Una pyme ha creado un proyecto en ChatGPT para preseleccionar perfiles. Lo ha probado con currículums inventados y funciona: resume la experiencia, la compara con la oferta y devuelve una puntuación. El siguiente paso parece evidente: subir currículums a ChatGPT, esta vez los reales que llegan por LinkedIn o por una bolsa de empleo universitaria. La respuesta corta es que puede ser lícito. Sin embargo, recibir un CV para una vacante no autoriza cualquier tratamiento. Y avisar al candidato no resuelve por sí solo todo lo demás.
En realidad hay dos preguntas distintas, y cada una necesita su propia revisión:
- ¿Puede la empresa introducir esos datos personales en el servicio de IA contratado?
- ¿Puede utilizar lo que devuelve la IA para priorizar o descartar candidatos?
En este artículo vamos a tratar...
Primera pregunta: ¿se pueden subir currículums a ChatGPT?
La base jurídica existe, pero tiene un perímetro
Para gestionar una candidatura que la propia persona ha presentado, la base habitual es el artículo 6.1.b) del RGPD: medidas precontractuales a petición del interesado. Por tanto, no hace falta pedir consentimiento para todo el proceso, como recuerda la guía de la AEPD sobre relaciones laborales.
Ahora bien, esa base cubre lo necesario para valorar esa candidatura para esa vacante. No ampara por sí sola perfilados adicionales ni reutilizar el CV para otras ofertas. Tampoco que el proveedor use los archivos para entrenar sus modelos. Y los principios del artículo 5, como la minimización o la limitación del plazo de conservación, se aplican a cada uso. Explicamos el punto de partida en cómo usar CV de candidatos de LinkedIn.
Procedencia lícita no significa uso lícito
Que el currículum llegue por LinkedIn o por una universidad explica cómo llegó, no qué se puede hacer con él. Conviene comprobar quién lo recogió y qué información recibió el candidato (artículos 13 y 14). También si esa información menciona que una IA analizará su candidatura. Y si la empresa busca perfiles por su cuenta, ni siquiera hay una solicitud del candidato en la que apoyarse.
El servicio de IA es un proveedor, y se revisa como tal
Antes de subir currículums a ChatGPT, hay que tener presente que la empresa comunica datos a un tercero que los trata por su cuenta. Normalmente será un encargado del tratamiento (artículo 28). Por eso hay que revisar el contrato y si los archivos se usan para entrenar modelos. Además, importa cuánto tiempo se conservan, quién accede, con qué medidas de seguridad (artículo 32) y dónde se tratan. Si salen del Espacio Económico Europeo, entran en juego los artículos 44 a 49.
Un artículo del blog del Laboratorio de la AEPD lo resume así: una cuenta gratuita no equivale a una cuenta empresarial con garantías contractuales. Pero un plan de pago tampoco garantiza por sí solo el cumplimiento. Cuentan las garantías y la configuración reales, como analizamos en qué tipo de cuenta de IA protege los datos.
Tampoco basta con borrar el nombre. La trayectoria, las empresas y las fechas suelen permitir identificar a alguien. Como advierte ese mismo artículo, «cambiar «Juan» por «X» no siempre anonimiza».
Segunda pregunta: ¿puede la IA priorizar o descartar candidatos?
Aquí está el núcleo del uso de inteligencia artificial en selección de personal: el artículo 22 del RGPD. Reconoce el derecho a no ser objeto de una decisión basada únicamente en un tratamiento automatizado que produzca efectos jurídicos o afecte significativamente a la persona. De hecho, el considerando 71 cita como ejemplo la contratación en red sin intervención humana.
Además, puntuar el encaje con un puesto suele ser elaboración de perfiles (artículo 4.4), que incluye evaluar el rendimiento profesional. Lo decisivo es qué hace el proyecto con esa evaluación.
Cinco usos que parecen iguales y no lo son
| Uso | Ejemplo | Valoración jurídica inicial |
|---|---|---|
| Extraer o resumir | Ficha con formación, experiencia e idiomas. | Apoyo admisible si se cumple el resto del RGPD. |
| Evaluar la adecuación | Puntos fuertes y carencias frente a la oferta; el seleccionador lee el CV completo. | Normalmente ya es elaboración de perfiles. Admisible con revisión real, transparencia y control de sesgos. |
| Puntuar y ordenar | Nota de 0 a 100 y ranking; una persona revisa todas las candidaturas. | Puede ser admisible si la revisión es efectiva. Probable alto riesgo en el Reglamento de IA. |
| Descartar automáticamente | Solo avanzan los diez primeros o quienes superan 70 puntos. | Puede ser una decisión del artículo 22: necesita una excepción y garantías. |
| Confirmar por rutina | Alguien pulsa «aprobar» sin abrir los currículums. | Hay una persona, pero puede seguir siendo una decisión automatizada. |
Decidir la contratación al final no arregla un descarte anterior
Muchas empresas razonan así: «la decisión final la toma una persona». Pero quien entrevista a cinco finalistas no ha decidido nada sobre los doscientos que la IA apartó antes. Para esas candidaturas, la decisión relevante fue automática.
Las directrices sobre decisiones automatizadas, asumidas por el Comité Europeo de Protección de Datos, lo dicen claramente. No se puede eludir el artículo 22 fabricando una intervención humana. La supervisión debe ser significativa, no un gesto simbólico. Y debe ejercerla alguien autorizado y competente para cambiar la decisión.
El TJUE añadió un matiz en la sentencia SCHUFA (C-634/21). Una puntuación automatizada puede ser en sí una decisión automatizada cuando un tercero se apoya en ella de forma determinante. El caso trataba de solvencia crediticia, así que trasladarlo a selección exige análisis. Aun así, la lección sirve: llamar «recomendación» a una nota que en la práctica decide no cambia su naturaleza.
Las excepciones del artículo 22 no son un trámite
El artículo 22.2 admite tres excepciones: necesidad para celebrar un contrato, autorización legal o consentimiento explícito. En la primera y la tercera, la empresa debe garantizar al menos intervención humana, expresión del punto de vista e impugnación.
- Necesidad contractual. Las directrices admiten que decenas de miles de solicitudes puedan justificar un filtrado automatizado. Pero la empresa debe demostrar que no hay medios menos intrusivos. Ahorrar unas horas con doscientos CV difícilmente lo acredita.
- Un matiz poco conocido. La guía de la AEPD admite, con interpretación restrictiva, una primera criba automática en procesos con numerosos candidatos. Su ejemplo es excluir a quien no cumple un requisito esencial, como la titulación exigida. En cambio, una puntuación de «encaje» generada por un modelo de lenguaje no es un requisito objetivo y verificable.
- Consentimiento explícito. Enviar un currículum no es consentir decisiones automatizadas. Además, el desequilibrio entre las partes pone en duda que sea libre.
- Interés legítimo. No es una excepción del artículo 22.
Por otra parte, el artículo 22.4 limita usar categorías especiales de datos (artículo 9) en estas decisiones. Y, cuando hay decisiones del artículo 22, los artículos 13.2.f), 14.2.g) y 15.1.h) exigen explicar la lógica aplicada y sus consecuencias.
Reglamento de IA y recursos humanos: el alto riesgo
El Reglamento (UE) 2024/1689 incluye en su anexo III, punto 4.a), los sistemas destinados a analizar y filtrar solicitudes de empleo y evaluar candidatos. Por eso el artículo 6.2 los califica de alto riesgo.
El artículo 6.3 prevé una excepción para tareas limitadas o preparatorias que no influyan sustancialmente en la decisión. No obstante, el sistema que elabora perfiles de personas se considera siempre de alto riesgo. Un proyecto que puntúa candidatos difícilmente encaja en la excepción.
Qué se aplica hoy y qué llega en 2027
Tras el Reglamento (UE) 2026/1744, el llamado Ómnibus digital, el artículo 113 aplaza al 2 de diciembre de 2027 las obligaciones de alto riesgo del anexo III. Ese aplazamiento no suspende el RGPD, que se aplica hoy íntegramente.
También rige ya el artículo 64.4.d) del Estatuto de los Trabajadores. El comité de empresa o los delegados de personal tienen derecho a ser informados de los parámetros, reglas e instrucciones de los algoritmos que afectan al acceso al empleo. Lo explicamos en qué informar a los trabajadores sobre algoritmos e IA.
Desde diciembre de 2027, quien use estos sistemas asumirá las obligaciones del artículo 26. Entre otras, supervisión humana con competencia y autoridad, datos de entrada pertinentes y registros conservados al menos seis meses. También deberá informar a la representación legal y a los candidatos afectados.
El riesgo de crear su propio agente
Este es el punto que más se pasa por alto. ChatGPT es un sistema de IA de uso general. Si una empresa lo configura para cribar candidatos, podría estar cambiando su finalidad prevista hasta convertirlo en un sistema de alto riesgo. En ese caso, el artículo 25.1.c) la trataría como proveedora, con obligaciones mucho más exigentes. No ocurre automáticamente: depende de qué se construye y para qué se usa.
En cambio, la evaluación de impacto en derechos fundamentales del artículo 27 no obliga a cualquier empresa privada que contrata. Se exige a organismos públicos, a entidades privadas que prestan servicios públicos y a ciertos usos del punto 5 del anexo III.
Sesgos, errores e información inventada
La Ley 15/2022 prohíbe en su artículo 9 las exclusiones discriminatorias en el acceso al empleo, incluidos los criterios y sistemas que discriminan de forma indirecta. Que intervenga una IA no traslada esa responsabilidad al proveedor.
Las variables directas son evidentes: edad, sexo, nacionalidad o discapacidad. Sin embargo, las indirectas son más traicioneras:
- El año de graduación, que delata la edad.
- Las interrupciones de carrera, ligadas a menudo a maternidad o cuidados.
- El nombre, el código postal o la universidad, que pueden actuar como sustitutos del origen.
A esto se suman los errores de los modelos generativos. Pueden leer mal un PDF a dos columnas o atribuir experiencia inexistente. También pueden puntuar distinto el mismo currículum en dos intentos. Por eso conviene probar antes: repetir un análisis, cambiar solo el nombre o añadir un hueco laboral, y comparar. Igualmente hay que medir el efecto del umbral de descarte.
¿Hace falta una evaluación de impacto?
Según la lista de la AEPD, la EIPD es exigible, por regla general, si se cumplen dos o más criterios. Entre ellos figuran el perfilado, las decisiones automatizadas y las tecnologías innovadoras. Un proyecto que puntúa candidaturas suele reunir varios.
Nuestro criterio es preparar la EIPD antes de subir currículums a ChatGPT con datos reales y anotar el tratamiento en el registro de actividades (artículo 30). Si persiste un riesgo alto, procede valorar la consulta previa del artículo 36.
Lo que dijo la AEPD en un caso casi idéntico
La advertencia AI-00009-2026 (expediente EXP202600427) analiza una herramienta diseñada para puntuar currículums y ayudar a priorizar candidaturas, aún no implantada en España. La empresa afirmaba que la decisión final siempre sería humana.
La AEPD no sancionó ni prohibió la IA. Usó el artículo 58.2.a) del RGPD, que permite advertir cuando un tratamiento previsto puede infringirlo. En concreto, exigió protección de datos desde el diseño (artículos 24 y 25), análisis de riesgos y EIPD si el riesgo es alto. También pidió transparencia (artículos 12 a 14) y evaluar si se aplica el artículo 22. Además, recordó que la intervención humana debe ser efectiva y no quedar determinada de hecho por el resultado automatizado.
Comprobaciones antes de subir currículums a ChatGPT
- Contrato: encargo del tratamiento, entrenamiento y subencargados.
- Usos de los datos: finalidad concreta y posible reutilización.
- Configuración: memoria, historial, proyectos compartidos y exclusión del entrenamiento.
- Accesos: quién ve los currículums y los resultados.
- Conservación: plazos para los CV y para los archivos en la herramienta.
- Transferencias: dónde se tratan los datos y con qué garantías.
- Criterios: instrucciones escritas, justificadas y sin variables discriminatorias.
- Supervisión: quién revisa cada candidatura y qué pasa con las últimas de la lista.
- Información: textos de la oferta, de LinkedIn y de la universidad.
- Representación legal: información conforme al artículo 64.4.d) del Estatuto.
- EIPD: antes del primer currículum real.
Mientras tanto, lo prudente es seguir probando con currículums ficticios.
Cómo puede ayudarle Auratech Legal Solutions
Usar ChatGPT para seleccionar personal puede ser viable si se diseña bien. Nuestros abogados de inteligencia artificial pueden revisar el proyecto y sus instrucciones. También analizamos el proveedor y el circuito de selección, y determinamos qué garantías hacen falta antes de usar datos reales. No damos un visto bueno automático: le diremos qué uso es viable y con qué condiciones. Cuéntenos su proyecto.
Preguntas frecuentes
¿Hace falta el consentimiento del candidato para analizar su CV con IA?
No, por regla general. Para una candidatura presentada por el interesado, la base es el artículo 6.1.b) del RGPD. Otra cosa es conservar el CV para futuras vacantes o apoyar en el consentimiento explícito un descarte exclusivamente automatizado, que plantea serias dudas.
¿Basta con avisar en la oferta de que usamos IA?
No. Informar es obligatorio, pero no subsana una base jurídica insuficiente ni un tratamiento desproporcionado. Tampoco legaliza un descarte automático sin excepción aplicable.
Si quito el nombre y la foto, ¿el CV deja de ser un dato personal?
Normalmente no. La experiencia, las empresas y las fechas suelen permitir identificar a la persona. Es minimización, no anonimización.
¿Una cuenta de empresa basta para subir currículums a ChatGPT?
Es un paso importante, pero no suficiente. Hay que revisar el encargo, la configuración, la conservación y las transferencias. Además, la empresa sigue respondiendo de cómo usa el resultado.
¿Ya son exigibles las obligaciones del Reglamento de IA en selección?
Las de alto riesgo del anexo III, desde el 2 de diciembre de 2027. Mientras tanto, el RGPD y el artículo 64.4.d) del Estatuto de los Trabajadores ya se aplican.
Este artículo ofrece información general y no sustituye el asesoramiento jurídico sobre un caso concreto.
