La inteligencia artificial se ha colado en las oficinas, en las fábricas y hasta en las reuniones por videollamada. Casi cualquier proceso laboral puede incorporar hoy algoritmos, modelos de lenguaje o sistemas de recomendación sin que muchas veces seamos realmente conscientes. Esto tiene un lado muy positivo en forma de eficiencia y productividad, pero también abre un melón delicado: la privacidad de los datos y los derechos de las personas trabajadoras.
Mientras la tecnología avanza a toda velocidad, la regulación, las políticas internas y la cultura corporativa van claramente por detrás. Muchas empresas están usando IA para seleccionar personal, evaluar rendimiento o analizar comportamientos sin haber definido todavía reglas claras, límites éticos ni controles de seguridad. Y eso, además de un riesgo legal, es una bomba de relojería en términos de reputación y clima laboral. Incluida la exposición innecesaria de secretos empresariales al introducir información sensible en servicios en la nube.
Por qué es tan urgente regular la IA y los datos personales en el trabajo
En el ámbito laboral, la IA ya no es un experimento aislado. Según distintos estudios, una amplísima mayoría de personas empleadas ha interactuado ya con alguna forma de inteligencia artificial en su día a día, aunque no siempre lo sepa: filtros de candidatos, herramientas de productividad, asistentes de escritura, sistemas de scoring interno, etc.
No poner orden en todo esto tiene consecuencias. La ausencia de políticas claras sobre IA en la empresa puede derivar en infracciones de propiedad intelectual. No sólo cuando se usan contenidos protegidos para entrenar o alimentar modelos, sino también en la creación de material manipulado o engañoso (deepfakes, informes sesgados) o en una exposición innecesaria de secretos empresariales al introducir información sensible en servicios en la nube.
También existe el riesgo de tratar de forma incorrecta datos personales de plantillas y clientes, incumpliendo el Reglamento General de Protección de Datos (RGPD) o las leyes nacionales equivalentes. Hablamos de monitorizar más de la cuenta, de tomar decisiones automatizadas sin base jurídica sólida, de conservar información más tiempo del necesario o de transferirla a terceros países sin garantías adecuadas.
En definitiva, sin una gobernanza mínima, la IA puede pasar de ser una aliada estratégica a convertirse en un foco constante de problemas legales, conflictos laborales y pérdida de confianza por parte de clientes, proveedores y personas empleadas.
El nuevo Reglamento europeo de IA y su impacto en la empresa
En Europa, el salto regulatorio más importante es el Reglamento de Inteligencia Artificial (RIA o IA Act). Ley que ya está en vigor y cuenta con un calendario de aplicación progresivo. Esta norma no prohíbe la IA en el trabajo, pero sí establece un marco de riesgos y obligaciones que afecta de lleno a departamentos de recursos humanos, tecnología, cumplimiento y dirección.
El reglamento distingue varios niveles de riesgo y trata con especial dureza los denominados sistemas de alto riesgo vinculados al empleo: algoritmos utilizados en procesos de contratación, selección, evaluación del desempeño, ascensos, despidos o decisiones que afecten a las condiciones laborales. En estos casos, las empresas que desarrollan o utilizan esos sistemas deben implantar procesos estrictos de gestión de riesgos, documentar el funcionamiento, evaluar posibles sesgos y garantizar supervisión humana efectiva.
Además, el Reglamento de IA obliga a que las compañías formen específicamente a las personas que operan o supervisan sistemas de IA. No basta con comprar una solución de un proveedor y activarla. Hay que entender cómo funciona, qué datos utiliza, cómo se explican sus decisiones y qué capacidad real tiene la persona humana para corregir, revisar o anular resultados.
El incumplimiento no es un asunto menor. El texto europeo prevé sanciones económicas muy relevantes, tanto en importes fijos como proporcionales a la facturación. Quien piense que puede seguir experimentando con algoritmos en recursos humanos, seguridad o vigilancia sin una base jurídica robusta y sin un análisis de impacto serio, se está jugando multas y litigios. No es broma.
Ética de la IA y marcos internacionales: dónde encaja el mundo del trabajo
En paralelo al avance normativo, en la última década han proliferado códigos éticos, guías voluntarias y declaraciones sobre “IA responsable”, emitidos por gobiernos, empresas tecnológicas, universidades, colegios profesionales y organizaciones de la sociedad civil. Este universo de “soft law” busca orientar el desarrollo de la tecnología hacia unos mínimos morales compartidos.
Un análisis global reciente de 245 documentos de ética de la IA, elaborado mediante técnicas de procesamiento del lenguaje natural, muestra que los debates se concentran en siete grandes bloques temáticos:
- Ética de sistemas autónomos.
- Políticas públicas de IA.
- Protección de datos y privacidad como derechos humanos.
- Finanzas.
- IA responsable en general.
- Aplicaciones sanitarias.
- Gobernanza de la inteligencia artificial.
Lo llamativo es que el trabajo, el empleo y las relaciones laborales no aparecen como un eje diferenciado. A pesar de que muchas de esas directrices sí incluyen referencias a riesgos laborales, automatización o discriminación en la contratación. Se habla de justicia, no discriminación, dignidad humana o autonomía, pero raramente se conectan de forma explícita con las normas internacionales del trabajo.
Los principios de la Organización Internacional del Trabajo (OIT) —incluidos los Principios y Derechos Fundamentales en el Trabajo— ofrecen un marco ético y jurídico consolidado para hablar de derechos laborales, participación, negociación colectiva o protección frente a la vigilancia abusiva. Sin embargo, apenas se citan en las guías de ética de IA. Y eso deja un vacío preocupante en asuntos como la gestión algorítmica, la monitorización intensiva o el impacto de la automatización sobre el empleo.
Cerrar esa brecha exige que la gobernanza de la IA incorpore de forma explícita el enfoque basado en derechos laborales: referencia a la OIT, a la normativa laboral nacional, al diálogo social y a la participación de la representación de las personas trabajadoras en el diseño y supervisión de sistemas algoritmos en el trabajo.
Marco jurídico laboral y de protección de datos: lo que ya es obligatorio
Más allá de la IA Act, el marco jurídico europeo y español ya contiene obligaciones claras relativas a decisiones automatizadas, transparencia, supervisión humana y derechos de información en el ámbito laboral.
Por un lado, el RGPD exige principios como minimización de datos, limitación de la finalidad, proporcionalidad y transparencia. Cualquier organización que use IA para tratar datos personales de personas trabajadoras o candidatas debe informarles claramente, justificar la base jurídica, limitar los datos a lo estrictamente necesario y ofrecer derechos efectivos de acceso, rectificación, oposición y, cuando proceda, a no ser objeto de decisiones basadas únicamente en tratamientos automatizados con efectos significativos.
El famoso artículo 22 del RGPD, reforzado por las directrices del Comité Europeo de Protección de Datos, obliga a garantizar revisión humana significativa en decisiones automatizadas que produzcan efectos jurídicos o similares sobre las personas. Algo muy habitual en procesos de selección, promociones o despidos apoyados en scoring algorítmico.
En España, el Estatuto de los Trabajadores va un paso más allá. Tras la reforma de 2021, el artículo 64.4.d) reconoce expresamente el derecho de los representantes de las personas trabajadoras a conocer “los parámetros, reglas e instrucciones” de los algoritmos o sistemas de IA que incidan en las condiciones de trabajo, el acceso o el mantenimiento del empleo, incluida la elaboración de perfiles.
Esto se ha traducido en actuaciones de la Inspección de Trabajo dirigidas especialmente a grandes plataformas digitales. El objetivo: verificar cómo utilizan sus algoritmos de asignación de tareas, puntuación y desconexión de cuentas. Paralelamente, la Agencia Española de Protección de Datos (AEPD) ha emitido guías sobre el tratamiento de datos en el ámbito laboral, enfatizando la transparencia, la proporcionalidad y la intervención humana real en las decisiones automatizadas.
Desarrolladores vs. usuarios de IA: responsabilidades diferenciadas
En el ecosistema de la IA laboral conviven, al menos, dos grandes tipos de actores. Por un lado, quienes desarrollan o comercializan sistemas de IA utilizados en la gestión de personas: proveedores de software de selección, soluciones de analítica de rendimiento, herramientas de control horario con biometría, etc.
Estos actores tienen la obligación de integrar el cumplimiento normativo “desde el diseño”. Es decir, documentar la lógica de sus modelos, explicar qué datos incorporan, realizar evaluaciones de impacto en protección de datos y en derechos laborales, mitigar sesgos, registrar pruebas y garantizar mecanismos de supervisión humana efectivos para sus clientes.
Por otro lado están las organizaciones que adquieren o integran esas soluciones en sus procesos internos. No pueden ampararse en un “mi proveedor me dijo que cumplía la ley” para eludir su responsabilidad. La diligencia debida exige revisar contratos, analizar flujos de datos, exigir garantías técnicas y organizativas, incorporar cláusulas de responsabilidad, hacer pruebas internas y realizar auditorías periódicas del comportamiento real del sistema.
Bajo el principio de responsabilidad proactiva del RGPD, usar una IA de terceros no exime a la empresa de responder ante la autoridad de control ni ante los tribunales. Si un algoritmo discrimina sistemáticamente en la contratación o monitoriza más allá de lo permitido, la organización que lo emplea tendrá que dar muchas explicaciones,. Independientemente de quién haya desarrollado la herramienta.
Además, cuando existe representación legal de las personas trabajadoras, la empresa debe abrir un canal claro de información, consulta y, en su caso, negociación antes de implantar sistemas de IA que afecten a condiciones de trabajo, ritmos, evaluaciones o control del rendimiento. Nadie puede escurrir el bulto.
Riesgos y oportunidades de la inteligencia artificial en recursos humanos
La IA aplicada a la gestión de personas tiene una doble cara. En el lado oscuro, un uso poco reflexivo puede desencadenar vigilancia excesiva, opacidad en la toma de decisiones y sesgos difíciles de detectar. Un algoritmo que descarte currículos por edad, nacionalidad o lugar de residencia puede violar principios de igualdad. Un sistema que mida la productividad únicamente por tiempo frente a pantalla puede ignorar la calidad del trabajo y vulnerar el derecho a la desconexión.
Si además no existe una supervisión humana real, los errores del sistema se consolidan como decisiones “objetivas” difíciles de impugnar. El resultado puede ser una cascada de conflictos internos y reclamaciones individuales. También actuaciones inspectoras y daños reputacionales difíciles de reparar.
En el lado positivo, cuando se diseña con cabeza, la IA puede ayudar a reducir sesgos humanos, agilizar procesos, mejorar la experiencia de las personas candidatas y personalizar la formación. Por ejemplo, sistemas transparentes y auditados de cribado curricular pueden evitar que prejuicios inconscientes influyan en la primera selección. Herramientas analíticas bien acotadas pueden detectar necesidades de reskilling y upskilling con mayor precisión.
La clave está en combinar tecnología con principios claros:
- Equidad.
- Inclusividad.
- Proporcionalidad.
- Explicabilidad.
- Control humano efectivo.
Las empresas que logren este equilibrio minimizarán riesgos. Y también ganarán en confianza por parte de su plantilla y de la sociedad.
Desde una perspectiva estratégica, contar con una política sólida de IA y privacidad de datos en el trabajo se convierte en un signo de madurez corporativa. Es un indicador de que la organización va un paso por delante de las exigencias regulatorias.
Elementos clave de una política interna de IA en la empresa
Aunque hoy no siempre sea una obligación legal contar con una política interna de IA, cada vez es más arriesgado operar sin un documento claro que marque las reglas del juego.
- Transparencia. La política ha de exigir que se comunique claramente a la plantilla cuándo se usa IA, para qué finalidades y con qué impacto potencial en su día a día. Eso implica explicar si hay algoritmos que influyen en la organización del trabajo, en la evaluación del rendimiento, en la asignación de turnos o en la priorización de tareas.
- Límites éticos y legales en el uso de datos. Definir qué categorías de información se pueden tratar con IA, qué datos quedan excluidos por ser demasiado sensibles, cómo se anonimiza o seudonimiza la información cuando sea posible, qué reglas rigen las transferencias internacionales y cuánto tiempo se conserva cada conjunto de datos.
- Formación continua. No es razonable exigir a la plantilla que use IA con responsabilidad si nadie le ha explicado qué riesgos existen y cómo evitarlos. La política debe prever programas de capacitación periódica sobre uso responsable, privacidad, seguridad, sesgos algorítmicos y canales internos para plantear dudas o incidentes.
- Derechos y obligaciones de las personas trabajadoras en relación con la IA. Esto incluye el régimen de incumplimientos. Esto incluye detallar qué se considera uso indebido de herramientas de IA, qué medidas disciplinarias pueden aplicarse y cómo se garantizan al mismo tiempo los derechos de defensa y la proporcionalidad de las sanciones.
Cómo integrar la IA en la política de privacidad de la empresa
La política de privacidad o de protección de datos de una organización ya no puede ignorar la IA. Si se usan modelos que , hay que explicarlo de forma clara y comprensible. Sin esconderlo en la letra pequeña.
En ese documento se debe indicar qué servicios de IA se utilizan para tratar datos personales y con qué propósito. Es recomendable mencionar por nombre las principales plataformas de IA generativa, motores de recomendación o soluciones de análisis automatizado, indicando si son servicios de terceros, desarrollos internos alojados en la nube o modelos desplegados en infraestructuras propias.
La política tiene que detallar además cómo y por qué se comparten datos personales con esas plataformas. ¿Se envían prompts que contienen información identificable de clientes o personas trabajadoras? ¿Los asistentes en la nube reciben documentos internos a asistentes en la nube? ¿Se utiliza la actividad de navegación o los metadatos para entrenar algoritmos? Cada flujo debe quedar identificado y justificado.
Igualmente importante es explicar los derechos de las personas usuarias o trabajadoras sobre sus datos cuando se usan sistemas de IA. Hay que indicar cómo pueden solicitar acceso, rectificación, supresión o limitación de tratamientos vinculados a algoritmos, así como oponerse a determinadas finalidades o pedir que no se utilicen sus datos para entrenamiento de modelos, cuando la ley dé esa opción.
Para algunas empresas, recurrir a soluciones de terceros que ofrecen generadores de políticas o cláusulas específicas sobre IA puede ser útil, siempre que no se caiga en el copia-pega acrítico y se adapte el contenido a la realidad concreta de la organización. La supervisión de equipos jurídicos o de privacidad sigue siendo imprescindible.
Privacidad en servicios de IA en la nube y en la Administración pública
Uno de los puntos más delicados es el uso de plataformas de IA accesibles vía web que se ejecutan en la nube y que suelen estar ubicadas fuera de la Unión Europea. Herramientas como chatbots avanzados, modelos de lenguaje, entornos de trabajo inteligentes o asistentes integrados en suites de productividad recopilan, almacenan y procesan grandes volúmenes de información. También suele contemplarse la posibilidad de compartir información con proveedores de nube, filiales, procesadores de pagos o autoridades públicas.
La ubicación y el tiempo de conservación de los datos son factores críticos. Cuando la información se almacena en servidores fuera de la UE, como en Estados Unidos, entran en juego los mecanismos de transferencia internacional y las cláusulas contractuales tipo, con el consiguiente análisis de garantías. A menudo, las políticas indican que los datos se conservan “el tiempo necesario para fines empresariales”. Esa es una expresión demasiado vaga si no va acompañada de plazos concretos y criterios transparentes.
En el caso de la Administración pública y de entidades que manejan información especialmente sensible, trabajar con modelos en la nube sin ajustes ni controles adicionales es un riesgo mayor. Por eso se insiste en formar previamente al personal, aplicar criterios estrictos de seguridad de la información, RGPD y Esquema Nacional de Seguridad (ENS), y valorar seriamente el despliegue de modelos en local o en infraestructuras controladas que mantengan los datos dentro de la UE.
Gobernanza, ciberseguridad y cultura organizativa
Hablar de privacidad sin hablar de ciberseguridad es quedarse a medias. Las brechas de seguridad, el ransomware y las filtraciones masivas tienen un impacto directo en la confidencialidad, integridad y disponibilidad de los datos. Especialmente cuando la organización basa parte de sus procesos en sistemas de IA altamente interconectados.
Para que las políticas de privacidad relacionadas con la IA sean algo más que papel mojado, hay que apoyarlas en medidas técnicas de ciberseguridad robustas: cifrado en tránsito y en reposo, controles de acceso granulares, segmentación de redes, autenticación multifactor, supervisión continua de anomalías y planes de respuesta a incidentes probados regularmente.
La gobernanza efectiva exige una colaboración estrecha entre departamentos de TI, seguridad, recursos humanos, legal y cumplimiento. No basta con que el área técnica implante soluciones. Es necesario definir comités o grupos de trabajo que marquen prioridades, evalúen riesgos, revisen periódicamente los sistemas de IA críticos y coordinen auditorías internas y externas.
La cultura organizativa es el tercer pilar. Sin una sensibilización real sobre los riesgos y sin formación continua, la IA se convierte en un “cajón negro” que la plantilla usa sin criterio. Es recomendable organizar talleres, elaborar guías prácticas, difundir buenas y malas prácticas y establecer canales confidenciales para que cualquier persona pueda alertar de usos indebidos o vulnerabilidades percibidas.
Las empresas que consiguen integrar IA, privacidad y ciberseguridad en un mismo relato estratégico no solo cumplen la normativa, sino que generan confianza y resiliencia. En un entorno de amenazas crecientes y regulación cada vez más estricta, esa confianza es uno de los activos competitivos más difíciles de imitar. Vale la pena invertir en él.
