para software de RR.HH. en 2026-2027

Si tu empresa usa —o evalúa contratar— software que analiza CVs con inteligencia artificial, hay dos marcos legales que deberías conocer, aunque tu empresa no tenga sede en la Unión Europea: el Reglamento General de Protección de Datos (GDPR) y el Reglamento de IA de la UE (EU AI Act). Este artículo resume qué exige cada uno específicamente para software de selección de personal, con los plazos actualizados a 2026.

Por qué te aplica aunque no operes en Europa

Dos escenarios comunes activan estas normas sin que la empresa tenga sede en la UE:

Contratas o evalúas candidatos que están en la Unión Europea (remoto, relocación, sedes locales).
Tu proveedor de software, o algún subencargado del tratamiento, opera desde la UE o trata ahí los datos.

Además, marcos de protección de datos fuera de la UE —como la Ley 29733 en Perú, cuyo reglamento se renovó en marzo de 2025 con obligaciones más exigentes y un régimen sancionador más activo (la autoridad peruana realizó 760 fiscalizaciones en 2025, un 67% más que el año anterior)— siguen el mismo principio de fondo que el GDPR: las decisiones automatizadas sobre personas deben ser explicables y revisables.

GDPR: el artículo que más importa para selección de personal

El GDPR lleva vigente desde 2018, pero su Artículo 22 es el que específicamente regula las decisiones automatizadas: toda persona tiene derecho a no ser objeto de una decisión basada únicamente en tratamiento automatizado que le afecte significativamente, salvo excepciones concretas (consentimiento explícito, necesidad contractual, o autorización legal) — y en esos casos, tiene derecho a obtener una explicación, a expresar su punto de vista y a solicitar intervención humana.

Para un software de selección de CVs, esto se traduce en tres obligaciones prácticas:

Nunca automatizar la decisión final. El sistema puede recomendar, ordenar, puntuar — pero la decisión de avanzar o descartar a un candidato debe involucrar a una persona.
Poder explicar cada resultado. No basta con un score; hay que poder mostrar en qué se basó (qué requisitos del puesto coinciden con el CV, cuáles no).
Dar salida al derecho de revisión. El candidato debe poder pedir que una persona revise su caso, y el proceso para hacerlo debe existir de verdad, no solo en el papel.

EU AI Act: la clasificación que sorprende a muchos

El Reglamento de IA de la UE, aprobado en 2024, introduce algo que el GDPR no tenía: una clasificación de sistemas de IA por nivel de riesgo, con obligaciones proporcionales. El Anexo III de este reglamento lista explícitamente, como sistemas de alto riesgo, aquellos "destinados a ser utilizados para la contratación o selección de personas físicas", incluyendo los que "analizan y filtran las solicitudes de empleo" y "evalúan a los candidatos".

Es una clasificación amplia: prácticamente cualquier software que puntúe, filtre o rankee candidatos entra en ella, sin importar si usa un modelo de lenguaje generativo sofisticado o una fórmula de similitud más simple.

Qué exige un sistema de alto riesgo

Las obligaciones para sistemas de alto riesgo incluyen, entre otras:

Sistema de gestión de riesgos documentado y actualizado.
Gobernanza de datos: examinar los conjuntos de datos usados (incluidos los de modelos preentrenados de terceros) para detectar sesgos.
Documentación técnica detallada del funcionamiento del sistema.
Registro automático de eventos (trazabilidad de qué decidió el sistema y cuándo).
Supervisión humana efectiva, no decorativa.
Precisión, robustez y ciberseguridad demostrables.

El plazo que cambió: agosto 2026 → diciembre 2027

Aquí hay un matiz importante que muchos artículos sobre el tema no actualizan: las obligaciones de alto riesgo para sistemas independientes del Anexo III, que originalmente entraban en vigor el 2 de agosto de 2026, se aplazaron al 2 de diciembre de 2027 mediante el paquete conocido como Digital Omnibus on AI.

Esto no significa que no haya nada vigente hoy. Dos bloques de obligaciones, que vienen de artículos distintos del mismo reglamento, no se aplazaron y ya aplican:

La prohibición de reconocimiento de emociones en el entorno laboral (Artículo 5) — relevante si tu herramienta analiza tono de voz, expresión facial o similares en una entrevista.
La obligación de alfabetización en IA (Artículo 4): que el personal que opera o supervisa el sistema entienda razonablemente cómo funciona y qué limitaciones tiene.

Lo que deberías pedirle a un proveedor de software de RR.HH.

Si estás evaluando —o auditando— una herramienta de selección con IA, estas preguntas separan a un proveedor que se tomó en serio el cumplimiento de uno que no:

¿El sistema puede explicar cada score de forma específica (qué coincide, qué falta), o solo devuelve un número?
¿Existe algún punto en el flujo donde se descarta candidatos sin revisión humana? Debería ser no, en ningún caso.
¿Han medido el sesgo del modelo que usan? Un modelo de embeddings preentrenado por un tercero puede asociar nombres de ciertos orígenes con menor afinidad a un puesto, sin que nadie lo haya diseñado así a propósito — es un fenómeno documentado en modelos de lenguaje, y un proveedor responsable debería poder mostrar que lo auditó, con qué método y con qué resultado.
¿Qué pasa si envían datos a un LLM externo (OpenAI, Anthropic, etc.)? Debería ser una capa opcional y declarada, no automática ni oculta en la letra pequeña.
¿Tienen un documento de aviso de IA dirigido a los candidatos, no solo a la empresa que contrata el software?

La conclusión práctica

Ni el GDPR ni el EU AI Act prohíben usar IA en selección de personal — ambos asumen que se va a usar, y regulan cómo hacerlo de forma responsable. El denominador común de ambos marcos, más allá del texto legal exacto, es simple de recordar: la IA puede ayudar a decidir, pero no puede ser la que decide, y tiene que poder explicar por qué dijo lo que dijo. Cualquier herramienta que no cumpla esas dos condiciones va a tener problemas de cumplimiento — hoy en algunas jurisdicciones, y en la UE, a más tardar, en diciembre de 2027.