Leyes de IA en la contratación en España (2026): manual de cumplimiento

Las normas que regulan la contratación con IA —en España y en toda la UE— comparten cuatro deberes recurrentes: avisar a las personas candidatas cuando se usa IA, no dejar que la herramienta discrimine (la discriminación indirecta cuenta, la intención no), mantener a una persona con verdadera autoridad de anulación dentro del proceso, y estar preparado para explicar y permitir apelar una decisión adversa. Domina esos cuatro y estarás cubierto, porque —a diferencia de Estados Unidos— aquí no hay un mosaico de leyes estado por estado: hay un único régimen supranacional. Si llevas un equipo pequeño que usa IA en algún punto de la contratación y no tienes asesoría laboral, esta es la versión “qué hago el lunes”, no una exégesis del texto legal.

Un apunte rápido antes de que cunda el pánico: esto no es asesoría legal. Es un mapa operativo para fundadores y equipos de People de una sola persona que leyeron una alerta legal alarmante y quieren un checklist.

¿El Reglamento Europeo de IA ya regula la contratación?

Sí, y como actividad de alto riesgo. El Reglamento (UE) 2024/1689 —el Reglamento Europeo de IA, o AI Act— clasifica los sistemas de IA usados para la contratación, la selección y la evaluación de personas candidatas como de alto riesgo (Anexo III, punto 4). Eso no los prohíbe, pero les impone un paquete de obligaciones: gestión de riesgos, gobernanza de datos, documentación técnica, supervisión humana y evaluación de la conformidad.

Las obligaciones de alto riesgo son aplicables desde el 2 de agosto de 2026 (con un posible aplazamiento al 2 de diciembre de 2027 bajo el acuerdo provisional “Digital Omnibus” de 2026, pendiente de publicación en el DOUE; conviene verificarlo). Pero no esperes a esa fecha para actuar: el RGPD y el Estatuto de los Trabajadores ya te obligan hoy, como verás más abajo.

Esto te importa por una razón clave: gran parte del contenido que circula sobre “leyes de IA en la contratación” está escrito desde Estados Unidos, donde el panorama es un mosaico caótico de leyes estatales que se aprueban, se paralizan y se reescriben. En la UE el punto de partida es el contrario. No tienes que rastrear cincuenta regímenes ni apostar a cuál sobrevivirá en los tribunales: tienes un único reglamento, de aplicación directa y uniforme en los 27 Estados miembros, superpuesto al RGPD y al Derecho laboral nacional. Construye sobre eso.

En la UE no hay vacío ni mosaico: hay un único régimen

En Estados Unidos, la ausencia de una ley federal de IA dejó un hueco que cada estado llena a su manera. En España y en la UE ocurre justo lo contrario: el Reglamento de IA es una norma supranacional de aplicación directa, así que no hay “vacío” que rellenar ni cuarenta versiones distintas que conciliar. La capa de IA es la misma en Madrid, en Berlín y en Dublín.

Lo que sí se suma por debajo son dos cosas que conviene tener presentes. La primera es el RGPD (Reglamento (UE) 2016/679): su artículo 22 reconoce el derecho a no ser objeto de decisiones basadas únicamente en el tratamiento automatizado —incluida la elaboración de perfiles— cuando producen efectos jurídicos o significativos, y los artículos 13 a 15 imponen deberes de información y acceso. Lo supervisa la AEPD, con el complemento de la LOPDGDD (Ley Orgánica 3/2018). Ya está en vigor.

La segunda es una pieza distintivamente española que no tiene equivalente estadounidense: el deber de informar a la representación de las personas trabajadoras de la lógica de los algoritmos de contratación. Es el detalle más concreto que cambia lo que haces como empleador en España, así que merece su propio recuadro.

El mapa normativo que de verdad importa para la contratación

Olvida el rastreador de los cincuenta estados. Para contratar en España a mediados de 2026, son cuatro los instrumentos que llevan el peso.

El RGPD y el Estatuto ya te obligan hoy

A diferencia de las obligaciones de alto riesgo del Reglamento de IA, que empiezan a aplicarse en agosto de 2026, hay deberes que ya te vinculan. El artículo 22 del RGPD restringe las decisiones puramente automatizadas sobre personas y obliga a informar de su existencia y de su lógica. Y el artículo 64.4.d) del Estatuto de los Trabajadores te exige informar a la representación de la plantilla de los parámetros de cualquier algoritmo de contratación. No hay umbral de exención por uso de IA: si tratas datos de personas candidatas, el RGPD aplica desde el primer currículum.

El Reglamento de IA y la contratación de alto riesgo

El núcleo del Reglamento de IA para la contratación está en clasificarla como actividad de alto riesgo (Anexo III, punto 4) y exigir, en consecuencia, un sistema de gestión de riesgos, gobernanza de datos y pruebas de sesgo, documentación técnica, supervisión humana y una evaluación de la conformidad antes de poner el sistema en el mercado o en servicio (artículos 9 a 15). Estas obligaciones se reparten entre el proveedor que construye el sistema y el responsable del despliegue que lo usa.

Aquí conviene un matiz. En Estados Unidos, ciudades como Nueva York exigen una “auditoría de sesgos” anual e independiente. En España no existe una ley equivalente que imponga esa auditoría municipal. La cobertura llega por otra vía: las pruebas de sesgo y la gobernanza de datos forman parte de las obligaciones de alto riesgo del Reglamento de IA. Preséntalo como lo que es —una obligación europea— y no busques un equivalente local a la auditoría neoyorquina, porque no lo hay.

Quién vigila y qué multas hay

En España, la autoridad nacional designada para el Reglamento de IA es la AESIA (Agencia Española de Supervisión de la Inteligencia Artificial), a la que corresponde la vigilancia del mercado de los sistemas de IA de contratación. Ahora bien, conviene precisar su alcance real: su régimen sancionador nacional aún no está en vigor. Se tramita en el Congreso como proyecto de ley —la Ley Orgánica para el buen uso y la gobernanza de la IA, aprobada por el Consejo de Ministros en mayo de 2026 y todavía en fase de enmiendas—, de modo que la maquinaria de aplicación no está dormida, pero aún se está montando; además, las obligaciones de alto riesgo en contratación solo serán exigibles más adelante (en principio en agosto de 2026, con el aplazamiento a diciembre de 2027 previsto en el Digital Omnibus). El RGPD lo vigila la AEPD, y el deber de información algorítmica del artículo 64.4.d) del Estatuto se canaliza por la Inspección de Trabajo y la jurisdicción social.

Las cifras marcan el tamaño del riesgo. El Reglamento de IA prevé multas de hasta 15 millones de euros o el 3 % del volumen de negocio anual mundial por incumplir las obligaciones de alto riesgo (artículo 99); el RGPD llega hasta 20 millones o el 4 % (artículo 83). A esto se añade que España ultima un anteproyecto de ley para desarrollar el Reglamento a nivel nacional y dotar a la AESIA de su régimen sancionador y de un entorno de pruebas (sandbox); a mediados de 2026 sigue siendo un borrador en tramitación, así que los instrumentos exigibles hoy son el Reglamento de IA, el RGPD y el Estatuto de los Trabajadores.

El “mito” de la complejidad multiestatal

En Estados Unidos, una startup con sede en Texas que contrata a alguien que vive en Illinois activa por su residencia los deberes de Illinois; contratar en cuatro estados puede disparar cuatro regímenes. En la UE esa trampa casi desaparece para la capa de IA: el Reglamento de IA se aplica de forma uniforme en todo el territorio, con independencia de dónde tenga su sede el empleador. La complejidad transfronteriza que queda es de otra naturaleza: la capa laboral nacional —como el deber del artículo 64.4.d) del Estatuto en España— y las reglas de protección de datos y empleo siguen a la persona trabajadora. Si contratas en varios Estados miembros, puedes acumular deberes laborales nacionales por encima del Reglamento de IA, que es común a todos.

¿Usar un ATS con IA me hace responsable aunque el modelo lo construyera el proveedor?

Sí. El empleador que usa la herramienta es el “responsable del despliegue” (deployer) y tiene obligaciones propias bajo el artículo 26 del Reglamento de IA: garantizar la supervisión humana, vigilar el funcionamiento del sistema, conservar los registros que genera automáticamente e informar a las personas afectadas. Además, eres responsable del tratamiento bajo el RGPD. No puedes trasladar esa responsabilidad al proveedor del ATS aunque haya sido él quien construyó el modelo.

Los litigios sobre si un proveedor de contratación con IA responde como “agente” del empleador siguen abiertos en otras jurisdicciones, pero no cambian tu posición: la empresa que pulsa el botón es la que asume el deber. No externalizas la responsabilidad a tu ATS.

El suelo antidiscriminatorio que sobrevive a todo

Esta es la parte que no cambia, exista o no una norma específica de IA. Por debajo de todo se sostiene el Derecho antidiscriminatorio ordinario: la Ley 15/2022 integral para la igualdad de trato y la no discriminación, el artículo 17 del Estatuto de los Trabajadores y la Directiva 2000/78/CE de igualdad de trato en el empleo. La Ley 15/2022 reconoce expresamente la discriminación indirecta (artículo 6.1.b) —el equivalente al concepto estadounidense de impacto desfavorable—: una herramienta que descarta a un grupo protegido a mayor tasa puede ser ilícita aunque nadie tuviera la intención de discriminar.

Este es el cimiento duradero, y las herramientas de cribado con IA no son un riesgo teórico: hay evidencia documentada de que descartan a personas perfectamente cualificadas. Si tu herramienta lo hace en función de una característica protegida, la norma específica de IA es casi lo de menos. Desglosamos cómo ocurre esto mecánicamente en cómo el sesgo en la contratación con IA crea una exclusión a escala de toda la industria y en el bucle fatal de la contratación con IA.

El manual de cumplimiento en 5 pasos para equipos sin departamento legal

Quita las diferencias y se repite el mismo puñado de deberes. Y, a diferencia de Estados Unidos, donde este manual es “buena práctica”, en la UE buena parte de él es una obligación legal que recae sobre el responsable del despliegue. Construye para ese núcleo y estarás cubierto. Nada de esto requiere un consultor de cumplimiento ni un proveedor de auditorías de sesgo.

1. Declara que usas IA. Dile a las personas candidatas con claridad, en el flujo de candidatura o en el aviso de la oferta, que herramientas de IA asisten tu proceso. Esto conecta con el deber de información del RGPD (artículos 13-15) y, en el plano colectivo, con el artículo 64.4.d) del Estatuto. También es una victoria en confianza: decir “la IA nos ayuda a organizar las candidaturas; las personas toman cada decisión” tranquiliza, no alarma.

2. Mantén a una persona en el proceso con verdadera autoridad de anulación. No un visto bueno automático. Una persona con nombre que revisa y puede anular la herramienta. Es el eje del artículo 22 del RGPD y de la supervisión humana que exige el artículo 26 del Reglamento de IA, y la respuesta práctica a cualquier reclamación de “el algoritmo me rechazó”.

3. Registra cada avance y cada rechazo. Cuando alguien solicite una explicación de una decisión o ejerza su derecho de acceso, el registro tiene que existir ya. El propio artículo 26 obliga al responsable del despliegue a conservar los registros que el sistema genera automáticamente. Reconstruir un rastro de auditoría después de una queja es como se lastiman los equipos pequeños.

4. No dejes que la herramienta decida. Haz que la IA sea asistente, no autónoma. La herramienta clasifica, resume y saca a la luz; una persona decide. Esta única decisión de arquitectura es, además, la forma más limpia de mantenerte fuera del supuesto de “decisión únicamente automatizada” del artículo 22 del RGPD.

5. Está preparado para explicar y permitir apelar. Ten una vía simple para que una persona candidata pregunte “por qué” y solicite una nueva revisión humana. Si hiciste los pasos 2 y 3, esto se reduce sobre todo a señalar los registros que ya conservas.

¿Estoy exento si tengo menos de 50 empleados?

Probablemente no, y no deberías planificar contando con ello. El RGPD aplica a cualquier empresa que trate datos personales, sin umbral de plantilla. Y las obligaciones de alto riesgo del Reglamento de IA se vinculan al uso de un sistema de contratación de alto riesgo, no al número de empleados que tengas: no hay una exención general por tamaño que te libere de la supervisión humana, la información o el registro. La lección es la misma de siempre: no construyas tu estrategia sobre ser demasiado pequeño para importar.

Para un contexto más amplio: el uso de la IA en RR. HH. ha dejado de ser excepcional para volverse mayoritario, y precisamente por eso se mueven los reguladores. Cuando una herramienta toca a tanta gente, la ley termina alcanzándola. No hace falta una cifra exacta para ver hacia dónde sopla el viento.

Por qué “asistente, no autónoma” es la arquitectura más segura

Si lees los cuatro deberes lado a lado, describen una única forma de producto: IA que ayuda a una persona a decidir, con la decisión registrada y la persona candidata informada. Resulta que así es exactamente como está construido Kit.

Ninguna candidatura se rechaza automáticamente por IA en Kit. Una persona con autoridad de anulación toma la disposición final antes de rechazar a nadie, lo que encaja directamente con la supervisión humana del artículo 26 del Reglamento de IA y mantiene tu proceso fuera del supuesto de decisión “únicamente automatizada” del artículo 22 del RGPD. La divulgación al candidato está integrada en el flujo, lo que cubre los deberes de información del RGPD. Y cada avance y cada rechazo quedan registrados, así que cuando se solicita una explicación o un acceso, el rastro de auditoría ya existe, sin necesidad de una suite de gobernanza. Es la misma postura que describimos en el Reglamento de IA de la UE y la contratación de alto riesgo, donde entramos en detalle en las obligaciones de alto riesgo. Si eres nuevo en la categoría, qué es realmente un ATS nativo de IA explica el modelo asistente a fondo.

Para que quede claro, ningún ATS puede hacerte “conforme” con una norma concreta, y no confíes en uno que afirme que puede. Lo que hace la arquitectura correcta es ponerte del lado duradero del núcleo común, para que la próxima actualización normativa no te deje corriendo a apagar incendios.

Qué hacer esta semana

La normativa seguirá evolucionando —el calendario del Reglamento de IA, el anteproyecto español, los criterios de la AEPD—, pero el núcleo duradero es estable: declara, mantén a una persona decidiendo, registra las decisiones, deja que la IA asista sin decidir, y está preparado para explicar. Y recuerda el paso propio de España: informa a la representación de la plantilla de la lógica de tus algoritmos de contratación. Monta todo eso una vez y dejas de perseguir titulares.

No necesitas un departamento de cumplimiento. Necesitas un proceso de contratación donde la IA asiste, las personas deciden y cada decisión queda registrada. Empieza tu prueba gratuita y el manual es el valor por defecto, no un proyecto.