España obliga a explicar los algoritmos que deciden sobre el trabajo, y la AEPD dice qué tiene que haber detrás

El 7 de octubre de 2026 la Agencia Española de Protección de Datos publicó una nota que reúne dos piezas. La primera es el Real Decreto 723/2026, de 9 de septiembre, publicado en el Boletín Oficial del Estado el 15 de septiembre y en vigor desde el 5 de octubre, que obliga a informar por escrito a cada persona trabajadora de la existencia de sistemas algorítmicos o automatizados de toma de decisiones. La segunda es la advertencia AI-00009-2026, que la agencia dirigió a una empresa que se preparaba para usar una herramienta de inteligencia artificial que analiza currículums, asigna puntuaciones y prioriza candidaturas en procesos de selección y de movilidad interna.

¿Qué tiene que tener listo una empresa española que usa o piensa usar un sistema así? La respuesta corta es que bastante más que un aviso en el contrato. La larga obliga a seguir el camino que hace una candidatura desde que entra al sistema hasta que alguien decide, y a mirar en cada tramo quién tiene que saber qué. Pareciera que la norma pide transparencia sobre el algoritmo, y sin embargo lo que la agencia examina con más cuidado es a la persona detrás de él.

Lo que exige el decreto

Partamos por el texto. El decreto desarrolla el artículo 8.5 del Estatuto de los Trabajadores, transpone en parte la Directiva (UE) 2019/1152 y sustituye por completo al Real Decreto 1659/1998. Su artículo 3.2.k es el que exige informar de la existencia de esos sistemas. Y cuando se usan para decidir sobre condiciones de trabajo, como la duración y distribución de la jornada, la asignación de tareas, los salarios, la progresión profesional, el lugar de trabajo o la extinción del contrato, la información tiene que incluir también sus pautas, criterios y reglas de funcionamiento.

Ya no alcanza con decir que el sistema existe. Cuando decide, hay que contar cómo lo hace.

En las relaciones nuevas, el artículo 7 ordena entregar esa información antes de que empiece la relación, y el artículo 6 permite hacerlo en papel o en formato electrónico, siempre que sea accesible, que se pueda almacenar e imprimir y que la empresa conserve la prueba de la transmisión o recepción. Cualquier modificación se comunica lo antes posible y, a más tardar, el día en que surte efecto. En las relaciones que ya estaban vigentes, la disposición transitoria única permite a la persona trabajadora pedir la información, y la empresa tiene treinta días hábiles desde que recibe la solicitud para entregarla. Estas reglas se aplican, con carácter general, a las relaciones laborales de más de cuatro semanas.

La nota subraya un detalle que cierra una salida cómoda. El artículo 3.3 permite cumplir algunos puntos con una remisión a la ley o al convenio colectivo, pero la información algorítmica de la letra k no está entre ellos. Tiene que darse de forma concreta. El modelo de documento que debe publicar el Servicio Público de Empleo Estatal puede ayudar, aunque el propio decreto aclara que su disponibilidad no condiciona la exigibilidad de la obligación.

Lo que dijo la AEPD a la empresa advertida

La advertencia no es una sanción. Es el ejercicio de la facultad preventiva del artículo 58.2.a del Reglamento General de Protección de Datos, que permite advertir a un responsable cuando las operaciones de tratamiento previstas pueden infringir el reglamento. Según la propia resolución, la herramienta aún no estaba implantada en España.

La empresa había informado a la representación legal de los trabajadores el 1 de diciembre de 2025, y sostenía que la decisión final de cribado o descarte correspondería a una persona, que el sistema excluía el análisis de atributos sensibles y que se sometía a auditorías periódicas. La agencia explicó por qué ninguna basta sola.

Veamos la primera. La advertencia exige que la intervención humana sea efectiva, de modo que permita valorar críticamente la puntuación y decidir sin quedar determinada de hecho por el resultado automatizado. Según la nota, la persona revisora tiene que conocer las limitaciones del sistema, acceder a los factores relevantes, disponer de tiempo y de autoridad para modificar el resultado y poder considerar información adicional. Conviene registrar las discrepancias, y nos llama poderosamente la atención lo que la nota agrega. Una ausencia sistemática de discrepancias puede ser indicio de dependencia práctica de la puntuación y debe motivar una revisión del proceso.

Un timonel que en toda la travesía nunca corrigió el rumbo quizás no estaba gobernando el barco, solo mirándolo avanzar. La sentencia SCHUFA del Tribunal de Justicia de la Unión Europea, de 7 de diciembre de 2023, que la nota cita, reconoce que una puntuación automatizada puede constituir por sí misma una decisión automatizada cuando quien decide después se apoya intensamente en ella.

Sobre los datos sensibles, no basta con asegurar que la herramienta no usa atributos sensibles. Hay que comprobar si otras variables permiten inferirlos o funcionan como sustitutas. Sobre las auditorías, la mera referencia a auditorías periódicas no acredita el cumplimiento. Para que sean verificables tendrían que constar su finalidad y alcance, la versión del sistema examinada, los datos y variables probados, las tasas de error, los impactos diferenciados, la efectividad de la supervisión humana, los incidentes y reclamaciones y las medidas correctoras, junto con el momento en que se repetirá la evaluación si cambian el modelo, los datos o la finalidad.

La advertencia ordena también evaluar los riesgos para candidatos y trabajadores y, cuando el tratamiento pueda entrañar un alto riesgo en los términos del artículo 35 del reglamento, hacer la evaluación de impacto antes de empezar. Un punto más importa a cualquier filial. Que la herramienta la desarrolle o evalúe el grupo empresarial de forma centralizada no libera de responsabilidad a la entidad que decide usarla en España.

Tres audiencias, tres deberes distintos

El error más probable es creer que un solo aviso cubre todo. La nota distingue tres planos. A cada persona trabajadora le corresponde la información individual del artículo 3.2.k del decreto. A la representación legal, la que prevé el artículo 64.4.d del Estatuto de los Trabajadores sobre los parámetros, reglas e instrucciones de los algoritmos que inciden en las condiciones de trabajo. Y a las candidaturas y personas afectadas, la información de los artículos 12 a 14 del reglamento, que incluye, cuando hay decisiones automatizadas relevantes, información significativa sobre la lógica aplicada.

Las candidaturas que nunca llegan a ser contratadas no reciben los deberes laborales, pero sí están protegidas por el reglamento. Por eso la nota pide preparar información coordinada para cada una sin dar por cumplido un deber mediante otro. Cuando una de esas personas pide acceso a sus datos o a la lógica de una decisión, la respuesta sigue el procedimiento que describimos para responder una solicitud de derechos ARCO, con la puntuación y sus inferencias incluidas, porque la nota recuerda que también pueden ser datos personales.

Qué tener listo

Lo primero es un inventario. La nota recomienda identificar todos los sistemas que apoyan o adoptan decisiones sobre candidaturas, jornada, tareas, rendimiento, retribución, promoción, movilidad, lugar de trabajo o extinción, incluidos los servicios de terceros, y documentar para cada uno su finalidad, los datos de entrada y su origen, las inferencias que genera, las variables principales, las reglas de decisión y el papel efectivo de quien revisa.

Lo segundo es la información escrita del decreto, con prueba de entrega.

Lo tercero es una supervisión humana que se pueda demostrar, con las condiciones que pide la nota y un registro de discrepancias que alguien revise.

Lo cuarto es la evaluación de riesgos y, si el riesgo es alto, la evaluación de impacto antes de usar el sistema, incluida la prueba de las variables sustitutas.

Y lo quinto es un expediente de auditorías con esos registros, que es lo que pedirá la agencia si revisa el caso. Quién revisa qué en cada país lo resumimos en quién fiscaliza la protección de datos en cuatro países, y el mismo mes trajo otra norma española, el Real Decreto 813/2026 sobre prevención del blanqueo.

Volvamos a la pregunta del comienzo. Lo que una empresa tiene que tener listo empieza por el aviso escrito que exige el decreto, pero se sostiene en una persona que de verdad pueda contradecir al sistema y en un registro que lo demuestre. El sistema puede ordenar las candidaturas. Responder por la decisión sigue siendo trabajo de quien decidió usarlo.

En Normatic AI trabajamos con inventarios de tratamientos y registros de evidencia que dejan constancia de cuándo se informó, a quién y con qué versión del sistema.

Este artículo describe el marco normativo vigente al momento de su publicación y no constituye asesoría legal. Para decisiones concretas sobre su organización, consulte con un profesional.