Lo esencial
- La inteligencia artificial en recursos humanos está sujeta ya a cinco regímenes jurídicos distintos: el reglamento europeo de IA, el derecho laboral español, la Local Law 144 de Nueva York, la ley HB 3773 de Illinois y la normativa californiana sobre sistemas de decisión automatizada. Cada uno maneja una definición diferente.
- El plazo europeo se ha movido. Las obligaciones de alto riesgo del anexo III pasan del 2 de agosto de 2026 al 2 de diciembre de 2027. Los otros cuatro regímenes siguen donde estaban.
- Una auditoría anual de sesgos es una medición, no una defensa. Produce ratios de impacto y no certifica conformidad alguna.
- Una investigación independiente localizó 18 informes de auditoría publicados entre 391 empleadores examinados en Nueva York. La tasa de cumplimiento observada roza el cero, y esa brecha constituye la exposición.
- El plazo de conservación californiano de cuatro años es el suelo práctico. Construir la cadena de evidencia una sola vez a ese nivel satisface la mayor parte de los otros cuatro regímenes.
Qué se entiende por sistema de decisión automatizada en el empleo
La pregunta parece sencilla. No lo es, porque ningún legislador ha adoptado la definición de otro. El reglamento europeo traza el perímetro más amplio. El punto 4 de su anexo III abarca los sistemas destinados a difundir anuncios de empleo dirigidos, filtrar solicitudes, evaluar candidatos, decidir sobre condiciones de trabajo, promoción y extinción del contrato, asignar tareas y supervisar o evaluar el rendimiento y el comportamiento de las personas trabajadoras. La difusión de anuncios y la asignación de tareas entran, por tanto, en el ámbito europeo, mientras permanecen invisibles para el texto neoyorquino. Nueva York, en cambio, redactó la primera definición vinculante y la quiso estrecha. Queda comprendido el proceso computacional cuya salida simplificada asiste sustancialmente o sustituye una decisión discrecional de contratación o promoción. Los reglamentos de desarrollo estrecharon aún más: esa salida simplificada debe prevalecer sobre los demás criterios o contradecir una conclusión humana. Ese estrechamiento surtió efecto. Permitió a numerosos empleadores concluir que su analizador de currículos se limitaba a informar al seleccionador sin asistirlo sustancialmente, y quedaba así fuera de la ley. California tomó el camino contrario. Su normativa, vigente desde el 1 de octubre de 2025, alcanza a todo proceso computacional que adopte una decisión o facilite una decisión humana relativa a un beneficio laboral. Facilitar es un umbral muy inferior a asistir sustancialmente.
Las definiciones no coinciden, y ese es el primer problema
Una misma herramienta de precribado puede quedar fuera del ámbito en Nueva York, dentro en California y calificada de alto riesgo en la Unión, el mismo día. No existe una prueba única. La calificación debe hacerse herramienta por herramienta y régimen por régimen, y sobre todo debe constar por escrito: ese razonamiento es precisamente lo primero que examinará una autoridad de control. Tomar un dictamen favorable como respuesta universal es el error más frecuente.
Los cinco regímenes de la inteligencia artificial en recursos humanos
La inteligencia artificial en recursos humanos no se rige por una norma única con cinco anexos, sino por cinco normas redactadas por separado, en años distintos, por legisladores que resolvían problemas distintos.
El reglamento europeo de IA, anexo III punto 4
El empleo y la gestión de personas constituyen una de las ocho áreas de alto riesgo del anexo III. El artículo 6, apartado 2, no deja margen: «Además de los sistemas de IA de alto riesgo a que se refiere el apartado 1, los sistemas de IA a que se refiere el anexo III se considerarán de alto riesgo.» Esa calificación arrastra todo el bloque de obligaciones del capítulo III: sistema de gestión de riesgos, gobernanza de datos, registro de eventos, documentación técnica, vigilancia humana y seguimiento posterior a la comercialización. Nuestra guía operativa del reglamento europeo de IA detalla el reparto entre proveedor y responsable del despliegue.
El derecho laboral español
Es la capa que los análisis anglosajones omiten de forma sistemática, y es la que se aplica hoy, sin esperar a 2027. España legisló la transparencia algorítmica en el empleo antes que la propia Unión. El artículo 64.4 d) del Estatuto de los Trabajadores, introducido por la conocida como Ley Rider, reconoce a la representación legal de la plantilla el derecho a ser informada de los parámetros, reglas e instrucciones en que se basan los algoritmos o sistemas de inteligencia artificial que afectan a la toma de decisiones y que pueden incidir en las condiciones de trabajo, el acceso al empleo y el mantenimiento del empleo, incluida la elaboración de perfiles. Un sistema de cribado de candidaturas encaja de lleno en ese supuesto. A ello se suman la Agencia Española de Protección de Datos, con doctrina consolidada sobre el tratamiento de datos en procesos de selección, y la Agencia Española de Supervisión de la Inteligencia Artificial, que será la autoridad de vigilancia del mercado en España. España fue el primer Estado miembro en crear un organismo dedicado, de modo que la supervisión nacional está operativa antes que el propio plazo del reglamento.
Nueva York: la Local Law 144
En vigor desde julio de 2023 y modelo de los demás textos. El empleador solo puede utilizar una de estas herramientas si concurren tres condiciones: una auditoría de sesgos independiente realizada en los doce meses anteriores, la publicación de un resumen de los resultados y la información a los candidatos con al menos diez días hábiles de antelación. Las sanciones civiles alcanzan los 1.500 dólares por infracción, y cada día de uso constituye una infracción autónoma.
Illinois y California
La ley HB 3773 de Illinois, aplicable desde el 1 de enero de 2026, prohíbe el uso de IA que produzca un efecto discriminatorio, sin exigir auditoría alguna. El resultado es la infracción. Prohíbe además emplear el código postal como variable sustitutiva de una característica protegida. En California, la normativa vigente desde el 1 de octubre de 2025 alcanza a los empleadores con cinco o más personas empleadas. Importan tres elementos: la prueba de test proactivos de sesgo es relevante en sede de defensa, la conducta del proveedor puede imputarse al empleador, y la conservación de la documentación laboral pasa de dos a cuatro años, incluidos los registros de flujo de candidaturas.
Colorado
La ley de Colorado, en su redacción modificada, desplegará efectos en 2027 y sigue una lógica de deber de diligencia en lugar de auditoría publicada. La tratamos en nuestra guía dedicada al Colorado AI Act.
El plazo que se movió y los cuatro que no
El 2 de agosto de 2026 debía ser la fecha de aplicación de las obligaciones de alto riesgo del anexo III. Ya no lo es. En el marco del paquete Digital Omnibus, el Parlamento Europeo se pronunció el 16 de junio de 2026 con 423 votos a favor, 57 en contra y 174 abstenciones, y el Consejo dio su aprobación definitiva el 29 de junio de 2026. Los sistemas autónomos del anexo III, categoría en la que se encuadran las herramientas de selección, pasan al 2 de diciembre de 2027, con un aplazamiento de dieciséis meses. Los sistemas integrados en productos regulados del anexo I pasan al 2 de agosto de 2028. Tres cosas no se movieron. Las prácticas prohibidas se aplican desde el 2 de febrero de 2025 sin periodo transitorio. El reconocimiento de emociones en el lugar de trabajo figura en esa lista y no en la categoría de alto riesgo: una herramienta que deduzca el entusiasmo de una persona candidata a partir de una entrevista grabada es ya ilícita, no simplemente regulada. El derecho nacional tampoco se movió. El artículo 2, apartado 11, del reglamento lo prevé de forma expresa: los Estados miembros pueden mantener o introducir disposiciones más favorables a las personas trabajadoras en cuanto a la protección de sus derechos frente al uso de sistemas de IA por parte de los empleadores, y siguen admitiéndose convenios colectivos más favorables. El derecho de información del artículo 64.4 d) sigue, por tanto, plenamente vigente. Y los cuatro regímenes estadounidenses siguen donde estaban. Un último dato enfría el alivio: el aplazamiento se concedió en buena medida porque las normas técnicas armonizadas no están listas. El referente con el que se medirá al empleador sigue redactándose. Esos dieciséis meses los consumen los organismos de normalización, no se regalan a quienes despliegan.
Qué mide realmente una auditoría de sesgos
La auditoría que exige la Local Law 144 es un ejercicio estadístico preciso, y conocer su forma distingue una auditoría útil de una cara. La entidad auditora calcula la tasa de selección para cada categoría de sexo, raza y etnia, es decir, la proporción de candidatos seleccionados dentro del grupo. Para una herramienta que puntúa en lugar de seleccionar, calcula la puntuación media por grupo. De ahí obtiene el ratio de impacto: la tasa de selección de un grupo dividida entre la del grupo más seleccionado. El resultado se lee a la luz de la regla de los cuatro quintos. Un ratio de impacto inferior al 80 por ciento puede señalar un impacto desfavorable. Se trata de una heurística de detección, no de un umbral jurídico. Dos detalles merecen más atención de la que reciben. La entidad auditora puede excluir cualquier categoría que represente menos del 2 por ciento de los datos auditados, lo que retira discretamente del cálculo a los grupos pequeños, justo donde la discriminación resulta más difícil de detectar. Y la independencia tiene alcance real: la entidad auditora no puede tener interés económico en la herramienta, y un proveedor no puede auditar su propio producto.
Lo que la auditoría no hace
No equivale a un certificado de conformidad. No crea protección alguna al amparo del Title VII estadounidense ni presunción favorable en derecho español. Y es una fotografía anual de un sistema que a menudo se reentrena cada trimestre. Los once meses que median entre dos auditorías son el intervalo en el que se instala la deriva. Los mecanismos subyacentes se tratan en nuestras guías sobre sesgos de la IA y sesgo algorítmico.
La capa federal estadounidense que nadie derogó
El 27 de enero de 2025 la EEOC retiró de su sitio web las directrices sobre IA de mayo de 2023, tras la derogación de la anterior orden ejecutiva presidencial sobre inteligencia artificial. Después inició el archivo de las reclamaciones pendientes basadas en impacto desfavorable. Varios grupos españoles con filial estadounidense lo interpretaron como el cierre del frente federal. Es una lectura equivocada. La prohibición de prácticas con impacto desfavorable está en el Title VII, que es una ley. Las Uniform Guidelines on Employee Selection Procedures y sus requisitos de validación se aplican a cualquier procedimiento de selección, algorítmico o no, y ninguno de los dos textos se modificó. Las directrices explican la norma, no la crean, y su retirada no deroga nada. Lo que cambió fue la postura sancionadora federal, no el estándar. Los demandantes privados, las acciones colectivas y los fiscales generales de los estados actúan al margen de las prioridades de la EEOC. Retirar la publicación hizo el estándar menos legible sin hacerlo menos vinculante, lo que es una posición peor y no mejor.
Una sola cadena de evidencia para cinco regímenes
Cinco regímenes, cinco definiciones, tres lógicas de responsabilidad. Sostener cinco proyectos de cumplimiento distintos no es viable. Construir una única cadena de evidencia sí lo es, porque esos textos reclaman artefactos que se solapan ampliamente bajo denominaciones distintas.
- Inventariar toda herramienta que puntúe, ordene, filtre o supervise a una persona. Incluidas las funcionalidades activadas dentro de un ATS o un sistema de RR. HH. que nadie adquirió como IA, donde se aloja la mayor parte de la exposición no declarada. Nuestra guía sobre shadow AI describe el enfoque de descubrimiento.
- Calificar el ámbito régimen por régimen, por escrito. La misma herramienta recibe cinco respuestas. Debe conservarse el razonamiento y quién lo firmó.
- Realizar una evaluación previa estructurada. El artículo 27 del reglamento ofrece una plantilla utilizable mucho más allá de la Unión: descripción de los procesos del responsable del despliegue, periodo y frecuencia de uso, categorías de personas afectadas, riesgos específicos de perjuicio, medidas de vigilancia humana aplicadas y mecanismos de gobernanza interna y de reclamación. Su relación con la evaluación de impacto en protección de datos se aborda en nuestra nota sobre la diferencia entre PIA, EIPD y evaluación de impacto en derechos fundamentales.
- Encargar pruebas de sesgo independientes y conservar los artefactos, no solo el resumen: tasas de selección y de puntuación, ratios de impacto, metodología, declaración de independencia y resultado publicado. Nuestra guía sobre auditoría de IA trata la elección de la entidad auditora.
- Hacer efectiva la vigilancia humana. El artículo 14 exige que los sistemas de alto riesgo se diseñen de modo que personas físicas puedan vigilarlos de manera efectiva durante su periodo de utilización. Quien valida una lista ordenada sin tiempo ni medios para contradecirla no está vigilando nada. La distinción es objeto de nuestra guía sobre human-in-the-loop y human-on-the-loop.
- Conservar las pruebas de información durante cuatro años. Adoptar la ventana californiana como suelo global evita seguir cinco calendarios de conservación y cubre con holgura el derecho de información de la representación legal de la plantilla.
- Revisar el contrato con el proveedor. Debe imponer la cooperación con la auditoría, el acceso a los datos necesarios para calcular los ratios de impacto, la notificación de cualquier modificación sustancial del modelo y la designación de quién audita. Dado que un proveedor no puede auditar su propia herramienta, el silencio contractual en este punto significa que nadie lo ha hecho.
- Supervisar entre auditorías. Seguir las tasas de selección de forma continua para que la auditoría anual confirme lo que ya se sabía en lugar de descubrirlo once meses tarde. Es gestión de riesgos de IA ordinaria aplicada a un embudo de selección.
Esa cadena constituye un único programa. De las mismas operaciones salen la auditoría neoyorquina, la prueba de ausencia de efecto discriminatorio para Illinois, el conjunto de conservación californiano, el rastro de diligencia de Colorado, la documentación técnica del anexo III y la información debida a la representación legal de la plantilla.
La tasa de cumplimiento que nadie cita
El argumento más sólido para construir esto en serio procede de lo que la investigación revela sobre los demás. Un estudio presentado en la conferencia ACM sobre equidad, responsabilidad y transparencia examinó cómo reaccionaron los empleadores ante la Local Law 144. Sobre 391 empleadores analizados por 155 investigadores, en una colaboración entre el CAT Lab de la Universidad de Cornell, el Data & Society Research Institute y Consumer Reports, 18 habían publicado un informe de auditoría y 13 un aviso de transparencia. Solo once habían publicado ambos en forma conforme. Ese dato admite dos lecturas. La tranquilizadora: la aplicación es débil y el riesgo estadísticamente escaso. La correcta: una ausencia casi total de auditorías publicadas en un mercado íntegramente regulado no es un equilibrio estable, y quien publica no es el objetivo. Las organizaciones realmente expuestas son las que concluyeron que quedaban fuera del ámbito sin conservar rastro alguno del porqué.
Preguntas frecuentes
Qué es un sistema de decisión automatizada en el empleo Cualquier software que, mediante aprendizaje automático, estadística, análisis de datos o IA, produzca una puntuación, una ordenación o una recomendación que asista sustancialmente o sustituya una decisión humana de contratación o promoción. En la práctica: analizadores de currículos, motores de emparejamiento de candidaturas, corrección de pruebas, análisis de entrevistas en vídeo y algunas herramientas de búsqueda activa. Que una herramienta concreta quede comprendida depende de la jurisdicción, porque Nueva York, California y la Unión aplican tres umbrales distintos. El aplazamiento europeo elimina las obligaciones para la selección con IA No, mueve la fecha. Los sistemas autónomos del anexo III disponen ahora hasta el 2 de diciembre de 2027 en lugar del 2 de agosto de 2026, con confirmación del Consejo de 29 de junio de 2026. Las prácticas prohibidas, incluido el reconocimiento de emociones en el trabajo, se aplican desde febrero de 2025 y no se aplazaron. Los Estados miembros conservan la facultad, conforme al artículo 2 apartado 11, de mantener reglas más protectoras. Y el artículo 64.4 d) del Estatuto de los Trabajadores se aplica hoy. Hay que informar a la representación legal de la plantilla antes de desplegar la herramienta Sí. El artículo 64.4 d) del Estatuto de los Trabajadores reconoce el derecho a ser informada de los parámetros, reglas e instrucciones en que se basan los algoritmos o sistemas de inteligencia artificial que puedan incidir en la toma de decisiones sobre condiciones de trabajo, acceso al empleo y mantenimiento del empleo, incluida la elaboración de perfiles. Ese derecho es independiente del reglamento europeo, no se beneficia de ningún aplazamiento y se aplica aunque la herramienta no muestre sesgo medible alguno. Una auditoría anual de sesgos convierte la herramienta en conforme No. Satisface un requisito concreto de una norma concreta y calcula ratios de impacto en un momento dado. No valida la herramienta como relacionada con el puesto y justificada por una necesidad organizativa, no crea protección al amparo del Title VII y nada dice del criterio de efecto de Illinois ni de las obligaciones europeas de alto riesgo. Confundir el certificado de auditoría con una conclusión de conformidad es el error más extendido en este ámbito. Quién responde cuando la herramienta de un proveedor discrimina En primer lugar el empleador, en los cinco regímenes examinados. Nueva York sitúa la obligación en quien utiliza la herramienta. La normativa californiana contempla la imputación de la conducta del proveedor al empleador. El reglamento europeo reparte obligaciones entre proveedor y responsable del despliegue, pero este último, definido como quien utiliza el sistema bajo su propia autoridad, soporta las obligaciones de uso. El proveedor asume riesgo contractual y reputacional. El riesgo regulatorio sigue siendo del empleador. Aplican estas reglas a una empresa española que no contrata en Estados Unidos Sí, por al menos dos vías. El Estatuto de los Trabajadores y el RGPD se aplican de inmediato, sin esperar a diciembre de 2027, y la AESIA ya está constituida como autoridad de vigilancia. El reglamento europeo alcanzará a cualquier sistema de cribado o evaluación encuadrable en el punto 4 del anexo III. Los textos estadounidenses solo afectan a grupos con sociedad o candidatos allí, pero constituyen el referente más exigente y, por ello, el más útil para calibrar un dispositivo único.
Conclusión
La inteligencia artificial en recursos humanos es hoy la categoría de IA empresarial regulada con mayor densidad, y también la que con más probabilidad se activó dentro de una plataforma de RR. HH. existente sin decisión de compra alguna. Cinco regímenes la alcanzan con tres lógicas de responsabilidad incompatibles, y el plazo que acaba de moverse era el único que ofrecía respiro. La respuesta que escala no son cinco proyectos de cumplimiento. Es un inventario, una calificación por régimen, una estructura de evaluación, una prueba independiente con artefactos conservados, una conservación de cuatro años y un modelo de cláusula para proveedores. Cada uno de los regímenes examinados se satisface con evidencia extraída de esa única cadena. AI Sigil está construido para sostener esa cadena: inventario de sistemas, clasificación por marco, mapeo de controles y evidencia auditable en todos los regímenes que le afecten. Para ver cómo se proyecta su proceso de selección sobre los cinco, empiece por nuestro marco de gobernanza de la IA.