Protección de datos y la IA: informar más y mejor


–En nuestra residencia utilizamos herramientas automatizadas para gestionar turnos, evaluar el rendimiento y organizar al personal. ¿Tenemos que informar a nuestros trabajadores sobre el uso de estos sistemas? ¿Debemos cumplir con más obligaciones?

–Las empresas deben informar sobre el uso de sistemas algorítmicos o automatizados en los términos previstos por la nueva normativa. Pero informar no es suficiente, también deben garantizar que el tratamiento de datos personales cumple con el RGPD y la normativa española de protección de datos.



La entrada en vigor, el 5 de octubre, del Real Decreto 723/2026, introduce nuevas exigencias de transparencia en las relaciones laborales. En virtud de su artículo 3.2.k), la empresa debe informar por escrito a cada persona trabajadora de la existencia de sistemas algorítmicos o automatizados de toma de decisiones cuando se utilicen para decidir sobre condiciones de trabajo; la información incluirá sus pautas, criterios y reglas de funcionamiento.

Con carácter general, el capítulo II del Real Decreto se aplica a relaciones laborales de duración superior a cuatro semanas. En las nuevas relaciones, la información debe facilitarse antes del inicio de la prestación y puede constar en el contrato o en otro documento escrito. En las relaciones ya vigentes, la persona trabajadora puede solicitar la información que no obre en su poder y la empresa dispone de treinta días hábiles para entregarla.

Alter

Persona trabajando ante un ordenador. Foto: Archivo Vida Nueva

Ahora bien, el deber de informar no constituye, por sí solo, habilitación suficiente para utilizar cualquier sistema. La advertencia AI-00009-2026 de la Agencia Española de Protección de Datos (AEPD), relativa a una herramienta de inteligencia artificial prevista para analizar currículums, puntuar candidaturas y apoyar procesos de selección de personal y movilidad interna, recuerda que el Reglamento General de Protección de Datos (RGPD) y la Ley Orgánica 3/2018 siguen siendo aplicables cuando existe tratamiento de datos personales.

Entre esas garantías se encuentran una base jurídica válida, la transparencia frente a las personas afectadas, la minimización y exactitud de los datos, la protección desde el diseño y por defecto y la evaluación de los riesgos. Cuando sea probable que el tratamiento entrañe un alto riesgo para los derechos y libertades de las personas, deberá realizarse una evaluación de impacto en protección de datos antes de iniciarlo.

Revisión humana

La Agencia Española de Protección de Datos también recuerda que la presencia de una persona no basta para considerar que existe una intervención humana efectiva. Cuando resulte aplicable el artículo 22 del Reglamento General de Protección de Datos –ante decisiones basadas únicamente en tratamientos automatizados, incluida la elaboración de perfiles, que produzcan efectos jurídicos o afecten significativamente de modo similar–, la revisión humana debe permitir valorar críticamente el resultado y apartarse de él. No puede convertirse en una mera validación de la recomendación del sistema.

La información deberá adaptarse, por tanto, a cada destinatario y a cada fase del proceso, esto es, a trabajadores y candidatos que participen en un proceso de selección.

En consecuencia, resulta aconsejable que las empresas revisen los sistemas utilizados en la selección y gestión de personal, incluidos los facilitados por terceros. Transparencia y cumplimiento del RGPD son exigencias complementarias, informar es imprescindible, pero no sustituye la obligación de justificar y controlar el tratamiento.

La cifra

30 días hábiles es el plazo máximo del que disponen las empresas para facilitar la información solicitada por las personas trabajadoras con relaciones laborales vigentes, siempre que dicha información no obre ya en su poder

Puede enviar sus preguntas a: [email protected]

Un servicio ofrecido por:
Logo Alter Consultores Legales