Reglamento IA RRHH: conformidad tecnológica

La tecnología de recursos humanos no es una categoría del Reglamento. Lo que cuenta es el uso que enumera el anexo III, punto 4 («Empleo, gestión de los trabajadores y acceso al autoempleo»).

El artículo 5 se aplica desde el 2 de febrero de 2025, salvo el artículo 5(1), párrafo primero, letras ba) y bb), y los apartados 1 bis y 1 ter, que se aplican desde el 2 de diciembre de 2026 (artículo 113, letra a)). La lista siguiente no es exhaustiva; el artículo 5 contiene otras prohibiciones.

• Inferencia de emociones en el trabajo: artículo 5(1), letra f)

  Se prohíben la introducción en el mercado, la puesta en servicio para este fin específico y el uso de sistemas de IA para inferir las emociones de una persona física en los lugares de trabajo y en los centros educativos, excepto cuando el sistema de IA esté destinado a ser instalado o introducido en el mercado por motivos médicos o de seguridad. El Reglamento no define «lugar de trabajo». Si la prohibición alcanza a los candidatos en entrevistas por vídeo es una cuestión de interpretación que esta página no resuelve.

• Categorización biométrica por rasgos sensibles: artículo 5(1), letra g)

  Se prohíben los sistemas de categorización biométrica que clasifiquen individualmente a las personas físicas sobre la base de sus datos biométricos para deducir o inferir su raza, sus opiniones políticas, su afiliación sindical, sus convicciones religiosas o filosóficas, su vida sexual o su orientación sexual. La prohibición no abarca el etiquetado ni el filtrado de conjuntos de datos biométricos adquiridos lícitamente, como imágenes, basados en datos biométricos, ni la categorización de datos biométricos en el ámbito de la garantía del cumplimiento del Derecho.

• Puntuación ciudadana: artículo 5(1), letra c)

  Se prohíben los sistemas de IA para la evaluación o clasificación de personas físicas o grupos de personas durante un período determinado de tiempo atendiendo a su comportamiento social o a características personales o de su personalidad conocidas, inferidas o predichas, cuando la puntuación ciudadana resultante conduzca a un trato perjudicial o desfavorable en contextos sociales distintos de aquellos en los que se generaron o recopilaron los datos originalmente, o a un trato perjudicial o desfavorable injustificado o desproporcionado con respecto a su comportamiento social o a la gravedad de este.

• El reconocimiento de emociones que no está prohibido

  Los sistemas de reconocimiento de emociones y de categorización biométrica que no están prohibidos no quedan excluidos del Reglamento. El anexo III, punto 1, letras b) y c), clasifica como de alto riesgo la categorización biométrica según atributos o características sensibles o protegidos, y el reconocimiento de emociones, en la medida en que su uso esté permitido por el Derecho de la Unión o nacional aplicable. Los responsables del despliegue de un sistema de reconocimiento de emociones o de categorización biométrica informarán a las personas físicas expuestas del funcionamiento del sistema y tratarán los datos personales con arreglo a la normativa de protección de datos (artículo 50(3)). Un sistema de reconocimiento de emociones está destinado a distinguir o inferir las emociones o las intenciones de las personas físicas a partir de sus datos biométricos (artículo 3, punto 39).

• El desarrollador del software es el proveedor, el empleador que lo utiliza es un responsable del despliegue

  El proveedor es la persona física o jurídica, autoridad pública, agencia u otro organismo que desarrolla un sistema de IA, o que lo hace desarrollar, y lo introduce en el mercado o lo pone en servicio bajo su propio nombre o marca (artículo 3, punto 3). Los proveedores de sistemas de alto riesgo deben garantizar que sus sistemas cumplen los requisitos de la sección 2 (artículos 8 a 15) (artículo 16, letra a)). El responsable del despliegue es una persona física o jurídica, autoridad pública, agencia u otro organismo que utiliza un sistema de IA bajo su propia autoridad, salvo cuando se utiliza en el contexto de una actividad personal de carácter no profesional (artículo 3, punto 4). Un empleador que utiliza un sistema de recursos humanos es un responsable del despliegue con las obligaciones del artículo 26. Un responsable del despliegue pasa a ser proveedor si pone su nombre o marca en un sistema de alto riesgo ya introducido en el mercado, le hace una modificación sustancial o modifica la finalidad prevista de un sistema de modo que pase a ser de alto riesgo (artículo 25(1)).

• Pasos del proveedor antes de comercializar

  Antes de introducir en el mercado o poner en servicio un sistema de alto riesgo enumerado en el anexo III (con excepción del punto 2), el proveedor se registra y registra su sistema en la base de datos de la UE (artículo 49(1)). Para los sistemas a que se refieren los puntos 2 a 8 del anexo III, el proveedor sigue el procedimiento de evaluación de la conformidad basado en un control interno (anexo VI), que no prevé la participación de un organismo notificado (artículo 43(2)). Un proveedor que haya concluido que su sistema del anexo III no es de alto riesgo con arreglo al artículo 6(3) documenta su evaluación (artículo 6(4)) y se registra, junto con el sistema, en la base de datos de la UE antes de introducirlo en el mercado o ponerlo en servicio (artículo 49(2)).

• Obligaciones del empleador como responsable del despliegue

  Los responsables del despliegue de sistemas de alto riesgo adoptan medidas técnicas y organizativas adecuadas para utilizarlos con arreglo a las instrucciones de uso (artículo 26(1)), encomiendan la supervisión humana a personas físicas con la competencia, la formación y la autoridad necesarias (artículo 26(2)), supervisan el funcionamiento del sistema sobre la base de las instrucciones de uso (artículo 26(5)) y conservan los registros bajo su control durante al menos seis meses, salvo que otra norma disponga otra cosa (artículo 26(6)). Los empleadores informan a los representantes de los trabajadores y a los trabajadores afectados antes de utilizar el sistema en el lugar de trabajo (artículo 26(7)), cuando proceda con arreglo a las normas y los procedimientos del Derecho de la Unión y nacional en materia de información a los trabajadores y a sus representantes. Los responsables del despliegue de sistemas del anexo III que tomen o ayuden a tomar decisiones relacionadas con personas físicas informan a estas de que están expuestas al sistema (artículo 26(11)). Las personas afectadas tienen derecho a una explicación en los casos descritos en el artículo 86(1). Los proveedores y los responsables del despliegue de sistemas de IA también toman medidas para promover la alfabetización en materia de IA de su personal y de otras personas que se encarguen en su nombre del funcionamiento y la utilización de los sistemas; no están obligados a garantizar un nivel específico de alfabetización en IA de ninguna persona (artículo 4(1)).

• Los empleadores públicos tienen obligaciones adicionales

  Los responsables del despliegue que sean autoridades públicas, o instituciones, órganos u organismos de la Unión, cumplen las obligaciones de registro del artículo 49 (artículo 26(8)). Antes de desplegar un sistema de alto riesgo contemplado en el artículo 6(2), con excepción de los sistemas del ámbito enumerado en el anexo III, punto 2, los responsables del despliegue que sean organismos de Derecho público o entidades privadas que presten servicios públicos llevan a cabo una evaluación del impacto en los derechos fundamentales (artículo 27(1)). Un empleador que no sea un organismo de Derecho público ni una entidad privada que preste servicios públicos no está cubierto por el artículo 27(1) respecto del anexo III, punto 4.

El incumplimiento del artículo 5 se sanciona con multas de hasta 35 millones de EUR o, para una empresa, de hasta el 7 % de su volumen de negocios total anual a nivel mundial del ejercicio anterior, si esta cuantía es superior (artículo 99(3)). El incumplimiento de las obligaciones de los proveedores (artículo 16), de los responsables del despliegue (artículo 26) y de las obligaciones de transparencia del artículo 50 se sanciona con multas de hasta 15 millones de EUR o, para una empresa, de hasta el 3 %, si esta cuantía es superior (artículo 99(4)). Para las pymes, incluidas las empresas emergentes, cada multa llega como máximo al menor del porcentaje o del importe (artículo 99(6)); para las pequeñas empresas de mediana capitalización (artículo 3, punto 14 ter) lo mismo se aplica a las multas del artículo 99(4) y (5) (artículo 99(6 bis)). Cada Estado miembro establece en qué medida pueden imponerse multas administrativas a las autoridades y organismos públicos establecidos en él (artículo 99(8)). Las normas sobre sanciones del capítulo XII se aplican desde el 2 de agosto de 2025, con excepción del artículo 101 (artículo 113, letra b)).

• art. 9
  Sistema de gestión de riesgos

  Se establece, implanta, documenta y mantiene un sistema de gestión de riesgos como proceso iterativo continuo durante todo el ciclo de vida (artículo 9(1) y (2)).

• art. 10
  Datos y gobernanza de datos

  Los conjuntos de datos de entrenamiento, validación y prueba cumplen los criterios de calidad y se rigen por prácticas de gobernanza de datos que incluyen el examen de posibles sesgos (artículo 10(2) a (4)).

• art. 12
  Conservación de registros

  Los sistemas de IA de alto riesgo permiten técnicamente el registro automático de acontecimientos (archivos de registro) a lo largo de su vida útil (artículo 12(1)).

• art. 13
  Transparencia y comunicación de información a los responsables del despliegue

  El funcionamiento es lo bastante transparente para que los responsables del despliegue interpreten los resultados y los utilicen adecuadamente, y el sistema va acompañado de instrucciones de uso (artículo 13(1) a (3)).

• art. 14
  Supervisión humana

  Los sistemas se diseñan de modo que personas físicas puedan supervisarlos eficazmente durante su uso (artículo 14(1)).

• art. 15
  Precisión, solidez y ciberseguridad

  Los sistemas alcanzan un nivel adecuado de precisión, solidez y ciberseguridad y funcionan de manera uniforme en ese sentido durante todo su ciclo de vida; los niveles de precisión y sus parámetros se declaran en las instrucciones de uso (artículo 15(1) y (3)).

• art. 26
  Obligaciones de los responsables del despliegue

  Los responsables del despliegue utilizan el sistema con arreglo a las instrucciones de uso, encomiendan la supervisión humana, supervisan el funcionamiento sobre la base de las instrucciones de uso, conservan los registros bajo su control e informan a las personas sujetas a decisiones (artículo 26(1), (2), (5), (6) y (11)). Los empleadores informan a los representantes de los trabajadores y a los trabajadores afectados, cuando proceda con arreglo a las normas y los procedimientos del Derecho de la Unión y nacional en materia de información a los trabajadores y a sus representantes (artículo 26(7)).

• art. 50
  Obligaciones de transparencia

  Los proveedores garantizan que los sistemas de IA destinados a interactuar directamente con personas físicas informen a estas de que están interactuando con un sistema de IA, salvo que resulte evidente (artículo 50(1)). Los responsables del despliegue de sistemas de reconocimiento de emociones o de categorización biométrica informan a las personas expuestas a ellos (artículo 50(3)).

• Artículo 9: gestión de riesgos en la IA de RR. HH.

  La gestión de riesgos durante todo el ciclo de vida para la tecnología de recursos humanos.

• Artículo 14: supervisión humana en la IA de RR. HH.

  Las medidas de supervisión humana para la tecnología de recursos humanos.

• Prácticas de IA prohibidas: artículo 5 del reglamento IA

  Todas las prohibiciones del artículo 5 y sus excepciones.

• Anexo III en detalle: las 8 categorías de alto riesgo

  Todos los ámbitos del anexo III, incluido el punto 4 sobre empleo.