Privacidad de los datos de los empleados e IA: qué debe proteger recursos humanos

Por Kevin Kim · Actualizado el 11 de octubre de 2026

La privacidad de los datos de los empleados en la IA es el conjunto de deberes legales y prácticos que se aplican cuando recursos humanos introduce información del personal en herramientas de IA: saber qué datos son sensibles, tener una razón lícita para usarlos, informar a las personas, evaluar el riesgo de antemano, mantener a personas en las decisiones significativas, vincular a los proveedores por contrato, limitar cuánto tiempo se conservan los datos y controlar adónde viajan. Los datos que guarda recursos humanos (datos de salud, salarios, notas de desempeño, historial disciplinario y, a veces, huellas dactilares o rostros) figuran entre los más sensibles de la empresa. Apuntar una herramienta de IA hacia ellos cambia el riesgo y, a menudo, cambia quién es legalmente responsable de qué.

Esta página está dirigida a directores de recursos humanos, responsables de operaciones de personas y los gerentes que autorizan las herramientas de recursos humanos. Recorre los principales deberes bajo la legislación de la UE y del Reino Unido y las leyes estatales de EE. UU. que más pesan, y luego ofrece una tabla de casos de uso y un proceso paso a paso. Para el panorama general, empiece por los fundamentos de datos de recursos humanos para la IA. Esto es información general, no asesoramiento jurídico.

Datos clave

• Las infracciones de los principios básicos de tratamiento del GDPR, de las condiciones del consentimiento, de las normas de categorías especiales, de los derechos de los interesados y de las normas de transferencias internacionales pueden acarrear multas de hasta 20 millones de euros o el 4% del volumen de negocio anual mundial, la cantidad que sea mayor; las infracciones de los deberes del responsable y del encargado del tratamiento (incluidos los contratos con encargados y las evaluaciones de impacto) pueden acarrear hasta 10 millones de euros o el 2% (GDPR Article 83).
• El Comité Europeo de Protección de Datos afirma que es «problemático» que los empleadores traten los datos de empleados actuales o futuros sobre la base del consentimiento, porque es poco probable que este se otorgue libremente (EDPB Guidelines 05/2020).
• Las exenciones de California para la información personal relacionada con el empleo expiraron el 31 de diciembre de 2022, por lo que los empleados y los postulantes que residen en California ahora quedan bajo la CCPA (California Attorney General).
• En diciembre de 2023, el Tribunal de Justicia de la UE sostuvo que la «puntuación» crediticia cuenta como una decisión individual automatizada prohibida cuando el cliente atribuye un papel determinante a la puntuación (Court of Justice press release).
• El EU-US Data Privacy Framework se apoya en una decisión de adecuación de la Comisión del 10 de julio de 2023; el Tribunal General desestimó un recurso contra ella el 3 de septiembre de 2025 (General Court press release), y el 31 de octubre de 2025 se presentó una apelación (Digital Policy Alert).

Por qué la IA cambia el panorama de la privacidad

Recursos humanos siempre ha guardado registros sensibles. La IA añade tres cosas. Alcance: una herramienta que lee cada evaluación, ticket y mensaje de chat toca mucho más que un gerente hojeando un expediente. Inferencia: la IA deriva hechos nuevos, como una puntuación de riesgo de fuga o una conjetura sobre la salud a partir de patrones de ausencia, y una inferencia sobre una persona sigue siendo un dato personal sobre esa persona. Terceros: la mayor parte de la IA para recursos humanos se compra, así que un proveedor con subencargados y servidores en otros países se interpone entre usted y los datos. Puede externalizar el tratamiento. No puede externalizar la responsabilidad.

En cuanto al control de acceso, la clasificación de datos para el acceso de la IA muestra cómo decidir qué niveles de datos puede ver una herramienta de IA, si es que puede ver alguno.

Las siete obligaciones que recursos humanos debe cumplir

1. Sepa qué datos son sensibles

Bajo el GDPR, el tratamiento de ciertas categorías está prohibido salvo que se aplique una condición específica. El Article 9 enumera los datos que revelan el origen racial o étnico, las opiniones políticas, las convicciones religiosas o filosóficas o la afiliación sindical, además de los datos genéticos, los datos biométricos tratados para identificar de forma unívoca a una persona, los datos de salud y los datos sobre la vida sexual o la orientación sexual (GDPR Article 9). El regulador del Reino Unido explica que los datos biométricos pasan a ser datos de categoría especial cuando se tratan para identificar de forma unívoca a alguien, y que una foto común no cumple ese requisito salvo que pase por un tratamiento técnico específico, como crear una plantilla para la comparación automatizada (ICO).

En recursos humanos, las notas de baja por enfermedad, las solicitudes de adaptación, las cuotas sindicales, las encuestas de diversidad y la huella dactilar o la plantilla facial usadas para fichar son todos datos de categoría especial. Incluso los datos sin etiquetar pueden revelarlos: un patrón de ausencias, o una conversación con un chatbot en la que un empleado menciona un diagnóstico.

2. Tenga una base jurídica y no se apoye en el consentimiento

Todo uso de datos personales necesita una base jurídica. Los empleadores recurren a menudo al consentimiento porque parece respetuoso. Suele ser la opción más débil. Las directrices del EDPB explican que la dependencia propia de la relación entre empleador y empleado hace poco probable que un empleado pueda negarse sin temer un perjuicio real, por lo que para la mayoría de los tratamientos en el trabajo la base «no puede ni debe» ser el consentimiento. El consentimiento solo sigue siendo posible en circunstancias excepcionales en las que negarse no tiene consecuencias adversas (EDPB Guidelines 05/2020). La ICO del Reino Unido dice lo mismo en su guía: el consentimiento libremente otorgado es más difícil de obtener cuando existe un desequilibrio de poder, en particular con las autoridades públicas y los empleadores (ICO).

Entonces, ¿qué se usa en su lugar? Por lo general, el contrato de trabajo, una obligación legal (nómina, impuestos, salud y seguridad) o el interés legítimo, que requiere una prueba de ponderación documentada. Para los datos de categoría especial también necesita una condición del Article 9(2), y una de ellas cubre el tratamiento necesario para cumplir obligaciones de derecho laboral cuando lo autoriza la legislación nacional. Una casilla de «acepto el análisis con IA» rara vez es la respuesta.

3. Informe a las personas con claridad

La transparencia es un deber, no una cortesía. Cuando recopila datos directamente, el GDPR le exige informar a las personas, entre otras cosas, de si existe toma de decisiones automatizada, incluida la elaboración de perfiles y, al menos en los casos del Article 22, de información significativa sobre la lógica aplicada y las consecuencias previstas (GDPR Article 13). «Usamos IA para mejorar los procesos de recursos humanos» no alcanza ese nivel. Indique la finalidad de la herramienta, los datos que usa y qué decisiones informa.

El Article 88 también permite que cada Estado miembro de la UE añada normas más específicas sobre los datos laborales, con especial atención a la transparencia y a los sistemas de supervisión en el lugar de trabajo (GDPR Article 88). En la práctica, eso significa consultar al comité de empresa en algunos países antes de poder activar una herramienta. Para ese ángulo, consulte el monitoreo de empleados con IA.

4. Haga la evaluación de impacto antes del lanzamiento

Una evaluación de impacto en la protección de datos (DPIA) es una revisión estructurada de riesgos que se realiza antes de que comience el tratamiento. El Article 35 exige una cuando el tratamiento, en particular con nuevas tecnologías, probablemente entrañe un alto riesgo para los derechos de las personas. Exige expresamente una para la evaluación sistemática y exhaustiva de aspectos personales basada en un tratamiento automatizado en el que se apoyan decisiones con efectos significativos, y para el tratamiento a gran escala de datos de categoría especial (GDPR Article 35). Muchos usos de la IA en recursos humanos, como puntuar, ordenar o monitorear al personal, caen de lleno ahí.

Una DPIA abarca el tratamiento y sus finalidades, su necesidad y proporcionalidad, los riesgos para las personas y las medidas que los abordan. Cuando proceda, pida la opinión de las personas afectadas o de sus representantes. Trátela como una herramienta de diseño: si ninguna salvaguarda reduce el riesgo, reduzca el alcance del proyecto.

California tiene ahora un requisito paralelo. La agencia de privacidad del estado ultimó normas sobre evaluaciones de riesgo y tecnología de toma de decisiones automatizada (ADMT), con el cumplimiento de las evaluaciones de riesgo desde el 1 de enero de 2026 y las obligaciones de ADMT para las «decisiones significativas» desde el 1 de enero de 2027 (CPPA). Los resúmenes de despachos de abogados sobre esas normas indican que las decisiones significativas incluyen el empleo (Skadden). Si emplea a personas en California, anótelo en el calendario.

5. Controle las decisiones automatizadas

El Article 22 del GDPR otorga a las personas el derecho a no ser objeto de una decisión basada únicamente en un tratamiento automatizado, incluida la elaboración de perfiles, que produzca efectos jurídicos o les afecte significativamente de modo similar. Hay excepciones (necesidad para un contrato, autorización por ley o consentimiento explícito), pero incluso entonces el responsable del tratamiento debe garantizar al menos el derecho a obtener intervención humana, a expresar su punto de vista y a impugnar la decisión. Las decisiones bajo esas excepciones no pueden basarse en datos de categoría especial salvo que se aplique el consentimiento explícito o una condición de interés público esencial y existan salvaguardas (GDPR Article 22).

El Tribunal de Justicia lo ha interpretado de forma amplia. En el caso SCHUFA sostuvo que la puntuación debe considerarse una «decisión individual automatizada» cuando los clientes del banco le atribuyen un papel determinante para conceder crédito (Court of Justice). Trasládelo a recursos humanos: si un reclutador o un gerente da el visto bueno sin revisar a lo que diga la puntuación, la puntuación es la decisión. Una persona que solo hace clic en «aprobar» no cuenta como intervención humana. La supervisión humana en la IA de recursos humanos explica cómo hacer real ese paso humano.

El Reino Unido ha cambiado su enfoque. La Data (Use and Access) Act 2025 abre toda la gama de bases jurídicas para las decisiones automatizadas significativas, siempre que se mantengan las salvaguardas, aunque eso no se aplica a los datos de categoría especial, y la ICO indica que las disposiciones de protección de datos de la ley ya están en vigor (ICO). Las normas de la UE no se han movido en la misma dirección, así que una multinacional no puede tratar la posición del Reino Unido como el estándar del grupo.

6. Vincule a los proveedores y limite la conservación

Cuando un proveedor trata datos de empleados por cuenta suya, el Article 28 exige un contrato vinculante. Debe fijar el objeto, la duración, la naturaleza y la finalidad del tratamiento, el tipo de datos y las categorías de personas, y sus derechos y obligaciones. También debe exigir al encargado que actúe únicamente según sus instrucciones documentadas, garantice la confidencialidad, aplique medidas de seguridad, obtenga su autorización antes de contratar a otro encargado, ayude con las solicitudes de los interesados, suprima o devuelva los datos al terminar el servicio y ponga a disposición la información para las auditorías (GDPR Article 28).

Para los proveedores de IA, añada lo que la plantilla no pregunta. ¿Entrena el proveedor sus modelos con los datos de sus empleados? ¿Dónde se almacenan los prompts y los resultados, y por cuánto tiempo? ¿Quiénes son los subencargados? El marco de evaluación de proveedores de herramientas de IA cubre el lado comercial.

La conservación es el tema silencioso. El principio de limitación del plazo de conservación del GDPR dice que los datos deben mantenerse de forma identificable no más tiempo del necesario para las finalidades para las que se tratan (GDPR Article 5). La IA lo dificulta, porque las copias se acumulan en registros, historiales de prompts y copias de seguridad del proveedor. Fije un plazo para cada uno y confirme que el proveedor puede suprimir los datos a petición.

7. Vigile adónde van los datos

Enviar datos de empleados fuera de la UE o del Reino Unido requiere un mecanismo de transferencia. Una vía es una decisión de adecuación de la Comisión, con la cual la transferencia no necesita ninguna autorización específica (GDPR Article 45). Otra son las garantías adecuadas, como las normas corporativas vinculantes (GDPR Article 46). En el caso de Estados Unidos, la Comisión adoptó su decisión de adecuación para el EU-US Data Privacy Framework el 10 de julio de 2023 (European Commission). El Tribunal General desestimó el recurso interpuesto por Philippe Latombe el 3 de septiembre de 2025, confirmando que EE. UU. garantizaba un nivel adecuado de protección en la fecha de adopción de la decisión (General Court), y el 31 de octubre de 2025 se presentó una apelación, por lo que el marco sigue vigente mientras esta esté pendiente. Verifique que su proveedor esté certificado bajo el marco y tenga un mecanismo de respaldo.

Ángulos de EE. UU.: California e Illinois

No existe una ley única de privacidad de EE. UU. para los datos de empleados, así que el panorama se presenta por capas. Dos importan más para la IA en recursos humanos.

California (CCPA/CPRA). Las exenciones del estado para la información personal relacionada con el empleo expiraron el 31 de diciembre de 2022 (California Attorney General). Desde el 1 de enero de 2023, las empresas cubiertas deben a los empleados y postulantes de California los derechos que la CCPA otorga a cualquier consumidor: a saber qué se recopila, a suprimirlo, a corregirlo, a rechazar la venta o el uso compartido y a limitar el uso de la información personal sensible. La ley se aplica a las empresas con fines de lucro que cumplen sus umbrales, así que verifique si la suya los cumple. Las normas de ADMT de la sección 4 anterior añaden deberes de aviso y de rechazo para las decisiones automatizadas significativas.

Illinois (BIPA). La Biometric Information Privacy Act regula la recopilación de huellas dactilares, geometría facial e identificadores similares, y exige consentimiento antes de la recopilación. Una enmienda de 2024, la Public Act 103-0769, firmada el 2 de agosto de 2024, dispone que las infracciones repetidas por el mismo método cuentan como una sola infracción, con a lo sumo una indemnización por persona (Faegre Drinker). Eso redujo la exposición por persona, pero no la eliminó: las personas afectadas aún pueden presentar reclamaciones individuales y colectivas. Si sus relojes de fichaje, el control de acceso a edificios o las verificaciones de identidad usan huellas dactilares o escaneos faciales, esta es la ley que conviene revisar primero.

Otros estados siguen añadiendo normas para la IA en el empleo, así que consulte las leyes de contratación con IA para el panorama específico de la contratación.

Qué necesita cada caso de uso de IA en recursos humanos

Los mismos seis controles se repiten: una DPIA, una base jurídica válida, una intervención humana real, un contrato de encargado riguroso, un límite de conservación y una verificación de transferencias.

Cómo ponerlo en práctica

1. Haga un inventario de su IA de recursos humanos. Enumere todas las herramientas que tocan datos de empleados o postulantes, incluidas las funciones dentro del software de recursos humanos existente y las herramientas que los propios gerentes adoptaron.

2. Mapee los datos. Para cada herramienta, registre qué entra, qué inferencias salen y si alguno de esos datos es de categoría especial o biométrico.
3. Elija y documente una base jurídica. No recurra al consentimiento por defecto. Registre la base y, para los datos de categoría especial, la condición del Article 9. Si se apoya en el interés legítimo, ponga por escrito la prueba de ponderación.
4. Realice una DPIA para todo lo que puntúe, ordene, monitoree o use datos sensibles. Involucre a su delegado de protección de datos, si lo tiene, y a un representante de los trabajadores cuando la ley o la cultura lo exijan.
5. Reescriba sus avisos. Diga en lenguaje claro qué hace la herramienta, qué datos usa y qué decisiones informa, antes del primer uso.
6. Revise los derechos de decisión. Para cada herramienta que influya en la contratación, el pago, los ascensos, la disciplina o el despido, nombre a la persona que toma la decisión final y confirme que puede discrepar del resultado.
7. Refuerce el contrato con el proveedor. Cubra las condiciones del Article 28, una prohibición de usar sus datos para entrenar modelos compartidos salvo que usted lo acepte, la aprobación de subencargados, la notificación de brechas, la supresión al salir y los derechos de auditoría.
8. Fije la conservación y la supresión. Decida cuánto tiempo viven las entradas, los resultados, los registros y las copias de seguridad, y compruebe que la supresión funciona en la práctica.
9. Confirme la vía de transferencia. Sepa dónde almacena y accede el proveedor a los datos y qué mecanismo cubre cada flujo.
10. Capacite a los gerentes y revise con una periodicidad fija. La mayoría de las filtraciones provienen de personas bienintencionadas que pegan una evaluación de desempeño en un chatbot público. Vuelva a ejecutar el inventario y las DPIA cuando cambien la herramienta, los datos o la ley.

Para la regulación vinculada específicamente a las normas de IA de la UE, el panorama del EU AI Act explica los niveles de riesgo. La Comisión Europea indica que las normas de alto riesgo para los sistemas usados en áreas como el empleo se aplican desde el 2 de diciembre de 2027, tras el AI omnibus que entró en vigor el 27 de julio de 2026 (European Commission). Eso se suma al GDPR, no lo reemplaza.

Errores comunes

• Tratar el consentimiento como la solución. Un empleado no puede decir que no de forma significativa a su empleador, así que un formulario de consentimiento es una base débil y puede ser impugnado.
• Suponer que algo «no es sensible» porque el campo no está etiquetado. Los patrones de ausencia, el contenido de los chats y las puntuaciones de conducta pueden revelar salud, creencias o actividad sindical.
• Omitir la DPIA porque el proveedor «cumple la normativa». La certificación de un proveedor no evalúa su uso, sus datos ni su plantilla.
• Una persona solo de nombre. Si el revisor aprueba el 99% de los resultados en segundos, los reguladores tratarán el proceso como automatizado.
• Olvidar los registros. Los prompts, los resultados y las pistas de auditoría también son datos personales.
• Suponer que la respuesta de una región sirve en todas partes. Las normas del Reino Unido, la UE y EE. UU. difieren y siguen cambiando, y el Reino Unido acaba de flexibilizar sus reglas de decisiones automatizadas mientras que la UE no.
• Sin plan de salida. Si el proveedor es adquirido o pierde su mecanismo de transferencia, usted necesita saber cómo recuperar los datos y hacer que se supriman.