El sistema se utilizaría para analizar currículums, asignar puntuaciones y, en su caso, priorizar candidaturas y podría influir de forma directa en decisiones relativas al acceso al empleo y a la promoción profesional. Esta herramienta no se habría puesto todavía en funcionamiento, aunque la empresa había informado a su personal sobre su próxima implementación.
La Agencia señala que la incorporación de herramientas de IA a los procesos de selección y gestión de personas puede contribuir a mejorar su eficiencia y calidad. Para aprovecharlas con garantías, la protección de datos debe integrarse desde la configuración inicial del proyecto, compatibilizando la innovación con la protección efectiva de los derechos y libertades de las personas.
Este enfoque se concreta, entre otros aspectos, en la protección de datos desde el diseño y por defecto. Integrar los principios y garantías de protección de datos desde las fases iniciales de la concepción de un proyecto tecnológico permite identificar y adoptar las medidas adecuadas a sus características y riesgos.
En este sentido, la AEPD señala que la empresa deberá adoptar las medidas técnicas y organizativas apropiadas y evaluar los riesgos que el tratamiento pueda comportar para las personas candidatas y trabajadoras. Si el tratamiento pudiera entrañar un alto riesgo para sus derechos y libertades, deberá realizarse previamente la correspondiente evaluación de impacto en protección de datos.
La Agencia destaca también la importancia de la transparencia cuando una herramienta evalúa candidaturas y proporciona una puntuación sobre su adecuación a un puesto. Las personas candidatas y trabajadoras deben recibir información clara, accesible y comprensible sobre el tratamiento de sus datos personales y sobre la función que desempeña la herramienta en el proceso de evaluación.
Respecto a la intervención humana en estos procesos, la empresa ha manifestado que la decisión final correspondería a una persona. La AEPD recuerda que, para que esa intervención humana sea efectiva, quien adopte la decisión debe poder valorar críticamente la información o puntuación proporcionada por el sistema y tomar su propia decisión, sin limitarse a asumir automáticamente el resultado generado por la herramienta de IA.
Por otro lado, el RGPD establece el derecho de las personas a no ser objeto de decisiones basadas únicamente en un tratamiento automatizado cuando puedan producir efectos jurídicos o afectarles de una forma significativa. En este caso, su posible aplicación dependerá de cómo funcione realmente la herramienta y el grado de intervención humana en la decisión.
El RGPD atribuye a la Agencia la facultad de advertir preventivamente a un responsable o encargado cuando las operaciones de tratamiento previstas pudieran infringir lo dispuesto en el RGPD, de forma que el responsable pueda extraer de ella los criterios apropiados y, en su caso, adaptar a la normativa los tratamientos de datos que tiene previsto realizar.
